Zašto Azure VM s VPN uređajem odbacuje povratni put
VPN uređaj u Azure VM-u treba da uskladi UDR, zastavicu prosljeđivanja na mrežnoj kartici i politiku gosta. Pratite jedan zahtjev ogranka kroz sva tri.
Azure VM na kojem radi VPN uređaj nalazi se unutar dva nezavisna sistema odlučivanja. Azure odlučuje gdje paket napušta podmrežu, koristeći rute i postavku prosljeđivanja mrežne kartice. Vlastiti operativni sistem uređaja odlučuje hoće li proslijediti dešifrovani paket dalje. Tunel koji se savršeno podigne ipak može pasti na drugom sistemu, i tu se zaustavlja većina ovakvih postavki.
Tri vlasnika jedne putanje
Uzmite mrežu ogranka 192.168.50.0/24 i podmrežu radnih opterećenja 10.0.10.0/24, s uređajem na 10.0.0.4 u vlastitoj podmreži. Jedan zahtjev dotiče tri odvojene konfiguracije.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Svakim redom u većini organizacija upravlja drugi tim, zato ovaj kvar obično stiže kao tri tiketa umjesto jednog.
Ruta koja pokazuje na uređaj
Povežite rutu s podmrežom radnih opterećenja i dajte prefiksu ogranka sljedeći skok tipa Virtual appliance s 10.0.0.4 kao adresom. Koristite dostupnu privatnu adresu uređaja, nikada njegovu javnu VPN ulaznu točku. Sljedeći skok mora biti adresa koju podmreža radnih opterećenja već može dosegnuti. Ostavite ostatak rutiranja radnog opterećenja na miru osim ako svjesno niste odlučili zamijeniti zadanu rutu.
Držite uređaj u njegovoj vlastitoj podmreži i pobrinite se da ruta koja šalje promet ogranka na uređaj ne zahvati i vlastitu izlaznu putanju uređaja. Takva petlja izgleda kao zdrav tunel s nula odgovora, a to je vrlo neugodno otklanjati u 2 sata ujutro.
Zastavica mrežne kartice koju svi zaborave
Azure ima postavku prosljeđivanja IP-a po mrežnoj kartici i ona je prema zadanim postavkama isključena. Postoji jer kartica koja prosljeđuje prima pakete adresirane na nešto drugo, a tiho odbacivanje istih sigurna je zadana postavka za sve ostale.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true uključuje je za jedno sučelje. Microsoftove smjernice za prosljeđivanje na mrežnoj kartici zahtijevaju postavku na svakoj priključenoj kartici koja prosljeđuje promet, pa uređaj s jednom karticom to još treba imati postavljeno na toj kartici.
Zastavica nije ruta i nije pravilo vatrozida. Uključivanje daje dopuštenje i ništa više.
Šta gost radi s dešifrovanim paketom
Kada tunel završi, vlastiti stog uređaja donosi sljedeću odluku. Na Linux gostu prosljeđivanje IPv4 je postavka u vremenu izvršavanja i sysctl -w net.ipv4.ip_forward=1 traje do sljedećeg podizanja. Sačuvajte je trajno /etc/sysctl.d/ umjesto toga. Prodavačev uređaj ima svoj ekvivalent, a Linux upute zalijepljene u prodavačevu platformu obično ne rade baš ništa.
Politika vatrozida gosta opet je odvojena, kao i mrežna sigurnosna grupa radnog opterećenja. Dopuštanje UDP 500 i 4500 prema javnoj adresi VM-a štiti tunel; ne govori ništa o tome može li dešifrovani zahtjev ogranka doći do porta radnog opterećenja.
Pratite jedan zahtjev i njegov odgovor
Odaberite jedan dopušteni tok i pratite ga od početka do kraja. Ogranku treba ruta za 10.0.10.0/24 preko veze sa lokacijom, uređaju treba put dostave do podmreže radnih opterećenja, a podmreži radnih opterećenja treba povratna ruta prema ogranku.
Odlučite rano hoće li dizajn sačuvati izvornu adresu ogranka ili je prevesti. NAT mijenja ono što radno opterećenje vidi, pa njegova pravila pristupa trebaju opisivati model koji ste stvarno odabrali, a ne pretpostavljenu adresu pristupnika.
Uspješno rukovanje dokazuje jednu kariku tog lanca. Putanja je potpuna kada se odgovor vrati kroz isti uređaj i kada to dopušta vlastita politika radnog opterećenja.