Неге Azure-дағы VPN құрылғысы бар VM қайту жолын жоғалтады
Azure VM ішіндегі VPN құрылғы UDR, желілік картаның жіберу жалаушасы және қонақ саясаты үйлесуін талап етеді. Бір филиал сұранысын үшеуі арқылы қадағалаңыз.
VPN құрылғысын іске қосатын Azure VM екі тәуелсіз шешім жүйесінің ішінде орналасқан. Пакеттің қай қосалқы желіден шығатынын Azure бағыттау кестелері мен желілік картаның жіберу параметрін пайдаланып шешеді. Құрылғының өз операциялық жүйесі шифры ашылған пакетті әрі қарай жібере ме, жоқ па, соны шешеді. Мінсіз көтерілген туннель екінші жүйеде бәрібір сәтсіз аяқталуы мүмкін, және осындай орналастырулардың көбісі осы жерде тоқтайды.
Бір жолдың үш иесі
Филиал желісін алыңыз 192.168.50.0/24 және жұмыс жүктемесінің қосалқы желісін алыңыз 10.0.10.0/24, құрылғы мына мекенжайда 10.0.0.4 өз қосалқы желісінде. Бір сұраныс үш бөлек конфигурацияға қатысады.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Көптеген ұйымдарда әр жолды басқа топ иеленеді, сондықтан бұл ақау әдетте бір билеттің орнына үш билет болып келеді.
Құрылғыға нұсқайтын бағыт
Бағыттау кестесін жұмыс жүктемесінің қосалқы желісіне тіркеп, филиал префиксіне Virtual appliance түріндегі келесі секіріс беріңіз 10.0.0.4 мекенжайы ретінде. Құрылғының қолжетімді жеке мекенжайын пайдаланыңыз, ешқашан оның жалпыға ашық VPN кіру нүктесін. Келесі секіріс жұмыс жүктемесінің қосалқы желісі қазірдің өзінде жете алатын мекенжай болуы керек. Жұмыс жүктемесінің қалған бағыттауын өзгертпей қалдырыңыз, егер әдепкі бағытты әдейі ауыстыруға шешім қабылдамаған болсаңыз.
Құрылғыны өз қосалқы желісінде ұстаңыз және филиал трафигін құрылғыға жіберетін бағыт құрылғының өз шығыс жолын да ұстап алмайтынына көз жеткізіңіз. Мұндай ілмек нөлдік жауаптары бар сау туннельге ұқсайды, ал оны түнде сағат 2-де жөндеу өте жағымсыз іс.
Барлығы ұмытатын желілік карта жалаушасы
Azure-да әр желілік карта үшін IP жіберу параметрі бар және ол әдепкі бойынша өшірулі. Ол жіберетін карта өзіне емес, басқа нәрсеге адрестелген пакеттерді қабылдайтындықтан қажет, ал оларды үнсіз тастау қалғандар үшін қауіпсіз әдепкі болып табылады.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true оны бір интерфейс үшін қосады. Microsoft-тың желілік картада жіберу туралы нұсқаулығы трафикті жіберетін әр қосылған картада осы параметрді талап етеді, сондықтан бір карталы құрылғы оны сол картада орнатуы керек.
Жалауша бағыт та емес, өрт қабырғасы ережесі де емес. Оны қосу рұқсат береді, басқа ештеңе бермейді.
Қонақ шифры ашылған пакетпен не істейді
Туннель аяқталғаннан кейін құрылғының өз стегі келесі шешімді қабылдайды. Linux қонағында IPv4 жіберу — орындалу уақытындағы параметр, және sysctl -w net.ipv4.ip_forward=1 келесі жүктелуге дейін сақталады. Оның орнына оны /etc/sysctl.d/ астындағы файлға сақтаңыз. Жеткізуші құрылғысының өз баламасы бар, ал жеткізуші платформасына қойылған Linux нұсқаулары әдетте ештеңе істемейді.
Қонақтың өрт қабырғасы саясаты тағы бөлек, жұмыс жүктемесінің желілік қауіпсіздік тобы да солай. VM-нің жалпыға ашық мекенжайына UDP 500 және 4500 рұқсат ету туннельді қорғайды; бірақ шифры ашылған филиал сұранысының жұмыс жүктемесі портына жете алатыны туралы ештеңе айтпайды.
Бір сұраныс пен оның жауабын қадағалаңыз
Бір рұқсат етілген ағынды таңдап, оны басынан аяғына дейін қадағалаңыз. Филиалға бағыт керек 10.0.10.0/24 сайт қосылымы арқылы, құрылғыға жұмыс жүктемесінің қосалқы желісіне жеткізу жолы керек, ал жұмыс жүктемесінің қосалқы желісіне филиалға қарай қайту бағыты керек.
Дизайн филиалдың көз мекенжайын сақтай ма, әлде оны түрлендіре ме, соны ертерек шешіңіз. NAT жұмыс жүктемесі көретін нәрсені өзгертеді, сондықтан оның қатынас ережелері болжамды шлюз мекенжайын емес, сіз шын мәнінде таңдаған модельді сипаттауы керек.
Сәтті қол алысу сол шынжырдың бір буынын дәлелдейді. Жауап сол құрылғы арқылы қайта оралғанда және жұмыс жүктемесінің өз саясаты рұқсат бергенде жол толық болады.