Azure site-to-site VPN trafiki üçün NSG-ləri harada tətbiq etməli

Site-to-site tunel işləyir, yerli müştəri bəzi Azure hostlarına çatır, bəzilərinə yox, və kimsə bunu düzəltmək üçün GatewaySubnet-ə şəbəkə təhlükəsizlik qrupu əlavə edib. Burada dayanın. Azure GatewaySubnet üzərində NSG-ni dəstəkləmir və qrup daxili paketi iş yükü qaydası kimi görə bilmir. Siyasəti təyinat alt şəbəkəsinə və ya NIC-ə qoyun, şifrə açıldıqdan sonra mövcud olan mənbə ünvanını uyğunlaşdırın, sonra köhnə deyil, yeni bağlantı ilə yoxlayın.

NSG-ni Azure-un onu qiymətləndirdiyi yerə qoyun

İş yükü filtrləməsi üçün dəstəklənən sərhəd təyinat alt şəbəkəsi və ya təyinat şəbəkə interfeysidir. Şlüz alt şəbəkəsi infrastrukturdur və Azure sənədləşdirir ki, NSG-lər orada dəstəklənmir və şlüzün işinə zərər verə bilər.

Yerləşdirmədə məntiq problemi də var. GatewaySubnet üzərindəki NSG xarici IPsec mübadiləsini qiymətləndirərdi və onun ünvanları iki şlüzə aiddir. Tətbiq qaydanız tunelin içindəki özəl mənbəyə ehtiyac duyur və bu paket yalnız şlüz onu açdıqdan sonra mövcud olur. Qrupu iş yükü alt şəbəkəsinə bağlayın və qayda yazıldığı ünvanı görəcək.

Hər hansı dəyişiklik etməzdən əvvəl mövcud assosiasiyaları yoxlayın ki, nəyi köçürdüyünüzü biləsiniz:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Şifrə açıldıqdan sonra mənbə ünvanını tapın

Daxili mənbə yerli müştərinin özəl ünvanıdır və ya cihazın və ya VPN NAT-ın tərcümədən sonra təqdim etdiyi ünvandır. Bu, yerli VPN şlüzünün ictimai ünvanı deyil, çünki o, xarici mübadiləyə aiddir.

NAT dizaynın hissəsidirsə, fərz etmək əvəzinə təqdim olunan mənbəni təsdiqləyin. Azure VM-də paket tutma və ya xidmətin bağlantı jurnalındaki mənbə sahəsi məsələni yerli konfiqurasiyanı oxumaqdan daha sürətli həll edir. Sonra qaydanı həmin ünvana və real təyinat portuna görə yazın.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Açmaq istədiyiniz hər xidmət üçün bir qayda istifadə edin və port siyahısını qısa saxlayın. Yerli aralıqdan bütün portlara icazə verən qayda NSG-ni formalığa çevirir.

Defolt VirtualNetwork əhatəsini yoxlayın

VirtualNetwork xidmət teqi yerli virtual şəbəkədən genişdir. Onun tərifinə qoşulmuş yerli ünvan məkanları, peer şəbəkələr və şlüzə qoşulmuş digər prefikslər daxildir. Bu o deməkdir ki, VirtualNetwork-ə hədəflənmiş defolt icazə qaydası operatorun xarici hesab etdiyi tunel trafikinə artıq icazə verə bilər.

Dar qaydalar əlavə etməzdən əvvəl defolt qaydaları oxuyun və ilk uyğunlaşa biləcək hər yüksək prioritetli qaydanı oxuyun. Açıq icazə əlavə etmək axına artıq icazə verən daha geniş qaydanı silmir. Siyasət qadağa tələb edirsə, onu icazədən əvvəl həqiqətən qiymətləndirilən prioritetə qoyun.

Microsoft-un xidmət teqi sənədləri VirtualNetwork teqinin nəyi əhatə etdiyini sadalayır və kimsə teqin yalnız VNet aralığı demək olduğunu iddia edəndə istinad ediləcək mənbə budur.

Effektiv qaydaları hər iki sərhəddə oxuyun

Həm alt şəbəkə NSG-si, həm də NIC NSG-si tətbiq olunanda axın hər ikisini ödəməlidir. Birindəki icazə digərindəki qadağanı ləğv etmir və paketin həqiqətən qarşılaşdığı şey birləşdirilmiş görünüşdür.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Azure Virtual Network Manager təhlükəsizlik admin qaydaları işə düşübsə, o qatı da nəzərdən keçirin. Admin Always allow qaydası trafiki NSG qiymətləndirməsi olmadan çatdıra bilər, admin Deny isə onu NSG-lər görməzdən əvvəl dayandırır. Bu quruluş üçün yalnız NSG-yə baxan rəy natamamdır.

Unutmayın ki, NSG-lər vəziyyət saxlayır. Qaydanı redaktə etmək mövcud icazəli bağlantını mütləq bitirmir, ona görə qəbul testi təzə axın tələb edir. Bu xüsusiyyət istehsalda faydalı, dəyişiklik pəncərəsində isə yanıltıcıdır.

Təzə bağlantı ilə yoxlayın

Yerli müştəridən xidmət portuna yeni sessiya açın, sonra rədd edilməli olan hostdan təkrarlayın. Axın testini VM tərəfindən də işə salın ki, geri yolun bütöv olduğunu biləsiniz.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

NSG icazəsi bir giriş qərarıdır, nə marşrut, nə də dinləyicidir. Qayda axına icazə verirsə və bağlantı yenə uğursuz olursa, qrupu yenidən redaktə etməzdən əvvəl müştərinin VPN-ə marşrutunu, Azure-un geri marşrutunu və host firewall-unu yoxlayın. Faktiki mənbə ünvanını, NSG assosiasiyalarını və uyğun qaydanı təsdiqlənmiş xidmətlə birlikdə qeyd edin, çünki növbəti peerinq və ya marşrut dəyişikliyi VirtualNetwork teqinin əhatəsini dəyişə bilər.