Non aplikatu NSGak Azureko guneen arteko VPN trafikoan

Guneen arteko tunela martxan dago, tokiko bezeroak Azureko ostalari batzuetara iristen da eta beste batzuetara ez, eta norbaitek sare-segurtasun talde bat erantsi dio GatewaySubneti hori konpontzeko. Gelditu hemen. Azurek ez du NSGrik onartzen GatewaySubneten, eta taldeak ezin du barneko paketea ikusi karga-arau batek bezala. Jarri politika helmugako azpisare edo NICean, parekatu deszifratzearen ondoren existitzen den jatorrizko helbidea, eta gero egiaztatu konexio berri batekin, zahar batekin ez.

Jarri NSGa Azurek ebaluatzen duen tokian

Karga-iragazketarako muga onartua helmugako azpisarea edo helmugako sare-interfazea da. Ateko azpisarea azpiegitura da, eta Azurek dokumentatzen du NSGak ez direla han onartzen eta atearen funtzionamendua honda dezaketela.

Kokalekuak arazo logiko bat ere badu. GatewaySubneteko NSGak kanpoko IPsec trukea ebaluatuko luke, zeinaren helbideak bi ateei dagozkien. Zure aplikazio-araudiak tuneleko barneko jatorri pribatua behar du, eta pakete hori ateak deszifratu ondoren soilik existitzen da. Erantsi taldea karga-azpisareari eta araudiak idatzi zen helbidea ikusiko du.

Egiaztatu uneko elkarketak ezer aldatu aurretik, jakin dezazun zer mugitzen ari zaren:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Aurkitu jatorrizko helbidea deszifratzearen ondoren

Barneko jatorria tokiko bezeroaren helbide pribatua da, edo gailu batek edo VPNko NATak itzulpenez gero aurkezten duen helbidea. Ez da tokiko VPN atearen helbide publikoa, kanpoko trukeari baitagokio.

NAT diseinuaren parte denean, egiaztatu aurkeztutako jatorria suposatu beharrean. Azureko VMn pakete-kapturak edo zerbitzuaren konexio-erregistroko jatorri-eremuak azkarrago argitzen du kontua tokiko konfigurazioa irakurtzeak baino. Gero idatzi araudia helbide horren eta benetako helmuga-portuaren aurka.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Erabili araudi bat erakutsi nahi duzun zerbitzu bakoitzeko, eta eutsi portu-zerrenda labur. Tokiko tarteko portu guztiak uzten dituen araudiak NSGa izapide bihurtzen du.

Egiaztatu VirtualNetwork-en esparru lehenetsia

VirtualNetwork zerbitzu-etiketa tokiko sare birtuala baino zabalagoa da. Bere definizioak konektatutako tokiko helbide-espazioak, peering bidezko sareak eta atetik konektatutako beste aurrizki batzuk barne hartzen ditu. Beraz, VirtualNetworkera mugatutako baimen-arau lehenetsi batek kanpokotzat jotzen zen tunel-trafikoa jada onar dezake.

Irakurri arau lehenetsiak estuak gehitu aurretik, eta irakurri lehenengo bat etor litekeen lehentasun handiagoko arau bakoitza. Baimen esplizitua gehitzeak ez du fluxua jada uzten duen arau zabalagoa kentzen. Politika ukatzea eskatzen duen tokian, jarri baimenaren aurretik benetan ebaluatzen den lehentasunean.

Microsoften zerbitzu-etiketen dokumentazioak zerrendatzen du VirtualNetwork etiketak zer estaltzen duen, eta hori da aipatzeko erreferentzia norbaitek etiketak VNet-en tartea soilik esan nahi duela argudiatzen duenean.

Irakurri arau eraginkorrak bi mugetan

Azpisareko NSGa eta NICeko NSGa batera aplikatzen direnean, fluxuak biak bete behar ditu. Bateko baimenak ez du besteko ukapena indargabetzen, eta bista bateratua da paketeak benetan aurkitzen duena.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Azure Virtual Network Managerren segurtasun administrazio-arauak indarrean badaude, berrikusi geruza hori ere. Administrazio Always allow arauak trafikoa NSGaren ebaluazio gabe entregatu dezake, eta administrazio Deny arauak NSGek ikusi aurretik gelditzen du. NSGak soilik aztertzea osatugabea da antolamendu horretarako.

Gogoratu NSGak egoeradunak direla. Arau bat editatzeak ez du nahitaez lehendik onartutako konexioa amaitzen, beraz onarpen-probak fluxu berria behar du. Propietate hori erabilgarria da ekoizpenean eta engainagarria aldaketa-leiho batean.

Egiaztatu konexio berri batekin

Ireki saio berria tokiko bezerotik zerbitzuaren portura, eta gero errepikatu ukatu beharko litzatekeen ostalari batetik. Exekutatu fluxu-proba VMaren aldetik ere, itzulera-bidea osorik dagoela jakin dezazun.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

NSG baimena sarbide-erabaki bakarra da, ez da ibilbide eta ez da entzule. Araudiak fluxua uzten badu eta konexioak huts egiten badu oraindik, egiaztatu bezeroaren ibilbidea VPNra, Azureren itzulera-ibilbidea eta ostalariaren suebakia taldea berriro editatu aurretik. Idatzi benetako jatorrizko helbidea, NSG elkarketak eta bat datorren araudia onartutako zerbitzuarekin batera, hurrengo peering edo ibilbide-aldaketak VirtualNetwork etiketak zer estaltzen duen alda baitezake.