Dhá IP phoiblí ar aon VM VPN Azure amháin: cad a dhéanann gach ceann

Cruthaíonn dhá IP phoiblí ar aon VM VPN Azure amháin ionchas nach mbíonn fíor go minic: beidh an seoladh a nascann cliaint leis mar an seoladh a fheiceann suíomhanna gréasáin freisin. Táirgeann trí chinneadh neamhspleácha an toradh sin, agus ní bhaineann ach an chéad cheann le héisteoir an tolláin. Is é an dara ceann foinse an aoi a úsáidtear le haghaidh tráchta cliaint ar aghaidh, agus is é an tríú ceann modh eisithe Azure a bhaineann leis an bhfoinse sin. Athraigh ceann amháin agus fanann an dá cheann eile san áit a raibh siad, mar sin socraigh gach ceann go sainráite.

Cinneadh 1: cá gcríochnaíonn an tollán

Tá IP phoiblí Azure ceangailte le cumraíocht IP phríobháideach ar an NIC; ní seoladh é a chuireann tú leis taobh istigh de chóras oibriúcháin an aoi. Léigh an mapáil in ionad í a ghlacadh mar rud cinnte: az network nic show --ids /subscriptions/.../networkInterfaces/vpn-nic --query 'ipConfigurations[].{private:privateIPAddress,public:publicIPAddress.id}'. Cibé seoladh príobháideach a fhillfidh an cheist sin, is é sin an ceann a chaithfidh an t-aoi a bheith aige i ndáiríre.

Is féidir le NIC amháin roinnt cumraíochtaí IP a iompar, mar sin ní gá dhá NIC le haghaidh dhá sheoladh poiblí. Má úsáideann an dearadh dhá NIC, tugann gach ceann a bhealaí aoi agus a chéad chéimeanna eile féin, agus tá cinneadh ródaithe curtha leis agat in ionad ceann a shimpliú.

Le haghaidh seirbhíse a bhfuil ceangal áitiúil sainráite aici, ceangail leis an bhfíor-sheoladh príobháideach aoi, riamh leis an teochríoch poiblí. Glacann éisteoir a nglacann sé le gach seoladh trácht trí gach cumraíocht IP a shroicheann é, mar sin cuir srian ar an iontráil leis an ngrúpa slándála líonra agus balla dóiteáin an óstaigh in ionad a bheith ag súil go gcinneadh ord an cheangail.

Cinneadh 2: cén fhoinse a úsáideann an cliant ar aghaidh

Tar éis don gheata an t-iarratas cliaint a dhíchriptiú, tá an paicéad a sheolann sé ar aghaidh difriúil ón gceann a tháinig chuig éisteoir an VPN. Teastaíonn ón aoi seoladh ar aghaidh cumasaithe, polasaí balla dóiteáin a cheadaíonn an sreabhadh, agus seoladh foinse a cheadaíonn dearadh an scamall. Má aistríonn tú seoladh inmheánach an chliaint, is í an fhoinse aistrithe sin a mheasfaidh Azure, ní seoladh inmheánach an chliaint.

Is féidir le riail SNAT chúng foinse phríobháideach aoi a roghnú, ach ní féidir léi aistriú Azure níos déanaí a shárú. Roghnaigh SNAT nuair a theastaíonn freagracht in aghaidh an chliaint ó do VM; fág ar lár é nuair a sholáthraíonn dearadh eisithe an fho-líonta foinse phoiblí chobhsaí cheana féin agus nach gcuirfeadh dara haistriú ach staid leis.

Cinneadh 3: cén modh eisithe Azure a bhuann

Déanann Microsoftan t-ord tosaíochta eisithea dhoiciméadú: tá tosaíocht ag bealach infheidhme chuig fearas nó geata, agus tá tosaíocht ag nascacht fho-líonra NAT Gateway thar IP phoiblí ar leibhéal an áisc ar an mbealach ábhartha. Sin é an fáth nach gcruthaíonn aistriú chuig 10.20.0.5 go bhfeicfidh suíomh gréasáin 198.51.100.20. Léigh an tábla ródaithe éifeachtach, comhlachas NAT Gateway agus IP phoiblí an NIC le chéile sula nglacann tú le dearadh an eisithe.

Coinnighsocrú seolta ar aghaidh NIC Azurear leithligh ó sheoladh ar aghaidh Linux. Ceadaíonn bratach an scamall paicéid nach bhfuil a bhfoinse nó a gceann scríbe sannta don NIC; ní chuireann sé net.ipv4.ip_forward ar siúl, agus ní thugann socrú an aoi cead an scamall.

Tá a chinneadh foinse féin ag soicéad an tolláin

Sannann Address WireGuard faoi wg-quick seoladh don chomhéadan WireGuard; ní treoir ceangail UDP sheachtraigh é. Leanann foinse an tsoicéid chriptithe an tábla ródaithe, mar sin is féidir le bealach polasaí nó dara bealach réamhshocraithe é a bhogadh gan an seoladh comhéadain a bhaint.OpenVPN: iompraíonn rogha local agus UDP multihome mar an gcéanna: baineann siad leis an éisteoir agus lena fhreagraí, ní le foinse idirlín gach cliant ar aghaidh.

Caomhnaigh an bealach fosraithe a iompraíonn an tollán, agus deimhnigh go bhfaigheann an cliant freagraí fíordheimhnithe ón socrú iontrála a bhfuiltear ag súil leis fós. Ná bí ag brath ar ord an liosta seoladh mar pholasaí buan roghnúcháin foinse, mar is féidir leis an gcéad seoladh eile a chuirtear leis an NIC athrú cé a bhuann.

Cad a ghlacfar, agus ina ord

Glac le trí thoradh ar leithligh. Ar dtús, sroicheann cliant seachtrach an iontráil VPN atá beartaithe. Ar an dara dul síos, fhágann iarratas nua ceadaithe ón gcliant VPN sin tríd an eisíontas idirlín doiciméadaithe. Ar an tríú dul síos, fanann bealaí éisteora agus seolta ar aghaidh nach bhfuil beartaithe diúltaithe. Taifead na mapálacha poiblí-go-príobháideach agus úinéirí aoi agus scamall gach cinneadh san áit chéanna.

Ní chruthaíonn tollán rathúil ach an chéad chuid. Tástáil an t-eisíontas le sreabhadh nua, mar is féidir le nasc i dtaisce an tseanfhoinse a úsáid i bhfad tar éis an bealach a athrú.