Azure сайттар аралык VPN жана NAT артындагы өнөктөш: текшерүү тизмеси

Бул текшерүүлөрдү ирети менен аткарыңыз жана биринчи ийгиликсиз болгон жерде токтоңуз. Azure NAT артындагы түзмөктү колдобойт деген кабарлардын көбү чындыгында Azure жете албаган өнөктөш дареги же туура тараптан эч качан башталбаган туннель болуп чыгат. Сырткы транспорт жана ички маршруттоо эки башка маселе, аларды аралаштыруу жарым күндү жоготот. Төмөнкү ар бир кадам башкага берсе боло турган байкоо берет.

1-кадам: өнөктөштүн чынында NAT артында экенин ырастаңыз

Түзмөктүн WAN интерфейсиндеги даректи Azure ага көргөн дарек менен салыштырыңыз. Эгер алар башкача болсо, бир нерсе которуп жатат, жана ал которуучу азыр VPN долбооруңуздун бөлүгү. Провайдерден салыштыруу статикалыкпы же жалпыбы деп сураңыз, анткени жалпы салыштыруу ишенген нерсеңизди өзгөртөт. Жеке WAN дареги бар жана багыттоосу жок түзмөк туруктуу коомдук салыштыруусу бар оператор деңгээлиндеги NAT артындагы түзмөктөн башка учур.

Эки дарек дал келсе, ушул жерде токтоңуз: NAT сиздин маселеңиз эмес жана бул тизменин калганы жардам бербейт.

Эки даректи жана которуучунун моделинин тикетке жазыңыз. Ошол бир сап конфигурацияланган өнөктөш эмнеге жооп бербейт деген кийинки суроолор тобун алдын алат.

2-кадам: ким баштаарын келишиңиз

Azure VPN Gateway боюнча көп берилүүчү суроолор NAT-T колдоосун көрсөтөт жана жергиликтүү түзмөк NAT артында болсо IPsec туннелин ошол баштоосу керектигин кошот. Бул абал менен котормонун иштөөсүнө туура келет, анткени которуучу салыштырууну ички түзмөк биринчи пакетти жөнөткөндүктөн кармайт. Эгер Azure баштоосу күтүлсө жана ошол салыштырууну түзө турган эч нерсе келбесе, туннель эч качан башталбайт.

Өнөктөштү жалгыз-жооп берүүчү катасы анык көрүнөтүндөй конфигурациялаңыз жана түзмөк өзү кайра аракет кылабы же триггер керекпи, текшериңиз. Айрым түзмөктөр туннелди кызыктуу трафик пайда болгондо гана көтөрөт, бул кызыктуу трафик эч качан келбеген ден соолук текшерүүсү болгонго чейин туура.

Кол менен баштоо учурунда түзмөктөгү IKE алмашуусун байкаңыз; ал жердеги тынчтык маршруттоо же файрволдун жообу, Azureдын жообу эмес.

3-кадам: өнөктөштүн дарегин туура коюңуз

Azure өзүнүн жергиликтүү тармак дарбазасы объектисинде өнөктөш үчүн жеткиликтүү коомдук дарекке муктаж, адатта түзмөктүн ички дареги эмес, которуучунун коомдук дареги. Түзмөк аутентификацияланган инсандык өзүнчө талаа жана Azure чалган даректен мыйзамдуу түрдө айырмаланышы мүмкүн. Экөөнү өзүнчө кармаңыз, анткени аларды алмаштыруу NAT маселесине так окшош аутентификация катасын жаратат.

Коомдук дарек өзгөрсө, ал объект да аны менен өзгөрүшү керек. Эскирген дарекке чечилген ат кол менен жаңыртууга туура келген статикалык даректен жаман.

Үч маанини тең жазыңыз: түзмөктүн жергиликтүү дареги, которулган коомдук дарек, конфигурацияланган өнөктөш инсандыгы.

4-кадам: NAT-T керектеген портторду гана ачыңыз

NAT-T ESPны UDP ичинде ташыйт жана RFC 3948 бул инкапсуляцияны 500 портундагы баштапкы сүйлөшүүлөрдөн кийин колдонулган 4500 порту менен сүрөттөйт. Сиздин файрволуңуз жана которуучу экөө тең алмашууга жана анын кайтарым трафигине уруксат бериши керек. Байланышы жок TCP портуна уруксат берүү бул жол тууралуу эч нерсени далилдебейт, ал эми чыгууга уруксат берип, жоопко бербеген эреже баары бир ийгиликсиз болот.

Өнөктөш баштап, которуучу абалды кармаганда кирүү портун статикалык багыттоо автоматтык түрдө талап кылынбайт. Ал салыштыруу туруксуз болгондо же жолдогу бир нерсе абалды агрессивдүү бүткөндө керек болот.

Которуучунун эки тарабында бир жолу жазып алыңыз; инкапсуляция айырмасы дароо көрүнөт.

5-кадам: сырткы транспортту ички маршруттоодон бөлүңүз

Орношуп, эч нерсе ташыбаган туннель маршруттоо маселеси, NAT-T маселеси эмес. Сайттарга дагы эле шайкеш трафик селекторлору, дал келген дарек мейкиндиктери, кирүү эрежелери жана колдонмо тармактары үчүн кайтарым жол керек. Мунун эч бирин ийгиликтүү IKE алмашуусу бербейт.

Эгер эки сайт капталган жеке диапазондорду колдонсо, туннелдин ичиндеги котормо өз эрежелери бар өзүнчө долбоор. Сырткы дарбаза үй маршрутизаторунун артында калгандыктан гана кошумча тармакты кайра номурлабаңыз.

Бир нерсени өзгөртүүнүн алдында бузулушту этап боюнча классификациялаңыз жана бул классификацияны тикетте калтырыңыз, ошондо кийинки адам сиз токтогон жерден баштайт.