ExpressRoute плюс VPN: які домени відмов ви покриваєте?
Другий тунель IPsec покриває кінцеву точку, а не канал під нею. Складіть карту кожного домену відмови, потім вирішіть, чи допустимий резервний шлях без шифрування.
Тунель IPsec, що працює через приватний піринг ExpressRoute, додає шифрування до транспорту, який уже існує. Другий тунель підвищує доступність кінцевої точки й абсолютно нічого не робить для шляху оператора під обома. Цю різницю легко втратити, коли панелі показують два зелені тунелі, а огляд проєкту ставить інше питання: які відмови має пережити це з'єднання? Спершу дайте відповідь на нього, а потім рахуйте тунелі, бо кількість зелених індикаторів — властивість рівня шифрування, а кількість доменів відмов — властивість усього шляху.
Почніть із відмов, а не із зелених тунелів
Напишіть чотири рядки, перш ніж щось малювати: відмова однієї кінцевої точки VPN або одного екземпляра піра, відмова одного локального маршрутизатора або з'єднання першої милі, відмова спільного шляху ExpressRoute і недоступність IPsec, поки приватний піринг ще передає трафік. Кожен рядок називає те, що проєкт має зберегти, і кожному відповідає інший механізм.
| Failure | What must survive | What does not cover it |
|---|---|---|
| One VPN endpoint or instance | An alternate encryption endpoint and a route to it | A second tunnel terminating on the same instance |
| One local router or first mile | Independent local equipment and transport reachability | Any number of logical tunnels |
| The ExpressRoute path | A separately designed surviving underlay | An IPsec tunnel layered on the same circuit |
| IPsec unavailable, peering up | The intended encrypted-only or approved fallback policy | Assuming the tunnel is the only route |
Microsoft документує VPN «сайт-сайт» із приватними IP-адресами через приватний піринг ExpressRoute і підтримуване співіснування з інтернет-з'єднаннями «сайт-сайт». Це співіснування — інша схема нижнього рівня, і воно не виникає лише тому, що ви додали ще одну кінцеву точку приватного тунелю.
Домен відмови 1: кінцева точка VPN
Два тунелі на одному шлюзі зазвичай є парами active-active, що завершуються на одному й тому самому ресурсі на боці Azure. Вони захищають від проблеми одного тунелю або одного екземпляра й не захищають від того, що цей ресурс стане недоступним, буде переналаштований або вичерпає ємність. Резервування кінцевої точки означає другу підтримувану кінцеву точку з власним шляхом і власною конфігурацією плюс маршрут, здатний до неї дістатися.
Перевірте, що ви насправді розгорнули, а не те, що каже схема, бо портал групує ці ресурси так, що їхній зв'язок приховується:
az network vpn-connection show -g rg-connectivity -n vpn-to-hub --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'Якщо обидва тунелі вказують на один шлюз з однією публічною IP, у вас резервування кінцевої точки певного й обмеженого типу. Можливо, це саме те, що вимагає вимога, і так і слід формулювати, а не описувати як резервне з'єднання.
Домен відмови 2: локальний шлях і оператор
Під шифруванням лежить фізична й комерційна реальність: пристрій на боці клієнта, крос-з'єднання, мережа провайдера й точка пірингу. рекомендації щодо доступності ExpressRoute прямо вказують, що резервування від кінця до кінця охоплює сегменти клієнта й постачальника послуг, а не лише бік Microsoft. Два логічні шляхи, що спільно використовують маршрутизатор, живлення або з'єднання першої милі, усе одно поділяють цю залежність.
Саме тут проєкт зазвичай не проходить чесний огляд. Два канали від одного оператора, що завершуються в одній будівлі, на обладнанні з одного замовлення, — це не два домени відмов. Це один домен відмов із двома рахунками.
Задайте оператору питання письмово: які з цих шляхів розходяться, де і яка документована поведінка, коли спільний сегмент відмовляє? Словесне запевнення під час проєктного дзвінка не переживе аварію, для якої ви проєктуєте.
Домен відмови 3: маршрут, що зберігається без IPsec
Приватний піринг і IPsec можуть пропонувати конкуруючі маршрути до одного й того самого префікса застосунку. Якщо захищений маршрут зникає, прямий маршрут ExpressRoute, що залишився, може бути ще придатним — без рівня шифрування, який забезпечував тунель. Чи це припустимо — рішення політики, і саме його найчастіше залишають неявним.
Вимоги до шифрування й вимоги до доступності тут справді можуть конфліктувати. «Будь-який маршрут, що залишився, вважається успіхом» — це твердження про доступність, яке тихо відповідає «ні» на питання про шифрування. Запишіть, що перемагає, для яких префіксів і хто це затвердив.
az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o tableПорівняйте вивчені маршрути з префіксами, яких ви очікували. Резервний шлях, що несе невелике адміністративне навантаження, може бути цілком достатнім для цього навантаження й дуже далеким від ємності, потрібної виробничому попиту, тому запишіть припущення про ємність поруч із маршрутом.
Запишіть три окремі рядки, а не один вердикт
Тримайте резервування кінцевої точки, резервування транспорту й відновлення після катастрофи окремими записами в журналі проєкту, кожен зі своїм механізмом, своєю перевіркою й своїм власником. Коли розбір інциденту питає, чому з'єднання пережило перезапуск шлюзу, але не пережило обрив волокна, три рядки відповідають одним реченням; одна галочка «резервне» цього не може.
Потім перевірте рядки, які можна перевірити дешево. Відмовте один тунель і переконайтеся, що трафік переміщується й знову шифрується. Відкличте один маршрут і переконайтеся, що шлях, який залишився, — саме той, що ви задумали, а потім переконайтеся, чи він досі шифрується. Задокументуйте відмови, які не вдалося змоделювати, бо неперевірений рядок — це припущення, і його слід так і позначати.
Корисний результат — коротка таблиця плюс по одному реченню на рядок. Якщо в рядка немає механізму, це і є знахідка, і виявити її на огляді проєкту значно дешевше, ніж під час аварії оператора, яку обидва тунелі ніколи б не пережили.