Azure NVA denetimi: yanıt neden başka bir güvenlik duvarından geçiyor

Şubeden Azure'a giden bir akış her iki yönde de doğru yönlendirilebilir ve yine de başarısız olabilir, çünkü iki yön farklı cihazlardan geçer. İstek VPN üzerinden şubeden çıkar, NVA A'ya iner ve iş yüküne ulaşır. Yanıt iş yükünden çıkar, NVA B'yi gösteren bir rota ile eşleşir ve orada ölür. O resimdeki her rota geçerlidir ve TCP oturumu hâlâ bozuktur.

Request: branch -> VPN gateway -> NVA A -> workload
Reply:   workload -> NVA B -> VPN gateway -> branch

Bu boşluk buradaki bütün konudur: yönlendirme yakınsaması ve oturum durumu sahipliği, bir diyagramda aynı görünen farklı sorunlardır.

Route Server gerçekte neyi programlar

Azure Route Server desteklenen BGP konuşucularıyla eşleşir, rotalarını öğrenir ve bunları sanal ağın etkin rotalarına programlar. Bu bir denetim düzlemi işidir. Bir satıcı güvenlik duvarının oturum tablosunu okumaz ve belirli bir bağlantıyı hangi cihazın kabul ettiğini bilmez. Eşit maliyetli iki sonraki atlama, bu kumaş için aynı öneke ulaşmanın yalnızca iki yoludur ve herhangi birini kullanır.

Bu nedenle bir rotayı öğrenmek erişilebilirliği kanıtlar. Karşı taraftaki cihazın bu akışı daha önce görüp görmediği hakkında hiçbir şey kanıtlamaz.

Tasarlamadan önce iki yönü de okuyun

Her yönde gerçekte sahip olduğunuz yönlendirmeyi yazmaya başlayın, amaçladığınızı değil. Daha belirgin BGP rotaları, kullanıcı tanımlı rotalar ve ağ geçidi davranışı hepsi yarışır ve kazanan oturum başına değil, hedef başına belirlenir. NVA'daki varsayılan rota, her özel önekin oradan geçtiği anlamına gelmez.

Yararlı bir kontrol, belirli bir iş yükü IP'si için her yönün hangi sonraki atlamaya çözüldüğünü sormaktır. Yanıt iki farklı cihazsa, ortaya çıkmış olsun olmasın bir asimetri sorununuz var.

Durum nerede yaşar

Durum bilgili bir güvenlik duvarı bir bağlantıyı kabul eder ve beşlinin anahtar olduğu bir tablo girişi tutar. Yanıt bu girişi tutan cihaza ulaşmalıdır, yoksa o cihaz durumu başka bir yoldan edinmelidir. Azure veri düzleminde hiçbir şey girişi cihazlar arasında iletmez. Ya trafik sahibine geri yönlendirilir, ya cihazlar bir satıcı mekanizmasıyla durumu paylaşır, ya da tasarım çalışmaz.

Bu nedenle iki sağlıklı NVA, denetim için bir sağlık kontrolü değildir. Sağlık erişilebilirlikle ilgilidir; denetim hangi örneğin oturumu tuttuğuyla ilgilidir.

Desteklenen HA modelleri ve her birinin vaadi

Microsoft's guidance on Virtual WAN yönlendirme niyeti konusundaki kılavuzu, çift rollü bağlantı ve güvenlik duvarı NVA'ları için sınırlı davranışı açıklar; burada doğrudan yönlendirme, hub'ın normal simetrik uygulamasını atlayabilir. Bu notları seçtiğiniz topolojiye kısıtlar olarak okuyun, etkin-etkin tasarımlara yasak olarak değil. Durumu eşitleyen veya akış başına yönlendiren bir satıcı çifti desteklenebilir. İkisini de yapmayan eşit maliyetli bir çift desteklenmez.

Ardından bir düğüm arızalandığında mevcut oturumlara ne olacağını tanımlayın. Rota yakınsaması yeni akışlar için erişilebilirliği saniyeler içinde geri kazanırken eski güvenlik duvarı durumu basitçe yok olur. İstemcinin yeniden bağlanması belgelenmiş sonuç olabilir ve bu, olaydan sonra değil önce verilecek bir karardır.

Ona güvenmeden önce ne test etmeli

Test with inspection enabled and iş yükünün erişim ilkesi yerindeyken test edin, çünkü ikisinden biri asimetriyi gizleyebilir. Her iki yönde yeni yetkili bir akış gönderin ve aynı cihazın iki yarıyı da gördüğünü doğrulayın. Ardından sürekli trafik çalıştırın ve onaylanmış yük devretmeyi tetikleyin, kurulmuş oturumların hayatta kalıp kalmadığını veya yeniden bağlanıp bağlanmadığını izleyin.

Her akışı onu işleyen cihazla ilişkilendirin. Tek bir NVA'daki paket yakalama, yanıt oraya hiç dönmediyse neredeyse hiçbir şey söylemez.

Son olarak planı üç ayrı satır olarak yazın: rota sahipliği, trafik yönlendirmesi ve oturum durumu sahipliği. İlk ikisi çözülüp üçüncüsü varsayıldığında tasarımlar kırılır.