Δύο δημόσιες IP σε ένα Azure VPN VM: ποια κάνει τι

Δύο δημόσιες IP σε ένα Azure VPN VM δημιουργούν μια προσδοκία που σπάνια ισχύει: η διεύθυνση στην οποία συνδέονται οι πελάτες θα είναι και η διεύθυνση που βλέπουν οι ιστότοποι. Τρεις ανεξάρτητες αποφάσεις παράγουν αυτό το αποτέλεσμα και μόνο η πρώτη αφορά τον ακροατή της σήραγγας. Η δεύτερη είναι η πηγή στον επισκέπτη που χρησιμοποιείται για την προωθημένη κίνηση πελάτη και η τρίτη είναι η μέθοδος εξόδου του Azure που εφαρμόζεται σε αυτή την πηγή. Αλλάξτε τη μία και οι άλλες δύο μένουν εκεί που ήταν, γι' αυτό αποφασίστε την καθεμία ρητά.

Απόφαση 1: πού τερματίζει η σήραγγα

Μια δημόσια IP του Azure συσχετίζεται με μια διαμόρφωση ιδιωτικής IP στη NIC· δεν είναι διεύθυνση που προσθέτετε μέσα στο λειτουργικό σύστημα του επισκέπτη. Διαβάστε την αντιστοίχιση αντί να την υποθέσετε: az network nic show --ids /subscriptions/.../networkInterfaces/vpn-nic --query 'ipConfigurations[].{private:privateIPAddress,public:publicIPAddress.id}'. Όποια ιδιωτική διεύθυνση επιστρέψει αυτό το ερώτημα, αυτή είναι που πρέπει πραγματικά να έχει ο επισκέπτης.

Μία NIC μπορεί να φέρει πολλές διαμορφώσεις IP, οπότε δύο δημόσιες διευθύνσεις δεν απαιτούν δύο NIC. Αν ο σχεδιασμός χρησιμοποιεί όντως δύο NIC, η καθεμία φέρνει τις δικές της διαδρομές στον επισκέπτη και τα επόμενα άλματα, και έχετε προσθέσει μια απόφαση δρομολόγησης αντί να την απλοποιήσετε.

Για μια υπηρεσία με ρητή τοπική δέσμευση, δεσμεύστε στην πραγματική ιδιωτική διεύθυνση του επισκέπτη, ποτέ στο δημόσιο σύμβολο θέσης. Ένας ακροατής που δέχεται όλες τις διευθύνσεις λαμβάνει κίνηση μέσω κάθε διαμόρφωσης IP που τον φτάνει, γι' αυτό περιορίστε την είσοδο με την ομάδα ασφαλείας δικτύου και το τείχος προστασίας του κεντρικού υπολογιστή αντί να ελπίζετε ότι θα αποφασίσει η σειρά δέσμευσης.

Απόφαση 2: ποια πηγή χρησιμοποιεί ο προωθημένος πελάτης

Αφού η πύλη αποκρυπτογραφήσει ένα αίτημα πελάτη, το πακέτο που προωθεί είναι διαφορετικό από αυτό που έφτασε στον ακροατή VPN. Ο επισκέπτης χρειάζεται ενεργοποιημένη προώθηση, πολιτική τείχους προστασίας που επιτρέπει τη ροή και διεύθυνση πηγής που επιτρέπει ο σχεδιασμός του cloud. Αν μεταφράσετε την εσωτερική διεύθυνση του πελάτη, το Azure θα αξιολογήσει αυτή τη μεταφρασμένη πηγή, όχι την εσωτερική διεύθυνση του πελάτη.

Ένας στενός κανόνας SNAT μπορεί να επιλέξει ιδιωτική πηγή του επισκέπτη, αλλά δεν μπορεί να υπερισχύσει μιας μεταγενέστερης μετάφρασης του Azure. Επιλέξτε SNAT όταν χρειάζεστε λογοδοσία ανά πελάτη μέσα στο VM· παραλείψτε το όταν ο σχεδιασμός εξόδου του υποδικτύου παρέχει ήδη σταθερή δημόσια πηγή και μια δεύτερη μετάφραση θα πρόσθετε μόνο κατάσταση.

