Azure сайт-сайт VPN трафигі үшін NSG-ны қайда қолдану керек

Сайт-сайт туннелі жұмыс істеп тұр, жергілікті клиент Azure-дың кейбір хосттарына жетеді, ал басқаларына жетпейді, және біреу мұны түзету үшін GatewaySubnet-ке желілік қауіпсіздік тобын тіркеген. Осы жерде тоқтаңыз. Azure GatewaySubnet-те NSG-ны қолдамайды, және топ жұмыс жүктемесінің ережесі сияқты ішкі пакетті көре алмайды. Саясатты мақсатты қосалқы желіге немесе NIC-ке қойыңыз, шифрдан шығарғаннан кейін бар көз мекенжайын сәйкестендіріңіз, содан кейін ескі емес, жаңа қосылыммен тексеріңіз.

NSG-ны Azure оны бағалайтын жерге қойыңыз

Жұмыс жүктемесін сүзудің қолдау көрсетілетін шекарасы — мақсатты қосалқы желі немесе мақсатты желілік интерфейс. Шлюз қосалқы желісі инфрақұрылым болып табылады, және Azure онда NSG-лер қолдау көрсетілмейтінін және шлюз жұмысына зиян келтіруі мүмкін екенін құжаттайды.

Орналастыруда логикалық мәселе де бар. GatewaySubnet-тегі NSG сыртқы IPsec алмасуын бағалар еді, оның мекенжайлары екі шлюзге тиесілі. Сіздің қолданба ережесіне туннель ішіндегі жеке көз қажет, және бұл пакет шлюз оны шифрдан шығарғаннан кейін ғана болады. Топты жұмыс жүктемесінің қосалқы желісіне тіркеңіз, сонда ереже өзі жазылған мекенжайды көреді.

Бірдеңе өзгертудің алдында ағымдағы байланыстарды тексеріңіз, не тасымалдайтыныңызды білу үшін:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Шифрдан шығарғаннан кейін көз мекенжайын табыңыз

Ішкі көз — жергілікті клиенттің жеке мекенжайы немесе құрылғы немесе VPN NAT аудармадан кейін ұсынатын мекенжай. Бұл жергілікті VPN шлюзінің жария мекенжайы емес, ол сыртқы алмасуға тиесілі.

NAT дизайнның бөлігі болса, болжаудың орнына ұсынылған көзді растаңыз. Azure VM-де пакет ұстау немесе қызметтің қосылым журналындағы көз өрісі мәселені жергілікті конфигурацияны оқудан тезірек шешеді. Содан кейін ережені сол мекенжайға және нақты мақсатты портқа қарсы жазыңыз.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Ашқыңыз келетін әрбір қызмет үшін бір ереже қолданыңыз және порттар тізімін қысқа ұстаңыз. Жергілікті ауқымнан барлық порттарға рұқсат беретін ереже NSG-ні формальдылыққа айналдырады.

Әдепкі VirtualNetwork ауқымын тексеріңіз

VirtualNetwork қызмет тегі жергілікті виртуалды желіден кеңірек. Оның анықтамасы қосылған жергілікті мекенжай кеңістіктерін, peering арқылы қосылған желілерді және шлюзге қосылған басқа префикстерді қамтиды. Бұл VirtualNetwork-ке шектелген әдепкі рұқсат ережесі оператор сыртқы деп санаған туннель трафигіне әлдеқашан рұқсат беруі мүмкін дегенді білдіреді.

Тар ережелерді қоспас бұрын әдепкі ережелерді оқыңыз және бірінші сәйкесуі мүмкін әрбір жоғары басымдықты ережені оқыңыз. Айқын рұқсат қосу ағынға әлдеқашан рұқсат беретін кеңірек ережені жоймайды. Саясат тыйымды талап ететін жерде оны рұқсатқа дейін шынымен бағаланатын басымдыққа қойыңыз.

Microsoft-тың қызмет тегтері туралы құжаттамасы VirtualNetwork тегі нені қамтитынын тізімдейді, және біреу тег тек VNet ауқымын білдіреді деп дәлелдегенде сілтеме жасалатын анықтама осы.

Екі шекарадағы тиімді ережелерді оқыңыз

Қосалқы желінің NSG-сі де, NIC-тің NSG-сі де қолданылғанда, ағын екеуін де қанағаттандыруы керек. Біріндегі рұқсат екіншісіндегі тыйымды жоймайды, және пакет шын мәнінде біріктірілген көрініспен кездеседі.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Егер Azure Virtual Network Manager қауіпсіздік әкімші ережелері қолданылса, сол қабатты да қарап шығыңыз. Әкімшілік Always allow ережесі трафикті NSG бағалауынсыз жеткізе алады, ал әкімшілік Deny оны NSG-лер көрмей тұрып тоқтатады. Мұндай орналасу үшін тек NSG-ні қарау толық емес.

NSG-лер күй сақтайтынын ұмытпаңыз. Ережені өңдеу бар рұқсат етілген қосылымды міндетті түрде тоқтатпайды, сондықтан қабылдау сынағы жаңа ағынды қажет етеді. Бұл қасиет өндірісте пайдалы және өзгеріс терезесінде адастырады.

Жаңа қосылыммен тексеріңіз

Жергілікті клиенттен қызмет портына жаңа сессия ашыңыз, содан кейін қабылданбауы тиіс хосттан қайталаңыз. Ағын сынағын VM жағынан да іске қосыңыз, қайтару жолының бүтіндігін білу үшін.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

NSG рұқсаты — бір кіру шешімі, маршрут та емес, тыңдаушы да емес. Ереже ағынға рұқсат беріп, қосылым әлі де сәтсіз болса, топты қайта өңдеу алдында клиенттің VPN-ге маршрутын, Azure-дың қайтару маршрутын және хосттың брандмауэрын тексеріңіз. Нақты көз мекенжайын, NSG байланыстарын және сәйкес ережені бекітілген қызметпен бірге жазып алыңыз, өйткені келесі peering немесе маршрут өзгерісі VirtualNetwork тегінің қамтитынын өзгертуі мүмкін.