Ble i gymhwyso NSG ar gyfer traffig VPN safle-i-safle Azure

Mae'r twnnel safle-i-safle i fyny, mae'r cleient lleol yn cyrraedd rhai gwesteiwyr Azure ac nid eraill, ac mae rhywun wedi atodi grŵp diogelwch rhwydwaith i GatewaySubnet i'w drwsio. Stopiwch yno. Nid yw Azure yn cefnogi NSG ar GatewaySubnet, ac ni all y grŵp weld y pecyn mewnol fel y mae rheol llwyth gwaith yn ei wneud. Rhowch y polisi ar yr is-rwydwaith neu'r NIC cyrchfan, cyfatebwch y cyfeiriad ffynhonnell sy'n bodoli ar ôl dadgryptio, ac yna gwiriwch â chysylltiad newydd yn hytrach nag un hen.

Rhowch yr NSG lle mae Azure yn ei werthuso

Y ffin a gefnogir ar gyfer hidlo llwyth gwaith yw'r is-rwydwaith cyrchfan neu'r rhyngwyneb rhwydwaith cyrchfan. Mae is-rwydwaith porth yn seilwaith, ac mae Azure yn nodi nad yw NSG yno yn cael eu cefnogi ac y gallant amharu ar weithrediad y porth.

Mae problem resymegol hefyd gyda'r lleoliad. Byddai'r NSG ar GatewaySubnet yn gwerthuso'r gyfnewidfa IPsec allanol, y mae ei chyfeiriadau yn perthyn i'r ddau borth. Mae angen y ffynhonnell breifat y tu mewn i'r twnnel ar eich rheol cymhwysiad, ac nid yw'r pecyn hwnnw'n bodoli nes bod y porth yn ei ddadgryptio. Atodwch y grŵp i is-rwydwaith y llwyth gwaith a bydd y rheol yn gweld y cyfeiriad y'i hysgrifennwyd ar ei gyfer.

Gwiriwch y cysylltiadau presennol cyn newid unrhyw beth, fel y gwyddoch beth rydych yn ei symud:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Dewch o hyd i'r cyfeiriad ffynhonnell ar ôl dadgryptio

Y ffynhonnell fewnol yw cyfeiriad preifat y cleient lleol, neu'r cyfeiriad y mae offeryn neu NAT VPN yn ei gyflwyno ar ôl cyfieithu. Nid dyma gyfeiriad cyhoeddus y porth VPN lleol, sy'n perthyn i'r gyfnewidfa allanol.

Pan fo NAT yn rhan o'r dyluniad, cadarnhewch y ffynhonnell a gyflwynir yn hytrach na'i thybio. Mae cipio pecynnau ar y VM Azure, neu'r maes ffynhonnell yng nghofnod cysylltiad y gwasanaeth, yn setlo'r cwestiwn yn gyflymach na darllen y ffurfweddiad lleol. Yna ysgrifennwch y rheol yn erbyn y cyfeiriad hwnnw a phorth cyrchfan go iawn.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Defnyddiwch un rheol ar gyfer pob gwasanaeth rydych am ei ddatgelu, a chadwch y rhestr porthau'n fyr. Mae rheol sy'n caniatáu pob porth o'r amrediad lleol yn troi'r NSG yn ffurfioldeb.

Gwiriwch gwmpas rhagosodedig VirtualNetwork

Mae tag gwasanaeth VirtualNetwork yn changach na'r rhwydwaith rhithwir lleol. Mae ei ddiffiniad yn cynnwys gofodau cyfeiriad lleol cysylltiedig, rhwydweithiau peering, a rhagddodiadau eraill a gysylltir drwy borth. Mae hynny'n golygu y gall rheol ganiatáu rhagosodedig wedi'i chwmpasu i VirtualNetwork eisoes ganiatáu traffig twnnel yr oedd gweithredwr yn credu oedd yn allanol.

Darllenwch y rheolau rhagosodedig cyn ychwanegu rhai cul, a darllenwch bob rheol â blaenoriaeth uwch a allai gyfateb yn gyntaf. Nid yw ychwanegu caniatâd penodol yn dileu rheol ehangach sy'n caniatáu'r llif yn barod. Lle mae polisi'n mynnu gwaharddiad, rhowch ef ar flaenoriaeth a werthuso'n wir cyn y caniatâd.

Mae dogfennaeth tagiau gwasanaeth Microsoft yn rhestru beth mae tag VirtualNetwork yn ei gwmpasu, a dyma'r cyfeiriad i'w ddyfynnu pan fydd rhywun yn dadlau mai dim ond amrediad y VNet y mae'r tag yn ei olygu.

Darllenwch y rheolau effeithiol ar y ddwy ffin

Pan fo NSG is-rwydwaith ac NSG NIC ill dau yn berthnasol, rhaid i'r llif fodloni'r ddau. Nid yw caniatâd yn un yn diystyru gwaharddiad yn y llall, a'r wedd gyfunol yw'r hyn y mae'r pecyn yn ei chyfarfod mewn gwirionedd.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Os yw rheolau gweinyddol diogelwch Azure Virtual Network Manager yn chwarae rhan, adolygwch y haen honno hefyd. Gall rheol weinyddol Always allow ddanfon traffig heb werthuso NSG, tra mae Deny weinyddol yn ei atal cyn i'r NSG ei weld. Mae adolygiad NSG yn unig yn anghyflawn ar gyfer y drefn honno.

Cofiwch fod NSG yn cadw cyflwr. Nid yw golygu rheol o reidrwydd yn terfynu cysylltiad a ganiateir yn barod, felly mae angen llif newydd ar brawf derbyn. Mae'r nodwedd hon yn ddefnyddiol mewn cynhyrchu ac yn gamarweiniol yn ystod ffenestr newid.

Gwiriwch â chysylltiad newydd

Agorwch sesiwn newydd o'r cleient lleol i borth y gwasanaeth, yna ailadroddwch o westeiwr y dylid ei wrthod. Rhedegwch y prawf llif o ochr y VM hefyd, fel y gwyddoch fod y llwybr dychwelyd yn gyfan.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

Mae caniatâd NSG yn un penderfyniad mynediad, nid llwybr ac nid gwrandäwr. Os yw'r rheol yn caniatáu'r llif ac mae'r cysylltiad yn dal i fethu, gwiriwch lwybr y cleient i'r VPN, llwybr dychwelyd Azure, a mur tân y gwesteiwr cyn golygu'r grŵp eto. Cofnodwch y cyfeiriad ffynhonnell gwirioneddol, cysylltiadau'r NSG, a'r rheol gyfatebol gyda'r gwasanaeth a gymeradwywyd, oherwydd gall y peering neu'r newid llwybr nesaf newid yr hyn y mae tag VirtualNetwork yn ei gwmpasu.