Azure NVA తనిఖీ: సమాధానం మరో ఫైర్‌వాల్ గుండా ఎందుకు వెళ్తుంది

శాఖ నుండి Azure వరకు ప్రవాహం రెండు దిశలలో సరిగ్గా రూట్ అయినా విఫలమవుతుంది, ఎందుకంటే రెండు దిశలు వేర్వేరు పరికరాల గుండా వెళ్తాయి. అభ్యర్థన VPN ద్వారా శాఖను వదిలి, NVA A పై దిగి పనిభారాన్ని చేరుతుంది. సమాధానం పనిభారాన్ని వదిలి, NVA B వైపు చూపే మార్గంతో సరిపోలి అక్కడే చనిపోతుంది. ఆ చిత్రంలోని ప్రతి మార్గం చెల్లుబాటు అయినా TCP సెషన్ ఇంకా విరిగింది.

Request: branch -> VPN gateway -> NVA A -> workload
Reply:   workload -> NVA B -> VPN gateway -> branch

ఆ అంతరమే ఇక్కడ మొత్తం విషయం: రూటింగ్ కన్వర్జెన్స్ మరియు సెషన్ స్థితి యాజమాన్యం రేఖాచిత్రంలో ఒకేలా కనిపించే వేర్వేరు సమస్యలు.

Route Server నిజంగా ఏమి ప్రోగ్రామ్ చేస్తుంది

Azure Route Server మద్దతు ఉన్న BGP వక్తలతో పీరింగ్ చేసి, వారి మార్గాలను నేర్చుకుని, వాటిని వర్చువల్ నెట్‌వర్క్ ప్రభావవంతమైన మార్గాలలో ప్రోగ్రామ్ చేస్తుంది. ఇది నియంత్రణ-తల పని. ఇది విక్రేత ఫైర్‌వాల్ సెషన్ పట్టికను చదవదు, ఇచ్చిన కనెక్షన్‌ను ఏ పరికరం అనుమతించిందో తెలియదు. రెండు సమాన-ఖర్చు తదుపరి హాప్‌లు ఈ బట్టకు ఒకే ప్రిఫిక్స్‌ను చేరుకునే రెండు మార్గాలే, ఏదైనా ఉపయోగిస్తుంది.

అందువల్ల మార్గాన్ని నేర్చుకోవడం చేరుకోగల సామర్థ్యాన్ని నిరూపిస్తుంది. మరో చివర ఉన్న పరికరం ఈ ప్రవాహాన్ని ముందే చూసిందా అనే దానిపై ఏమీ నిరూపించదు.

రూపకల్పన చేయడానికి ముందు రెండు దిశలను చదవండి

ప్రతి దిశలో మీకు నిజంగా ఉన్న స్టీరింగ్‌ను రాయడం ప్రారంభించండి, మీరు ఉద్దేశించినది కాదు. మరింత నిర్దిష్ట BGP మార్గాలు, వినియోగదారు-నిర్వచిత మార్గాలు మరియు గేట్‌వే ప్రవర్తన అన్నీ పోటీ పడతాయి, విజేత ప్రతి సెషన్‌కు కాదు, ప్రతి గమ్యానికి నిర్ణయించబడుతుంది. NVA పై డిఫాల్ట్ మార్గం అంటే ప్రతి ప్రైవేట్ ప్రిఫిక్స్ దాని గుండా వెళ్తుందని కాదు.

ఉపయోగకరమైన తనిఖీ ఏమిటంటే ఒక నిర్దిష్ట పనిభార IP కోసం ప్రతి దిశ ఏ తదుపరి హాప్‌కు పరిష్కారమవుతుందో అడగడం. సమాధానం రెండు వేర్వేరు పరికరాలు అయితే, అది ఇప్పటికే బయటపడిందా లేదా అన్నది ముఖ్యం కాదు, మీకు అసమానత సమస్య ఉంది.

స్థితి ఎక్కడ నివసిస్తుంది

స్థితి కలిగిన ఫైర్‌వాల్ కనెక్షన్‌ను అనుమతించి ఐదు-ట్యూపుల్‌పై కీ చేసిన పట్టిక నమోదును ఉంచుతుంది. సమాధానం ఆ నమోదును కలిగి ఉన్న పరికరాన్ని చేరుకోవాలి, లేదా ఆ పరికరం స్థితిని మరో విధంగా పొందాలి. Azure డేటా తలంలో ఏదీ పరికరాల మధ్య నమోదును ఫార్వార్డ్ చేయదు. ఒకటి ట్రాఫిక్ యజమాని వైపు తిరిగి స్టీర్ చేయబడుతుంది, లేదా పరికరాలు విక్రేత యంత్రాంగం ద్వారా స్థితిని పంచుకుంటాయి, లేదా రూపకల్పన పనిచేయదు.

