ExpressRoute at VPN: aling mga domain ng pagpalya ang saklaw mo?
Ang ikalawang IPsec tunnel ay sumasaklaw sa isang endpoint, hindi sa circuit sa ilalim nito. Imapa ang bawat domain ng pagpalya, pagkatapos ay magpasya kung pinapayagan ang walang encryption na alternatibong ruta.
Ang IPsec tunnel na tumatakbo sa ibabaw ng private peering ng ExpressRoute ay nagdaragdag ng encryption sa isang transport na mayroon na. Ang ikalawang tunnel ay nagpapabuti sa availability ng endpoint, at wala itong ginagawa para sa ruta ng carrier sa ilalim ng dalawa. Madaling mawala ang pagkakaibang iyon kapag ang mga dashboard ay nagpapakita ng dalawang berdeng tunnel at ang pagsusuri ng disenyo ay nagtatanong ng ibang bagay: aling mga pagpalya ang dapat lampasan ng koneksyong ito? Sagutin muna iyon, pagkatapos ay bilangin ang mga tunnel, dahil ang bilang ng berdeng indicator ay katangian ng layer ng encryption at ang bilang ng mga domain ng pagpalya ay katangian ng buong ruta.
Magsimula sa mga pagpalya, hindi sa berdeng tunnel
Sumulat ng apat na linya bago gumuhit ng kahit ano: isang VPN endpoint o isang peer instance na pumapalya, isang lokal na router o first-mile na koneksyon na pumapalya, ang pinagsasaluhang ExpressRoute route na pumapalya, at ang IPsec na hindi available habang ang private peering ay nagdadala pa ng trapiko. Pinangalanan ng bawat linya ang dapat pangalagaan ng disenyo, at bawat isa ay sinasagot ng ibang mekanismo.
| Failure | What must survive | What does not cover it |
|---|---|---|
| One VPN endpoint or instance | An alternate encryption endpoint and a route to it | A second tunnel terminating on the same instance |
| One local router or first mile | Independent local equipment and transport reachability | Any number of logical tunnels |
| The ExpressRoute path | A separately designed surviving underlay | An IPsec tunnel layered on the same circuit |
| IPsec unavailable, peering up | The intended encrypted-only or approved fallback policy | Assuming the tunnel is the only route |
Dinodokumento ng Microsoft ang site-to-site VPN na may private IP sa private peering ng ExpressRoute, at ang sinusuportahang pakikipamuhay sa mga site-to-site na koneksyon na nakabatay sa internet. Ang pakikipamuhay na iyon ay ibang disenyo ng ilalim na layer, at hindi ito lumilitaw dahil lamang dinagdag mo ang isa pang private tunnel endpoint.
Domain ng pagpalya 1: ang VPN endpoint
Ang dalawang tunnel sa isang gateway ay karaniwang active-active na pares na nagtatapos sa parehong resource sa panig ng Azure. Pinoprotektahan nila laban sa problema ng isang tunnel o isang instance, at hindi nila pinoprotektahan laban sa pagiging hindi available, muling pagkakaayos o pagkaubos ng kapasidad ng resource na iyon. Ang redundancy ng endpoint ay nangangahulugan ng ikalawang sinusuportahang endpoint, na may sariling ruta at sariling configuration, kasama ang isang ruta na makakaabot doon.
Suriin kung ano ang talagang na-deploy mo at hindi kung ano ang sinasabi ng diagram, dahil ginugrupo ng portal ang mga resource na ito sa mga paraang nagtatago ng kanilang kaugnayan:
az network vpn-connection show -g rg-connectivity -n vpn-to-hub --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'Kung ang dalawang tunnel ay tumuturo sa isang gateway na may isang public IP, mayroon kang redundancy ng endpoint na tiyak at limitadong uri. Maaaring iyon ang eksaktong hinihingi ng requirement, at dapat sabihin nang ganoon sa halip na ilarawan bilang redundant na koneksyon.
