రెండు శాఖల మధ్య ట్రాఫిక్ను Azure VPN గేట్వే ద్వారా రూట్ చేయండి
ఒకే Azure VPN గేట్వేపై రెండు సైట్-టు-సైట్ కనెక్షన్లు శాఖల ట్రాఫిక్ను దాటించగలవు, కానీ రెండు చివరలు ప్రిఫిక్స్ను నేర్చుకుని LAN రిటర్న్ మార్గం ఉన్నప్పుడే.
రెండు శాఖలు తమ మధ్య నేరుగా టన్నెల్ లేకుండా Azure VPN గేట్వే ద్వారా ట్రాఫిక్ను ఇచ్చిపుచ్చుకోగలవు. ప్రతి శాఖ అదే గేట్వేకు సైట్-టు-సైట్ కనెక్షన్ను తెరుస్తుంది, గేట్వే నేర్చుకున్న ప్రిఫిక్స్లను రెండు కనెక్షన్ల మధ్య పంపుతుంది. దీన్ని పని చేయించేది రెండో టన్నెల్ కాదు, రూట్ మార్పిడి: శాఖ A శాఖ B ప్రిఫిక్స్ను నేర్చుకోవాలి, B శాఖ A దాన్ని నేర్చుకోవాలి. క్రింది తనిఖీలను క్రమంగా చేయండి మరియు మొదట విఫలమైన తనిఖీ వద్ద ఆగండి, ఎందుకంటే ప్రతి తదుపరి దశ దానిపై ఆధారపడి ఉంటుంది.
ఏదైనా కాన్ఫిగర్ చేయడానికి ముందు అవసరాలు
ఈ డిజైన్ అసలు పని చేయగలదా లేదా అని నాలుగు షరతులు నిర్ణయిస్తాయి. గేట్వే రూట్ ఆధారితంగా ఉండాలి మరియు BGPకు మద్దతు ఇచ్చే SKUలో ఉండాలి, రెండు కనెక్షన్లలోనూ BGP ప్రారంభించబడాలి, శాఖల చిరునామా ప్రదేశాలు ఒకదానిపై మరొకటి పడకూడదు, ఏ వైపూ తన నిజమైన ప్రిఫిక్స్ను దాచడానికి NATపై ఆధారపడకూడదు.
ASNలను ఉద్దేశపూర్వకంగా ప్లాన్ చేయండి. Azure డాక్యుమెంట్ చేసిన డిఫాల్ట్ 65515, ప్రతి శాఖ రౌటర్కు గేట్వేతో లేదా మరో శాఖతో ఢీకొనని దాని స్వంత ప్రైవేట్ ASN అవసరం. ఉన్న గేట్వే కాన్ఫిగరేషన్ను తనిఖీ చేయకుండా డిఫాల్ట్ను మళ్లీ ఉపయోగించడమే తర్వాత AS మార్గం తిరస్కరించబడే విధానం.
మీరు VNet పీరింగ్ ప్రవర్తనను ఆశించడం లేదని కూడా నిర్ధారించండి. గేట్వే మీరు కాన్ఫిగర్ చేసిన రెండు కనెక్షన్ల మధ్య రూట్లను మార్పిడి చేస్తుంది; ఇది ఏకపక్ష పీరింగ్లను ట్రాన్సిటివ్గా చేయదు. మూడో నెట్వర్క్ రెండు శాఖలను చేరుకోవాలంటే, దానికి దాని స్వంత కనెక్షన్ లేదా దాని స్వంత రూట్ మార్గం అవసరం, గేట్వే ట్రాఫిక్ను పంచిపెడుతుందనే ఊహ కాదు. మొదటి మార్పు విండో ముందు ఆ సరిహద్దును రాయండి, ఎందుకంటే తర్వాత సైట్ జోడించినప్పుడు ప్రజలు తిరిగి వచ్చే డిజైన్ నిర్ణయం అదే.
ఈ క్రమంలో కాన్ఫిగర్ చేయండి
ప్రతి దశకు గమనించదగిన ఫలితం ఉంటుంది, కాబట్టి అది కనిపించే వరకు ముందుకు వెళ్లకండి.
- వర్చువల్ నెట్వర్క్ గేట్వేపై BGPను ప్రారంభించి దాని ASN మరియు పీర్ చిరునామాను గుర్తించండి.
- ప్రతి శాఖకు ఆ శాఖ నిజమైన చిరునామా ప్రదేశం, దాని ASN మరియు దాని BGP పీర్ చిరునామాలతో స్థానిక నెట్వర్క్ గేట్వేను సృష్టించండి.
- ప్రతి సైట్-టు-సైట్ కనెక్షన్ను సృష్టించి కనెక్షన్పైనే BGPను ప్రారంభించండి.
- శాఖ రౌటర్ను ఊహ ఆధారంగా గేట్వే పబ్లిక్ IKE ఎండ్పాయింట్తో కాకుండా Azure కేటాయించిన గేట్వే చిరునామాతో పీర్ చేయడానికి కాన్ఫిగర్ చేయండి.
నాలుగో దశలోనే చాలా ప్రయత్నాలు నిలిచిపోతాయి. Azure నివేదించే BGP పీర్ చిరునామానే శాఖ రౌటర్ పొరుగువాడిగా ఉపయోగించాలి, మరియు అది ప్రజలు టన్నెల్ చిత్రం నుండి ఆశించే చిరునామా ఎప్పుడూ కాదు.
