Cá háit le NSGanna a chur i bhfeidhm ar thrácht VPN ó shuíomh go suíomh Azure

Tá an tollán ó shuíomh go suíomh suas, sroicheann an cliant áitiúil roinnt óstach Azure agus ní shroicheann sé cuid eile, agus chuir duine éigin grúpa slándála líonra le GatewaySubnet chun é a shocrú. Stop ansin. Ní thacaíonn Azure le NSG ar GatewaySubnet, agus ní féidir leis an ngrúpa an paicéad inmheánach a fheiceáil mar a dhéanann riail ualaigh. Cuir an pholasaí ar an bhfo-líonra nó ar an NIC sprice, meaitseáil an seoladh foinse atá ann tar éis dhíchriptiú, agus ansin fíoraigh le nasc nua seachas ceann sean.

Cuir an NSG san áit a ndéanann Azure é a mheas

Is é an teorainn thacaithe le haghaidh scagadh ualaigh an fho-líonra sprice nó an comhéadan líonra sprice. Is bonneagar é fo-líonra geata, agus deir Azure nach dtacaítear le NSGanna ann agus go bhféadfaidís cur isteach ar oibriú an gheata.

Tá fadhb loighce ann freisin leis an socrú. Mheasfadh an NSG ar GatewaySubnet an malartú IPsec seachtrach, a mbaineann a sheoltaí leis an dá gheata. Teastaíonn an fhoinse phríobháideach taobh istigh den tollán ó do riail feidhmchláir, agus ní bhíonn an paicéad sin ann go dtí go ndéanann an geata é a dhíchriptiú. Ceangail an grúpa leis an bhfo-líonra ualaigh agus feicfidh an riail an seoladh ar scríobhadh í dó.

Seiceáil na comhlachais reatha sula n-athraíonn tú rud ar bith, ionas go mbeidh a fhios agat cad atá á bhogadh agat:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Faigh an seoladh foinse tar éis dhíchriptiú

Is é an fhoinse inmheánach seoladh príobháideach an chliaint áitiúil, nó an seoladh a chuireann feiste nó NAT an VPN i láthair tar éis aistriúcháin. Ní hé seoladh poiblí gheata VPN áitiúil é, mar baineann sé sin leis an malartú seachtrach.

Nuair a bhíonn NAT mar chuid den dearadh, deimhnigh an fhoinse a chuirtear i láthair seachas glacadh léi. Socraíonn gabháil paicéad ar an VM Azure, nó réimse na foinse i log naisc an tseirbhís, an cheist níos tapúla ná cumraíocht áitiúil a léamh. Ansin scríobh an riail i gcoinne an tseoladh sin agus an fíorphort sprice.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Úsáid riail amháin in aghaidh gach seirbhíse ar mhaith leat a nochtadh, agus coinnigh an liosta port gearr. Déanann riail a cheadaíonn gach port ón raon áitiúil an NSG ina fhoirmiúltacht.

Seiceáil an raon réamhshocraithe VirtualNetwork

Tá an chlib seirbhíse VirtualNetwork níos leithne ná an líonra fíorúil áitiúil. Cuimsíonn a sainmhíniú spásanna seolta áitiúla nasctha, líonraí piaraigh agus réimíreanna eile atá nasctha leis an ngeata. Mar sin féin féadann riail cheadaithe réamhshocraithe atá teoranta do VirtualNetwork trácht tolláin a cheadú cheana a cheap oibreoir a bhí seachtrach.

Léigh na réamhrialacha sula gcuireann tú cinn chúnga leis, agus léigh gach riail ar phríomhacht níos airde a d’fhéadfadh meaitseáil ar dtús. Ní bhaineann cead sainráite le riail níos leithne a cheadaíonn an sreabhadh cheana. Nuair a éilíonn polasaí diúltú, cuir é ar phríomhacht a mheastar i ndáiríre roimh an gcead.

Liostaíonn doiciméadú na gclib seirbhíse de chuid Microsoft cad a chlúdaíonn an chlib VirtualNetwork, agus is é sin an tagairt le lua nuair a áitíonn duine nach gciallaíonn an chlib ach raon an VNet.

Léigh na rialacha éifeachtacha ag an dá theorainn

Nuair a bhíonn NSG fo-líonra agus NSG NIC araon i bhfeidhm, caithfidh an sreabhadh an dá cheann a shásamh. Ní sháraíonn cead in aon cheann diúltú sa cheann eile, agus is é an t-amharc comhcheangailte a bhualleann an paicéad i ndáiríre.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Má tá rialacha riaracháin slándála Azure Virtual Network Manager i gceist, déan an tsraith sin a athbhreithniú freisin. Féadann riail riaracháin Always allow trácht a sheachadadh gan mheasúnú NSG, agus stopann Deny riaracháin é sula bhfeiceann na NSGanna é. Tá athbhreithniú ar NSG amháin neamhiomlán don socrú sin.

Cuimhnigh go bhfuil NSGanna stáitsealbhach. Ní chuireann eagarthóireacht rialach deireadh le nasc ceadaithe atá ann cheana, mar sin teastaíonn sreabhadh úr ó thástáil ghlactha. Tá an t-airí sin úsáideach i dtáirgeadh agus míthreorach le linn fuinneog athraithe.

Fíoraigh le nasc úr

Oscail seisiún nua ón gcliant áitiúil chuig port na seirbhíse, ansin déan arís é ó óstach ar cheart diúltú dó. Rith an tástáil sreafa ó thaobh an VM freisin, ionas go mbeidh a fhios agat go bhfuil an bealach ar ais slán.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

Is cinneadh rochtana amháin é cead NSG, ní bealach agus ní éisteoir. Má cheadaíonn an riail an sreabhadh agus má theipeann ar an nasc fós, seiceáil bealach an chliaint isteach sa VPN, bealach ar ais Azure agus balla dóiteáin an óstaigh sula n-athraíonn tú an grúpa arís. Taifead an seoladh foinse iarbhír, comhlachais an NSG agus an riail mheaitseála leis an tseirbhís cheadaithe, mar is féidir leis an gcéad athrú piaraigh nó bealaigh an rud a chlúdaíonn an chlib VirtualNetwork a athrú.