Inda za a yi amfani da NSG don zirga-zirgar VPN daga waje zuwa waje na Azure

Ramuyar daga waje zuwa waje tana aiki, abokin ciniki na gida yana isa wasu rundunonin Azure amma ba wasu ba, kuma wani ya haɗa ƙungiyar tsaron cibiyar sadarwa da GatewaySubnet don gyara hakan. Tsaya a nan. Azure ba ya goyon bayan NSG a kan GatewaySubnet, kuma ƙungiyar ba ta iya ganin fakiti na ciki kamar yadda dokar aiki ke gani. Saka manufar a kan yankin da aka nufa ko NIC, daidaita adireshin tushe da ke wanzu bayan ɓoyewa, sannan tabbatar da sabon haɗi maimakon tsohon.

Saka NSG inda Azure ke kimanta shi

Iyakar da aka goyi bayan don tacewar aiki ita ce yankin da aka nufa ko maɗaurin cibiyar sadarwar da aka nufa. Yankin ƙofa kayan more rayuwa ne, kuma Azure ya rubuta cewa ba a goyon bayan NSG a can kuma yana iya lalata aikin ƙofar.

Akwai kuma matsalar hankali a wurin da aka saka. NSG a kan GatewaySubnet zai kimanta musayar IPsec ta waje, wadda adireshinta na ƙofofin biyu ne. Dokar aikace-aikacenka na bukatar tushen sirri a cikin ramu, kuma wannan fakiti yana wanzuwa ne kawai bayan ƙofar ta ɓoye shi. Haɗa ƙungiyar da yankin aiki kuma dokar za ta ga adireshin da aka rubuta ta dominsa.

Duba haɗin yanzu kafin ka canza wani abu, don ka san abin da kake motsawa:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Nemo adireshin tushe bayan ɓoyewa

Tushen ciki shine adireshin sirri na abokin cinikin gida, ko adireshin da na'ura ko NAT na VPN ke gabatarwa bayan fassara. Ba adireshin jama'a na ƙofar VPN ta gida ba ne, wanda na musayar waje ne.

Lokacin da NAT yake cikin ƙira, tabbatar da tushen da aka gabatar maimakon ɗauka. Ɗaukar fakiti a kan VM na Azure, ko filin tushe a cikin tarihin haɗi na sabis, yana warware tambayar da sauri fiye da karanta tsarin gida. Sannan rubuta dokar a kan wannan adireshin da ainihin tashar da aka nufa.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Yi amfani da doka ɗaya ga kowane sabis da kake son bayyanawa, kuma ka ɗanƙata jerin tashoshi. Dokar da ke ba da izini ga duk tashoshi daga yankin gida tana mai da NSG bikin gargajiya.

Duba iyakar VirtualNetwork ta asali

Alamar sabis ta VirtualNetwork ta fi cibiyar sadarwar gida faɗi. Ma'anarta ta haɗa da wuraren adireshi na gida da aka haɗa, cibiyoyin sadarwar da aka haɗa ta peering, da sauran prefixes da aka haɗa da ƙofa. Wannan yana nufin dokar izini ta asali da aka iyakance ga VirtualNetwork na iya riga ya ba da izinin zirga-zirgar ramu da mai aiki ya yi tsammanin waje ne.

Karanta dokokin asali kafin ƙara ƙanana, kuma karanta kowace doka mai zurfi da za ta iya daidaitawa da farko. Ƙara izini bayyananne ba ya cire babbar doka da ta riga ta ba da izinin kwarara. Inda manufa ta buƙaci hani, saka shi a matsayin da aka fi kimantawa kafin izinin.

Takardun Microsoft na alamun sabis suna lissafin abin da alamar VirtualNetwork ke rufewa, kuma ita ce hujar da za a ambata lokacin da wani ya ce alamar tana nufin iyakar VNet kawai.

Karanta dokokin da ke aiki a iyakokin biyu

Lokacin da NSG na yanki da NSG na NIC duka suna aiki, kwarara dole ta bi duka biyun. Izini a ɗaya ba ya soke hani a ɗaya, kuma haɗaɗɗiyar ra'ayi ita ce abin da fakiti ke fuskanta da gaske.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Idan dokokin admin na tsaro na Azure Virtual Network Manager suna aiki, duba wannan layin ma. Dokar admin Always allow na iya isar da zirga-zirga ba tare da kimanta NSG ba, yayin da Deny na admin ke tsayar da shi kafin NSG su gan shi. Nazarin NSG kawai bai cika ba ga wannan tsari.

Ka tuna NSG suna da hali. Gyara doka ba ya ƙare haɗin da aka riga aka ba da izini, don haka gwajin karɓa yana bukatar sabon kwarara. Wannan dabi'ar tana da amfani a samarwa kuma tana yaudara a lokacin canji.

Tabbatar da sabon haɗi

Buɗe sabon zama daga abokin cinikin gida zuwa tashar sabis, sannan maimaita daga mai masaukin da ya kamata a hana. Gudanar da gwajin kwarara daga ɓangaren VM ma, don ka san hanyar dawowa ba ta lalace.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

Izinin NSG yanke shawara ɗaya ce ta shiga, ba hanya ba kuma ba mai saurara ba. Idan dokar ta ba da izinin kwarara kuma haɗin ya kasa, duba hanyar abokin ciniki zuwa VPN, hanyar dawowa ta Azure da katangar wutar mai masauki kafin ka sake gyara ƙungiyar. Rubuta ainihin adireshin tushe, haɗin NSG da dokar da ta dace tare da sabis ɗin da aka amince, domin canjin peering ko hanya na gaba zai iya canza abin da alamar VirtualNetwork ke rufewa.