Domain ng pagpalya 2: ang lokal na ruta at ang carrier
Sa ilalim ng encryption may pisikal at komersyal na realidad: isang customer edge device, isang cross-connect, isang network ng provider at isang lokasyon ng peering. ang gabay sa availability ng ExpressRoute ay malinaw na ang redundancy mula dulo hanggang dulo ay kasama ang mga segment ng customer at service provider, hindi lamang ang panig ng Microsoft. Dalawang lohikal na ruta na nagbabahagi ng router, power feed o first-mile na koneksyon ay nagbabahagi pa rin ng dependency na iyon.
Dito karaniwang bumabagsak ang isang disenyo sa tapat na pagsusuri. Dalawang circuit mula sa parehong provider, na nagtatapos sa parehong gusali, sa kagamitan mula sa parehong purchase order, ay hindi dalawang domain ng pagpalya. Sila ay isang domain ng pagpalya na may dalawang invoice.
Itanong sa carrier nang nakasulat: alin sa mga rutang ito ang naghihiwalay, saan, at ano ang dokumentadong pag-uugali kapag pumalya ang pinagsasaluhang segment? Ang pasalitang assurance sa isang design call ay hindi nakakalampas sa outage na dinisenyo mo.
Domain ng pagpalya 3: ang rutang nakakalampas nang walang IPsec
Ang private peering at IPsec ay maaaring mag-alok ng magkaribal na ruta patungo sa parehong application prefix. Kung mawala ang protektadong ruta, ang natitirang direktang ExpressRoute route ay maaaring magamit pa rin, nang walang layer ng encryption na ibinigay ng tunnel. Kung katanggap-tanggap iyon ay desisyon sa patakaran, at iyon ang desisyong madalas iwanang implicit.
Ang mga kinakailangan sa encryption at mga kinakailangan sa availability ay maaaring tunay na magbanggaan dito. «Anumang natitirang ruta ay itinuturing na tagumpay» ay isang pahayag tungkol sa availability na tahimik na sinasagot ang tanong ng encryption ng «hindi». Isulat kung alin ang nananalo, para sa aling mga prefix, at sino ang nag-apruba.
az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o tableIhambing ang mga natutunang ruta sa mga prefix na inaasahan mo. Ang alternatibong ruta na nagdadala ng maliit na administratibong karga ay maaaring ganap na sapat para sa kargang iyon at malayo sa kapasidad na kailangan ng production demand, kaya itala ang assumption ng kapasidad sa tabi ng ruta.
Itala ang tatlong magkakahiwalay na linya, hindi isang hatol
Panatilihin ang redundancy ng endpoint, redundancy ng transport at disaster recovery bilang magkakahiwalay na entry sa design record, bawat isa ay may sariling mekanismo, sariling verification at sariling may-ari. Kapag ang isang incident review ay nagtanong kung bakit nakalampas ang koneksyon sa gateway restart ngunit hindi sa fiber cut, tatlong linya ang sumasagot sa isang pangungusap; isang solong «redundant» na checkbox ay hindi kaya.
Pagkatapos ay subukan ang mga linyang kayang subukan nang mura. Pabagsakin ang isang tunnel at kumpirmahin na gumagalaw ang trapiko at muling naka-encrypt. Bawiin ang isang ruta at kumpirmahin na ang natitirang ruta ay ang sinadya mo, pagkatapos ay kumpirmahin kung naka-encrypt pa rin ito. Idokumento ang mga pagpalyang hindi mo na-simulate, dahil ang linyang hindi nasubukan ay isang assumption at dapat markahan nang ganoon.
Ang kapaki-pakinabang na output ay isang maikling talahanayan kasama ang isang pangungusap bawat linya. Kung ang isang linya ay walang mekanismo, iyon ang natuklasan, at mas mura itong matuklasan sa isang design review kaysa sa panahon ng carrier outage na hindi malalampasan ng dalawang tunnel.