ExpressRoute va VPN: qaysi nosozlik domenlarini qamrab olasiz?
Ikkinchi IPsec tunnel bitta oxirgi nuqtani qamrab oladi, uning ostidagi kanalni emas. Har bir nosozlik domenini xaritalang, so'ng shifrlanmagan zaxira yo'lga ruxsat berilishini hal qiling.
ExpressRoute'ning xususiy pirinqi ustida ishlaydigan IPsec tunnel allaqachon mavjud transportga shifrlash qo'shadi. Ikkinchi tunnel oxirgi nuqta mavjudligini yaxshilaydi va ikkalasining ostidagi operator yo'li uchun hech narsa qilmaydi. Bu farqni yo'qotish oson: dasturlar ikkita yashil tunnelni ko'rsatib, dizayn ko'rigi boshqa savol berganda — bu ulanish qaysi nosozliklarga dosh berishi kerak? Avval shunga javob bering, keyin tunellarni sanang, chunki yashil ko'rsatkichlar soni shifrlash qatlamining xossasi, nosozlik domenlari soni esa butun yo'lning xossasi.
Yashil tunellardan emas, nosozliklardan boshlang
Biror narsa chizishdan oldin to'rt qator yozing: bitta VPN oxirgi nuqtasi yoki bitta peer nusxasi ishlamay qolishi, bitta mahalliy marshrutizator yoki birinchi mil ulanishi ishlamay qolishi, umumiy ExpressRoute yo'li ishlamay qolishi va xususiy pirinq hali trafik tashiyotganda IPsec mavjud bo'lmay qolishi. Har bir qator dizayn nimani saqlashi kerakligini nomlaydi va har biriga boshqa mexanizm javob beradi.
| Failure | What must survive | What does not cover it |
|---|---|---|
| One VPN endpoint or instance | An alternate encryption endpoint and a route to it | A second tunnel terminating on the same instance |
| One local router or first mile | Independent local equipment and transport reachability | Any number of logical tunnels |
| The ExpressRoute path | A separately designed surviving underlay | An IPsec tunnel layered on the same circuit |
| IPsec unavailable, peering up | The intended encrypted-only or approved fallback policy | Assuming the tunnel is the only route |
Microsoft ExpressRoute'ning xususiy pirinqi ustidagi xususiy IP bilan saytdan-saytga VPNni va internetga asoslangan saytdan-saytga ulanishlar bilan qo'llab-quvvatlanadigan birgalikda yashashni hujjatlashtiradi. Bu birgalikda yashash boshqa pastki qatlam dizayni bo'lib, siz yana bitta xususiy tunnel oxirgi nuqtasini qo'shganingiz uchungina paydo bo'lmaydi.
Nosozlik domeni 1: VPN oxirgi nuqtasi
Bitta shlyuzdagi ikkita tunnel odatda bir xil Azure tomonidagi resursda tugaydigan active-active juftlari. Ular bitta tunnel yoki nusxa muammosidan himoya qiladi va bu resurs mavjud bo'lmay qolishi, qayta sozlanishi yoki sig'imi tugashidan himoya qilmaydi. Oxirgi nuqta ortiqchaligi o'z yo'li va o'z konfiguratsiyasiga ega ikkinchi qo'llab-quvvatlanadigan oxirgi nuqtani va unga yetib bora oladigan marshrutni anglatadi.
Diagramma nima deyishini emas, aslida nima joylashtirganingizni tekshiring, chunki portal bu resurslarni ularning aloqasini yashiradigan tarzda guruhlaydi:
az network vpn-connection show -g rg-connectivity -n vpn-to-hub --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'Agar ikkala tunnel bitta umumiy IPga ega bitta shlyuzga qarasa, sizda muayyan va cheklangan turdagi oxirgi nuqta ortiqchaligi bor. Bu talab so'rayotgan narsaning aynan o'zi bo'lishi mumkin va uni ortiqcha ulanish deb tasvirlash o'rniga shunday aytish kerak.
