Ní féidir le VM Azure IMDS ná WireServer a shroicheadh tar éis don VPN tosú

Tá an VM suas, deir an cliant VPN go bhfuil sé ceangailte, agus cúpla nóiméad ina dhiaidh sin tosaíonn gníomhaire Azure ag tuairisciú go bhfuil sé míshláintiúil. Uaireanta maireann SSH agus ní mhaireann Run Command ón bhfóram, rud a sheolann daoine chuig an ngníomhaire in ionad an tábla ródaithe. Tháinig athrú ar chinntí seolta an aoi féin nuair a d'ardaigh an tollán, agus is iondúil gurbh iad dhá sheoladh ardáin na chéad íobartaigh. Caithfidh mé leis sin mar shíomptóm ródaithe sula gcaitheann mé leis mar mhainneachtain ghníomhaire.

Breathnaíonn an síomptóm mar ghníomhaire briste

Moltar an dá sheoladh thíos mar réiteach, agus ní hé an tseirbhís chéanna iad. Is é cóipeáil /32 do cheann amháin mar gur oibrigh sé don cheann eile go beacht an chaoi a n-athraíonn seachbhóthar sealadach ina chumraíocht bhuan nach leomhann aon duine a bhaint.

Is é an t-ord a oibríonn ná a dheimhniú cén seoladh a dhíríonn an glao teipthe air i ndáiríre, agus ansin léamh conas a réitíonn an aoi é. Is tomhas gan bhunús é aon rud eile, le céimeanna breise agus fuinneog athraithe níos faide.

Ní ceann scríbe poiblí é 168.63.129.16

Is é 168.63.129.16 seoladh fíorúil speisialta ardán Azure, agus tá WireServer ar cheann dá róil, a úsáideann gníomhaire an VM chun labhairt leis an bhfabraic. Déanann Microsoft doiciméadú go gcaithfidh trácht an ghníomhaire chuig portanna TCP 80 agus 32526 fanacht ar fáil. Ní óstach idirlín nó gnáth é, agus ní rud é ar cheart do VPN tolláin iomláin a iompar chuig slí amach i bhfad i gcéin. Sin é an fáth gur féidir le tollán a bhfuil cuma shláintiúil air an gníomhaire a stiúradh go fóill.

Deir doiciméadú an tseolta ardáin freisin nach bhfuil an seoladh seo faoi réir bealaí a shainíonn an t-úsáideoir, ar saintréith d'fhabraic Azure é seachas gealltanas faoi d'aoi. Is féidir le riail balla dóiteáin áitiúil nó le beartas ródaithe an chliaint VPN féin an bealach a bhriseadh fós, agus ní chónaíonn ceachtar díobh i dtábla ródaithe an VNet.

Má tá an gníomhaire ag tuairisciú na faidhbe, seiceáil staid na seirbhíse agus an bealach chuig an seoladh sin sula n-athshuiteálann tú rud ar bith.

Tá a rialacha féin ag 169.254.169.254

Is é 169.254.169.254 an seoladh link-local do Azure Instance Metadata Service. Tá a riachtanais féin ag iarratais chuige: an phríomh-NIC agus an phríomh-IP, cumraíocht DHCP a thacaíonn leis an seoladh, agus seachbhóthar d'aon seachfhreastalaí HTTP. Ní hé an tsamhail rochtana a chuireann Microsoft síos ar iad a sheoladh trí shlí amach VPN i bhfad i gcéin nó trí gheata idirlín treallach.

Gabhtar le clásal seachfhreastalaí sin daoine a dheisigh an bealach agus a fheiceann teipeanna fós. Is féidir le seachfhreastalaí HTTP san aoi IMDS a bhriseadh agus ip route get ag filleadh go beacht ar an gcomhéadan a bhfuil tú ag súil leis, mar sin seiceáil na heisceachtaí seachfhreastalaí chomh maith leis na bealaí.

Ná greamaigh freagraí meiteashonraí isteach i dticéad tacaíochta agus tú ag dífhabhtú seo. Féadfaidh siad dintiúirí agus sonraí cás a iompar a mhaireann níos faide ná an eachtra.

Léigh ródú beartais an aoi, ní hamháin an príomhthábla

Ar aoi Linux scarann trí ordú inléite amháin na sraitheanna: ip -4 rule show do na rialacha beartais, ansin ip -4 route get 168.63.129.16 agus ip -4 route get 169.254.169.254 do na cinntí a dhéanann an t-eithne i ndáiríre. Rith iad roimh an VPN a nascadh agus ina dhiaidh. Is é an difríocht idir an dá aschur sin do shraith athruithe, agus tá sé níos úsáidí ná aon bhuille faoi thuairim faoi cad a rinne an cliant.

Is féidir le cliant VPN a shuiteálann rialacha beartais an príomhthábla a fhágáil gan teagmháil agus na cuardaigh sin a atreorú fós. Sin é an fáth go bhfeictear réiteach príomhthábla amháin ag obair ar óstach amháin agus nach ndéanann sé aon rud ar an gcéad cheann eile. Cuireann aíonna le NICanna iolracha an fhadhb chéanna leis ón taobh eile, mar braitheann an freagra ar cé acu NIC agus seoladh foinse a roghnaíonn an riail.

Seas in aghaidh an oideas a chuireann an dá bhealach /32 leis tríd an sean-gheata. Is rudaí difriúla iad bealach ardáin link-local agus chéad chéim WAN ghinearálta, agus ceileann eisceacht uileghabhálach an fíorchoimhlint bheartais.

Coinnigh riaradh agus aisghabháil ar leithligh

Is féidir le réamhshocrú tolláin iomláin do fhreagra SSH nó RDP a ghabháil freisin, ach díríonn sé ar sheoladh breathnaithe an riarthóra seachas ar aon chríochphointe ardáin. Déan é a dhiagnóisiú óna phéire iarratais agus freagartha féin, agus coinnigh cainéal aisghabhála neamhspleách ar nós an chonsóil shraitheach sula n-athraíonn tú beartas VPN. Má atosaíonn imscaradh an VM agus má thuairiscíonn an gníomhaire go bhfuil sé míshláintiúil, scrúdaigh an gníomh taifeadta agus an tseirbhís atá freagrach seachas glacadh leis gurbh é an t-athrú bealaigh ba chúis leis an atosú.

Ansin fíoraigh na trí shreabhadh ar leithligh: an acmhainn phríobháideach a bhí uait i ndáiríre, an chumarsáid tacaíochta idir an gníomhaire agus an t-ardán, agus an bealach riaracháin. Ní cruthúnas é ceann acu a athchóiriú gur mhair an dá cheann eile.

Scríobh an eisceacht cheadaithe faoi úinéir líonra an aoi agus cumraíocht an VPN, lena n-áirítear cad a tharlaíonn ar athnascadh agus ar atosú. Ní tábla ródaithe an aoi iad UDRanna Azure, agus ní dheiseoidh a n-eagarthóireacht riail bheartais áitiúil.