Zergatik galtzen duen Azure-ko VPN gailuaren VM batek itzultzeko bidea
Azure VM bateko VPN gailu batek UDRak, NIC-en birbidaltze-bandera eta gonbidatuaren politika ados egotea behar du. Jarraitu adar eskaera bat hiruretatik.
VPN gailu bat exekutatzen duen Azure VM bat bi erabaki-sistema independenteren barruan dago. Azurek erabakitzen du pakete bat non uzten duen azpisare bat, bideratze-taulak eta NICaren birbidaltze-ezarpena erabiliz. Gailuaren sistema eragileak berak erabakitzen du deskifratutako paketea aurrera bidaliko duen. Primeran igotzen den tunel batek bigarren sisteman huts egin dezake, eta han gelditzen dira horrelako hedapen gehienak.
Bide bakarraren hiru jabe
Hartu adar sare bat 192.168.50.0/24 eta lan-karga azpisare bat 10.0.10.0/24, gailua helbide honetan dagoela 10.0.0.4 bere azpisare propioan. Eskaera bakar batek hiru konfigurazio desberdin ukitzen ditu.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Erakunde gehienetan talde desberdin batek du errenkada bakoitza, eta horregatik akats hau normalean hiru tiketetan iristen da bat beharrean.
Gailura seinalatzen duen bidea
Lotu bideratze-taula bat lan-karga azpisareari eta eman adar aurrizkiari Virtual appliance motako hurrengo jauzia honekin 10.0.0.4 helbide gisa. Erabili gailuaren helbide pribatu irisgarria, inoiz ez bere VPN sarrera-puntu publikoa. Hurrengo jauziak lan-karga azpisareak jada irits dezakeen helbidea izan behar du. Utzi lan-kargaren gainerako bideratzea bakean, ez baduzu nahita erabaki lehenespenezko bidea ordezkatzea.
Eduki gailua bere azpisare propioan, eta ziurtatu adar trafikoa gailura bidaltzen duen bideak ez duela gailuaren irteera-bidea ere harrapatzen. Begizta horrek erantzunik gabeko tunel osasuntsu bat dirudi, eta hori oso gauza gogaikarria da goizeko 2etan arazten.
Denek ahazten duten NIC bandera
Azurek IP birbidaltzearen ezarpena du NIC bakoitzeko, eta lehenespenez itzalita dago. Badago birbidaltzen duen NIC batek beste zerbaiti zuzendutako paketeak jasotzen dituelako, eta horiek isilean botatzea da gainerako guztientzako balio lehenetsi segurua.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true interfaze bakarrerako pizten du. Microsoftek NICen birbidaltzeari buruzko jarraibideak trafikoa birbidaltzen duen konektatutako NIC bakoitzean ezarpena eskatzen dute, beraz NIC bakarreko gailu batek oraindik NIC horretan ezarrita behar du.
Bandera ez da bide bat eta ez da suebaki arau bat. Pizteak baimena ematen du eta besterik ez.
Zer egiten duen gonbidatuak deskifratutako paketearekin
Tunela amaitzen denean, gailuaren pilak hartzen du hurrengo erabakia. Linux gonbidatu batean, IPv4 birbidaltzea exekuzio-denborako ezarpena da, eta sysctl -w net.ipv4.ip_forward=1 hurrengo abiaraztera arte irauten du. Gorde ezazu ordez fitxategi batean /etc/sysctl.d/ azpian. Hornitzaile baten gailuak bere baliokidea du, eta hornitzaile-plataforma batean itsatsitako Linux argibideek normalean ez dute ezer egiten.
Gonbidatuaren suebaki-politika berriro da bereizia, eta lan-kargaren sare-segurtasun taldea ere bai. VMaren helbide publikora UDP 500 eta 4500 onartzeak tunela babesten du; ez du ezer esaten deskifratutako adar eskaera batek lan-karga ataka bat irits dezakeen ala ez.
Jarraitu eskaera bat eta haren erantzuna
Aukeratu onartutako fluxu bat eta jarraitu hasieratik amaierara. Adarrak bide bat behar du 10.0.10.0/24 gunearen konexioaren bidez, gailuak entrega-bide bat behar du lan-karga azpisarera, eta lan-karga azpisareak itzulera-bide bat behar du adar aldera.
Erabaki goizean goiz ea diseinuak adarraren iturri-helbidea mantentzen duen edo itzultzen duen. NATek aldatzen du lan-kargak ikusten duena, beraz haren sarbide-arauak benetan aukeratu duzun eredua deskribatu behar dute, asmatutako pasabide-helbide bat ez.
Konexio-hasierak kate horren kate-maila bat frogatzen du. Bidea osatuta dago erantzuna gailu beretik itzultzen denean eta lan-kargaren politika propioak hori ahalbidetzen duenean.