Vì sao point-to-site cần một cổng Azure VPN dựa trên tuyến

Cổng dựa trên chính sách xây một đường hầm IPsec được chọn bởi các bộ chọn lưu lượng, và nó không có giao diện để chuyển giao tuyến của máy khách. Kết nối point-to-site là một tính năng định tuyến: cổng sở hữu một nhóm địa chỉ máy khách và cài đặt tuyến đến các máy khách đó trong mạng ảo. Chính sự không khớp đó là lý do cổng thông tin không hiển thị tùy chọn nào để thêm nó. Không có gì trên cổng hiện có có thể được bật để tạo ra giao diện, vì vậy thay đổi là một lần thay thế chứ không phải chỉnh sửa cấu hình.

Thứ tự quan trọng hơn từng bước riêng lẻ. Nếu sai trình tự, gián đoạn giữa các site sẽ vượt quá cửa sổ bảo trì.

Cổng dựa trên chính sách thực sự làm gì

Cổng dựa trên chính sách khớp gói tin với các bộ chọn lưu lượng được cấu hình trên kết nối và gửi các kết quả khớp vào một đường hầm duy nhất. Không có giao diện đường hầm có địa chỉ, và không có tuyến cho từng máy khách xuất hiện ở bất kỳ đâu trong mạng ảo. Bảng tuyến chỉ nhận các tiền tố cục bộ trỏ đến cổng. Mô hình đó đủ cho kết nối giữa các site giữa hai không gian địa chỉ cố định.

Cổng dựa trên tuyến hoạt động ngược lại: nó trình bày một giao diện đường hầm, và các tuyến quyết định cái gì đi vào đó. Kết nối point-to-site, và mọi thiết kế có tập đối tác thay đổi, phụ thuộc vào việc giao diện đó tồn tại.

Vì sao nhóm máy khách cần giao diện đó

Khi một máy tính xách tay kết nối, cổng gán cho nó một địa chỉ từ nhóm point-to-site. Mạng ảo sau đó cần một tuyến nói rằng địa chỉ này có thể truy cập qua cổng. Không có giao diện đường hầm thì không có gì để gắn tuyến đó vào.

Nhóm địa chỉ đến từ một dải bạn chỉ định, và cổng cấp phát từ đó. Nếu dải đó chồng lấn với mạng cục bộ hoặc một mạng ảo được kết nối ngang hàng, xung đột chỉ xuất hiện sau khi một máy khách kết nối, đó là thời điểm tồi để phát hiện. Hãy dành trước nhóm địa chỉ trước khi quá trình di chuyển bắt đầu.

Loại cũng không phải là thiết lập cho từng kết nối. Một cổng có một loại, và mọi kết nối mà nó giữ đều hành xử theo đó, nên một thiết kế hỗn hợp cần cổng thứ hai chứ không phải kết nối thứ hai.

Loại được cố định khi tạo

Microsoft nêu rõ rằng một cổng mạng ảo không thể được thay đổi giữa dựa trên chính sách và dựa trên tuyến sau khi triển khai. Không có lệnh chuyển đổi và không có nút gạt trong cổng thông tin. Tạo cổng thứ hai trong cùng mạng con cũng không phải là cách vòng, vì Azure chỉ cho phép một cổng cho mỗi mạng ảo. Do đó việc di chuyển là gỡ bỏ, dựng lại và kết nối lại.

Điều đó cũng đưa quyết định SKU vào cùng một lần dựng. Chuyển sang SKU lớn hơn sau này là một lần thay cổng khác với một gián đoạn khác.

Một cổng, một GatewaySubnet

Cổng nằm trong một mạng con có tên GatewaySubnet, và chỉ một cổng chiếm nó. Việc chọn kích thước mạng con đó thuộc về khâu chuẩn bị, vì SKU lớn hơn cần nhiều địa chỉ hơn và mạng con không thể thu nhỏ sau đó. Hãy ghi lại cài đặt hiện tại giữa các site, khóa chia sẻ, cổng mạng cục bộ và các tuyến hiệu lực trước khi chạm vào bất cứ thứ gì. Sau đó coi cửa sổ đó là một gián đoạn, vì đường hầm giữa các site vẫn đóng cho đến khi kết nối mới được cấu hình.

Một thứ tự dựng lại giữ gián đoạn trong giới hạn: tạo cổng dựa trên tuyến, tạo lại kết nối giữa các site đến cùng cổng mạng cục bộ, xác nhận đường hầm và một yêu cầu từ máy chủ đến máy chủ, và chỉ sau đó thêm point-to-site và tạo gói máy khách mới.

Những gì việc thay thế không khắc phục

Một giới hạn thứ hai thuộc về đối tác chứ không phải Azure. Một thiết bị cục bộ dựa trên chính sách chỉ có thể đến mạng ảo mà nó kết nối, và không thể đi qua cùng cổng đó đến các mạng cục bộ khác hoặc các mạng ảo khác. Việc thay thế phía Azure không thay đổi những gì đối tác có thể chọn.

Nếu yêu cầu thực sự là truyền qua giữa các site, câu trả lời là một thiết bị đối tác dựa trên tuyến hoặc một cấu trúc liên kết trong đó mỗi đích kết thúc riêng. Hãy quyết điều đó trước khi hứa một ngày, vì chỉ thay cổng sẽ không mang lại điều đó.

Thứ tự thao tác và kiểm tra

Xác minh từng khả năng riêng rẽ. Đầu tiên là trạng thái đường hầm giữa các site và một yêu cầu từ máy chủ đến máy chủ, sau đó là kết nối point-to-site và một tài nguyên riêng, sau đó là bất kỳ đường truyền nào mà thiết kế tuyên bố. Trạng thái cổng xanh chỉ chứng minh rằng liên kết bảo mật đã lên, và không hơn. Giữ các kiểm tra theo thứ tự đó để một lỗi chỉ ra giai đoạn đã đưa nó vào.

Tạo lại gói máy khách sau mọi thay đổi cấu trúc liên kết, và giữ nhóm địa chỉ tránh xa mọi dải cục bộ và dải kết nối ngang hàng. Các giới hạn và khác biệt SKU được tập hợp trong tài liệu tham chiếu cài đặt Azure VPN Gateway.