Bir Azure VPN VM-də iki ictimai IP: hansı nə edir

Bir Azure VPN VM-də iki ictimai IP çox vaxt doğrulmayan bir gözlənti yaradır: müştərilərin qoşulduğu ünvan həm də veb saytların gördüyü ünvan olacaq. Bu nəticəni üç müstəqil qərar doğurur və yalnız birincisi tunel dinləyicisinə aiddir. İkincisi yönləndirilən müştəri trafiki üçün istifadə olunan qonaq mənbəyidir, üçüncüsü isə həmin mənbəyə tətbiq olunan Azure çıxış üsuludur. Birini dəyişin, digər ikisi yerində qalır, ona görə hər birini açıq şəkildə qərarlaşdırın.

Qərar 1: tunel harada bitir

Azure ictimai IP-si NIC üzərindəki özəl IP konfiqurasiyası ilə əlaqələndirilir; bu, qonaq əməliyyat sistemi daxilində əlavə etdiyiniz ünvan deyil. Xəritələməni fərz etmək əvəzinə oxuyun: az network nic show --ids /subscriptions/.../networkInterfaces/vpn-nic --query 'ipConfigurations[].{private:privateIPAddress,public:publicIPAddress.id}'. Bu sorğunun qaytardığı hansı özəl ünvandırsa, qonağın həqiqətən saxlamalı olduğu ünvan odur.

Bir NIC bir neçə IP konfiqurasiyası daşıya bilər, ona görə iki ictimai ünvan iki NIC tələb etmir. Əgər dizayn həqiqətən iki NIC istifadə edirsə, hər biri öz qonaq marşrutlarını və növbəti atlamalarını gətirir və siz sadələşdirmək əvəzinə bir marşrut qərarı əlavə etmiş olursunuz.

Açıq lokal bağlantısı olan xidmət üçün real qonaq-özəl ünvana bağlanın, heç vaxt ictimai yer tutucuya bağlanmayın. Wildcard dinləyici ona çatan hər IP konfiqurasiyası vasitəsilə trafiki qəbul edir, ona görə girişi bağlantı sırasının həll etməsinə ümid etmək əvəzinə şəbəkə təhlükəsizlik qrupu və host firewall ilə məhdudlaşdırın.

Qərar 2: yönləndirilən müştəri hansı mənbədən istifadə edir

Şlüz müştəri sorğusunu deşifrə etdikdən sonra yönləndirdiyi paket VPN dinləyicisinə gələn paketdən fərqlidir. Qonaqda yönləndirmə aktiv olmalı, axına icazə verən firewall siyasəti və bulud dizaynının icazə verdiyi mənbə ünvanı olmalıdır. Daxili müştəri ünvanını çevirsəniz, Azure məhz çevrilmiş mənbəyi qiymətləndirəcək, müştərinin daxili ünvanını yox.

Dar SNAT qaydası qonaq-özəl mənbə seçə bilər, lakin aşağı axındakı Azure çevrilməsini üstələyə bilməz. VM daxilində hər müştəri üzrə hesabatlılıq lazım olduqda SNAT seçin; subnetin çıxış dizaynı artıq sabit ictimai mənbə təmin edirsə və ikinci çevrilmə yalnız vəziyyət əlavə edəcəksə, ondan imtina edin.

Qərar 3: hansı Azure çıxış üsulu qalib gəlir

Microsoftçıxış prioritet sırasınısənədləşdirir: cihaza və ya şlüzə tətbiq olunan marşrut prioritet alır, subnet NAT Gateway bağlantısı isə müvafiq yolda instansiya səviyyəli ictimai IP-dən üstün tutulur. Bu sıra 10.20.0.5-ə çevrilmənin veb saytın 198.51.100.20-ni görəcəyini sübut etməməsinin səbəbidir. Çıxış dizaynını qəbul etməzdən əvvəl effektiv marşrut cədvəlini, NAT Gateway əlaqəsini və NIC ictimai IP-sini birlikdə oxuyun.

Linux yönləndirməsindən ayrı saxlayın:Azure NIC yönləndirmə parametri. Bulud bayrağı mənbəyi və ya təyinatı NIC-ə aid edilməyən paketlərə icazə verir; o, net.ipv4.ip_forward parametrini aktivləşdirmir və qonaq parametri bulud icazəsini vermir.

Tunel soketinin öz mənbə qərarı var

WireGuard-ın wg-quick altındakı Address parametri WireGuard interfeysinə ünvan təyin edir; bu, xarici UDP bağlama təlimatı deyil. Şifrələnmiş soketin mənbəyi marşrut cədvəlinə uyğun gəlir, ona görə siyasət marşrutu və ya ikinci default onu interfeys ünvanına toxunmadan dəyişə bilər.OpenVPN-inlocal parametri və UDP multihome eyni şəkildə davranır: onlar dinləyiciyə və onun cavablarına aiddir, hər yönləndirilən müştərinin internet mənbəyinə yox.

Tuneli daşıyan alt qat marşrutunu qoruyun və müştərinin gözlənilən giriş quruluşundan hələ də autentifikasiya olunmuş cavablar aldığını təsdiqləyin. Ünvan siyahısı sırasına daimi mənbə seçimi siyasəti kimi arxalanmayın, çünki NIC-ə əlavə olunan növbəti ünvan hansının qalib gələcəyini dəyişə bilər.

Nəyi və hansı sıra ilə qəbul etməli

Üç nəticəni ayrı-ayrılıqda qəbul edin. Birinci, xarici müştəri nəzərdə tutulan VPN girişinə çatır. İkinci, həmin VPN müştərisindən yeni icazəli sorğu sənədləşdirilmiş internet çıxışından ayrılır. Üçüncü, nəzərdə tutulmayan dinləyici və yönləndirmə yolları rədd olunmuş qalır. İctimai-özəl xəritələmələri və hər qərarın qonaq və bulud sahiblərini eyni yerdə qeyd edin.

Uğurlu tunel yalnız birinci hissəni sübut edir. Çıxışı yeni axınla yoxlayın, çünki keşlənmiş bağlantı marşrut dəyişdikdən çox sonra da köhnə mənbədən istifadə edə bilər.