శాఖ ప్రిఫిక్స్ను స్వయంగా ప్రకటించండి, ఉదాహరణకు A నుండి 10.10.0.0/16 మరియు B నుండి 10.20.0.0/16. మిస్ అయిన నిర్దిష్ట నెట్వర్క్ను కవర్ చేయడానికి డిఫాల్ట్ రూట్ లేదా విస్తృత సమూహాన్ని ప్రకటించకండి; ఖాళీ తర్వాత నిశ్శబ్ద నల్ల కుహరంగా తిరిగి వస్తుంది.
రెండు చివరలా రూట్ మార్పిడిని ధృవీకరించండి
కనెక్షన్ స్థితి తనిఖీ కాదు. రెండు కనెక్షన్లలోనూ IPsec నడుస్తున్నా వాటి మధ్య ఏ ప్రిఫిక్స్ దాటకపోవచ్చు. గేట్వే BGP పీర్లు మరియు నేర్చుకున్న రూట్లను చదివి, మరో శాఖ వైపు రూట్ ఉపయోగించదగిన మార్గంగా కనిపిస్తుందని నిర్ధారించండి.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
BGP పట్టికలో ఉన్న ప్రిఫిక్స్ కూడా స్థిర రూట్ లేదా మరింత నిర్దిష్ట ప్రిఫిక్స్కు ఫార్వార్డింగ్ నిర్ణయాన్ని కోల్పోవచ్చు. పొందిన రూట్ మాత్రమే కాదు, ఎంచుకున్న రూట్ను తనిఖీ చేయండి.
LAN వైపు రిటర్న్ మార్గాన్ని అనుసరించండి
ఇదే Azureలో సరిగ్గా కనిపించి సైట్లో విఫలమయ్యే భాగం. శాఖ Aలోని హోస్ట్ ఆ రౌటర్ దాని డిఫాల్ట్ గేట్వే అయినప్పుడు, లేదా హోస్ట్ లేదా దాని గేట్వే B ప్రిఫిక్స్కు రూట్ కలిగి ఉన్నప్పుడే తన ప్యాకెట్ను A VPN రౌటర్కు పంపుతుంది. వ్యతిరేక దిశలోనూ ఇదే నిజం కావాలి.
ప్రత్యేక కోర్ స్విచ్ LAN డిఫాల్ట్ గేట్వే అయితే, దానికి VPN రౌటర్ వైపు చూపే మరో శాఖ వైపు రూట్ అవసరం. అది లేకుండా అభ్యర్థన వస్తుంది, సమాధానం ఇంటర్నెట్ మార్గం ద్వారా బయటకు వెళ్తుంది, వినియోగదారు తెరిచి ఆపై వేలాడే కనెక్షన్ను చూస్తాడు.
దీన్ని సరిచేయడానికి గేట్వే సబ్నెట్పై నెట్వర్క్ భద్రతా సమూహం వైపు వెళ్లకండి. ఆ సబ్నెట్కు దాని స్వంత అవసరాలు ఉన్నాయి, అక్కడి NSG శాఖ వైపు విధానానికి మద్దతు ఉన్న ప్రత్యామ్నాయం కాదు. ఫిల్టరింగ్ శాఖల ఫైర్వాల్లపై మరియు పనిభారాలపైనే ఉండాలి, అక్కడ నియమాలను వాటి యజమానులు సమీక్షించగలరు. ఆ నియమాలను సబ్నెట్ NSGకు తరలించడం తదుపరి లోపాన్ని డీబగ్ చేసే బృందం నుండి కూడా వాటిని దాచుతుంది.
కార్యకలాపాన్ని అనుమతించి, తర్వాత తిరస్కరించిన పరీక్షతో నిరూపించండి
నేర్చుకున్న రూట్ అనుమతి కాదు. మీకు నిజంగా అవసరమైన మూలం, గమ్యం మరియు సేవను శాఖల ఫైర్వాల్లు మరియు ఎండ్పాయింట్ విధానం ద్వారా అనుమతించి, మిగిలినది తిరస్కరించబడినట్లే ఉంచండి.
శాఖ A సాధారణ పనిభారం నుండి శాఖ B నిజమైన సేవకు పరీక్షించి, సమాధానాన్ని నిర్ధారించి, తర్వాత నిషేధితంగా ఉండాల్సిన కార్యకలాపాన్ని ప్రయత్నించండి. VPN పరికరం స్వయంగా ఉత్పత్తి చేసే ట్రాఫిక్ వేరే మూల చిరునామాను ఉపయోగించి LAN రూటింగ్ దశను దాటవేయవచ్చు, కాబట్టి రౌటర్ నుండి విజయవంతమైన ping కనిపించే దానికంటే తక్కువ నిరూపిస్తుంది.
నాలుగు వాస్తవాలను రాసి ముగించండి: మార్పిడి చేసుకున్న ప్రిఫిక్స్లు, ఉపయోగించిన ASNలు, ప్రతి వైపు LAN రిటర్న్ మార్గం, మరియు సేవను అనుమతించే విధానం. వాటిలో ఒకటి లేకపోతే సెటప్ మొదటి మార్పు వరకు పని చేస్తుంది, తర్వాత ఎందుకు అని ఎవరూ వివరించలేరు.