On aplicar els NSG al trànsit VPN de lloc a lloc d'Azure

El túnel de lloc a lloc està actiu, el client local arriba a alguns amfitrions d'Azure i a d'altres no, i algú ha afegit un grup de seguretat de xarxa a GatewaySubnet per arreglar-ho. Atura't aquí. Azure no admet cap NSG a GatewaySubnet, i el grup no pot veure el paquet intern com ho fa una regla de càrrega de treball. Posa la política a la subxarxa o NIC de destinació, fes coincidir l'adreça d'origen que existeix després del desxifratge i després verifica-ho amb una connexió nova, no amb una d'antiga.

Posa el NSG on Azure l'avalua

El límit admès per al filtratge de càrrega de treball és la subxarxa o la interfície de xarxa de destinació. La subxarxa de la passarel·la és infraestructura, i Azure documenta que els NSG no hi són admesos i poden perjudicar el funcionament de la passarel·la.

També hi ha un problema de lògica en la ubicació. El NSG a GatewaySubnet avaluaria l'intercanvi IPsec exterior, les adreces del qual pertanyen a les dues passarel·les. La teva regla d'aplicació necessita l'origen privat dins del túnel, i aquest paquet només existeix després que la passarel·la el desxifri. Adjunta el grup a la subxarxa de càrrega de treball i la regla veurà l'adreça per a la qual es va escriure.

Comprova les associacions actuals abans de canviar res, per saber què mous:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Troba l'adreça d'origen després del desxifratge

L'origen intern és l'adreça privada del client local, o l'adreça que presenta un aparell o el NAT de la VPN després de la traducció. No és l'adreça pública de la passarel·la VPN local, que pertany a l'intercanvi exterior.

Quan el NAT forma part del disseny, confirma l'origen presentat en lloc de suposar-lo. Una captura de paquets a la VM d'Azure, o el camp d'origen al registre de connexions del servei, resol la qüestió més de pressa que llegir la configuració local. Després escriu la regla contra aquesta adreça i el port de destinació real.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Fes servir una regla per servei que vulguis exposar i mantén curta la llista de ports. Una regla que permet tots els ports del rang local converteix el NSG en una formalitat.

Comprova l'abast predeterminat de VirtualNetwork

L'etiqueta de servei VirtualNetwork és més àmplia que la xarxa virtual local. La seva definició inclou espais d'adreces locals connectats, xarxes amb peering i altres prefixos connectats a la passarel·la. Això vol dir que una regla de permis predeterminada limitada a VirtualNetwork ja pot permetre trànsit del túnel que un operador creia extern.

Llegeix les regles predeterminades abans d'afegir-ne d'estretes, i llegeix cada regla de prioritat més alta que podria coincidir primer. Afegir un permís explícit no elimina una regla més àmplia que ja permet el flux. On la política exigeixi una denegació, col·loca-la en una prioritat que realment s'avaluï abans del permís.

La documentació d'etiquetes de servei de Microsoft llista què cobreix l'etiqueta VirtualNetwork, i és la referència que cal citar quan algú argumenta que l'etiqueta només significa el rang de la VNet.

Llegeix les regles efectives als dos límits

Quan s'apliquen alhora un NSG de subxarxa i un NSG de NIC, el flux ha de satisfer els dos. Un permís en un no anul·la una denegació en l'altre, i la vista agregada és el que el paquet troba realment.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Si hi ha regles d'administrador de seguretat d'Azure Virtual Network Manager, revisa també aquesta capa. Una regla d'administrador Always allow pot lliurar trànsit sense avaluació del NSG, mentre que una Deny d'administrador l'atura abans que els NSG el vegin. Una revisió només del NSG és incompleta per a aquesta disposició.

Recorda que els NSG són amb estat. Editar una regla no acaba necessàriament una connexió permesa existent, així que una prova d'acceptació necessita un flux nou. Aquesta propietat és útil en producció i enganyosa durant una finestra de canvi.

Verifica amb una connexió nova

Obre una sessió nova des del client local al port del servei i després repeteix-ho des d'un amfitrió que hauria de ser denegat. Executa la prova de flux també des del costat de la VM, per saber que el camí de tornada està intacte.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

Un permís del NSG és una sola decisió d'accés, no una ruta ni un escoltador. Si la regla permet el flux i la connexió encara falla, comprova la ruta del client cap a la VPN, la ruta de tornada d'Azure i el tallafoc de l'amfitrió abans de tornar a editar el grup. Anota l'adreça d'origen real, les associacions del NSG i la regla coincident amb el servei aprovat, perquè el proper canvi de peering o de ruta pot alterar què cobreix l'etiqueta VirtualNetwork.