Inspeksyon ng NVA sa Azure: bakit dumadaan ang tugon sa ibang firewall

Ang daloy mula sa sangay patungong Azure ay maaaring ma-route nang tama sa dalawang direksyon at mabigo pa rin, dahil ang dalawang direksyon ay dumadaan sa magkaibang aparato. Umaalis ang kahilingan sa sangay sa VPN, lumalapag sa NVA A at nakakarating sa workload. Umaalis ang tugon sa workload, tumutugma sa rutang tumuturo sa NVA B at namamatay doon. Bawat ruta sa larawang iyon ay wasto, at bitak pa rin ang sesyong TCP.

Request: branch -> VPN gateway -> NVA A -> workload
Reply:   workload -> NVA B -> VPN gateway -> branch

Ang puwang na iyon ang buong paksa rito: ang convergence ng routing at pagmamay-ari ng estado ng sesyon ay magkaibang problema na magkamukha sa isang diagram.

Ano ang talagang ipinoprograma ng Route Server

Nakikipag-peer ang Azure Route Server sa mga suportadong BGP speaker, natututo ng kanilang mga ruta at ipinoprograma ang mga iyon sa epektibong ruta ng virtual network. Trabaho iyon ng control plane. Hindi nito binabasa ang talahanayan ng sesyon ng firewall ng vendor, at hindi nito alam kung aling aparato ang tumanggap ng isang partikular na koneksyon. Ang dalawang susunod na hop na pantay ang gastos ay, para sa tela na ito, dalawang paraan lamang upang maabot ang parehong prefix, at gagamitin nito ang alinman.

Kaya ang pagkatuto ng ruta ay nagpapatunay ng maabot. Wala itong pinapatunayan tungkol sa kung nakita na ng aparato sa kabilang dulo ang daloy na ito noon.

Basahin ang dalawang direksyon bago magdisenyo

Magsimula sa pagsulat ng steering na talagang mayroon ka sa bawat direksyon, hindi ang nilayon mo. Ang mas partikular na BGP ruta, mga rutang tinukoy ng user at pag-uugali ng gateway ay lahat nagkakumpitensya, at ang panalo ay pinagpapasyahan kada destinasyon, hindi kada sesyon. Ang default na ruta sa NVA ay hindi nangangahulugang dadaan dito ang bawat pribadong prefix.

Ang kapaki-pakinabang na pagsusuri ay magtanong, para sa isang partikular na IP ng workload, kung aling susunod na hop nagreresolba ang bawat direksyon. Kung ang sagot ay dalawang magkaibang aparato, mayroon kang problema sa asimetriya maging lumitaw na ito o hindi.

Saan nakatira ang estado

Ang stateful firewall ay tumatanggap ng koneksyon at nagtatago ng entry sa talahanayan na naka-key sa five-tuple. Dapat maabot ng tugon ang aparatong may hawak ng entry, o kailangang makuha ng aparatong iyon ang estado sa ibang paraan. Wala sa data plane ng Azure ang nagpapasa ng entry sa pagitan ng mga aparato. Alinman sa itinuturo pabalik ang trapiko sa may-ari, o nagbabahagi ang mga aparato ng estado sa pamamagitan ng mekanismo ng vendor, o hindi gumagana ang disenyo.

Kaya ang dalawang malusog na NVA ay hindi health check para sa inspeksyon. Ang kalusugan ay tungkol sa maabot; ang inspeksyon ay tungkol sa kung aling instance ang may hawak ng sesyon.

Mga suportadong HA model at kung ano ang ipinangangako ng bawat isa

Microsoft's guidance on intent ng routing ng Virtual WAN ay naglalarawan ng limitadong pag-uugali para sa dual-role connectivity at firewall NVA, kung saan ang direktang routing ay maaaring lumampas sa normal na simetriko pagpapatupad ng hub. Basahin ang mga tala na iyon bilang mga hadlang sa topology na pinili mo, hindi bilang pagbabawal sa active-active na disenyo. Ang pares ng vendor na nagsi-sync ng estado, o nagtuturo kada daloy, ay maaaring suportahan. Ang pares na pantay ang gastos na wala sa dalawa ay hindi.

Pagkatapos ay tukuyin kung ano ang nangyayari sa mga umiiral na sesyon kapag nabigo ang isang node. Ang convergence ng ruta ay nagbabalik ng maabot para sa mga bagong daloy sa loob ng ilang segundo, habang ang lumang estado ng firewall ay nawala na lang. Ang muling pagkonekta ng kliyente ay maaaring ang dokumentadong resulta, at iyon ay desisyong ginagawa bago ang insidente, hindi habang nangyayari.

Ano ang dapat subukan bago ito pagkatiwalaan

Test with inspection enabled and ang access policy ng workload ay nasa lugar, dahil alinman sa dalawa ay maaaring magtago ng asimetriya. Magpadala ng bagong awtorisadong daloy sa dalawang direksyon at kumpirmahin na nakita ng parehong aparato ang dalawang kalahati. Pagkatapos ay magpatakbo ng tuloy-tuloy na trapiko at i-trigger ang aprubadong failover, pinapanood kung ang mga naitatag na sesyon ay nabubuhay o muling kumokonekta.

I-ugnay ang bawat daloy sa aparatong humawak nito. Ang packet capture sa isang NVA ay halos walang sinasabi kung ang tugon ay hindi kailanman bumalik doon.

Sa huli, isulat ang plano bilang tatlong hiwalay na linya: pagmamay-ari ng ruta, steering ng trapiko at pagmamay-ari ng estado ng sesyon. Nasisira ang mga disenyo kapag ang unang dalawa ay nalutas at ang pangatlo ay ipinapalagay.