Azure сайт-сайт VPN трафиги үчүн NSGни кайда колдонуу керек

Сайт-сайт туннели иштеп турат, жергиликтүү кардар Azureдин айрым хостторуна жетет, ал эми башкаларына жетпейт, жана бирөө муну оңдоо үчүн GatewaySubnetке тармактык коопсуздук тобун тиркеген. Ошол жерде токтоңуз. Azure GatewaySubnetте NSGни колдобойт, жана топ жумуш жүктөмүнүн эрежеси сыяктуу ички пакетти көрө албайт. Саясатты максаттуу кошумча тармакка же NICке коюңуз, чечмелөөдөн кийин бар болгон булак дарегин дал келтириңиз, анан эски эмес, жаңы туташуу менен текшериңиз.

NSGни Azure аны баалаган жерге коюңуз

Жумуш жүктөмүн чыпкалоонун колдоого алынган чети — максаттуу кошумча тармак же максаттуу тармактык интерфейс. Шлюздун кошумча тармагы инфраструктура болуп саналат, жана Azure ал жерде NSGлер колдоого алынбайт жана шлюздун ишине зыян келтириши мүмкүн экенин документтештирет.

Жайгаштырууда логикалык маселе да бар. GatewaySubnetтеги NSG сырткы IPsec алмашуусун бааламак, анын даректери эки шлюзга таандык. Сиздин колдонмо эрежеңизге туннелдин ичиндеги жеке булак керек, жана ал пакет шлюз аны чечмелегенден кийин гана болот. Топту жумуш жүктөмүнүн кошумча тармагына тиркеңиз, ошондо эреже өзү жазылган даректи көрөт.

Бир нерсени өзгөртүүдөн мурун учурдагы байланыштарды текшериңиз, эмнени жылдырып жатканыңызды билүү үчүн:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Чечмелөөдөн кийин булак дарегин табыңыз

Ички булак — жергиликтүү кардардын жеке дареги же түзмөк же VPN NAT которгондон кийин көрсөткөн дарек. Бул жергиликтүү VPN шлюзунун жарыя дареги эмес, ал сырткы алмашууга таандык.

NAT долбоордун бөлүгү болсо, божомолдоонун ордуна көрсөтүлгөн булакты ырастаңыз. Azure VMден пакетти кармоо же кызматтын туташуу журналындагы булак талаасы маселени жергиликтүү конфигурацияны окугандан тезирээк чечет. Анан эрежени ошол дарекке жана чыныгы максаттуу портко каршы жазыңыз.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Ачканыңыз келген ар бир кызмат үчүн бир эреже колдонуңуз жана порттордун тизмесин кыска кармаңыз. Жергиликтүү диапазондон бардык портторго уруксат берген эреже NSGни формалдуулукка айландырат.

Демейки VirtualNetwork аймагын текшериңиз

VirtualNetwork кызмат теги жергиликтүү виртуалдык тармактан кененирээк. Анын аныктамасы туташкан жергиликтүү дарек мейкиндиктерин, peering аркылуу туташкан тармактарды жана шлюзга туташкан башка префикстерди камтыйт. Демек, VirtualNetworkке чектелген демейки уруксат эрежеси оператор сырткы деп эсептеген туннел трафигине мурунтан эле уруксат бериши мүмкүн.

Тар эрежелерди кошпостон мурун демейки эрежелерди окуңуз жана биринчи дал келиши мүмкүн болгон ар бир жогорку артыкчылыктуу эрежени окуңуз. Ачык уруксат кошуу агымга мурунтан уруксат берген кенен эрежени жок кылбайт. Саясат тыюуну талап кылган жерде аны уруксаттан мурун чындап баалануучу артыкчылыкка коюңуз.

Microsoftтун кызмат тегдери боюнча документтери VirtualNetwork теги эмнени камтый турганын тизмелейт, жана бирөө тег VNet диапазонун гана билдирет деп талашканда шилтеме кылынуучу булак ушул.

Эки чектеги натыйжалуу эрежелерди окуңуз

Кошумча тармактын NSGси да, NICтин NSGси да колдонулганда, агым экөөнү тең канааттандырышы керек. Бирөөндөгү уруксат экинчисиндеги тыюуну жокко чыгарбайт, жана пакет чындыгында бириктирилген көрүнүшкө туш болот.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Эгер Azure Virtual Network Managerдин коопсуздук администратор эрежелери колдонулса, ал катмарды да карап чыгыңыз. Административдик Always allow эрежеси трафикти NSG баалоосуз жеткире алат, ал эми административдик Deny аны NSGлер көрө электе токтотот. Мындай жайгашуу үчүн NSGни гана карап чыгуу толук эмес.

NSGлер абалды сактаарын унутпаңыз. Эрежени оңдоо бар болгон уруксат берилген туташууну сөзсүз токтотпойт, ошондуктан кабыл алуу сынагы жаңы агымды талап кылат. Бул касиет өндүрүштө пайдалуу жана өзгөртүү терезесинде адаштырат.

Жаңы туташуу менен текшериңиз

Жергиликтүү кардардан кызмат портуна жаңы сессия ачыңыз, анан четке кагылышы керек болгон хосттон кайталаңыз. Агым сынагын VM тарабынан да иштетиңиз, кайтуу жолу бүтүн экенин билүү үчүн.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

NSG уруксаты — бир кирүү чечими, маршрут да эмес, угуучу да эмес. Эреже агымга уруксат берип, туташуу дагы эле ишке ашпаса, топту кайра оңдоодон мурун кардардын VPNге маршрутун, Azureдын кайтуу маршрутун жана хосттун брандмауэрин текшериңиз. Чыныгы булак дарегин, NSG байланыштарын жана дал келген эрежени бекитилген кызмат менен бирге жазып алыңыз, анткени кийинки peering же маршрут өзгөрүүсү VirtualNetwork теги камтыган нерсени өзгөртүшү мүмкүн.