NVA లేకుండా ExpressRoute పై Azure ప్రైవేట్ IP VPN

ExpressRoute ప్రైవేట్ peering పై ట్రాఫిక్ ఎన్‌క్రిప్ట్ చేయడానికి నెట్‌వర్క్ వర్చువల్ ఉపకరణం అవసరం అనేది ఒక అపోహ. అది అవసరం లేదు. Azure, సొరంగం ముగింపు బిందువు సర్క్యూట్ ద్వారా తీసుకువెళ్ళే ప్రైవేట్ RFC1918 చిరునామా అయిన Site-to-Site VPN Gateway ను మద్దతు ఇస్తుంది, మరియు ఉపకరణం నిర్మాణాత్మకం కాదు, ఐచ్ఛికం. ఉపకరణ అపోహ దాచినది నిజంగా నొప్పించే భాగం: ప్రైవేట్ ముగింపు బిందువును రెండు వస్తువులకు బదులుగా ఒకదానిపై ప్రారంభించడం, మరియు నేరుగా peering మార్గం ఎన్‌క్రిప్ట్ చేసిన మార్గాన్ని నిశ్శబ్దంగా గెలవడానికి అనుమతించడం.

అపోహ ఎక్కడ నుండి వచ్చింది

ఈ వాదనకు గౌరవనీయమైన మూలం ఉంది. సంవత్సరాల తరబడి ప్రైవేట్ peering పై IPsec కోసం ఆచరణాత్మక విధానం NVA, ఎందుకంటే నిర్వహించబడే గేట్‌వే పబ్లిక్ ముగింపు బిందువులను మాత్రమే బహిర్గతం చేసింది. అది మారింది, మరియు మార్పుకు ముందు రాసిన సమాధానాలు ఇప్పటికీ తేదీని ఎవరూ తనిఖీ చేయని థ్రెడ్‌లలో ఉటంకించబడుతున్నాయి. సవరణ సన్ననిది: ప్రైవేట్ చిరునామా ఉన్న VPN గేట్‌వే ఉంది, మరియు అది ముగింపు బిందువును మారుస్తుంది, దాని చుట్టూ ఉన్న రూటింగ్ లాజిక్‌ను కాదు.

ఇవేవీ NVA ను విరమణ చేయవు. ఉపకరణమే అవసరానికి ఏకైక మార్గం అనే ఊహను విరమణ చేస్తుంది.

రెండు స్థాయిలలో ప్రైవేట్ ముగింపు బిందువును ప్రారంభించండి

VPN గేట్‌వే ఉన్న VNet కు లింక్ చేయబడిన పని చేసే ExpressRoute ప్రైవేట్ peering కనెక్షన్ నుండి ప్రారంభించండి. ఆన్-ప్రెమైస్ వైపు ఇప్పటికే ఆ సర్క్యూట్ ద్వారా సంబంధిత ప్రైవేట్ చిరునామాలను చేరుకోవాలి, ఎందుకంటే సొరంగం ఆ చిరునామాలను రవాణాగా ఉపయోగిస్తుంది. తర్వాత గేట్‌వే ముందస్తు షరతు: ప్రైవేట్-IP VPN కోసం Microsoft విధానానికి Standard పబ్లిక్ IP వనరుపై నిర్మించిన గేట్‌వే అవసరం. ప్రైవేట్ సొరంగ చిరునామా ఆ షరతును తొలగించదు, ఇది „ప్రైవేట్“ అంటే „ఎక్కడా పబ్లిక్ IP లేదు“ అని భావించేవారిని ఆశ్చర్యపరుస్తుంది.

ఇప్పుడు రెండు ప్రదేశాలలో జెండాను ప్రారంభించండి. గేట్‌వే కాన్ఫిగరేషన్‌కు ప్రైవేట్ IP ల కోసం దాని స్వంత స్విచ్ ఉంది, మరియు వ్యక్తిగత Site-to-Site కనెక్షన్‌కు ఆ కనెక్షన్‌ను ప్రైవేట్ చిరునామా ఉపయోగించేలా చేసే రెండవది ఉంది. ఒకటి సెట్ చేసి మరొకటి చేయకపోవడం అత్యంత సాధారణ అసంపూర్ణ కాన్ఫిగరేషన్; సొరంగం గాని ఏర్పడదు లేదా తప్పు ముగింపు బిందువుకు ఏర్పడుతుంది.

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

మీరు ఇన్‌స్టాల్ చేసిన CLI వెర్షన్‌కు వ్యతిరేకంగా ప్రాపర్టీ పేర్లను ధృవీకరించండి, ఎందుకంటే పోర్టల్ లేబుల్‌లు మరియు CLI ప్రాపర్టీలు ఎల్లప్పుడూ ఒకే పదజాలాన్ని పంచుకోవు. యాక్టివ్-యాక్టివ్ గేట్‌వే రెండు ప్రైవేట్ సొరంగ చిరునామాలను బహిర్గతం చేస్తుంది, మరియు ఆ రిడండెన్సీ అర్థవంతం కావాలంటే ఆన్-ప్రెమైస్ పరికరంలో రెండు పీర్‌లు కాన్ఫిగర్ చేయబడాలి. ఈ ప్రైవేట్ చిరునామా సొరంగాన్ని పైకి లేపడానికి మాత్రమే BGP అవసరం లేదు, అయినప్పటికీ ఇది సాధారణంగా ప్రిఫిక్స్‌లను పంపిణీ చేసే విధానంలో భాగం.

