Azure સાઇટ-થી-સાઇટ VPN ટ્રાફિક માટે NSG ક્યાં લાગુ કરવા

સાઇટ-થી-સાઇટ ટનલ ચાલુ છે, સ્થાનિક ક્લાયન્ટ કેટલાક Azure હોસ્ટ સુધી પહોંચે છે અને કેટલાક સુધી નહીં, અને કોઈએ તેને ઠીક કરવા GatewaySubnet પર નેટવર્ક સિક્યુરિટી ગ્રુપ જોડ્યું છે. ત્યાં જ રોકાઓ. Azure GatewaySubnet પર NSG ને ટેકો આપતું નથી, અને ગ્રુપ વર્કલોડ નિયમની જેમ આંતરિક પેકેટ જોઈ શકતું નથી. નીતિ લક્ષ્ય સબનેટ અથવા NIC પર મૂકો, ડિક્રિપ્શન પછી અસ્તિત્વમાં રહેતું સ્રોત સરનામું મેળવો, અને પછી જૂના સંબંધને બદલે નવા સંબંધથી ચકાસો.

NSG ત્યાં મૂકો જ્યાં Azure તેનું મૂલ્યાંકન કરે છે

વર્કલોડ ફિલ્ટરિંગ માટેની સમર્થિત સીમા લક્ષ્ય સબનેટ અથવા લક્ષ્ય નેટવર્ક ઇન્ટરફેસ છે. ગેટવે સબનેટ ઇન્ફ્રાસ્ટ્રક્ચર છે, અને Azure દસ્તાવેજ કરે છે કે ત્યાં NSG સમર્થિત નથી અને તે ગેટવેની કામગીરીને નુકસાન પહોંચાડી શકે છે.

ગોઠવણીમાં એક તાર્કિક સમસ્યા પણ છે. GatewaySubnet પરનું NSG બાહ્ય IPsec આદાનપ્રદાનનું મૂલ્યાંકન કરશે, જેનાં સરનામાં બે ગેટવેના છે. તમારા એપ્લિકેશન નિયમને ટનલની અંદરનો ખાનગી સ્રોત જોઈએ છે, અને તે પેકેટ ગેટવે ડિક્રિપ્ટ કર્યા પછી જ અસ્તિત્વમાં આવે છે. ગ્રુપને વર્કલોડ સબનેટ સાથે જોડો અને નિયમ તે સરનામું જોશે જેના માટે તે લખાયો હતો.

કંઈપણ બદલતા પહેલાં વર્તમાન સહયોગો તપાસો, જેથી તમે જાણો કે શું ખસેડી રહ્યા છો:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

ડિક્રિપ્શન પછી સ્રોત સરનામું શોધો

આંતરિક સ્રોત એ સ્થાનિક ક્લાયન્ટનું ખાનગી સરનામું છે, અથવા એ સરનામું જે ઉપકરણ કે VPN NAT અનુવાદ પછી રજૂ કરે છે. તે સ્થાનિક VPN ગેટવેનું જાહેર સરનામું નથી, જે બાહ્ય આદાનપ્રદાનનું છે.

જ્યારે NAT ડિઝાઇનનો ભાગ હોય, ત્યારે ધારવાને બદલે રજૂ થયેલા સ્રોતની પુષ્ટિ કરો. Azure VM પર પેકેટ કેપ્ચર, અથવા સેવાના કનેક્શન લોગમાં સ્રોત ક્ષેત્ર, સ્થાનિક ગોઠવણી વાંચવા કરતાં પ્રશ્ન ઝડપથી ઉકેલે છે. પછી તે સરનામા અને વાસ્તવિક લક્ષ્ય પોર્ટ સામે નિયમ લખો.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

તમે છતી કરવા માંગતા દરેક સેવા માટે એક નિયમ વાપરો અને પોર્ટની યાદી ટૂંકી રાખો. સ્થાનિક શ્રેણીમાંથી બધા પોર્ટને મંજૂરી આપતો નિયમ NSG ને ઔપચારિકતા બનાવી દે છે.

