Wêrom’t in Azure-VM mei VPN-apparaat it werompaad ferliest
In VPN-apparaat yn in Azure-VM hat nedich dat de UDR, it trochstjoerflag fan ’e netwurkkaart en it gastbelied oerienkomme. Folgje ien filiaal-oanfraach troch alle trije.
In Azure-VM dy’t in VPN-apparaat draait, sit binnen twa ûnôfhinklike beslissystemen. Azure beslút wêr’t in pakket in subnet ferlit, mei rûtelellen en de trochstjoerynstelling fan ’e netwurkkaart. It eigen bestjoeringssysteem fan it apparaat beslút oft it it ûntsifere pakket trochstjoert. In tunnel dy’t perfekt omheech komt, kin dochs mislearje op it twadde systeem, en dêr stopje de measte fan dizze ymplemintaasjes.
Trije eigners fan ien paad
Nim in filiaalnetwurk fan 192.168.50.0/24 en in workloads-subnet fan 10.0.10.0/24, mei it apparaat op 10.0.0.4 yn syn eigen subnet. Ien oanfraach rekket trije aparte konfiguraasjes.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Elke rige wurdt yn de measte organisaasjes troch in oar team beheard, en dêrom komt dizze storing meastentiids as trije tickets ynstee fan ien.
De rûte dy’t nei it apparaat wiist
Keppelje in rûtelel oan it workloads-subnet en jou it filiaalprefiks in folgjende hop fan it type Virtual appliance mei 10.0.0.4 as adres. Brûk it berikbere partikuliere adres fan it apparaat, nea syn iepenbiere VPN-ynfierpunt. De folgjende hop moat in adres wêze dat it workloads-subnet al berikke kin. Lit de rest fan ’e rûteting fan ’e workload gewurde, útsein as jo bewust besletten hawwe de standertrûte te ferfangen.
Hâld it apparaat yn syn eigen subnet, en soargje derfoar dat de rûte dy’t filiaalferkear nei it apparaat stjoert net ek it eigen útgongspaad fan it apparaat fangt. Sa’n lus liket in sûn tunnel mei nul antwurden, en dat is in tige ferfelende saak om om 2 oere nachts te ûntbugen.
It netwurkkaartflag dat elkenien fergetten is
Azure hat in IP-trochstjoerynstelling per netwurkkaart, en dy stiet standert út. Hy bestiet om’t in trochstjoerende kaart pakketten ûntfangt dy’t oan eat oars rjochte binne, en dy stilwei dripje is de feilige standert foar alle oaren.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true set him oan foar ien interface. De rjochtlinen fan Microsoft oer trochstjoere by de netwurkkaart freegje de ynstelling op elke oanbelange kaart dy’t ferkear trochstjoert, dus in apparaat mei ien kaart hat him noch hieltyd nedich op dy kaart.
It flag is gjin rûte en it is gjin fjoermuorre regel. It oansette jout tastimming en neat oars.
Wat de gast mei it ûntsifere pakket docht
As de tunnel einiget, nimt de eigen stapel fan it apparaat it folgjende beslút. Op in Linux-gast is IPv4-trochstjoering in rintiidynstelling, en sysctl -w net.ipv4.ip_forward=1 duorret oant de folgjende opstart. Bewarje it yn in bestân ûnder /etc/sysctl.d/ ynstee. In apparaat fan in leveransier hat syn eigen ekwivalint, en Linux-ynstruksjes dy’t yn in leveransiersplatfoarm plakt wurde, dogge meastentiids hielendal neat.
It fjoermuorrebelied fan de gast is wer apart, en de netwurkfeiligensgroep fan ’e workload ek. UDP 500 en 4500 tastean nei it iepenbiere adres fan de VM beskermet de tunnel; it seit neat oer oft in ûntsifere filiaal-oanfraach in workloadpoarte berikke mei.
Folgje ien oanfraach en syn antwurd
Kies ien tastiene stream en folgje dy fan begjin oant ein. It filiaal hat in rûte nedich foar 10.0.10.0/24 oer de sideferbining, it apparaat hat in leveringspaad nei it workloads-subnet nedich, en it workloads-subnet hat in weromrûte nei it filiaal nedich.
Beslút betiid oft it ûntwerp it boarneadres fan it filiaal behâldt of it oerset. NAT feroaret wat de workload sjocht, dus syn tagongsregels moatte it model beskeatse dat jo wirklik keazen hawwe, net in retten gatewayadres.
In slagge hânskodding bewiist ien skakel fan dy keatling. It paad is folslein as it antwurd troch itselde apparaat weromkomt en it eigen belied fan ’e workload dat tastiet.