రెండవ అపోహ: ఏర్పడిన సొరంగం మీ ట్రాఫిక్‌ను ఎన్‌క్రిప్ట్ చేస్తుంది

ఇప్పుడు అప్లికేషన్ నెట్‌వర్క్‌కు రెండు మార్గాలు చేరుతాయి: నేరుగా ప్రైవేట్ peering మార్గం మరియు VPN ద్వారా మార్గం. రెండూ పని చేస్తాయి. ఈ IPsec పొరను వర్తింపజేసేది ఒకటి మాత్రమే. ఒకే ప్రిఫిక్స్‌లు ExpressRoute మరియు VPN రెండింటిపై ప్రకటించబడినప్పుడు Azure నేరుగా ExpressRoute మార్గానికి ప్రాధాన్యం ఇస్తుందని Microsoft డాక్యుమెంట్ చేస్తుంది, కాబట్టి ఆరోగ్యకరమైన సొరంగం మరియు ఆరోగ్యకరమైన కౌంటర్లు అప్లికేషన్ ప్యాకెట్లు ఎక్కడికి వెళ్ళాయో ఏమీ నిరూపించవు.

డాక్యుమెంట్ చేసిన స్టీరింగ్ పద్ధతులు ExpressRoute పై కవర్ చేసే పరిధి మరియు VPN పై మరింత నిర్దిష్ట రక్షిత పరిధి, లేదా రెండు మార్గాలపై వేర్వేరు ప్రిఫిక్స్‌లు. ఉదాహరణకు, ప్రైవేట్ peering 10.40.0.0/16 ను తీసుకువెళ్ళగలదు మరియు VPN 10.40.12.0/24 ప్రకటిస్తుంది. మరింత నిర్దిష్ట ప్రిఫిక్స్ గెలుస్తుంది మరియు పరిధిలో మిగిలినది నేరుగానే ఉంటుంది.

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

ఆన్-ప్రెమైస్ దిశలో కూడా అదే తనిఖీ చేయండి, ఎందుకంటే బయటకు వెళ్ళే ట్రాఫిక్ ఏ వైపు నుండి బయటకు వెళ్తుందో మీ రౌటర్ ప్రాధాన్యం నిర్ణయిస్తుంది. మరియు సొరంగం యొక్క స్వంత రవాణాను ExpressRoute మార్గంలో ఉంచండి; గేట్‌వే ప్రైవేట్ ముగింపు బిందువును సొరంగంలోకి లాగే మార్గం సొరంగాన్ని తనపైనే ఆధారపడేలా చేస్తుంది.

సొరంగం పడిపోతే ఏమి జరుగుతుందో నిర్ణయించండి

సొరంగం పడిపోతే మరింత నిర్దిష్ట VPN మార్గం అదృశ్యమవుతుంది, విస్తృత నేరుగా మార్గం మిగిలి ఉంటుంది. అప్పుడు ట్రాఫిక్ ఎన్‌క్రిప్షన్ లేకుండా ప్రవహిస్తుంది మరియు అన్నీ ఆరోగ్యకరంగా కనిపిస్తాయి, ఇది ఎన్‌క్రిప్షన్‌ను హామీ ఇవ్వడానికి ఉన్న అవసరానికి అత్యంత చెడ్డ వైఫల్య పద్ధతి. అవసరం ఆ ఫాల్‌బ్యాక్‌ను నిషేధిస్తే, రూటింగ్ మరియు యాక్సెస్ విధానం సొరంగం అందుబాటుపై ఆధారపడకుండా దాన్ని స్పష్టంగా చెప్పాలి.

ఏ ప్రిఫిక్స్‌లు నేరుగా చేరుకోగలిగేవిగా ఉండవచ్చు మరియు ఏవి ఎన్‌క్రిప్ట్ చేసిన మార్గం లేనప్పుడు ఆగాలి అని రాయండి. తర్వాత అనుమతించిన సందర్భాన్ని నిజమైన ట్రాఫిక్‌తో పరీక్షించి కనెక్షన్ కౌంటర్లను పోల్చండి, ఎందుకంటే రూట్ పట్టిక మాత్రమే ఎన్‌క్రిప్షన్ అవసరం ఇంకా వర్తిస్తుందో లేదో చెప్పదు.

ఆ ఫ్రేమ్‌వర్క్ NVA ను దాని వాస్తవ లక్షణాల ఆధారంగా మూల్యాంకనం చేయడానికి కూడా అనుమతిస్తుంది, అనేక సొరంగాలు, థ్రూపుట్ లేదా విక్రేత తనిఖీ వంటివి, ముగింపు బిందువు ప్రైవేట్ కాబట్టి ఒకటి కొనడానికి బదులుగా.