VM na Azure ba ya isa IMDS ko WireServer bayan VPN ya fara

VM na aiki, abokin ciniki na VPN ya ce an haɗa shi, kuma bayan 'yan mintuna kaɗan wakilin Azure ya fara bayar da rahoton rashin lafiya. Wani lokaci SSH yana dawwama amma Run Command daga portal ba ya, wanda ke tura mutane zuwa ga wakili maimakon teburin hanyoyi. Hukunce-hukuncen tura kaya na baƙo sun canza lokacin da ramin ya tashi, kuma adireshin dandamali biyu ne yawanci farkon waɗanda abin ya shafa. Ina ɗaukar wannan a matsayin alamar matsalar hanya kafin in ɗauke shi a matsayin gazawar wakili.

Alamar tana kama da wakili da ya lalace

Duk adireshin biyu da ke ƙasa ana ba da shawarar a matsayin magani, kuma ba sabis ɗaya ba ne. Kwafin /32 ga ɗaya saboda ya yi aiki ga ɗayan shine ainihin yadda maganin wucin gadi ke zama tsari na dindindin da babu wanda ke kuskura ya cire.

Tsarin da ke aiki shine tabbatar da wace adireshi kiran da ya gaza ke nufi da gaske, sannan ka karanta yadda baƙon ke warware shi. Duk wani abu dabam hasashe ne da ƙarin matakai da taga canji mai tsawo.

168.63.129.16 ba wuri na jama'a ba ne

168.63.129.16 shine adireshin dandamali na musamman na Azure, kuma ɗaya daga cikin ayyukansa shine WireServer, wanda wakilin VM ke amfani da shi don yin magana da masana'anta. Microsoft ya rubuta cewa zirga-zirgar wakili zuwa tashoshin TCP 80 da 32526 dole ne su kasance da su. Ba mai masaukin intanet na yau da kullum ba ne, kuma ba abu ba ne da VPN na cikakken rami ya kamata ya ɗauka zuwa fitowa mai nisa. Shi ya sa ramin da ke kama da lafiya zai iya yin yunwa ga wakilin.

Takardun adireshin dandamali kuma ya ce wannan adireshin ba ya ƙarƙashin hanyoyin da mai amfani ya ayyana, wanda siffa ce ta masana'antar Azure ba alkawari ba game da baƙonka. Dokar wuta ta gida ko tsarin dabaru na abokin ciniki na VPN da kansa na iya karya hanyar, kuma babu ɗayansu da ke rayuwa a teburin hanyoyin VNet.

Idan wakilin ne ke ba da rahoton matsala, duba yanayin sabis ɗin da hanyar zuwa wannan adireshin kafin ka sake shigar da wani abu.

169.254.169.254 yana da nasa dokoki

169.254.169.254 shine adireshin link-local na Azure Instance Metadata Service. Buƙatun zuwa gare shi suna da nasu sharuɗɗa: babbar NIC da babbar IP, tsarin DHCP da ke tallafawa adireshin, da ketare kowane proxy na HTTP. Aika su ta hanyar fitowar VPN mai nisa ko ƙofar intanet ta kowane iri ba shine tsarin shiga da Microsoft ya bayyana ba.

Wannan sashe na proxy yana kama mutanen da suka gyara hanyar kuma har yanzu suna ganin gazawa. Proxy na HTTP a cikin baƙo na iya karya IMDS yayin da ip route get ke dawo da ainihin interfejs ɗin da kake tsammani, don haka duba keɓancewar proxy tare da hanyoyin.

Kada ka liƙa amsoshin metadata a cikin tikitin tallafi yayin da kake gyara wannan. Suna iya ɗaukar takardun shaida da bayanan misali waɗanda suka fi wannan lamarin tsawon rai.

Karanta tsarin dabaru na baƙo, ba kawai babban tebur ba

A kan baƙon Linux, umarni uku na karatu kawai suna raba matakan: ip -4 rule show don dokokin dabaru, sannan ip -4 route get 168.63.129.16 da ip -4 route get 169.254.169.254 don shawarwarin da kernel ke yankewa da gaske. Gudanar da su kafin VPN ya haɗu da kuma bayan. Bambanci tsakanin waɗannan fitarwar biyu shine saitin canjinka, kuma ya fi amfani fiye da kowane hasashe game da abin da abokin ciniki ya yi.

Abokin ciniki na VPN da ke shigar da dokokin dabaru na iya barin babban tebur ba tare da an taɓa shi ba yayin da yake juya waɗannan binciken. Shi ya sa maganin babban tebur kawai ke kama da yana aiki a kan wata na'ura kuma ba ya yin komai a na gaba. Baƙin da ke da NIC da yawa suna ƙara irin wannan matsala daga wani gefe, domin amsar ta dogara da wace NIC da adireshin tushe dokar ta zaɓa.

Yi tsayayya da girke-girken da ke ƙara duka hanyoyin /32 ta tsohuwar ƙofa. Hanyar dandamali ta link-local da babban mataki na gaba na WAN abubuwa ne daban-daban, kuma keɓancewar gama-gari tana ɓoye ainihin rikicin dabaru.

Raba gudanarwa da dawo da ayyuka

Amsar SSH ko RDP ɗinka ma ana iya kama ta da tsoho na cikakken rami, amma tana nufin adireshin da aka lura da shi na mai gudanarwa maimakon kowane ƙarshen dandamali. Yi masa bincike daga nasa nau'in tambaya da amsa, kuma riƙe tashar dawo da ayyuka mai zaman kanta kamar console na serial kafin ka canza tsarin VPN. Idan turawa ta sake kunna VM kuma wakilin ya ba da rahoton rashin lafiya, duba aikin da aka rubuta da sabis ɗin da ke da alhakin maimakon ɗauka cewa canjin hanya ya haifar da sake kunnawa.

Sannan tabbatar da koguna uku daban: albarkatun sirri da kake so da gaske, hanyar sadarwa tsakanin wakili da dandamali da aka tallafa, da hanyar gudanarwa. Maido da ɗaya ba hujja ba ce cewa sauran biyu sun tsira.

Rubuta keɓancewar da aka amince a ƙarƙashin mai cibiyar sadarwar baƙo da tsarin VPN, gami da abin da ke faruwa lokacin sake haɗawa da sake kunnawa. UDR na Azure ba teburin hanyoyin baƙo ba ne, kuma gyara su ba zai gyara dokar dabaru ta gida ba.