Miks Azure'i VPN-seadme VM kaotab tagasitee
Azure'i VM-is olev VPN-seade vajab, et UDR, võrgukaardi edastuslipp ja külalise poliitika oleksid kooskõlas. Jälgige üht harukontori päringut läbi kõigi kolme.
Azure'i VM, mis jooksutab VPN-seadet, asub kahe sõltumatu otsustussüsteemi sees. Azure otsustab, kust pakett alamvõrgust lahkub, kasutades marsruuditabeleid ja võrgukaardi edastusseadet. Seadme enda operatsioonisüsteem otsustab, kas see edastab dekrüpteeritud paketi edasi. Täiuslikult tõusev tunnel võib teises süsteemis siiski ebaõnnestuda ja täpselt seal peatuvad enamik neist juurutustest.
Ühe tee kolm omanikku
Võtke harukontori võrk 192.168.50.0/24 ja töökoormuse alamvõrk 10.0.10.0/24, kusjuures seade on aadressil 10.0.0.4 omaette alamvõrgus. Üks päring puudutab kolme eraldi konfiguratsiooni.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Iga rida kuulub enamikus organisatsioonides eri meeskonnale, mistõttu saabub see rike tavaliselt kolme piletina ühe asemel.
Marsruut, mis osutab seadmele
Seostage marsruuditabel töökoormuse alamvõrguga ja andke haru eesliitele järgmine hüpe tüübiga Virtual appliance koos 10.0.0.4 aadressina. Kasutage seadme kättesaadavat privaatset aadressi, mitte kunagi selle avalikku VPN-sisendpunkti. Järgmine hüpe peab olema aadress, millele töökoormuse alamvõrk juba ligi pääseb. Jätke ülejäänud töökoormuse marsruutimine puutumata, kui te ei ole teadlikult otsustanud vaikimisi marsruuti asendada.
Hoidke seade omaette alamvõrgus ja veenduge, et marsruut, mis saadab haru liikluse seadmele, ei püüa kinni ka seadme enda väljuvat teed. Selline silmus näeb välja nagu terve tunnel nulli vastusega ja seda on väga ebameeldiv öösel kell 2 siluda.
Võrgukaardi lipp, mille kõik unustavad
Azure'il on iga võrgukaardi kohta IP-edastuse säte ja see on vaikimisi väljas. See on olemas seetõttu, et edastav kaart saab pakette, mis on adresseeritud millelegi muule, ja nende vaikne kõrvaldamine on kõigi teiste jaoks turvaline vaikeväärtus.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true lülitab selle ühe liidese jaoks sisse. Microsofti juhised võrgukaardi edastuse kohta nõuavad seda sätet igal ühendatud kaardil, mis liiklust edastab, seega ühe kaardiga seade vajab seda ikkagi sellel kaardil.
Lipp ei ole marsruut ega tulemüürireegel. Selle sisselülitamine annab loa ja mitte midagi muud.
Mida külaline dekrüpteeritud paketiga teeb
Kui tunnel lõpeb, teeb seadme enda virn järgmise otsuse. Linuxi külalises on IPv4-edastus tööaegne säte ja sysctl -w net.ipv4.ip_forward=1 kehtib kuni järgmise käivituseni. Salvestage see faili asukohas /etc/sysctl.d/ selle asemel. Tarnija seadmel on oma vaste ja tarnija platvormile kleepitud Linuxi juhised ei tee tavaliselt üldse mitte midagi.
Külalise tulemüüri poliitika on jälle eraldi, samuti töökoormuse võrgu turvagrupp. UDP 500 ja 4500 lubamine VM-i avalikule aadressile kaitseb tunnelit; see ei ütle midagi selle kohta, kas dekrüpteeritud haru päring võib jõuda töökoormuse pordini.
Jälgige üht päringut ja selle vastust
Valige üks lubatud voog ja jälgige seda algusest lõpuni. Haru vajab marsruuti sihtkohale 10.0.10.0/24 üle saidiühenduse, seade vajab tarnetee töökoormuse alamvõrku ja töökoormuse alamvõrk vajab tagasimarssruuti haru poole.
Otsustage varakult, kas lahendus säilitab haru lähteaadressi või tõlgib selle. NAT muudab seda, mida töökoormus näeb, seega peaksid selle juurdepääsureeglid kirjeldama mudelit, mille te tegelikult valisite, mitte oletatavat lüüsi aadressi.
Edukas kätlemine tõestab üht lüli sellest ahelast. Tee on terviklik siis, kui vastus naaseb sama seadme kaudu ja töökoormuse enda poliitika seda lubab.