Kial Azure-VM kun VPN-aparato perdas la revenan vojon
VPN-aparato en Azure-VM bezonas, ke la UDR, la plusenda flago de la retkarto kaj la gastpolitiko kongruu. Sekvu unu branĉan peton tra ĉiuj tri.
Azure-VM, kiu rulas VPN-aparaton, staras ene de du sendependaj decidaj sistemoj. Azure decidas, kie paketo forlasas subreton, per enkursigaj tabeloj kaj la plusenda agordo de la retkarto. La propra operaciumo de la aparato decidas, ĉu ĝi plusendos la malĉifritan paketon. Tunelo, kiu leviĝas perfekte, ankoraŭ povas malsukcesi ĉe la dua sistemo, kaj ĝuste tie haltas la plej multaj el ĉi tiuj enkondukoj.
Tri posedantoj de unu vojo
Prenu branĉan reton de 192.168.50.0/24 kaj laborŝarĝan subreton de 10.0.10.0/24, kun la aparato ĉe 10.0.0.4 en sia propra subreto. Unu peto tuŝas tri apartajn agordojn.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Ĉiun vicon posedas malsama teamo en la plej multaj organizoj, kaj tial ĉi tiu paneo kutime alvenas kiel tri biletoj anstataŭ unu.
La enkursigo, kiu montras al la aparato
Ligu enkursigan tabelon al la laborŝarĝa subreto kaj donu al la branĉa prefikso sekvan salteton de tipo Virtual appliance kun 10.0.0.4 kiel adreso. Uzu la atingeblan privatan adreson de la aparato, neniam ĝian publikan VPN-enirejon. La sekva salteto devas esti adreso, kiun la laborŝarĝa subreto jam povas atingi. Lasu la reston de la enkursigado de la laborŝarĝo trankvila, se vi ne konscie decidis anstataŭigi la defaŭltan enkursigon.
Tenu la aparaton en ĝia propra subreto, kaj certigu, ke la enkursigo, kiu sendas branĉan trafikon al la aparato, ankaŭ ne kaptu la propran eliran vojon de la aparato. Tia buklo aspektas kiel sana tunelo kun nulo da respondoj, kio estas tre ĝena afero por sencimigi je la 2-a matene.
La retkarta flago, kiun ĉiuj forgesas
Azure havas IP-plusendan agordon por ĉiu retkarto, kaj ĝi estas defaŭlte malŝaltita. Ĝi ekzistas ĉar plusenda retkarto ricevas paketojn adresitajn al io alia, kaj silente forĵeti ilin estas la sekura defaŭlto por ĉiuj aliaj.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true ŝaltas ĝin por unu interfaco. La gvidlinioj de Microsoft pri plusendado ĉe la retkarto postulas la agordon ĉe ĉiu alkroĉita karto, kiu plusendas trafikon, do aparato kun unu karto ankoraŭ bezonas ĝin agordita ĉe tiu karto.
La flago ne estas enkursigo kaj ne estas fajroŝirma regulo. Ŝalti ĝin donas permeson kaj nenion alian.
Kion la gasto faras kun la malĉifrita paketo
Kiam la tunelo finiĝas, la propra stako de la aparato faras la sekvan decidon. Ĉe Linux-gasto, IPv4-plusendado estas agordo de rultempo, kaj sysctl -w net.ipv4.ip_forward=1 daŭras ĝis la sekva ekŝalto. Konservu ĝin en dosiero sub /etc/sysctl.d/ anstataŭe. Aparato de vendisto havas sian propran ekvivalenton, kaj Linux-instrukcioj algluitaj en vendistan platformon kutime faras tute nenion.
La fajroŝirma politiko de la gasto estas denove aparta, kaj same la retsekureca grupo de la laborŝarĝo. Permesi UDP 500 kaj 4500 al la publika adreso de la VM protektas la tunelon; ĝi diras nenion pri tio, ĉu malĉifrita branĉa peto rajtas atingi laborŝarĝan pordon.
Sekvu unu peton kaj ĝian respondon
Elektu unu permesitan fluon kaj spursekvu ĝin de fino al fino. La branĉo bezonas enkursigon por 10.0.10.0/24 tra la eja ligo, la aparato bezonas liveran vojon al la laborŝarĝa subreto, kaj la laborŝarĝa subreto bezonas revenan enkursigon al la branĉo.
Decidu frue, ĉu la dezajno konservas la branĉan fontadreson aŭ tradukas ĝin. NAT ŝanĝas tion, kion la laborŝarĝo vidas, do ĝiaj alirreguloj devus priskribi la modelon, kiun vi efektive elektis, ne divenitan pordegan adreson.
Sukcesa manpremo pruvas unu ĉeneron de tiu ĉeno. La vojo estas kompleta, kiam la respondo revenas tra la sama aparato kaj la propra politiko de la laborŝarĝo tion permesas.