Ikki filial orasidagi trafikni Azure VPN shlyuzi orqali marshrutlash
Bitta Azure VPN shlyuzidagi ikkita Sayt-sayt ulanish filiallar trafigini o'tkazishi mumkin, lekin faqat ikkala tomon prefiksni o'rgansa va LAN qaytish yo'li mavjud bo'lsa.
Ikki filial o'zaro to'g'ridan-to'g'ri tunnel bo'lmasa ham Azure VPN shlyuzi orqali trafik almashishi mumkin. Har bir filial o'sha shlyuzga Sayt-sayt ulanish ochadi va shlyuz o'rganilgan prefikslarni ikkala ulanish orasida uzatadi. Buni ishga tushiradigan narsa ikkinchi tunnel emas, balki marshrutlar almashinuvidir: A filiali B filialining prefiksini, B esa A ning prefiksini o'rganishi kerak. Quyidagi tekshiruvlarni tartib bilan bajaring va birinchi muvaffaqiyatsiz tekshiruvda to'xtang, chunki har bir keyingi qadam unga bog'liq.
Biror narsani sozlashdan oldingi shartlar
Bu loyiha umuman ishlashi mumkinmi-yo'qmi, buni to'rt shart hal qiladi. Shlyuz marshrutga asoslangan bo'lishi kerak va BGP ni qo'llab-quvvatlaydigan SKU da bo'lishi kerak, ikkala ulanishda ham BGP yoqilgan bo'lishi kerak, filiallarning manzil maydonlari ustma-ust tushmasligi kerak va hech bir tomon o'zining haqiqiy prefiksini yashirish uchun NAT ga tayanmasligi kerak.
ASN larni ataylab rejalashtiring. Azure ning hujjatlashtirilgan standart qiymati 65515 va har bir filial routeri shlyuz yoki boshqa filial bilan to'qnashmaydigan o'z shaxsiy ASN iga muhtoj. Mavjud shlyuz konfiguratsiyasini tekshirmasdan standart qiymatni qayta ishlatish keyinchalik AS yo'li rad etilishining yo'lidir.
Shuningdek, VNet peering xatti-harakatini kutmayotganingizni tasdiqlang. Shlyuz siz sozlagan ikkita ulanish orasida marshrutlar almashadi; u ixtiyoriy peering larni tranzitiv qilmaydi. Agar uchinchi tarmoq ikkala filialga yetib borishi kerak bo'lsa, unga o'z ulanishi yoki o'z marshrut yo'li kerak, shlyuz trafikni taqsimlaydi degan taxmin emas. Bu chegarani birinchi o'zgarish oynasidan oldin yozib qo'ying, chunki keyinchalik sayt qo'shilganda odamlar aynan shu dizayn qaroriga qaytadilar.
Shu tartibda sozlang
Har bir qadam kuzatiladigan natijaga ega, shuning uchun u paydo bo'lmaguncha davom etmang.
- Virtual tarmoq shlyuzida BGP ni yoqing va uning ASN i hamda peer manzilini yozib oling.
- Har bir filial uchun o'sha filialning haqiqiy manzil maydoni, ASN i va BGP peer manzili bilan mahalliy tarmoq shlyuzi yarating.
- Har bir Sayt-sayt ulanishni yarating va BGP ni ulanishning o'zida yoqing.
- Filial routerini taxmin asosida shlyuzning ochiq IKE nuqtasi bilan emas, Azure tayinlagan shlyuz manzili bilan peer qilish uchun sozlang.
To'rtinchi qadam ko'p urinishlar to'xtab qoladigan joydir. Azure xabar qiladigan BGP peer manzili filial routeri qo'shni sifatida ishlatishi kerak bo'lgan manzildir va u har doim odamlar tunnel chizmasidan kutadigan manzil bo'lavermaydi.
Filial prefiksining o'zini e'lon qiling, masalan, A dan 10.10.0.0/16 va B dan 10.20.0.0/16. Yo'qolgan aniq tarmoqni qoplash uchun standart marshrut yoki keng agregat e'lon qilmang; bo'shliq keyinchalik jim qora tuynuk sifatida qaytadi.
Marshrutlar almashinuvini ikkala uchida tekshiring
Ulanish holati tekshiruv emas. Ikkala ulanishda IPsec ishlab turishi mumkin, ammo ular orasida hech qanday prefiks o'tmaydi. Shlyuzning BGP peer lari va o'rganilgan marshrutlarini o'qing, so'ng boshqa filial tomon marshrut foydalanish mumkin bo'lgan yo'l sifatida ko'rinishini tasdiqlang.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
BGP jadvalida mavjud prefiks ham statik marshrut yoki aniqroq prefiks oldida yo'naltirish qarorini yutqazishi mumkin. Faqat olinganini emas, tanlangan marshrutni tekshiring.
LAN tomonida qaytish yo'lini kuzatib boring
Bu Azure da to'g'ri ko'rinadigan va joyida muvaffaqiyatsiz bo'ladigan qismdir. A filialidagi xost o'z paketini A ning VPN routeriga faqat o'sha router uning standart shlyuzi bo'lsa yoki xost yoki uning shlyuzi B prefiksi uchun marshrutga ega bo'lsa yuboradi. Qarama-qarshi yo'nalishda ham xuddi shunday bo'lishi kerak.
Agar alohida yadro kommutatori LAN ning standart shlyuzi bo'lsa, unga VPN routeriga ishora qiluvchi boshqa filial tomon marshrut kerak. Usiz so'rov keladi va javob internet yo'li orqali chiqib ketadi, foydalanuvchi esa ochilib keyin osilib qoladigan ulanishni ko'radi.
Buni tuzatish uchun shlyuz subnetsidagi tarmoq xavfsizlik guruhiga murojaat qilmang. Bu subnetning o'z talablari bor va u yerdagi NSG filial tomoni siyosatining qo'llab-quvvatlanadigan o'rnini bosuvchisi emas. Filtrlash filiallarning xavfsizlik devorlarida va ish yuklamalarining o'zida bo'lishi kerak, u yerda qoidalarni egalari ko'rib chiqishi mumkin. Bu qoidalarni subnet NSG siga ko'chirish ularni keyingi nosozlikni tuzatadigan jamoadan ham yashiradi.
Operatsiyaga ruxsat bering, so'ng uni rad etilgan sinov bilan isbotlang
O'rganilgan marshrut ruxsat emas. Sizga haqiqatan kerak bo'lgan manba, manzil va xizmatni filiallarning xavfsizlik devorlari va oxirgi nuqta siyosati orqali ruxsat bering, qolganini rad etilgan holda qoldiring.
A filialidagi oddiy ish yuklamasidan B filialidagi haqiqiy xizmatga sinov o'tkazing, javobni tasdiqlang, so'ng taqiqlangan holda qolishi kerak bo'lgan operatsiyani sinab ko'ring. VPN qurilmasining o'zi yaratadigan trafik boshqa manba manzilidan foydalanishi va LAN marshrutlash bosqichini o'tkazib yuborishi mumkin, shuning uchun routerdan muvaffaqiyatli ping ko'ringanidan kamroq narsani isbotlaydi.
To'rt faktni yozib tugating: almashilgan prefikslar, ishlatilayotgan ASN lar, har bir tomon uchun LAN qaytish yo'li va xizmatga ruxsat beruvchi siyosat. Ulardan biri yo'q bo'lsa, sozlama birinchi o'zgarishgacha ishlaydi, keyin hech kim nima uchunligini tushuntira olmaydi.