Dalawang lokal na address ng VPN: dalawang Azure peer, hindi isa

Ang diagram ay may dalawang link ng internet sa sangay at isang Azure VPN gateway, kaya ang gateway ng lokal na network ay tumatanggap ng dalawang pampublikong address. Mukhang maayos ito, at hindi ito gumagana ayon sa ipinahihiwatig ng diagram. Ang bawat lokal na VPN device ay isang hiwalay na ugnayang peer, at ang disenyo ng Microsoft para sa maraming device ay nagbibigay sa bawat isa ng sarili nitong resource ng gateway ng lokal na network at sarili nitong koneksyon. Ang pagdaragdag ng pangalawang address sa isang resource ay hindi lumilikha ng pangalawang peer. Lumilikha ito ng resource na hindi wastong naglalarawan sa alinman sa dalawang device.

Ang mito: isang gateway, dalawang address

Ang gateway ng lokal na network ay paglalarawan ng isang malayong peer: isang pampublikong endpoint at ang mga pribadong prefix sa likod nito. Walang sinusuportahang paraan upang gawing «alinman sa dalawang kagamitang ito» ang kahulugan ng resource na iyon.

Ang parehong pagkalito ay nasa kabilang direksyon, kung saan ang dalawang pampublikong IP ng Azure ay binabasa bilang patunay na may dalawang Azure gateway.

Bilangin ang mga object, pagkatapos ang mga tunnel

Kumuha ng dalawang lokal na device na pinapatakbo nang hiwalay, bawat isa ay may sariling pampublikong address at access sa parehong pribadong network, kasama ang isang Azure gateway na batay sa ruta sa aktibo-aktibong mode. Ang Azure gateway ay may dalawang aktibong instance na may magkahiwalay na pampublikong IP. Ang bawat lokal na device ay kumokonekta sa dalawang instance. Iyon ang buong mesh, at ang bilang ng object ay nagmumula rito, hindi sa diagram.

Ang aritmetika ay sapat na maikli upang i-paste sa dokumento ng disenyo:

2 on-premises VPN devices
2 local network gateway resources
2 connection resources
4 IPsec tunnels in the complete 2 x 2 mesh

Ang isang resource ng koneksyon ay maaaring magdala ng higit sa isang pinagbabatayang tunnel, kaya ang apat na tunnel ay hindi nangangahulugang apat na virtual network gateway. Ang dalawang pampublikong IP ng Azure ay hindi rin parehong object tulad ng dalawang gateway ng lokal na network na naglalarawan sa malayong site.

Ano ang idinadagdag ng aktibo-aktibo sa panig ng Azure

Binabago ng aktibo-aktibo ang Azure gateway mula sa isang aktibong instance tungo sa dalawa, bawat isa ay may sariling pampublikong IP, at ito ang nagpapangyari sa isang buong mesh. Hindi nito ginagawang doble ang throughput ng isang daloy. Hindi rin nito inaalis ang pangangailangan ng lokal na panig na suportahan ang multipath na may pantay na gastos kung parehong nagpapadala ang dalawang device. Kumpirmahin ang mode ng gateway, SKU at kakayahan ng malayong device bago maglaan ng anuman.

Ang gateway sa passive standby ay ganap na wastong disenyo; nagbibigay lamang ito ng ibang bilang ng tunnel.

Ginagawang magagamit ng BGP ang parehong landas

Para sa disenyo ng maraming device, ang parehong lokal na device ay nagpapatakbo ng BGP. Bigyan ang bawat isa ng natatanging BGP peer address at i-anunsyo ang parehong inilaan na pribadong prefix sa mga kaugnay na landas. Tinutukoy ng mga pribadong prefix ang mga protektadong network, habang tinutukoy ng mga pampublikong address kung saan nagtatapos ang mga naka-encrypt na koneksyon ng carrier. Ang paghahalo ng dalawa ay gumagawa ng disenyo kung saan nakataas ang bawat tunnel at mali ang mga ruta.

Planuhin ang pagruruta ng pagbabalik at anumang stateful na inspeksyon na dapat tumanggap sa alinman sa dalawang landas. Ang malusog na IKE session sa bawat endpoint ay hindi nagpapatunay na magagamit ng isang workload ang bawat inanunsyong ruta.

Ang pagpiling batay sa daloy ay hindi pag-iipon ng bandwidth

Pumipili ang Azure ng landas bawat daloy gamit ang hash sa addressing at port ng daloy. Sa steady state, ang mga packet ng isang partikular na TCP o UDP flow ay karaniwang dumadaan sa parehong tunnel, at ang lokal na panig ay maaaring pumili ng ibang tunnel para sa direksyon ng pagbabalik. Kaya pinapabuti ng dalawang device at apat na tunnel ang availability, hindi ang bilis ng isang paglilipat. Kapag nangangako ang slide ng vendor ng aggregation, inilalarawan nito ang ibang feature o isang maling akala.

Subukan gamit ang magkatulad na daloy kung gusto mong makita ang pagkalat ng mga landas, at gamit ang isang daloy kung gusto mong makita ang limitasyon.

Anong redundancy ang aktwal na inalis mo

Dalawang WAN address sa isang kagamitan ay nagpapabuti sa mga opsyon ng access link habang ibinabahagi ang kuryente, software at failure state ng kagamitang iyon. Hindi sila katulad ng dalawang device, at walang configuration sa panig ng Azure ang makakabago niyon. Sundin ang dual-WAN o cluster na disenyong sinusuportahan ng vendor sa halip na maghinuha ng redundancy mula sa bilang ng address. Pagkatapos ay subukan: alisin ang isang landas sa isang pagkakataon at kumpirmahin ang natitirang ruta kasama ang tunay na pagpapalitan ng application sa parehong direksyon.

Asahan ang mga pagkaantala sa pagtuklas at convergence, at asahan na ang ilang umiiral na session ay magtatapos.