Tvö opinber IP-tölur á einni Azure VPN-vél: hvor gerir hvað

Tvö opinber IP-tölur á einni Azure VPN-vél skapa væntingar sem sjaldan standast: vistfangið sem biðlarar tengjast verður líka vistfangið sem vefsíður sjá. Þrjár óháðar ákvarðanir framleiða þá niðurstöðu, og aðeins fyrsta snertir hlustanda túlsins. Önnur er uppruni gests sem notaður er fyrir framsenda biðlarauðmætti, og þriðja er útgönguaðferð Azure sem gildir um þann uppruna. Breyttu einni og hinar tvær vera þar sem þær voru, svo ákvarðaðu hverja fyrir sig skýrt.

Ákvörðun 1: hvar túlið endar

Opinbert Azure-IP er tengt einkarekinni IP-stillingu á NIC; það er ekki vistfang sem þú bætir við inni í stýrikerfi gestsins. Lestu vörpunina í stað þess að gera ráð fyrir henni: az network nic show --ids /subscriptions/.../networkInterfaces/vpn-nic --query 'ipConfigurations[].{private:privateIPAddress,public:publicIPAddress.id}'. Hvaða einkavistfang sem þessi fyrirspurn skilar er það sem gesturinn verður í raun að hafa.

Ein NIC getur borið nokkrar IP-stillingar, svo tvö opinber vistföng krefjast ekki tveggja NIC. Ef hönnunin notar samt tvær NIC, færir hvor sína gestleið og næstu hopp, og þú hefur bætt við leiðarákvörðun í stað þess að einfalda hana.

Fyrir þjónustu með skýra staðbundna bindingu, bindtu við raunverulegt einkavistfang gestsins, aldrei við opinberu staðgengilinn. Hlustandi sem tekur við öllum vistföngum fær umferð í gegnum hverja IP-stillingu sem nær til hans, svo takmarkaðu inngang með netöryggishópnum og eldvegg hýsilsins í stað þess að vona að bindiröðin ráði.

Ákvörðun 2: hvaða uppruna framsendi biðlarinn notar

Eftir að hliðið hefur afkóðað beiðni biðlarans er pakkinn sem það framsendir annar en sá sem barst hlustanda VPN. Gesturinn þarf virka framsendingu, eldveggsstefnu sem leyfir flæðið og upprunavistfang sem skýjahönnunin leyfir. Ef þú þýðir innra vistfang biðlarans er það þýdda uppruni sem Azure metur, ekki innra vistfang biðlarans.

Þröng SNAT-regla getur valið einkann uppruna gestsins, en getur ekki sigrað síðari þýðingu Azure. Veldu SNAT þegar þú þarft ábyrgð á hvern biðlara innan vélsins; slepptu því þegar útgangshönnun undirnetsins veitir þegar stöðugan opinberan uppruna og önnur þýðing myndi aðeins bæta við stöðu.

Ákvörðun 3: hver útgönguaðferð Azure vinnur

Microsoft skjalfestirforgangsröð útgöngu: gild leið að tæki eða hliði gengur fyrir, og nettenging undirnetsins í gegnum NAT Gateway gengur fyrir opinberu IP á tilviksstigi á viðkomandi leið. Þessi röð er ástæðan fyrir því að þýðing yfir í 10.20.0.5 sannar ekki að vefsíða muni sjá 198.51.100.20. Lestu virku leiðartöfluna, NAT Gateway-tengingu og opinbert IP NICsins saman áður en þú samþykkir útgangshönnunina.

Haltuframsendingarstillingu Azure NICsinsaðskilinni frá framsendingu í Linux. Skýjafáninn leyfir pakka þar sem uppruni eða áfangastaður er ekki úthlutaður NICinu; hann virkjar ekki net.ipv4.ip_forward, og stilling gestsins veitir ekki skýjaheimildina.

Túlsokkurinn hefur sína eigin upprunaákvörðun

Stillingin Address í WireGuard undir wg-quick úthlutar vistfangi til WireGuard-viðmótsins; það er ekki fyrirmæli um ytri UDP-bindingu. Uppruni dulritaða sokksins fylgir leiðartöflunni, svo stefnuleið eða önnur sjálfgefin leið getur fært hann án þess að snerta vistfang viðmótsins.OpenVPN: valkosturinn local og UDP multihome hegða sér eins: þeir varða hlustandann og svör hans, ekki internetuppruna hvers framsendra biðlara.

Varðveittu undirliggjandi leiðina sem ber túlið og staðfestu að biðlarinn fái enn sannvottuð svör frá væntanlegu inngangsráði. Treystu ekki röð vistfangalistans sem varanlegri stefnu um upprunaval, því næsta vistfang sem bætt er við NICið getur breytt því hver vinnur.

Hvað á að samþykkja, og í hvaða röð

Samþykktu þrjár niðurstöður hver fyrir sig. Fyrst nær ytri biðlari væntanlegum VPN-inngangi. Í öðru lagi fer ný leyfð beiðni frá þeim VPN-biðlara út um skjalfesta internetútganginn. Í þriðja lagi vera óætlaðar hlustanda- og framsendingarleiðir áfram neitaðar. Skráðu vörpun opinberra í einkavistföng og gesta- og skýjaeigendur hverrar ákvörðunar á sama stað.

Árangursríkt túl sannar aðeins fyrsta hlutann. Prófaðu útganginn með nýju flæði, því tenging í skyndiminni getur haldið áfram að nota gamla upprunann löngu eftir að leiðinni var breytt.