Απόφαση 3: ποια μέθοδος εξόδου του Azure κερδίζει

Η Microsoft τεκμηριώνειτη σειρά προτεραιότητας εξόδου: μια εφαρμόσιμη διαδρομή προς συσκευή ή πύλη έχει προτεραιότητα και η συνδεσιμότητα του υποδικτύου μέσω NAT Gateway έχει προτεραιότητα έναντι δημόσιας IP σε επίπεδο παρουσίας στη σχετική διαδρομή. Αυτή η σειρά είναι ο λόγος που η μετάφραση σε 10.20.0.5 δεν αποδεικνύει ότι ένας ιστότοπος θα δει το 198.51.100.20. Διαβάστε τον ενεργό πίνακα δρομολόγησης, τη συσχέτιση NAT Gateway και τη δημόσια IP της NIC μαζί πριν αποδεχτείτε τον σχεδιασμό εξόδου.

Κρατήστετη ρύθμιση προώθησης της NIC στο Azureχωριστά από την προώθηση στο Linux. Η σημαία του cloud επιτρέπει πακέτα των οποίων η πηγή ή ο προορισμός δεν έχει εκχωρηθεί στη NIC· δεν ενεργοποιεί το net.ipv4.ip_forward και η ρύθμιση του επισκέπτη δεν παρέχει την άδεια του cloud.

Το socket της σήραγγας έχει τη δική του απόφαση πηγής

Το Address του WireGuard στο wg-quick εκχωρεί διεύθυνση στη διεπαφή WireGuard· δεν είναι οδηγία εξωτερικής δέσμευσης UDP. Η πηγή του κρυπτογραφημένου socket ακολουθεί τον πίνακα δρομολόγησης, οπότε μια διαδρομή πολιτικής ή μια δεύτερη προεπιλεγμένη διαδρομή μπορεί να τη μετακινήσει χωρίς να αγγίξει τη διεύθυνση της διεπαφής.OpenVPN: η επιλογή local και το UDP multihome συμπεριφέρονται το ίδιο: αφορούν τον ακροατή και τις απαντήσεις του, όχι την πηγή internet κάθε προωθημένου πελάτη.

Διατηρήστε τη διαδρομή του υποκείμενου δικτύου που μεταφέρει τη σήραγγα και επιβεβαιώστε ότι ο πελάτης λαμβάνει ακόμη πιστοποιημένες απαντήσεις από την αναμενόμενη διάταξη εισόδου. Μην βασίζεστε στη σειρά της λίστας διευθύνσεων ως μόνιμη πολιτική επιλογής πηγής, γιατί η επόμενη διεύθυνση που προστίθεται στη NIC μπορεί να αλλάξει ποια κερδίζει.

Τι να αποδεχτείτε και με ποια σειρά

Αποδεχτείτε τρία αποτελέσματα χωριστά. Πρώτον, ένας εξωτερικός πελάτης φτάνει στην προβλεπόμενη είσοδο VPN. Δεύτερον, ένα νέο επιτρεπόμενο αίτημα από αυτόν τον πελάτη VPN εξέρχεται από την τεκμηριωμένη έξοδο internet. Τρίτον, οι ανεπιθύμητες διαδρομές ακροατή και προώθησης παραμένουν απορριπτόμενες. Καταγράψτε τις αντιστοιχίσεις δημόσιας σε ιδιωτική διεύθυνση και τους ιδιοκτήτες κάθε απόφασης από την πλευρά του επισκέπτη και του cloud στο ίδιο σημείο.

Μια επιτυχημένη σήραγγα αποδεικνύει μόνο το πρώτο μέρος. Δοκιμάστε την έξοδο με νέα ροή, γιατί μια σύνδεση στην προσωρινή μνήμη μπορεί να συνεχίσει να χρησιμοποιεί την παλιά πηγή πολύ μετά την αλλαγή της διαδρομής.