ડિફોલ્ટ VirtualNetwork અવકાશ તપાસો

VirtualNetwork સેવા ટેગ સ્થાનિક વર્ચ્યુઅલ નેટવર્ક કરતાં વિશાળ છે. તેની વ્યાખ્યામાં જોડાયેલા સ્થાનિક સરનામા સ્થાનો, પીઅર કરેલા નેટવર્ક અને ગેટવે સાથે જોડાયેલા અન્ય પ્રીફિક્સનો સમાવેશ થાય છે. એટલે કે VirtualNetwork પર મર્યાદિત ડિફોલ્ટ મંજૂરી નિયમ પહેલેથી જ એ ટનલ ટ્રાફિકને મંજૂરી આપી શકે છે જેને ઓપરેટર બાહ્ય માનતો હતો.

સાંકડા નિયમો ઉમેરતા પહેલાં ડિફોલ્ટ નિયમો વાંચો, અને પહેલાં મેળ ખાઈ શકે તેવા દરેક ઉચ્ચ પ્રાથમિકતાના નિયમને વાંચો. સ્પષ્ટ મંજૂરી ઉમેરવાથી પ્રવાહને પહેલેથી મંજૂરી આપતો વિશાળ નિયમ દૂર થતો નથી. જ્યાં નીતિ નકાર માંગે છે, ત્યાં તેને એ પ્રાથમિકતા પર મૂકો જે મંજૂરી પહેલાં ખરેખર મૂલ્યાંકન પામે છે.

Microsoft નું સેવા ટેગ દસ્તાવેજીકરણ યાદી બતાવે છે કે VirtualNetwork ટેગ શું આવરે છે, અને જ્યારે કોઈ દલીલ કરે કે ટેગનો અર્થ ફક્ત VNet શ્રેણી છે ત્યારે તે જ ઉલ્લેખ કરવાનો સંદર્ભ છે.

બંને સીમાઓ પર અસરકારક નિયમો વાંચો

જ્યારે સબનેટ NSG અને NIC NSG બંને લાગુ પડે, ત્યારે પ્રવાહે બંને સંતોષવા પડે. એકમાંની મંજૂરી બીજામાંના નકારને રદ કરતી નથી, અને સંયુક્ત દૃશ્ય તે છે જેનો પેકેટ ખરેખર સામનો કરે છે.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

જો Azure Virtual Network Manager ના સુરક્ષા એડમિન નિયમો ચાલુ હોય, તો તે સ્તરની પણ સમીક્ષા કરો. એડમિન Always allow નિયમ NSG મૂલ્યાંકન વિના ટ્રાફિક પહોંચાડી શકે છે, જ્યારે એડમિન Deny NSG તેને જો તે પહેલાં રોકે છે. આ ગોઠવણી માટે ફક્ત NSG ની સમીક્ષા અધૂરી છે.

યાદ રાખો કે NSG સ્ટેટફુલ છે. નિયમ સંપાદિત કરવાથી હાલનું મંજૂર કનેક્શન જરૂરી રીતે બંધ થતું નથી, તેથી સ્વીકૃતિ પરીક્ષણને નવો પ્રવાહ જોઈએ. આ ગુણધર્મ ઉત્પાદનમાં ઉપયોગી છે અને ફેરફાર વિન્ડો દરમિયાન ભ્રામક છે.

નવા સંબંધથી ચકાસો

સ્થાનિક ક્લાયન્ટથી સેવા પોર્ટ સુધી નવું સત્ર ખોલો, પછી જે હોસ્ટને નકારવો જોઈએ તેનાથી પુનરાવર્તન કરો. VM બાજુથી પણ પ્રવાહ પરીક્ષણ ચલાવો, જેથી તમે જાણો કે પરત માર્ગ અકબંધ છે.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

NSG મંજૂરી એ એક પ્રવેશ નિર્ણય છે, ન માર્ગ અને ન શ્રોતા. જો નિયમ પ્રવાહને મંજૂરી આપે અને સંબંધ હજી નિષ્ફળ જાય, તો ગ્રુપ ફરી સંપાદિત કરતા પહેલાં VPN માં ક્લાયન્ટનો માર્ગ, Azure નો પરત માર્ગ અને હોસ્ટ ફાયરવોલ તપાસો. વાસ્તવિક સ્રોત સરનામું, NSG સહયોગો અને મેળ ખાતો નિયમ મંજૂર સેવા સાથે નોંધો, કારણ કે આગલું પીઅરિંગ કે માર્ગ ફેરફાર VirtualNetwork ટેગ શું આવરે છે તે બદલી શકે છે.