Pam mae VM offeryn VPN yn Azure yn gollwng y llwybr dychwelyd
Mae offeryn VPN mewn VM Azure angen i'r UDR, y faner anfon ymlaen ar y card rhwydwaith ac ym mholis y gwesteiwr gytuno. Dilynwch un cais cangen drwy'r tri.
Mae VM Azure sy'n rhedeg offeryn VPN yn byw y tu mewn i ddau system penderfynu annibynnol. Azure sy'n penderfynu o ble mae pecyn yn gadael is-rwydwaith, gan ddefnyddio tablau llwybr a gosodiad anfon ymlaen y card rhwydwaith. Mae system weithredu'r offeryn ei hun yn penderfynu a fydd yn anfon y pecyn dadgryptio ymlaen. Gall tiwnel sy'n codi'n berffaith fethu o hyd ar yr ail system, a dyna lle mae'r rhan fwyaf o'r gosodiadau hyn yn stopio.
Tri pherchennog un llwybr
Cymerwch rwydwaith cangen o 192.168.50.0/24 ac is-rwydwaith llwyth gwaith o 10.0.10.0/24, gyda'r offeryn yn 10.0.0.4 yn ei is-rwydwaith ei hun. Mae un cais yn cyffwrdd tri chyfluniad ar wahân.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Mae tîm gwahanol yn berchen ar bob rhes yn y rhan fwyaf o sefydliadau, a dyna pam mae'r methiant hwn fel arfer yn cyrraedd fel tri thocyn yn lle un.
Y llwybr sy'n pwyntio at yr offeryn
Cysylltwch dabl llwybr â'r is-rwydwaith llwyth gwaith a rhowch i ragddodiad y gangen naid nesaf o fath Virtual appliance gyda 10.0.0.4 fel y cyfeiriad. Defnyddiwch gyfeiriad preifat hygyrch yr offeryn, byth ei bwynt mynediad VPN cyhoeddus. Rhaid i'r naid nesaf fod yn gyfeiriad y gall yr is-rwydwaith llwyth gwaith ei gyrraedd yn barod. Gadewch weddill llwybro'r llwyth gwaith yn llonydd oni bai eich bod wedi penderfynu'n fwriadol ddisodli'r llwybr diofyn.
Cadwch yr offeryn yn ei is-rwydwaith ei hun, a gwnewch yn siŵr nad yw'r llwybr sy'n anfon traffig y gangen at yr offeryn hefyd yn dal llwybr allan yr offeryn ei hun. Mae dolen o'r fath yn edrych fel tiwnel iach heb unrhyw atebion, sy'n beth diflas iawn i'w ddadfygio am 2 o'r gloch y bore.
Y faner card rhwydwaith y mae pawb yn ei hanghofio
Mae gan Azure osodiad anfon ymlaen IP fesul card rhwydwaith, ac mae i ffwrdd yn ddiofyn. Mae'n bodoli oherwydd bod card sy'n anfon ymlaen yn derbyn pecynnau wedi'u cyfeirio at rywbeth arall, ac mae eu gollwng yn dawel yn ddiofyn diogel i bawb arall.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true yn ei droi ymlaen ar gyfer un rhyngwyneb. Mae canllawiau Microsoft ar anfon ymlaen ar y card rhwydwaith yn gofyn am y gosodiad ar bob card cysylltiedig sy'n anfon traffig ymlaen, felly mae angen ei osod ar y card hwnnw o hyd mewn offeryn un card.
Nid llwybr yw'r faner ac nid rheol mur tân ydyw. Mae ei throi ymlaen yn rhoi caniatâd a dim byd arall.
Beth mae'r gwesteiwr yn ei wneud â'r pecyn dadgryptio
Unwaith y bydd y tiwnel yn gorffen, mae stac yr offeryn ei hun yn gwneud y penderfyniad nesaf. Ar westeiwr Linux, mae anfon ymlaen IPv4 yn osodiad amser rhedeg, ac sysctl -w net.ipv4.ip_forward=1 mae'n para tan y cychwyn nesaf. Cadwch ef mewn ffeil o dan /etc/sysctl.d/ yn lle hynny. Mae gan offeryn gwerthwr ei gyfateb ei hun, ac mae cyfarwyddiadau Linux a ludiwyd i lwyfan gwerthwr fel arfer yn gwneud dim o gwbl.
Mae polis mur tân y gwesteiwr ar wahân eto, ac felly hefyd grŵp diogelwch rhwydwaith y llwyth gwaith. Mae caniatáu UDP 500 a 4500 i gyfeiriad cyhoeddus y VM yn diogelu'r tiwnel; nid yw'n dweud dim am ba un a all cais cangen dadgryptio gyrraedd porth llwyth gwaith.
Dilynwch un cais a'i ateb
Dewiswch un llif a ganiateir a'i olrhain o'r dechrau i'r diwedd. Mae ar y gangen angen llwybr ar gyfer 10.0.10.0/24 dros y cysylltiad safle, mae ar yr offeryn angen llwybr dosbarthu i'r is-rwydwaith llwyth gwaith, ac mae ar yr is-rwydwaith llwyth gwaith angen llwybr dychwelyd tuag at y gangen.
Penderfynwch yn gynnar a yw'r dyluniad yn cadw cyfeiriad ffynhonnell y gangen neu'n ei gyfieithu. Mae NAT yn newid yr hyn y mae'r llwyth gwaith yn ei weld, felly dylai ei reolau mynediad ddisgrifio'r model a ddewiswyd gennych mewn gwirionedd, nid cyfeiriad porth a ddyfelwyd.
Mae ysgwyd llaw llwyddiannus yn profi un ddolen o'r gadwyn honno. Mae'r llwybr yn gyflawn pan fydd yr ateb yn dychwelyd drwy'r un offeryn ac mae polis y llwyth gwaith ei hun yn caniatáu hynny.