ที่อยู่ VPN ภายในองค์กรสองที่: เพื่อนร่วม Azure สองตัว ไม่ใช่หนึ่ง

ไดอะแกรมมีลิงก์อินเทอร์เน็ตสองลิงก์ที่สาขาและเกตเวย์ VPN ของ Azure หนึ่งตัว ดังนั้นเกตเวย์เครือข่ายภายในจึงได้รับที่อยู่สาธารณะทั้งสองที่ ดูเรียบร้อยและไม่ทำงานตามที่ไดอะแกรมบอกเป็นนัย อุปกรณ์ VPN ภายในแต่ละเครื่องเป็นความสัมพันธ์แบบเพื่อนร่วมแยกกัน และการออกแบบหลายอุปกรณ์ของ Microsoft ให้แต่ละเครื่องมีทรัพยากรเกตเวย์เครือข่ายภายในของตัวเองและการเชื่อมต่อของตัวเอง การเพิ่มที่อยู่ที่สองในทรัพยากรเดียวไม่ได้สร้างเพื่อนร่วมตัวที่สอง แต่สร้างทรัพยากรที่ไม่สามารถอธิบายอุปกรณ์ทั้งสองได้อย่างถูกต้อง

ตำนาน: เกตเวย์หนึ่งตัว ที่อยู่สองที่

เกตเวย์เครือข่ายภายในคือคำอธิบายของเพื่อนร่วมระยะไกล: จุดสิ้นสุดสาธารณะหนึ่งจุดและคำนำหน้าแบบส่วนตัวที่อยู่เบื้องหลัง ไม่มีวิธีที่รองรับในการทำให้ทรัพยากรนั้นหมายถึง «อุปกรณ์ตัวใดตัวหนึ่งในสองตัวนี้»

ความสับสนเดียวกันนี้เกิดขึ้นในทิศทางตรงกันข้าม โดยที่อยู่ IP สาธารณะสองที่ของ Azure ถูกอ่านเป็นหลักฐานว่ามีเกตเวย์ Azure สองตัว

นับออบเจ็กต์ก่อน แล้วนับอุโมงค์

ใช้อุปกรณ์ภายในสองเครื่องที่ดำเนินการอย่างอิสระ แต่ละเครื่องมีที่อยู่สาธารณะของตัวเองและเข้าถึงเครือข่ายส่วนตัวเดียวกัน บวกกับเกตเวย์ Azure ที่อิงเส้นทางหนึ่งตัวในโหมดแอ็กทีฟ-แอ็กทีฟ เกตเวย์ Azure มีอินสแตนซ์แอ็กทีฟสองตัวที่มี IP สาธารณะแยกกัน อุปกรณ์ภายในแต่ละเครื่องเชื่อมต่อกับทั้งสองอินสแตนซ์ นี่คือเมชเต็มรูปแบบ และจำนวนออบเจ็กต์มาจากมัน ไม่ใช่จากไดอะแกรม

การคำนวณสั้นพอที่จะวางในเอกสารออกแบบ:

2 on-premises VPN devices
2 local network gateway resources
2 connection resources
4 IPsec tunnels in the complete 2 x 2 mesh

ทรัพยากรการเชื่อมต่อหนึ่งรายการสามารถบรรทุกอุโมงค์พื้นฐานได้มากกว่าหนึ่งอุโมงค์ ดังนั้นสี่อุโมงค์ไม่ได้หมายถึงเกตเวย์เครือข่ายเสมือนสี่ตัว ที่อยู่ IP สาธารณะสองที่ของ Azure ก็ไม่ใช่ออบเจ็กต์เดียวกับเกตเวย์เครือข่ายภายในสองตัวที่อธิบายไซต์ระยะไกล

โหมดแอ็กทีฟ-แอ็กทีฟเพิ่มอะไรในฝั่ง Azure

โหมดแอ็กทีฟ-แอ็กทีฟเปลี่ยนเกตเวย์ Azure จากอินสแตนซ์แอ็กทีฟหนึ่งตัวเป็นสองตัว แต่ละตัวมี IP สาธารณะของตัวเอง และนั่นคือสิ่งที่ทำให้เมชเต็มรูปแบบเป็นไปได้ตั้งแต่แรก มันไม่ได้เพิ่มปริมาณงานของโฟลว์เดียวเป็นสองเท่า และไม่ได้ขจัดความจำเป็นที่ฝั่งภายในต้องรองรับหลายเส้นทางที่มีต้นทุนเท่ากันหากอุปกรณ์ทั้งสองส่งต่อพร้อมกัน ยืนยันโหมดเกตเวย์ SKU และความสามารถของอุปกรณ์ระยะไกลก่อนจัดเตรียมสิ่งใด

