ExpressRoute کے ساتھ VPN: آپ کون سے ناکامی کے ڈومینز کا احاطہ کرتے ہیں؟
دوسری IPsec سرنگ ایک اینڈ پوائنٹ کا احاطہ کرتی ہے، اس کے نیچے موجود سرکٹ کا نہیں۔ ہر ناکامی کے ڈومین کا نقشہ بنائیں، پھر فیصلہ کریں کہ بغیر انکرپشن والا متبادل راستہ جائز ہے یا نہیں۔
ExpressRoute کی نجی پیئرنگ پر چلنے والی IPsec سرنگ پہلے سے موجود ٹرانسپورٹ میں انکرپشن کا اضافہ کرتی ہے۔ دوسری سرنگ اینڈ پوائنٹ کی دستیابی بہتر کرتی ہے، اور دونوں کے نیچے موجود کیریئر راستے کے لیے وہ کچھ بھی نہیں کرتی۔ یہ فرق کھو دینا آسان ہے جب ڈیش بورڈ دو سبز سرنگیں دکھاتے ہیں اور ڈیزائن کا جائزہ کوئی اور سوال پوچھتا ہے: اس کنکشن کو کن ناکامیوں کا سامنا کرنا ہے؟ پہلے اسی کا جواب دیں، پھر سرنگوں کی گنتی کریں، کیونکہ سبز اشاروں کی تعداد انکرپشن کی تہہ کی خصوصیت ہے اور ناکامی کے ڈومینز کی تعداد پورے راستے کی خصوصیت ہے۔
سبز سرنگوں سے نہیں، ناکامیوں سے شروع کریں
کچھ بھی بنانے سے پہلے چار سطریں لکھیں: ایک VPN اینڈ پوائنٹ یا ایک پیئر انسٹینس کا ناکام ہونا، ایک مقامی راؤٹر یا پہلے میل کا کنکشن ناکام ہونا، مشترکہ ExpressRoute راستہ ناکام ہونا، اور نجی پیئرنگ کے اب بھی ٹریفک لے جانے کے دوران IPsec کا دستیاب نہ رہنا۔ ہر سطر بتاتی ہے کہ ڈیزائن کو کیا محفوظ رکھنا ہے، اور ہر ایک کا جواب مختلف طریقہ کار دیتا ہے۔
| Failure | What must survive | What does not cover it |
|---|---|---|
| One VPN endpoint or instance | An alternate encryption endpoint and a route to it | A second tunnel terminating on the same instance |
| One local router or first mile | Independent local equipment and transport reachability | Any number of logical tunnels |
| The ExpressRoute path | A separately designed surviving underlay | An IPsec tunnel layered on the same circuit |
| IPsec unavailable, peering up | The intended encrypted-only or approved fallback policy | Assuming the tunnel is the only route |
Microsoft، ExpressRoute کی نجی پیئرنگ پر نجی IP کے ساتھ سائٹ سے سائٹ VPN اور انٹرنیٹ پر مبنی سائٹ سے سائٹ کنکشنز کے ساتھ معاون ہم آہنگی کی دستاویز کرتا ہے۔ وہ ہم آہنگی ایک مختلف نچلی تہہ کا ڈیزائن ہے، اور صرف اس لیے ظاہر نہیں ہوتی کہ آپ نے ایک اور نجی سرنگ کا اینڈ پوائنٹ شامل کیا ہے۔
ناکامی کا ڈومین 1: VPN اینڈ پوائنٹ
ایک گیٹ وے پر دو سرنگیں عام طور پر active-active جوڑے ہوتے ہیں جو Azure کی اسی طرف کے وسیلے پر ختم ہوتے ہیں۔ وہ ایک سرنگ یا ایک انسٹینس کے مسئلے سے بچاتے ہیں، اور اس وسیلے کے دستیاب نہ رہنے، دوبارہ تشکیل پانے یا صلاحیت ختم ہونے سے نہیں بچاتے۔ اینڈ پوائنٹ کی زائدیت کا مطلب ہے دوسرا معاون اینڈ پوائنٹ، جس کا اپنا راستہ اور اپنی تشکیل ہے، نیز ایک راستہ جو اس تک پہنچ سکے۔
ڈایاگرام کیا کہتا ہے اس کے بجائے یہ جانچیں کہ آپ نے واقعی کیا تعینات کیا ہے، کیونکہ پورٹل ان وسائل کو اس طرح گروپ کرتا ہے جو ان کا تعلق چھپا دیتا ہے:
az network vpn-connection show -g rg-connectivity -n vpn-to-hub --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'اگر دونوں سرنگیں ایک ہی عوامی IP والے ایک گیٹ وے کی طرف اشارہ کریں، تو آپ کے پاس ایک مخصوص اور محدود قسم کی اینڈ پوائنٹ زائدیت ہے۔ یہ شاید بالکل وہی ہو جو ضرورت مانگتی ہے، اور اسے زائد کنکشن کے طور پر بیان کرنے کے بجائے اسی طرح کہا جانا چاہیے۔
