Niyə Azure-VPN cihazı virtual maşın geri dönüş yolunu itirir
Azure VM-dəki VPN cihazı UDR, NIC yönləndirmə bayrağı və qonaq siyasətinin uyğun olmasını tələb edir. Bir filial sorğusunu hər üçü ilə izləyin.
VPN cihazı işlədən Azure virtual maşını iki müstəqil qərar sisteminin içində yerləşir. Azure paketin subşəbəkədən hardan çıxdığını marşrut cədvəlləri və NIC-in yönləndirmə ayarı ilə qərarlaşdırır. Cihazın öz əməliyyat sistemi şifri açılmış paketi irəli ötürüb-ötürməyəcəyini qərarlaşdırır. Mükəmməl qalxan tunel yenə də ikinci sistemdə uğursuz ola bilər və bu yerləşdirmələrin çoxu məhz orada dayanır.
Bir yolun üç sahibi
Filial şəbəkəsini götürək: 192.168.50.0/24 və iş yükü subşəbəkəsini 10.0.10.0/24, cihaz isə öz subşəbəkəsində 10.0.0.4 ünvanında yerləşir. Bir sorğu üç ayrı konfiqurasiyaya toxunur.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Əksər təşkilatlarda hər sətri fərqli komanda idarə edir, buna görə də bu nasazlıq adətən bir bilet yerinə üç bilet kimi gəlir.
Cihaza yönələn marşrut
Marşrut cədvəlini iş yükü subşəbəkəsi ilə əlaqələndirin və filial prefiksinə Virtual appliance tipli növbəti hop təyin edin, ünvan kimi 10.0.0.4 istifadə edin. Cihazın əlçatan özəl ünvanından istifadə edin, heç vaxt onun açıq VPN giriş nöqtəsini. Növbəti hop iş yükü subşəbəkəsinin artıq çata bildiyi bir ünvan olmalıdır. Standart marşrutu qəsdən dəyişməyə qərar verməmisinizsə, iş yükünün qalan marşrutlaşdırmasına toxunmayın.
Cihazı öz subşəbəkəsində saxlayın və filial trafikini cihaza göndərən marşrutun cihazın öz çıxış yolunu da tutmadığına əmin olun. Belə bir döngə sıfır cavablı sağlam tunel kimi görünür və bunu gecə saat 2-də ayıklamaq çox əzabvericidir.
Hamının unutduğu NIC bayrağı
Azure-da hər NIC üçün IP yönləndirmə ayarı var və o, standart olaraq söndürülüb. Bu ayar ona görə mövcuddur ki, yönləndirən NIC özünə deyil, başqa ünvana göndərilmiş paketləri qəbul edir və onları səssizcə atmaq qalan hamı üçün təhlükəsiz standartdır.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true bir interfeys üçün onu işə salır. Microsoft-un NIC yönləndirmə təlimatı trafiki yönləndirən hər qoşulmuş NIC-də bu ayarı tələb edir, ona görə də tək NIC-li cihaz da onu həmin NIC-də təyin etməlidir.
Bayraq nə marşrutdur, nə də firewall qaydası. Onu işə salmaq icazə verir və başqa heç nə etmir.
Qonaq şifri açılmış paketlə nə edir
Tunel bitdikdən sonra cihazın öz yığını növbəti qərarı verir. Linux qonaqda IPv4 yönləndirməsi işləmə vaxtı ayarıdır və sysctl -w net.ipv4.ip_forward=1 növbəti açılışa qədər qüvvədə qalır. Bunun yerinə onu aşağıdakı qovluqda bir faylda qalıcı edin: /etc/sysctl.d/ . Satıcı cihazın öz ekvivalenti var və satıcı platformasına yapışdırılan Linux təlimatları adətən heç nə etmir.
Qonaq firewall siyasəti yenə ayrıdır, iş yükünün şəbəkə təhlükəsizlik qrupu da. VM-in açıq ünvanına UDP 500 və 4500 icazəsi tuneli qoruyur; şifri açılmış filial sorğusunun iş yükü portuna çata bilməsi barədə heç nə demir.
Bir sorğunu və cavabını izləyin
Bir icazəli axın seçin və onu başdan sona izləyin. Filiala 10.0.10.0/24 üçün sayt bağlantısı üzərindən marşrut lazımdır, cihaza iş yükü subşəbəkəsinə çatdırılma yolu lazımdır, iş yükü subşəbəkəsinə isə filiala doğru geri marşrut lazımdır.
Dizaynın filial mənbə ünvanını saxladığını, yoxsa onu çevirdiyini erkən qərarlaşdırın. NAT iş yükünün gördüyünü dəyişir, ona görə onun giriş qaydaları təxmin edilən şlüz ünvanını deyil, həqiqətən seçdiyiniz modeli təsvir etməlidir.
Uğurlu əl sıxma həmin zəncirin bir halqasını sübut edir. Cavab eyni cihazdan geri qayıtdıqda və iş yükünün öz siyasəti buna icazə verdikdə yol tamamlanır.