Peering ng Azure o VPN mula VNet hanggang VNet? Magpasya bago ang routing

Nagbibigay ang Azure ng hindi bababa sa dalawang paraan upang ikonekta ang dalawang virtual na network, at hindi ito mapagpapalit na setting sa iisang bagay. Ang peering ay nag-uugnay sa mga VNet sa backbone ng Microsoft nang walang gateway; ang VPN mula VNet hanggang VNet ay naglalagay ng relasyong IPsec sa pagitan ng dalawang gateway na ikinakabit, sinusukat at binabantayan mo. Ang desisyon ay bumaba sa tatlong kundisyon, at kung hindi mo masagot ang tatlo bago magdagdag ng ruta, malapit ka nang bumuo ng likuang solusyon para sa modelong hindi mo kailanman pinili.

Tatlong kundisyon na nagtatakda ng modelo

Ang una ay kung may kailangan sa kahilingan ng IPsec na hangganan na pag-aari mo at maaari mong ituro. Ang pangalawa ay kung malinis ang mga espasyo ng address at ang dalawang VNet ay kailangan lamang mag-usap. Ang pangatlo ay kung sino ang may-ari ng anumang transit na landas at ng bayarin sa gateway. Sagutin sa ganoong pagkakasunod-sunod, dahil ang una ay maaaring mag-alis ng peering gaano man kaakit-akit ang pangalawa.

Ang pinagsasaluhan ng dalawang modelo ay isang matigas na tuntunin sa pag-address: hindi maaaring magsanib ang mga espasyo ng address ng VNet. Hindi ang peering ni ang VPN mula VNet hanggang VNet ay sinusuportahang paraan upang gawing walang kalabuan ang dalawang magkatulad na saklaw, at ang pagsasanib ay nangangailangan ng disenyo ng pagmamapa o muling disenyo, hindi ibang uri ng koneksyon.

Kundisyon 1: kailangan mo ba ng IPsec na hangganan na pag-aari mo?

Dinadala ng peering ang trapiko sa pribadong backbone ng Azure at hindi nangangailangan ng VPN gateway para sa peered na koneksyon mismo. Iyon ay pahayag tungkol sa transport, hindi pahayag tungkol sa encryption na maaari mong ibigay sa auditor bilang «nagpapatakbo kami ng IPsec». Kung pinangalanan ng kahilingan ang isang tunnel na na-configure ng kliyente, isang partikular na patakaran ng IKE o isang hangganan na nagtatapos sa kagamitang kinokontrol mo, hindi iyon tinutugunan ng peering, gaano man kapribado ang backbone.

Ang VPN mula VNet hanggang VNet ay nagbibigay ng hangganang iyon: dalawang gateway, relasyong IPsec/IKE, magkabahaging susi at ang buong pang-operasyon na ibabaw na kasama nito. Namamana mo ang estado ng tunnel, kapasidad ng gateway, mga limitasyon ng SKU at ang pagmamanman na nagpapatunay na buhay ang tunnel. Iyon ang tamang sagot kapag ang kahilingan ay partikular tungkol sa hangganang iyon, na inilarawan sa pangkalahatang-tanaw ng peering bilang ibang uri ng koneksyon kaysa peering.

Maging kasing-maingat sa kabilang direksyon. «Kailangan namin ng encryption sa pagitan ng VNet» ay madalas natutugunan ng sariling TLS ng workload, at kung gayon ang gateway ay gastos na walang kahilingan sa likod. Isulat ang pangungusap na babasahin ng auditor bago pumili ng mekanismo.

Kundisyon 2: direkta ba ang topolohiya, o may kailangang dumaan?

Hindi transitive ang peering. Ang dalawang VNet na peered sa isang hub ay hindi dahil doon konektado sa isa't isa, at ang rutang mukhang gumagana sa isang direksyon ay karaniwang peering na umabot sa Connected sa isang panig lamang. Dapat umiral ang dalawang panig at parehong dapat magpakita ng Connected, at iyon ang unang sinusuri mo kapag tahimik na nawala ang trapiko.

Kung ang kahilingan ay maabot ang on-premises na network sa pamamagitan ng hub, ang transit ng gateway ay hiwalay na disenyo na may tiyak na mga tungkulin: pag-aari ng hub ang gateway, pinapayagan ng peering ng spoke ang transit ng gateway, at dapat payagan ng spoke ang ipinasa na trapiko. Mga katangian ito sa peering, hindi awtomatikong resulta ng pagkonekta ng mga VNet:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

Ang epektibong talahanayan ng ruta ang tapat na sagot sa «may landas ba?». Ipinapakita nito ang uri ng susunod na hop na talagang gagamitin ng plataporma, kaya ang peering na mukhang naka-configure ngunit hindi konektado ay lumilitaw bilang nawawala o maling ruta at hindi bilang hiwaga.

Kundisyon 3: sino ang may-ari ng transit na landas at ng bayarin?

Bawat karagdagang hop ay may may-ari. Sa peering, ang bagong VNet ay nangangahulugan ng bagong pares ng peering sa magkabilang panig at, para sa transit, isang hub na patuloy na nagpapasa ng trapiko at isang talahanayan ng ruta na patuloy na tumuturo dito. Sa VPN, ang bagong VNet ay nangangahulugan ng isa pang gateway o isa pang koneksyon sa umiiral, na may sariling kisame ng kapasidad na babantayan.

Ang gastos ay sumusunod sa parehong hugis ngunit hindi sa parehong mga item: ang mga bayad sa peering ay koneksyon at paglilipat ng data, samantalang ang VPN ay nagdadagdag ng oras ng gateway at sariling bayad sa paglilipat. Ihambing ang kabuuan para sa topolohiyang talagang patatakbuhin mo sa isang taon, kasama ang ikalawang tunnel at ang pagmamanman, hindi ang presyo ng isang koneksyon ngayon. Isama ang trabahong walang sinumang nagbibigay ng invoice: may kailangang magpaikot ng mga susi, magbantay sa estado ng tunnel at sumagot sa alerto alas-tres ng madaling-araw kapag nag-restart ang gateway. Karaniwang ang item na iyon ang nagtatakda ng debate, dahil ito lamang ang hindi kailanman lumilitaw sa isang quotation.

Anuman ang piliin mo, subukan ang tatlong daloy: ang nilalayon, ang tinanggihan na dapat manatiling tinanggihan, at ang kaso ng pagbangon kung saan bumagsak ang gateway ng hub o isang peering. Ang modelong nagpapaliwanag lamang ng masayang landas ay hindi na-verify, naipakita lamang.

I-verify ang pagpili laban sa sarili nitong pahayag

Sumulat ng isang pangungusap na nagpangalan sa modelo, hangganan at may-ari, pagkatapos ay suriin na tumutugma ang na-deploy na estado. Para sa peering nangangahulugan iyon na ang dalawang estado ng peering ay Connected, ipinapakita ng epektibong ruta ang susunod na hop ng peering para sa prefix ng destinasyon, at walang gateway sa landas. Para sa VPN mula VNet hanggang VNet nangangahulugan ito na ang dalawang koneksyon ay Connected, tugma ang mga susi at patakaran sa dalawang gateway, at may rutang ang susunod na hop ay ang virtual network gateway.

Kung sumasalungat ang mga pagsusuri sa pangungusap, ayusin muna ang pangungusap. Karamihan ng kalituhan sa mga disenyong ito ay nagmumula sa hybrid na walang sinumang naglarawan: peering para sa subnet ng workload, VPN para sa isang lumang serbisyo at talahanayan ng ruta na tahimik na pinapaboran ang isa sa kanila.