Gdje primijeniti NSG na Azure VPN promet od lokacije do lokacije

Tunel od lokacije do lokacije je aktivan, lokalni klijent doseže neke Azure hostove, a druge ne, i netko je dodao mrežnu sigurnosnu grupu na GatewaySubnet da to popravi. Zaustavite se tu. Azure ne podržava NSG na GatewaySubnet i grupa ne vidi unutarnji paket kao pravilo radnog opterećenja. Stavite pravilo na odredišnu podmrežu ili NIC, uskladite izvornu adresu koja postoji nakon dešifriranja i zatim provjerite novom, a ne starom vezom.

Postavite NSG tamo gdje ga Azure procjenjuje

Podržana granica za filtriranje radnog opterećenja je odredišna podmreža ili odredišno mrežno sučelje. Podmreža pristupnika je infrastruktura i Azure dokumentira da NSG tamo nije podržan i može naškoditi radu pristupnika.

Postoji i logički problem s postavljanjem. NSG na GatewaySubnet procjenjivao bi vanjsku IPsec razmjenu, čije adrese pripadaju dvama pristupnicima. Vaše pravilo aplikacije treba privatni izvor unutar tunela, a taj paket postoji tek nakon što ga pristupnik dešifrira. Pričvrstite grupu na podmrežu radnog opterećenja i pravilo vidi adresu za koju je napisano.

Provjerite trenutne asocijacije prije bilo kakve promjene, da znate što premještate:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Pronađite izvornu adresu nakon dešifriranja

Unutarnji izvor je privatna adresa lokalnog klijenta ili adresa koju uređaj ili VPN NAT predstavlja nakon prevođenja. To nije javna adresa lokalnog VPN pristupnika, koja pripada vanjskoj razmjeni.

Kada je NAT dio dizajna, potvrdite predstavljeni izvor umjesto da ga pretpostavljate. Snimanje paketa na Azure VM-u ili polje izvora u dnevniku veza usluge rješava pitanje brže od čitanja lokalne konfiguracije. Zatim napišite pravilo prema toj adresi i stvarnom odredišnom portu.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Koristite jedno pravilo po usluzi koju namjeravate izložiti i držite popis portova kratkim. Pravilo koje dopušta sve portove iz lokalnog raspona pretvara NSG u formalnost.

Provjerite zadani opseg VirtualNetwork

Oznaka usluge VirtualNetwork šira je od lokalne virtualne mreže. Njezina definicija uključuje povezane lokalne adresne prostore, mreže povezane peeringom i druge prefikse povezane pristupnikom. Zato zadano pravilo dopuštanja ograničeno na VirtualNetwork već može dopustiti promet tunela koji je operator smatrao vanjskim.

Pročitajte zadana pravila prije dodavanja uskih i pročitajte svako pravilo višeg prioriteta koje se može prvo podudariti. Dodavanje izričitog dopuštenja ne uklanja šire pravilo koje tok već dopušta. Gdje politika zahtijeva zabranu, postavite je na prioritet koji se stvarno procjenjuje prije dopuštenja.

Microsoftova dokumentacija o oznakama usluga navodi što oznaka VirtualNetwork pokriva i to je referenca na koju se pozivate kada netko tvrdi da oznaka znači samo raspon VNet.

Pročitajte efektivna pravila na obje granice

Kada se primjenjuju i NSG podmreže i NSG NIC-a, tok mora zadovoljiti oba. Dopuštenje u jednom ne poništava zabranu u drugom, a upravo zbirni prikaz paket stvarno susreće.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Ako su u igri sigurnosna administratorska pravila Azure Virtual Network Managera, pregledajte i taj sloj. Administratorsko pravilo Always allow može dostaviti promet bez procjene NSG-a, dok ga administratorsko Deny zaustavlja prije nego što ga NSG-ovi vide. Pregled samo NSG-a nije potpun za takav raspored.

Upamtite da NSG-ovi čuvaju stanje. Uređivanje pravila ne prekida nužno postojeću dopuštenu vezu, pa prihvatni test treba svjež tok. To je svojstvo korisno u produkciji, a obmanjujuće tijekom prozora promjena.

Provjerite svježom vezom

Otvorite novu sesiju s lokalnog klijenta na port usluge, zatim to ponovite s hosta kojem treba biti odbijen pristup. Pokrenite test toka i sa strane VM-a, da znate da je povratni put ispravan.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

NSG dopuštenje je jedna odluka o pristupu, nije ruta i nije slušatelj. Ako pravilo dopušta tok, a veza i dalje ne uspijeva, provjerite rutu klijenta u VPN, Azure povratnu rutu i vatrozid hosta prije nego ponovno uredite grupu. Zabilježite stvarnu izvornu adresu, asocijacije NSG-a i odgovarajuće pravilo uz odobrenu uslugu, jer sljedeća promjena peeringa ili rute može promijeniti što oznaka VirtualNetwork pokriva.