Wêr NSG's tapasse foar Azure site-to-site VPN-ferkear

De site-to-site-tunnel is omheech, de lokale klant berikt guon Azure-hosts en oaren net, en immen hat in netwurkfeilichheidsgroep oan GatewaySubnet taheakke om dat te reparearjen. Stop dêr. Azure stipet gjin NSG op GatewaySubnet, en de groep sjocht it ynterne pakket net sa't in workload-regel dat docht. Set it belied op it bestimming-subnet of de NIC, match it boarne-adres dat nei ûntsifering bestiet, en ferifiearje dan mei in nije ferbining, net in âlde.

Set de NSG dêr't Azure him evaluearret

De stipe grins foar workload-filtern is it bestimming-subnet of de bestimming-netwurkynterface. In gateway-subnet is ynfrastruktuer, en Azure dokumintearret dat NSG's dêr net stipe wurde en de wurking fan de gateway skea dwaan kinne.

Der is ek in logysk probleem mei de pleatsing. De NSG op GatewaySubnet soe de bûtenste IPsec-útwikseling evaluearje, waans adressen by de twa gateways hearre. Jo applikaasjeregel hat de privee boarne binnen de tunnel nedich, en dat pakket bestiet pas neidat de gateway it ûntsifere hat. Heakje de groep oan it workload-subnet en de regel sjocht it adres dêr't er foar skreaun is.

Kontrolearje de hjoeddeiske assosjaasjes foardat jo wat feroarje, sadat jo witte wat jo ferpleatse:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Fyn it boarne-adres nei ûntsifering

De ynterne boarne is it privee-adres fan 'e lokale klant, of it adres dat in apparaat of VPN-NAT nei oersetting presintearret. It is net it publike adres fan 'e lokale VPN-gateway, dat by de bûtenste útwikseling heart.

As NAT diel is fan it ûntwerp, befêstigje dan it presintearre boarne ynstee fan it oan te nimmen. In pakketopname op 'e Azure-VM, of it boarnefjild yn it ferbinningslog fan 'e tsjinst, beslist de fraach flugger as it lêzen fan 'e lokale konfiguraasje. Skriuw dan de regel tsjin dat adres en de echte bestimming-poarte.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Brûk ien regel per tsjinst dy't jo bleatstelle wolle, en hâld de poartelist koart. In regel dy't alle poarten fan it lokale berik tastiet, makket de NSG in formaliteit.

Kontrolearje it standert-berik VirtualNetwork

De tsjinsttag VirtualNetwork is breder as it lokale firtuele netwurk. De definysje omfettet ferbûne lokale adresromten, peerde netwurken en oare gateway-ferbûne prefiksen. Dat betsjut dat in standert tastean-regel beheind ta VirtualNetwork al tunnelferkear tastean kin dat in operator as ekstern seach.

Lês de standertregels foardat jo smelle tafoegje, en lês elke regel mei hegere prioriteit dy't earst matchje kin. In eksplisite tastimming tafoegje ferwideret gjin bredere regel dy't de stream al tastiet. Wêr't belied in wegering easket, set dy op in prioriteit dy't echt evaluearre wurdt foar de tastimming.

De dokumintaasje fan Microsoft oer tsjinsttags listet wat de tag VirtualNetwork beslacht, en dat is de referinsje om oan te heljen as immen beweart dat de tag allinnich it VNet-berik betsjut.

Lês de effektive regels by beide grinzen

As sawol in subnet-NSG as in NIC-NSG jilde, moat de stream beide foldwaan. In tastimming yn 'e iene heft in wegering yn 'e oare net op, en it gearfoege byld is wat it pakket echt treft.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

As befeiligings-adminregels fan Azure Virtual Network Manager yn it spul binne, besjoch dan ek dy laach. In admin-regel Always allow kin ferkear leverje sûnder NSG-evaluaasje, wylst in admin Deny it stopset foardat de NSG's it sjogge. In beoardieling fan allinnich de NSG is ûnfolslein foar dy opstelling.

Tink derom dat NSG's stateful binne. It bewurkjen fan in regel einiget net needsaaklikerwize in besteande tastiene ferbining, dus in akseptaasjetest hat in frisse stream nedich. Dy eigenskip is nuttich yn produksje en misliedend yn in feroaringsfinster.

Ferifiearje mei in frisse ferbining

Iepenje in nije sesje fan 'e lokale klant nei de tsjinstpoarte, en werhelje it dan fan in host dy't wegere wurde moat. Rinn de streamtest ek fan 'e VM-kant, sadat jo witte dat it weromwei yntakt is.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

In NSG-tastimming is ien tagongsbeslút, gjin rûte en gjin listener. As de regel de stream tastiet en de ferbining mislearret noch, kontrolearje dan de rûte fan 'e klant yn it VPN, de weromrûte fan Azure en de host-firewall foardat jo de groep wer bewurkje. Notearje it echte boarne-adres, de NSG-assosjaasjes en de byhearrende regel mei de goedkarde tsjinst, want de folgjende peering- of rûteferoaring kin feroarje wat de tag VirtualNetwork beslacht.