Nosozlik domeni 2: mahalliy yo'l va operator
Shifrlash ostida jismoniy va tijoriy voqelik yotadi: mijoz chekkasidagi qurilma, o'zaro ulanish, provayder tarmog'i va pirinq joyi. ExpressRoute mavjudligi bo'yicha qo'llanma uchdan-uchga ortiqchalik nafaqat Microsoft tomonini, balki mijoz va xizmat ko'rsatuvchi segmentlarini ham qamrab olishini aniq aytadi. Marshrutizator, quvvat manbai yoki birinchi mil ulanishini bo'lishadigan ikkita mantiqiy yo'l o'sha qaramlikni hanuz bo'lishadi.
Dizayn odatda halol ko'rikdan aynan shu yerda yiqiladi. Bitta provayderdan ikkita kanal bitta binoda tugab, bitta xarid buyurtmasidagi uskunada bo'lsa, ular ikkita nosozlik domeni emas. Ular ikkita hisob-fakturasi bo'lgan bitta nosozlik domeni.
Operatorga savolni yozma ravishda bering: bu yo'llardan qaysilari qayerda ajraladi va umumiy segment ishlamay qolganda hujjatlashtirilgan xatti-harakat qanday? Dizayn qo'ng'irog'i paytida berilgan og'zaki ishonch siz loyihalayotgan uzilishga dosh bermaydi.
Nosozlik domeni 3: IPsecsiz qoladigan yo'l
Xususiy pirinq va IPsec bitta ilova prefiksiga raqobatdosh marshrutlar taklif qilishi mumkin. Agar himoyalangan marshrut yo'qolsa, qolgan to'g'ridan-to'g'ri ExpressRoute marshruti tunnel taqdim etgan shifrlash qatlamisiz hali ham foydali bo'lishi mumkin. Bu maqbulmi — siyosat qarori va aynan shu qaror ko'pincha yashirin qoldiriladi.
Shifrlash talablari va mavjudlik talablari bu yerda haqiqatan to'qnashishi mumkin. «Qolgan har qanday marshrut muvaffaqiyat hisoblanadi» degani shifrlash savoliga jimgina «yo'q» deb javob beradigan mavjudlik bayonotidir. Qaysi biri g'alaba qozonishini, qaysi prefikslar uchun va kim tasdiqlaganini yozing.
az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o tableO'rganilgan marshrutlarni kutgan prefikslaringiz bilan solishtiring. Kichik ma'muriy yukni tashiyotgan zaxira yo'l o'sha yuk uchun to'liq yetarli bo'lishi va ishlab chiqarish talabiga kerakli sig'imdan ancha uzoq bo'lishi mumkin, shuning uchun sig'im taxminini marshrut yoniga yozib qo'ying.
Bitta hukm emas, uchta alohida qator yozing
Oxirgi nuqta ortiqchaligini, transport ortiqchaligini va ofatdan keyingi tiklashni dizayn daftarida alohida yozuvlar sifatida saqlang, har biri o'z mexanizmi, o'z tekshiruvi va o'z egasi bilan. Voqea ko'rigi ulanish nima uchun shlyuz qayta ishga tushishini o'tkazdi-yu, tola kesilishini o'tkazmadi deb so'raganda, uchta qator bir gapda javob beradi; bitta «ortiqcha» belgilash katagi buni qila olmaydi.
Keyin arzon sinab ko'rish mumkin bo'lgan qatorlarni sinang. Bitta tunnelni ishdan chiqaring va trafik ko'chishini hamda qayta shifrlanishini tasdiqlang. Bitta marshrutni qaytarib oling va qolgan yo'l siz mo'ljallagan yo'l ekanini, so'ng u hanuz shifrlanganmi-yo'qmi ekanini tasdiqlang. Taqlid qila olmagan nosozliklarni hujjatlashtiring, chunki sinovdan o'tmagan qator taxmindir va shunday belgilanishi kerak.
Foydali natija qisqa jadval va har bir qator uchun bitta gap. Agar qatorda mexanizm bo'lmasa, o'sha topilma bo'ladi va uni dizayn ko'rigida topish ikkala tunnel ham hech qachon o'tkaza olmaydigan operator uzilishi paytida topishdan ancha arzon.