Бир Azure VPN VMде эки коомдук IP: кайсы эмне кылат

Бир Azure VPN VMде эки коомдук IP сейрек аткарылуучу күтүү жаратат: кардарлар туташкан дарек веб-сайттар көргөн дарек да болот. Бул натыйжаны үч көз карандысыз чечим берет жана алардын биринчиси гана туннелдин угуучусуна тиешелүү. Экинчиси кайра багытталган кардар трафиги үчүн колдонулган конок булагы, үчүнчүсү ошол булакка колдонулуучу Azureдын чыгуу ыкмасы. Бирөөнү өзгөртсөңүз, калган экөө ордунда калат, ошондуктан ар бирин ачык чечиңиз.

Чечим 1: туннел кайда бүтөт

Azureдын коомдук IPси NICтеги жеке IP конфигурациясына байланышат; бул коноктун операциялык системасынын ичинде кошкон дарек эмес. Болжолдоонун ордуна шайкештикти окуңуз: az network nic show --ids /subscriptions/.../networkInterfaces/vpn-nic --query 'ipConfigurations[].{private:privateIPAddress,public:publicIPAddress.id}'. Бул суроо кайсы жеке даректи кайтарса, конок чындыгында ошону кармашы керек.

Бир NIC бир нече IP конфигурациясын көтөрө алат, ошондуктан эки коомдук дарек эки NIC талап кылбайт. Эгер долбоор чын эле эки NIC колдонсо, ар бири өзүнүн конок маршруттарын жана кийинки хопторун алып келет, жана сиз жөнөкөйлөтүүнүн ордуна маршруттоо чечимин коштуңуз.

Ачык жергиликтүү байлоосу бар кызмат үчүн коноктун реалдуу жеке дарегине байланыңыз, эч качан коомдук орунбасарга байланбаңыз. Бардык даректерди кабыл алган угуучу өзүнө жеткен ар бир IP конфигурация аркылуу трафик алат, ошондуктан киришти байлоо тартиби чечет деп күтүүнүн ордуна тармактын коопсуздук тобу жана хосттун брандмауэри менен чектеңиз.

Чечим 2: кайра багытталган кардар кайсы булакты колдонот

Шлюз кардардын суроосун чечмелегенден кийин ал кайра багыттаган пакет VPN угуучусуна келген пакеттен башкача. Конокко күйгүзүлгөн кайра багыттоо, агымга жол берүүчү брандмауэр саясаты жана булут долбоору жол берген булак дареги керек. Эгер кардардын ички дарегин которсоңуз, Azure дал ошол которулган булакты баалайт, кардардын ички дарегин эмес.

Тар SNAT эрежеси коноктун жеке булагын тандай алат, бирок Azureдын кийинки котормосун жеңе албайт. VMдин ичинде ар бир кардар боюнча жоопкерчилик керек болсо SNAT тандаңыз; субнеттин чыгуу долбоору мурунтан эле туруктуу коомдук булак берип, экинчи котормо тек абалды кошот болсо, андан баш тартыңыз.

Чечим 3: кайсы Azure чыгуу ыкмасы жеңет

Microsoftчыгуу приоритетинин тартибиндокументтештирет: түзмөккө же шлюзга колдонулуучу маршрут приоритет алат, ал эми тиешелүү жолдо субнеттин NAT Gateway байланышы инстанция деңгээлиндеги коомдук IPден приоритеттүү. Ушул тартиптен улам 10.20.0.5ке которуу веб-сайт 198.51.100.20ни көрөт деп далилдебейт. Чыгуу долбоорун кабыл алардан мурун натыйжалуу маршрут таблицасын, NAT Gateway байланышын жана NICтин коомдук IPсин чогуу окуңуз.

ТөмөнкүнүAzure NIC кайра багыттоо параметринLinuxтун кайра багыттоосунан өзүнчө кармаңыз. Булут желеги булагы же багыты NICке дайындалбаган пакеттерге жол берет; ал net.ipv4.ip_forward параметрин күйгүзбөйт жана коноктун параметри булут уруксатын бербейт.

Туннел сокетинде өзүнүн булак чечими бар

wg-quick астындагы WireGuardдын Address параметри WireGuard интерфейсине дарек дайындайт; бул тышкы UDP байлоо көрсөтмөсү эмес. Шифрленген сокеттин булагы маршрут таблицасын ээрчийт, ошондуктан саясат маршруту же экинчи демейки маршрут аны интерфейс дарегине тийбестен жылдыра алат.OpenVPNдин local опциясы жана UDP multihome ушундай эле жүрүшөт: алар угуучуга жана анын жоопторуна тиешелүү, ар бир кайра багытталган кардардын интернет булагына эмес.

Туннелди ташыган төмөнкү катмардын маршрутун сактаңыз жана кардар күтүлгөн кирүү түзүлүшүнөн дагы эле аутентификацияланган жоопторду аларын ырастаңыз. Даректер тизмесинин тартибине туруктуу булак тандоо саясаты катары таянбаңыз, анткени NICке кошулган кийинки дарек кайсы жеңерин өзгөртүшү мүмкүн.

Эмнени жана кандай тартипте кабыл алуу керек

Үч натыйжаны өзүнчө кабыл алыңыз. Биринчиден, тышкы кардар көздөлгөн VPN кирүүсүнө жетет. Экинчиден, ошол VPN кардарынын жаңы уруксат берилген суроосу документтелген интернет чыгуусу аркылуу чыгат. Үчүнчүдөн, көздөлбөгөн угуучу жана кайра багыттоо жолдору четке кагылган бойдон калат. Коомдуктан жекеге шайкештиктерди жана ар бир чечимдин конок жана булут ээлерин бир жерде жазыңыз.

Ийгиликтүү туннел биринчи бөлүгүн гана далилдейт. Чыгууну жаңы агым менен текшериңиз, анткени кэштеленген байланыш маршрут өзгөргөндөн кийин да узак убакыт эски булакты колдоно алат.