ناکامی کا ڈومین 2: مقامی راستہ اور کیریئر
انکرپشن کے نیچے ایک طبعی اور تجارتی حقیقت ہے: گاہک کے کنارے کا آلہ، کراس کنکٹ، فراہم کنندہ کا نیٹ ورک اور پیئرنگ کی جگہ۔ ExpressRoute کی دستیابی کی رہنمائی واضح طور پر کہتی ہے کہ سرے سے سرے تک زائدیت میں گاہک اور سروس فراہم کنندہ کے حصے شامل ہیں، صرف Microsoft کی طرف نہیں۔ ایک راؤٹر، ایک بجلی کی فراہمی یا پہلے میل کا کنکشن مشترک کرنے والے دو منطقی راستے اب بھی وہی انحصار مشترک کرتے ہیں۔
یہیں ڈیزائن عام طور پر دیانت دار جائزے میں ناکام ہوتا ہے۔ ایک ہی فراہم کنندہ کے دو سرکٹ، ایک ہی عمارت میں ختم ہوتے ہوئے، ایک ہی خریداری کے آرڈر کے آلات پر، دو ناکامی کے ڈومین نہیں ہیں۔ وہ دو بلوں والا ایک ناکامی کا ڈومین ہیں۔
کیریئر سے سوال تحریری طور پر پوچھیں: ان راستوں میں سے کون سا کہاں الگ ہوتا ہے، اور مشترکہ حصے کے ناکام ہونے پر دستاویزی رویہ کیا ہے؟ ڈیزائن کال کے دوران زبانی یقین دہانی اس رکاوٹ کا سامنا نہیں کر سکتی جس کے لیے آپ ڈیزائن کر رہے ہیں۔
ناکامی کا ڈومین 3: وہ راستہ جو IPsec کے بغیر باقی رہتا ہے
نجی پیئرنگ اور IPsec ایک ہی ایپلیکیشن پریفکس کی طرف مسابقتی راستے پیش کر سکتے ہیں. اگر محفوظ راستہ غائب ہو جائے، تو باقی رہنے والا براہ راست ExpressRoute راستہ اس انکرپشن تہہ کے بغیر بھی قابل استعمال ہو سکتا ہے جو سرنگ فراہم کر رہی تھی۔ یہ قابل قبول ہے یا نہیں یہ پالیسی کا فیصلہ ہے، اور یہی وہ فیصلہ ہے جو سب سے زیادہ مضمر چھوڑا جاتا ہے۔
انکرپشن کی ضروریات اور دستیابی کی ضروریات یہاں واقعی ٹکرا سکتی ہیں۔ «باقی رہنے والا کوئی بھی راستہ کامیابی شمار ہوتا ہے» دستیابی کا ایک بیان ہے جو انکرپشن کے سوال کا خاموشی سے «نہیں» میں جواب دیتا ہے۔ لکھیں کہ کون جیتتا ہے، کن پریفکس کے لیے، اور کس نے منظوری دی۔
az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o tableسیکھے گئے راستوں کا موازنہ ان پریفکس سے کریں جن کی آپ توقع رکھتے تھے۔ چھوٹا انتظامی بوجھ اٹھانے والا متبادل راستہ اس بوجھ کے لیے مکمل طور پر کافی ہو سکتا ہے اور پیداواری طلب کو درکار صلاحیت سے بہت دور ہو سکتا ہے، اس لیے صلاحیت کا مفروضہ راستے کے ساتھ لکھیں۔
ایک فیصلہ نہیں، تین الگ سطریں درج کریں
اینڈ پوائنٹ کی زائدیت، ٹرانسپورٹ کی زائدیت اور آفت کے بعد بحالی کو ڈیزائن ریکارڈ میں الگ اندراجات کے طور پر رکھیں، ہر ایک اپنے طریقہ کار، اپنی تصدیق اور اپنے مالک کے ساتھ۔ جب واقعے کا جائزہ پوچھے کہ کنکشن گیٹ وے کی دوبارہ شروعات برداشت کر گیا مگر فائبر کٹ نہیں، تو تین سطریں ایک جملے میں جواب دیتی ہیں؛ ایک «زائد» چیک باکس یہ نہیں کر سکتا۔
پھر وہ سطریں آزمائیں جو سستے میں آزمائی جا سکتی ہیں۔ ایک سرنگ ناکام کریں اور تصدیق کریں کہ ٹریفک منتقل ہوتا ہے اور دوبارہ انکرپٹ ہوتا ہے۔ ایک راستہ واپس لیں اور تصدیق کریں کہ باقی راستہ وہی ہے جو آپ کا مقصود تھا، پھر تصدیق کریں کہ آیا یہ اب بھی انکرپٹڈ ہے۔ جن ناکامیوں کی نقل آپ نہیں کر سکے انہیں دستاویز کریں، کیونکہ غیر آزمودہ سطر ایک مفروضہ ہے اور اسے اسی طرح نشان زد کرنا چاہیے۔
مفید نتیجہ ایک مختصر جدول اور ہر سطر کے لیے ایک جملہ ہے۔ اگر کسی سطر میں کوئی طریقہ کار نہ ہو، تو وہی دریافت ہے، اور اسے ڈیزائن کے جائزے میں تلاش کرنا کیریئر کی اس رکاوٹ کے دوران تلاش کرنے سے بہت سستا ہے جسے دونوں سرنگیں کبھی برداشت نہ کر پاتیں۔