เกตเวย์ในโหมดสแตนด์บายแบบพาสซีฟเป็นการออกแบบที่ถูกต้องสมบูรณ์ เพียงแต่ให้จำนวนอุโมงค์ที่แตกต่างกัน

BGP ทำให้ทั้งสองเส้นทางใช้งานได้

สำหรับการออกแบบหลายอุปกรณ์ อุปกรณ์ภายในทั้งสองเครื่องรัน BGP ให้แต่ละเครื่องมีที่อยู่เพื่อนร่วม BGP ที่ไม่ซ้ำกันและประกาศคำนำหน้าแบบส่วนตัวที่ตั้งใจไว้เดียวกันผ่านเส้นทางที่เกี่ยวข้อง คำนำหน้าแบบส่วนตัวระบุเครือข่ายที่ได้รับการป้องกัน ขณะที่ที่อยู่สาธารณะระบุว่าการเชื่อมต่อผู้ให้บริการที่เข้ารหัสสิ้นสุดที่ใด การสับสนระหว่างสองสิ่งนี้ทำให้เกิดการออกแบบที่อุโมงค์ทั้งหมดทำงานแต่เส้นทางผิด

วางแผนการกำหนดเส้นทางขากลับและการตรวจสอบสถานะใด ๆ ที่ต้องทนต่อเส้นทางใดเส้นทางหนึ่งจากสองเส้นทาง เซสชัน IKE ที่แข็งแรงบนจุดสิ้นสุดแต่ละจุดไม่ได้พิสูจน์ว่าภาระงานสามารถใช้ทุกเส้นทางที่ประกาศ

การเลือกตามโฟลว์ไม่ใช่การรวมแบนด์วิดท์

Azure เลือกเส้นทางต่อโฟลว์โดยใช้แฮชบนที่อยู่และพอร์ตของโฟลว์ ในสภาวะคงที่ แพ็กเก็ตของโฟลว์ TCP หรือ UDP ที่กำหนดมักใช้เส้นทางเดิม และฝั่งภายในอาจเลือกอุโมงค์อื่นสำหรับทิศทางขากลับ ดังนั้นอุปกรณ์สองเครื่องและอุโมงค์สี่อุโมงค์จึงปรับปรุงความพร้อมใช้งาน ไม่ใช่ความเร็วของการถ่ายโอนหนึ่งครั้ง เมื่อสไลด์ของผู้ขายสัญญาว่าจะรวมแบนด์วิดท์ มันกำลังอธิบายคุณสมบัติอื่นหรือความเข้าใจผิด

ทดสอบด้วยโฟลว์แบบขนานหากต้องการดูเส้นทางกระจาย และด้วยโฟลว์เดียวหากต้องการดูขีดจำกัด

คุณลบความซ้ำซ้อนใดออกจริง ๆ

ที่อยู่ WAN สองที่บนอุปกรณ์หนึ่งเครื่องปรับปรุงตัวเลือกของลิงก์การเข้าถึง แต่ใช้พลังงาน ซอฟต์แวร์ และสถานะความล้มเหลวของอุปกรณ์นั้นร่วมกัน พวกมันไม่เหมือนกับอุปกรณ์สองเครื่อง และการกำหนดค่าใด ๆ ฝั่ง Azure ก็ไม่เปลี่ยนสิ่งนั้น ปฏิบัติตามการออกแบบ dual-WAN หรือคลัสเตอร์ที่ผู้ขายรองรับแทนการอนุมานความซ้ำซ้อนจากจำนวนที่อยู่ จากนั้นทดสอบ: ถอดเส้นทางทีละเส้นและยืนยันเส้นทางที่เหลือพร้อมการแลกเปลี่ยนแอปพลิเคชันจริงในทั้งสองทิศทาง

คาดว่าจะมีความล่าช้าในการตรวจจับและการลู่เข้า และคาดว่าเซสชันที่มีอยู่บางส่วนจะสิ้นสุดลง