Dau IP gyhoeddus ar un VM VPN Azure: pa un sy'n gwneud beth

Mae dau IP cyhoeddus ar un VM VPN Azure yn creu disgwyliad nad yw'n aml yn dal: bydd yr adres y mae cleientiaid yn cysylltu â hi hefyd yn adres y bydd gwefannau'n ei gweld. Mae tair penderfyniad annibynnol yn cynhyrchu'r canlyniad hwnnw, a dim ond y gyntaf sy'n ymwneud â gwrandäwr y tiwnel. Yr ail yw tarddiad y gwesteiwr a ddefnyddir ar gyfer traffig cleient a anfonir ymlaen, a'r drydedd yw dull allanfa Azure sy'n berthnasol i'r tarddiad hwnnw. Newidiwch un a bydd y ddwy arall yn aros lle'r oeddent, felly penderfynwch bob un yn benodol.

Penderfyniad 1: ble mae'r tiwnel yn gorffen

Mae IP cyhoeddus Azure yn gysylltiedig â chyfluniad IP preifat ar y NIC; nid adres ychwanegwch y tu mewn i system weithredu'r gwesteiwr yw hi. Darllenwch y mapio yn lle ei dybio: az network nic show --ids /subscriptions/.../networkInterfaces/vpn-nic --query 'ipConfigurations[].{private:privateIPAddress,public:publicIPAddress.id}'. Pa bynnag adres breifat bynnag a ddychwelir gan y cwestiwn hwnnw, dyna'r un y mae'n rhaid i'r gwesteiwr ei chadw mewn gwirionedd.

Gall un NIC gynnal sawl cyfluniad IP, felly nid oes angen dau NIC ar gyfer dau adres gyhoeddus. Os yw'r dyluniad yn defnyddio dau NIC, mae pob un yn dod â'i lwybrau gwesteiwr a'i neidiau nesaf ei hun, ac rydych wedi ychwanegu penderfyniad llwybro yn lle ei symleiddio.

Ar gyfer gwasanaeth â rhwymiad lleol penodol, rhwymwch at wir adres breifat y gwesteiwr, byth at y daliwr lle cyhoeddus. Mae gwrandäwr sy'n derbyn pob adres yn derbyn traffig drwy bob cyfluniad IP sy'n cyrraedd ato, felly cyfyngwch y fynedfa gyda'r grŵp diogelwch rhwydwaith a wal dân y gwesteiwr yn lle gobeithio y bydd trefn y rhwymiad yn penderfynu.

Penderfyniad 2: pa darddiad y mae'r cleient a anfonir ymlaen yn ei ddefnyddio

Ar ôl i'r porth ddadgryptio cais cleient, mae'r pecyn a anfonir ymlaen yn becyn gwahanol i'r un a gyrhaeddodd wrandäwr y VPN. Mae angen i'r gwesteiwr allu anfon ymlaen, polisi wal dân sy'n caniatáu'r llif, ac adres tarddiad y mae dyluniad y cwmwl yn ei chaniatáu. Os cyfieithwch adres fewnol y cleient, y tarddiad cyfieithiedig hwnnw y bydd Azure yn ei werthuso, nid adres fewnol y cleient.

Gall rheol SNAT gul ddewis tarddiad preifat y gwesteiwr, ond ni all orchfygu cyfieithiad Azure i lawr yr afon. Dewiswch SNAT pan fyddwch angen atebolrwydd fesul cleient y tu mewn i'r VM; anwybyddwch ef pan fydd dyluniad allanfa'r isrwyd yn darparu tarddiad cyhoeddus sefydlog yn barod a dim ond cyflwr y byddai ail gyfieithiad yn ei ychwanegu.

Penderfyniad 3: pa ddull allanfa Azure sy'n ennill

Mae Microsoft yn dogfennutrefn blaenoriaeth allanfa: mae llwybr perthnasol i offeryn neu borth yn cael blaenoriaeth, ac mae cysylltedd NAT Gateway yr isrwyd yn cael blaenoriaeth dros IP cyhoeddus ar lefel enghraifft ar y llwybr perthnasol. Dyna pam nad yw cyfieithu i 10.20.0.5 yn profi y bydd gwefan yn gweld 198.51.100.20. Darllenwch y tabl llwybro effeithiol, cysylltiad NAT Gateway ac IP cyhoeddus y NIC gyda'i gilydd cyn derbyn dyluniad yr allanfa.

Cadwchosodiad anfon ymlaen NIC Azurear wahân i anfon ymlaen Linux. Mae baner y cwmwl yn caniatáu pecynnau nad yw eu tarddiad neu eu cyrchfan wedi'i neilltuo i'r NIC; nid yw'n galluogi net.ipv4.ip_forward, ac nid yw osodiad y gwesteiwr yn rhoi caniatâd y cwmwl.

Mae gan soced y tiwnel ei benderfyniad tarddiad ei hun

Mae Address WireGuard o dan wg-quick yn neilltuo adres i ryngwyneb WireGuard; nid cyfarwyddyd rhwymo UDP allanol yw hwn. Mae tarddiad y soced amgryptiedig yn dilyn y tabl llwybro, felly gall llwybr polisi neu ail lwybr diofyn ei symud heb gyffwrdd ag adres y rhyngwyneb.OpenVPN: mae opsiwn local a UDP multihome yn ymddwyn yr un fath: maent yn ymwneud â'r gwrandäwr a'i atebion, nid â tharddiad rhyngrwyd pob cleient a anfonir ymlaen.

Cadwch y llwybr islawr sy'n cario'r tiwnel, a chadarnhewch fod y cleient yn dal i dderbyn atebion dilys o'r drefn fynedfa a ddisgwylir. Peidiwch â dibynnu ar drefn y rhestr adresau fel polisi dewis tarddiad parhaol, oherwydd gall yr adres nesaf a ychwanegir at y NIC newid pa un sy'n ennill.

Beth i'w dderbyn, ac ym mha drefn

Derbyniwch dri chanlyniad ar wahân. Yn gyntaf, mae cleient allanol yn cyrraedd y fynedfa VPN a fwriadwyd. Yn ail, mae cais newydd a ganiateir gan y cleient VPN hwnnw yn gadael drwy allanfa rhyngrwyd ddogfennedig. Yn drydydd, mae llwybrau gwrandäwr ac anfon ymlaen nas bwriadwyd yn parhau i gael eu gwrthod. Cofnodwch y mapio cyhoeddus-i-breifat a pherchnogion gwesteiwr a chwmwl pob penderfyniad yn yr un lle.

Nid yw tiwnel llwyddiannus yn profi ond y rhan gyntaf. Profwch yr allanfa â llif newydd, oherwydd gall cysylltiad wedi'i storio barhau i ddefnyddio'r hen darddiad ymhell ar ôl i'r llwybr newid.