Noktadan-site neden rota tabanlı bir Azure VPN ağ geçidi gerektirir

İlke tabanlı bir ağ geçidi, trafik seçicileri tarafından seçilen bir IPsec tüneli kurar ve istemci rotalarını teslim edecek bir arabirimi yoktur. Noktadan-site bağlantısı bir yönlendirme özelliğidir: ağ geçidi bir istemci adres havuzuna sahiptir ve sanal ağda bu istemcilere rotalar yükler. Portalın onu eklemek için hiçbir seçenek göstermemesinin nedeni tam olarak bu uyumsuzluktur. Mevcut ağ geçidinde arabirimi oluşturacak hiçbir şey değiştirilemez, bu nedenle değişiklik bir yapılandırma düzenlemesi değil, bir değiştirmedir.

Sıra, tek tek adımlardan daha önemlidir. Dizilim yanlış olursa siteler arası kesinti bakım penceresini aşar.

İlke tabanlı bir ağ geçidi gerçekte ne yapar

İlke tabanlı bir ağ geçidi paketleri bağlantıda yapılandırılan trafik seçicileriyle eşleştirir ve eşleşmeleri tek bir tünele gönderir. Adresi olan bir tünel arabirimi yoktur ve sanal ağın hiçbir yerinde istemci başına rota görünmez. Rota tablosu yalnızca ağ geçidine işaret eden yerel önekleri alır. Bu model, iki sabit adres alanı arasındaki siteler arası bağlantı için yeterlidir.

Rota tabanlı bir ağ geçidi tersini yapar: bir tünel arabirimi sunar ve içine neyin gireceğine rotalar karar verir. Noktadan-site ve eş kümesi değişen her tasarım, o arabirimin varlığına bağlıdır.

İstemci havuzu neden o arabirime ihtiyaç duyar

Bir dizüstü bilgisayar bağlandığında ağ geçidi ona noktadan-site havuzundan bir adres atar. Ardından sanal ağın bu adresin ağ geçidi üzerinden erişilebilir olduğunu söyleyen bir rotaya ihtiyacı vardır. Tünel arabirimi olmadan o rotayı bağlayacak bir şey yoktur.

Havuz, sizin belirlediğiniz bir aralıktan gelir ve ağ geçidi oradan dağıtır. O aralık yerel ağ veya eşlenmiş bir sanal ağ ile çakışırsa, çakışma ancak bir istemci bağlandıktan sonra ortaya çıkar ki bu onu keşfetmek için kötü bir zamandır. Havuzu geçiş başlamadan önce ayırın.

Tür de bağlantı başına bir ayar değildir. Bir ağ geçidinin tek bir türü vardır ve tuttuğu her bağlantı buna göre davranır, bu yüzden karma bir tasarım ikinci bir bağlantıya değil ikinci bir ağ geçidine ihtiyaç duyar.

Tür oluşturma sırasında sabitlenir

Microsoft, bir sanal ağ geçidinin dağıtımdan sonra ilke tabanlı ve rota tabanlı arasında değiştirilemeyeceğini belirtir. Dönüştürme komutu ve portalda anahtar yoktur. Aynı alt ağda ikinci bir ağ geçidi oluşturmak da bir çözüm değildir, çünkü Azure sanal ağ başına bir ağ geçidine izin verir. Bu nedenle geçiş, kaldır, yeniden oluştur ve yeniden bağlan demektir.

Bu, SKU kararını da aynı yapıya dahil eder. Daha sonra daha büyük bir SKU'ya geçmek, başka bir kesintiyle birlikte başka bir ağ geçidi değişimidir.

Bir ağ geçidi, bir GatewaySubnet

Ağ geçidi GatewaySubnet adlı bir alt ağda yaşar ve onu yalnızca bir ağ geçidi kaplar. O alt ağın boyutlandırılması hazırlığın parçasıdır, çünkü daha büyük bir SKU daha fazla adres gerektirir ve alt ağ sonradan küçültülemez. Herhangi bir şeye dokunmadan önce mevcut siteler arası ayarları, paylaşılan anahtarı, yerel ağ geçidini ve etkin rotaları kaydedin. Ardından pencereyi bir kesinti olarak değerlendirin, çünkü yeni bağlantı yapılandırılana kadar siteler arası tünel kapalı kalır.

Kesintiyi sınırlı tutan bir yeniden oluşturma sırası: rota tabanlı ağ geçidini oluşturun, siteler arası bağlantıyı aynı yerel ağ geçidine yeniden oluşturun, tüneli ve bir ana makineden ana makineye isteği doğrulayın ve ancak ondan sonra noktadan-site ekleyip yeni bir istemci paketi üretin.

Değiştirmenin düzeltmediği şey

İkinci sınır Azure'a değil eşe aittir. İlke tabanlı bir yerel cihaz yalnızca bağlandığı sanal ağa ulaşabilir ve aynı ağ geçidi üzerinden başka yerel ağlara veya başka sanal ağlara geçemez. Azure tarafını değiştirmek, eşin ne seçebileceğini değiştirmez.

Gereksinim gerçekten siteler arası geçiş ise, yanıt rota tabanlı bir eş cihaz veya her hedefin ayrı ayrı sonlandığı bir topolojidir. Bir tarih söz vermeden önce bunu netleştirin, çünkü yalnızca ağ geçidi değişimi bunu sağlamaz.

İşlemlerin ve denetimlerin sırası

Her yeteneği ayrı ayrı doğrulayın. Önce siteler arası tünelin durumu ve bir ana makineden ana makineye istek, sonra bir noktadan-site bağlantısı ve bir özel kaynak, sonra tasarımın iddia ettiği her geçiş yolu. Yeşil ağ geçidi durumu yalnızca güvenlik ilişkisinin kurulduğunu kanıtlar, fazlasını değil. Denetimleri bu sırada tutun ki bir arıza onu getiren aşamayı işaret etsin.

Her topoloji değişikliğinden sonra istemci paketlerini yeniden üretin ve havuzu her yerel ve eşlenmiş aralıktan uzak tutun. Kısıtlamalar ve SKU farkları Azure VPN Gateway ayarları başvurusunda toplanmıştır.