Du publikaj IP-oj sur unu Azure VPN VM: kiu faras kion

Du publikaj IP-oj sur unu Azure VPN VM kreas atendojn, kiuj malofte plenumiĝas: la adreso, al kiu klientoj konektiĝas, estos ankaŭ la adreso, kiun vidas retejoj. Tri sendependaj decidoj produktas tiun rezulton, kaj nur la unua temas pri la aŭskultanto de la tunelo. La dua estas la gastiganta fonto uzata por plusendita klienta trafiko, kaj la tria estas la elira metodo de Azure, kiu aplikiĝas al tiu fonto. Ŝanĝu unu kaj la aliaj du restas tie, kie ili estis, do decidu ĉiun eksplicite.

Decido 1: kie la tunelo finiĝas

Publika IP de Azure estas asociita kun privata IP-agordo sur la NIC; ĝi ne estas adreso, kiun vi aldonas ene de la gastiga operaciumo. Legu la mapigon anstataŭ supozi ĝin: az network nic show --ids /subscriptions/.../networkInterfaces/vpn-nic --query 'ipConfigurations[].{private:privateIPAddress,public:publicIPAddress.id}'. Kiun ajn privatan adreson tiu peto redonas, ĝuste tiun la gasto devas efektive havi.

Unu NIC povas porti plurajn IP-agordojn, do du publikaj adresoj ne postulas du NIC-ojn. Se la dezajno tamen uzas du NIC-ojn, ĉiu alportas siajn proprajn gastigantajn vojojn kaj sekvajn saltojn, kaj vi aldonis vojigan decidon anstataŭ simpligi unu.

Por servo kun eksplicita loka ligo, ligu al la reala privata adreso de la gasto, neniam al la publika anstataŭaĵo. Aŭskultanto, kiu akceptas ĉiujn adresojn, ricevas trafikon tra ĉiu IP-agordo, kiu atingas ĝin, do limigu la eniron per la reta sekureca grupo kaj la gastiga fajroŝirmilo anstataŭ esperi, ke la liga ordo decidos.

Decido 2: kiun fonton uzas la plusendita kliento

Post kiam la pordego malĉifras klientan peton, la paketo, kiun ĝi plusendas, estas malsama ol tiu, kiu alvenis al la VPN-aŭskultanto. La gasto bezonas ŝaltitan plusendadon, fajroŝirmilan politikon, kiu permesas la fluon, kaj fontan adreson, kiun la nuba dezajno permesas. Se vi tradukas la internan klientan adreson, Azure taksos ĝuste tiun tradukitan fonton, ne la internan adreson de la kliento.

Mallarĝa SNAT-regulo povas elekti privatan fonton de la gasto, sed ĝi ne povas superregi postan tradukon de Azure. Elektu SNAT, kiam vi bezonas respondecon por ĉiu kliento ene de la VM; preterlasu ĝin, kiam la elira dezajno de la subreto jam donas stabilan publikan fonton kaj dua traduko nur aldonus staton.

Decido 3: kiu elira metodo de Azure venkas

Microsoft dokumentasla prioritatan ordon de eliro: aplikebla vojo al aparato aŭ pordego havas prioritaton, kaj la subreta konektebleco tra NAT Gateway havas prioritaton super publika IP je nivelo de instanco sur la koncerna vojo. Tiu ordo estas la kialo, ke traduko al 10.20.0.5 ne pruvas, ke retejo vidos 198.51.100.20. Legu la efektivan vojigan tabelon, la NAT Gateway-asocion kaj la publikan IP de la NIC kune antaŭ ol akcepti la eliran dezajnon.

Tenula plusendadan agordon de la Azure-NICaparte de plusendado en Linux. La nuba flago permesas paketojn, kies fonto aŭ celo ne estas atribuita al la NIC; ĝi ne ŝaltas net.ipv4.ip_forward, kaj la gastiga agordo ne donas la nuban permeson.

La tunela ingo havas sian propran fontan decidon

Address de WireGuard sub wg-quick atribuas adreson al la WireGuard-interfaco; ĝi ne estas instrukcio pri ekstera UDP-ligo. La fonto de la ĉifrita ingo sekvas la vojigan tabelon, do politika vojo aŭ dua defaŭlta vojo povas movi ĝin sen tuŝi la interfacan adreson.OpenVPN: la opcio local kaj UDP multihome kondutas same: ili koncernas la aŭskultanton kaj ĝiajn respondojn, ne la interretan fonton de ĉiu plusendita kliento.

Konservu la suban vojon, kiu portas la tunelon, kaj konfirmu, ke la kliento ankoraŭ ricevas aŭtentigitajn respondojn el la atendata enira aranĝo. Ne fidu la ordon de adreslisto kiel daŭran font-elektan politikon, ĉar la sekva adreso aldonita al la NIC povas ŝanĝi, kiu venkas.

Kion akcepti, kaj en kiu ordo

Akceptu tri rezultojn aparte. Unue, ekstera kliento atingas la celitan VPN-eniron. Due, nova permesita peto de tiu VPN-kliento eliras tra la dokumentita interreta eliro. Trie, neintencitaj aŭskultantaj kaj plusendadaj vojoj restas rifuzitaj. Registru la mapigojn de publika al privata adreso kaj la gastigantajn kaj nubajn posedantojn de ĉiu decido en la sama loko.

Sukcesa tunelo pruvas nur la unuan parton. Testu la eliron per nova fluo, ĉar kaŝmemorita konekto povas daŭre uzi la malnovan fonton longe post kiam la vojo ŝanĝiĝis.