Cén fáth a gcailleann VM Azure le fearas VPN an cosán fillte
Teastaíonn ó fhearas VPN i VM Azure go n-aontaíonn an UDR, an flag seoladh ar aghaidh ar an gcárta líonra agus polasaí an aoi. Lean iarratas amháin brainse trí na trí cinn.
Tá VM Azure a ritheann fearas VPN suite taobh istigh de dhá chóras cinnteoireachta neamhspleácha. Socraíonn Azure cá bhfágann pacáid fo-líonra, ag baint úsáide as táblaí ródaithe agus socrú seoladh ar aghaidh an chárta líonra. Socraíonn córas oibriúcháin an fhearais féin an seolfaidh sé an phacáid dhíchriptithe ar aghaidh. Is féidir le tollán a éiríonn go foirfe mainneachtain fós ar an dara córas, agus is ansin a stopann formhór na n-imlonnaithe seo.
Triúr úinéirí ar aon chosán amháin
Tóg líonra brainse de 192.168.50.0/24 agus fo-líonra ualach oibre de 10.0.10.0/24, agus an fearas ag 10.0.0.4 ina fho-líonra féin. Téann iarratas amháin i dteagmháil le trí chumraíocht ar leith.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Bíonn foireann éagsúil ina húinéir ar gach ró i bhformhór na n-eagraíochtaí, agus sin an fáth a dtagann an mhainneachtain seo de ghnáth mar thrí thicéad in ionad ceann amháin.
An ród a dhíríonn ar an bhfearas
Ceangail tábla ródaithe leis an bhfo-líonra ualach oibre agus tabhair don réimír brainse chéad chéim eile de chineál Virtual appliance le 10.0.0.4 mar sheoladh. Úsáid seoladh príobháideach inrochtana an fhearais, riamh a phointe iontrála poiblí VPN. Caithfidh an chéad chéim eile a bheith ina seoladh a bhfuil an fo-líonra ualach oibre in ann a bhaint amach cheana féin. Fág an chuid eile de ródú an ualaigh oibre mar atá, mura bhfuil cinneadh déanta agat go feasach an ród réamhshocraithe a athsholáthar.
Coinnigh an fearas ina fho-líonra féin, agus déan cinnte nach ngabhtar cosán amach an fhearais féin freisin ag an ród a sheolann trácht brainse chuig an bhfearas. Breathnaíonn lúb den sórt sin mar thollán sláintiúil gan aon fhreagraí, agus is rud an-mhíchompordach é sin a dhífhabhtú ag 2 a chlog ar maidin.
An flag cárta líonra a dhearmadann gach duine
Tá socrú seoladh ar aghaidh IP ag Azure in aghaidh an chárta líonra, agus tá sé as de réir réamhshocraithe. Tá sé ann toisc go bhfaigheann cárta seolta ar aghaidh pacáidí atá dírithe ar rud éigin eile, agus is é an réamhshocrú sábháilte do gach duine eile iad a scaoileadh go ciúin.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true cuireann sé ar siúl é d’aon chomhéadan amháin. Éilíonn treoirlínte Microsoft maidir le seoladh ar aghaidh ar an gcárta líonra an socrú ar gach cárta ceangailte a sheolann trácht ar aghaidh, mar sin teastaíonn sé ó fhearas aonchárta fós ar an gcárta sin.
Ní ród é an flag agus ní riail balla dóiteáin é. Má chuirtear ar siúl é tugtar cead agus faic eile.
Cad a dhéanann an t-aoi leis an bpacáid dhíchriptithe
Nuair a chríochnaíonn an tollán, déanann stac an fhearais féin an chéad chinneadh eile. Ar aoi Linux, is socrú ama rite é seoladh ar aghaidh IPv4, agus sysctl -w net.ipv4.ip_forward=1 mairfidh sé go dtí an chéad tosú eile. Sábháil i gcomhad faoi /etc/sysctl.d/ é in ionad sin. Tá a choibhéis féin ag fearas díoltóra, agus ní dhéanann treoracha Linux a ghreamaítear i bhfeidhmchlár díoltóra aon rud de ghnáth.
Tá polasaí balla dóiteáin an aoi ar leith arís, agus mar an gcéanna grúpa slándála líonra an ualaigh oibre. Cosnaíonn cead a thabhairt do UDP 500 agus 4500 chuig seoladh poiblí an VM an tollán; ní deir sé faic faoi cé acu an féidir le hiarratas brainse díchriptithe port ualaigh oibre a bhaint amach.
Lean iarratas amháin agus a fhreagra
Roghnaigh sruth amháin ceadaithe agus lean ó thús go deireadh é. Teastaíonn ród ón mbrainse le haghaidh 10.0.10.0/24 thar nasc an tsuímh, teastaíonn cosán seachadta ón bhfearas chuig an bhfo-líonra ualach oibre, agus teastaíonn ród fillte ón bhfo-líonra ualach oibre i dtreo na brainse.
Déan cinneadh go luath an gcaomhnaíonn an dearadh seoladh foinse na brainse nó an aistríonn sé é. Athraíonn NAT an rud a fheiceann an t-ualach oibre, mar sin ba cheart dá rialacha rochtana cur síos a dhéanamh ar an múnla a roghnaigh tú i ndáiríre, ní ar sheoladh geata buailte.
Cruthaíonn croitheadh láimhe rathúil nasc amháin den slabhra sin. Tá an cosán iomlán nuair a fhilleann an freagra tríd an bhfearas céanna agus nuair a cheadaíonn polasaí an ualaigh oibre féin é.