Azure NVA tekshiruvi: javob nima uchun boshqa firewall orqali o‘tadi

Filialdan Azurega oqim ikki yo‘nalishda ham to‘g‘ri marshrutlanishi va baribir muvaffaqiyatsiz bo‘lishi mumkin, chunki ikki yo‘nalish turli qurilmalardan o‘tadi. So‘rov VPN orqali filialdan chiqadi, NVA A ga tushadi va ish yukiga yetadi. Javob ish yukidan chiqadi, NVA B ga ishora qiluvchi marshrutga mos keladi va o‘sha yerda o‘ladi. Bu rasmdagi har bir marshrut haqiqiy, ammo TCP sessiyasi hali ham buzilgan.

Request: branch -> VPN gateway -> NVA A -> workload
Reply:   workload -> NVA B -> VPN gateway -> branch

Ana shu bo‘shliq bu yerda butun mavzu: marshrutlash konvergensiyasi va sessiya holati egaligi diagrammada bir xil ko‘rinadigan turli muammolardir.

Route Server aslida nimani dasturlaydi

Azure Route Server qo‘llab-quvvatlanadigan BGP so‘zlovchilari bilan peering o‘rnatadi, ularning marshrutlarini o‘rganadi va ularni virtual tarmoqning samarali marshrutlariga dasturlaydi. Bu boshqaruv tekisligi ishi. U vendor firewallining sessiya jadvalini o‘qimaydi va berilgan ulanishni qaysi qurilma qabul qilganini bilmaydi. Ikki teng xarajatli keyingi hop bu to‘qima uchun bir xil prefiksga yetishning ikki yo‘li xolos va u ikkalasidan birini ishlatadi.

Shuning uchun marshrutni o‘rganish yetib borishni isbotlaydi. U boshqa tomondagi qurilma bu oqimni avval ko‘rgan-ko‘rmaganligi haqida hech narsani isbotlamaydi.

Dizayn qilishdan oldin ikkala yo‘nalishni o‘qing

Har bir yo‘nalishda sizda haqiqatan bor boshqaruvni yozishdan boshlang, niyat qilganingizni emas. Aniqroq BGP marshrutlari, foydalanuvchi belgilagan marshrutlar va shlyuz xatti-harakati raqobatlashadi va g‘olib har bir sessiya uchun emas, har bir manzil uchun aniqlanadi. NVA dagi standart marshrut har bir xususiy prefiks u orqali o‘tadi degani emas.

Foydali tekshiruv bitta aniq ish yuki IP si uchun har bir yo‘nalish qaysi keyingi hopga yechilishini so‘rashdir. Agar javob ikki turli qurilma bo‘lsa, sizda assimetriya muammosi bor, u allaqachon ko‘ringanmi yoki yo‘qmi — muhim emas.

Holat qayerda yashaydi

Holatli firewall ulanishni qabul qiladi va beshtalik bilan kalitlangan jadval yozuvini saqlaydi. Javob o‘sha yozuvni ushlab turgan qurilmaga yetishi kerak, yoki bu qurilma holatni boshqa yo‘l bilan olishi kerak. Azure ma’lumotlar tekisligida hech narsa yozuvni qurilmalar o‘rtasida uzatmaydi. Yoki trafik egasiga qaytariladi, yoki qurilmalar vendor mexanizmi orqali holatni bo‘lishadi, yoki dizayn ishlamaydi.

Shuning uchun ikkita sog‘lom NVA tekshiruv uchun sog‘liq tekshiruvi emas. Sog‘liq yetib borish haqida; tekshiruv qaysi nusxa sessiyani ushlab turishi haqida.

Qo‘llab-quvvatlanadigan HA modellari va har biri nima va’da qiladi

Microsoft's guidance on Virtual WAN marshrutlash niyati haqidagi yo‘riqnomasi ikki rolli ulanish va firewall NVA lari uchun cheklangan xatti-harakatni tavsiflaydi, bunda to‘g‘ridan-to‘g‘ri marshrutlash hubning odatiy simmetrik bajarilishini chetlab o‘tishi mumkin. Bu eslatmalarni tanlangan topologiyaga cheklovlar sifatida o‘qing, faol-faol dizaynlarga taqiq sifatida emas. Holatni sinxronlaydigan yoki har bir oqim bo‘yicha yo‘naltiradigan vendor juftligi qo‘llab-quvvatlanishi mumkin. Ikkalasini ham qilmaydigan teng xarajatli juftlik qo‘llab-quvvatlanmaydi.

Keyin tugun ishdan chiqqanda mavjud sessiyalarga nima bo‘lishini aniqlang. Marshrut konvergensiyasi yangi oqimlar uchun yetib borishni soniyalar ichida tiklaydi, eski firewall holati esa shunchaki yo‘qoladi. Mijozning qayta ulanishi hujjatlashtirilgan natija bo‘lishi mumkin va bu hodisadan keyin emas, oldin qabul qilinadigan qaror.

Unga ishonishdan oldin nimani sinash kerak

Test with inspection enabled and ish yukining kirish siyosati o‘z joyida bo‘lganda sinang, chunki ikkalasidan biri assimetriyani yashirishi mumkin. Ikkala yo‘nalishda yangi ruxsat berilgan oqim yuboring va bir xil qurilma ikkala yarmini ko‘rganini tasdiqlang. Keyin doimiy trafikni ishga tushiring va tasdiqlangan failoverni qo‘zg‘ating, o‘rnatilgan sessiyalar omon qoladimi yoki qayta ulanadimi — kuzating.

Har bir oqimni uni qayta ishlagan qurilma bilan bog‘lang. Bitta NVA da paket tutish, agar javob hech qachon u yerga qaytmagan bo‘lsa, deyarli hech narsa aytmaydi.

Oxirida rejani uchta alohida satr sifatida yozing: marshrutlar egaligi, trafikni yo‘naltirish va sessiya holati egaligi. Birinchi ikkitasi hal qilinib, uchinchisi taxmin qilinganda dizaynlar buziladi.