Bi IP publiko Azure VPN VM bakarrean: bakoitzak zer egiten duen

Azure VPN VM bakarrean bi IP publikoak izateak gutxitan betetzen den itxaropena sortzen du: bezeroak konektatzen diren helbidea webguneek ikusten duten helbidea ere izango da. Hiru erabaki independentek ematen dute emaitza hori, eta lehenengoa baino ez da tunelaren entzuleari buruzkoa. Bigarrena bezeroaren trafiko birbidaltzeko erabiltzen den gonbidatuaren jatorria da, eta hirugarrena jatorri horri aplikatzen zaion Azure-ren irteera metodoa. Aldatu bat eta beste biak zeuden lekuan geratzen dira, beraz erabaki bakoitza berariaz.

1. erabakia: non amaitzen den tunela

Azure IP publiko bat NIC-eko IP pribatuaren konfigurazio bati lotuta dago; ez da gonbidatuaren sistema eragilearen barruan gehitzen duzun helbidea. Irakurri mapaketa suposatu beharrean: az network nic show --ids /subscriptions/.../networkInterfaces/vpn-nic --query 'ipConfigurations[].{private:privateIPAddress,public:publicIPAddress.id}'. Kontsulta horrek itzultzen duen IP pribatua da gonbidatuak benetan eduki behar duena.

NIC batek IP konfigurazio batzuk eraman ditzake, beraz bi helbide publikok ez dute bi NIC behar. Diseinuak bi NIC erabiltzen baditu, bakoitzak bere gonbidatu-bideak eta hurrengo jauziak ekartzen ditu, eta bideratze-erabaki bat gehitu duzu, bat sinplifikatu beharrean.

Tokiko lotura esplizitua duen zerbitzu batentzat, lotu gonbidatuaren benetako IP pribatuari, inoiz ez publikoari. Helbide guztiak onartzen dituen entzule batek berau ukitzen duen IP konfigurazio bakoitzetik jasotzen du trafikoa, beraz mugatu sarrera sare-segurtasun taldearekin eta ostalariaren suebakiarekin, loturaren ordenak erabakiko duelako itxaron beharrean.

2. erabakia: zein jatorri erabiltzen duen birbidalitako bezeroak

Pasabideak bezeroaren eskaera deszifratu ondoren, birbidaltzen duen paketea VPN entzulera iritsi zen paketea ez bezalakoa da. Gonbidatuak birbidaltzea gaituta behar du, fluxua baimentzen duen suebaki-politika bat eta hodeiko diseinuak baimentzen duen jatorri-helbide bat. Bezeroaren barne-helbidea itzultzen baduzu, Azure-k jatorri itzuli hori balioetsiko du, ez bezeroaren barne-helbidea.

SNAT arau estu batek gonbidatuaren jatorri pribatua hauta dezake, baina ezin dio Azure-ren ondorengo itzulpen bati gainjarri. Hautatu SNAT bezero bakoitzeko erantzukizuna behar duzunean VM barruan; utzi alde batera azpisarearen irteera-diseinuak jatorri publiko egonkorra ematen duenean eta bigarren itzulpen batek egoera baino ez luke gehituko.

3. erabakia: zein Azure irteera metodo nagusitzen den

Microsoft-ekirteeraren lehentasun ordenadokumentatzen du: gailu edo pasabide baterako bide aplikagarriak lehentasuna du, eta azpisarearen NAT Gateway konektibitateak lehentasuna du instantzia mailako IP publikoaren gainetik bide horretan. Ordena hori da 10.20.0.5-era itzultzeak ez duela frogatzen webgune batek 198.51.100.20 ikusiko duenik. Irakurri bideratze-taularen efektiboa, NAT Gateway elkartzea eta NIC-eko IP publikoa batera irteera-diseinua onartu aurretik.

EdukiAzure NIC-eko birbidaltze-ezarpenaLinux-eko birbidaltzetik bereizita. Hodeiko banderak NIC-ari esleituta ez dagoen jatorri edo helburua duten paketeak baimentzen ditu; ez du net.ipv4.ip_forward gaitzen, eta gonbidatuaren ezarpenak ez du hodeiko baimenik ematen.

Tunelaren socket-ak bere jatorri-erabakia du

WireGuard-en Address wg-quick-en WireGuard interfaze bati helbidea esleitzen dio; ez da kanpoko UDP loturaren argibidea. Socket zifratuaren jatorriak bideratze-taula jarraitzen du, beraz politika-bide batek edo bigarren bide lehenetsi batek mugi dezake interfazearen helbidea ukitu gabe.OpenVPN: local aukerak eta UDP multihome-k berdin jokatzen dute: entzuleari eta haren erantzunei dagozkie, ez birbidalitako bezero bakoitzaren internet jatorriari.

Mantendu tunela daraman azpiko geruza bidea, eta egiaztatu bezeroak oraindik erantzun autentifikatuak jasotzen dituela espero den sarrera-antolamendutik. Ez fidatu helbide-zerrendaren ordenaz jatorria hautatzeko politika iraunkor gisa, NIC-ari gehitzen zaion hurrengo helbideak alda baitezake zein nagusituko den.

Zer onartu, eta zein ordutan

Onartu hiru emaitza bereizita. Lehenik, kanpoko bezero batek aurreikusitako VPN sarrera ukitzen du. Bigarrenik, VPN bezero horren baimendutako eskaera berri batek dokumentatutako internet irteeratik irteten du. Hirugarrenik, nahi ez diren entzule eta birbidaltze bideek ukatuta jarraitzen dute. Erregistratu publiko-tik-pribaturako mapaketak eta erabaki bakoitzaren gonbidatu eta hodeiko jabeak leku berean.

Tunel arrakastatsu batek lehen zatia baino ez du frogatzen. Probatu irteera fluxu berri batekin, cachean gordetako konexio batek jatorri zaharra erabiltzen jarrai baitezake bidea aldatu eta askoz geroago.