అందుకే రెండు ఆరోగ్యకరమైన NVAలు తనిఖీకి ఆరోగ్య-తనిఖీ కాదు. ఆరోగ్యం చేరుకోగల సామర్థ్యం గురించి; తనిఖీ ఏ ఇన్‌స్టాన్స్ సెషన్‌ను కలిగి ఉందో అనే దాని గురించి.

మద్దతు ఉన్న HA నమూనాలు మరియు ప్రతి ఒక్కటి ఏమి వాగ్దానం చేస్తుంది

Microsoft's guidance on Virtual WAN రూటింగ్ ఉద్దేశం గురించి Microsoft మార్గదర్శకం ద్వంద్వ-పాత్ర కనెక్టివిటీ మరియు ఫైర్‌వాల్ NVAలకు పరిమిత ప్రవర్తనను వివరిస్తుంది, ఇక్కడ ప్రత్యక్ష రూటింగ్ హబ్ యొక్క సాధారణ సమరూప అమలును బైపాస్ చేయగలదు. ఆ నోట్లను మీరు ఎంచుకున్న టోపాలజీపై పరిమితులుగా చదవండి, యాక్టివ్-యాక్టివ్ రూపకల్పనలపై నిషేధంగా కాదు. స్థితిని సింక్రొనైజ్ చేసే, లేదా ప్రతి ప్రవాహానికి స్టీర్ చేసే విక్రేత జంటకు మద్దతు ఇవ్వవచ్చు. రెండూ చేయని సమాన-ఖర్చు జంటకు మద్దతు ఇవ్వదు.

తర్వాత నోడ్ విఫలమైనప్పుడు ఇప్పటికే ఉన్న సెషన్లకు ఏమి జరుగుతుందో నిర్వచించండి. మార్గ కన్వర్జెన్స్ కొత్త ప్రవాహాలకు చేరుకోగల సామర్థ్యాన్ని సెకన్లలో పునరుద్ధరిస్తుంది, పాత ఫైర్‌వాల్ స్థితి మాత్రం పోయింది. క్లయింట్ పునఃకనెక్షన్ నమోదు చేయబడిన ఫలితం కావచ్చు, మరియు అది సంఘటన తర్వాత కాదు, ముందే తీసుకోవాల్సిన నిర్ణయం.

నమ్మడానికి ముందు ఏమి పరీక్షించాలి

Test with inspection enabled and పనిభారం యాక్సెస్ విధానం స్థానంలో ఉంచి పరీక్షించండి, ఎందుకంటే రెండింటిలో ఏదైనా అసమానతను దాచగలదు. రెండు దిశలలో కొత్త అధికృత ప్రవాహాన్ని పంపి అదే పరికరం రెండు భాగాలను చూసిందని నిర్ధారించండి. తర్వాత నిరంతర ట్రాఫిక్ నడపి ఆమోదించిన ఫెయిల్‌ఓవర్‌ను ప్రేరేపించండి, ఏర్పాటు చేసిన సెషన్లు నిలిచి ఉంటాయా లేదా మళ్లీ కనెక్ట్ అవుతాయా గమనించండి.

ప్రతి ప్రవాహాన్ని దానిని నిర్వహించిన పరికరంతో సంబంధం కలిపి చూడండి. ఒక NVA పై ప్యాకెట్ క్యాప్చర్, సమాధానం ఎప్పుడూ అక్కడికి తిరిగి రాకపోతే దాదాపు ఏమీ చెప్పదు.

చివరగా, ప్రణాళికను మూడు వేర్వేరు పంక్తులుగా రాయండి: మార్గాల యాజమాన్యం, ట్రాఫిక్ స్టీరింగ్ మరియు సెషన్ స్థితి యాజమాన్యం. మొదటి రెండు పరిష్కరించబడి మూడవది ఊహించబడినప్పుడు రూపకల్పనలు విరిగిపోతాయి.