Эмне үчүн Azure'дагы VPN түзмөгү бар VM кайтуу жолун жоготот
Azure VM ичиндеги VPN түзмөгү UDR, тармак картасынын өткөрүү желеги жана конок саясаты шайкеш болушун талап кылат. Бир филиал сурамын үчөө аркылуу көзөмөлдөңүз.
VPN түзмөгүн иштеткен Azure VM эки көз карандысыз чечим кабыл алуу системасынын ичинде турат. Пакеттин кайсы субтармактан чыгарын Azure маршрут таблицалары жана тармак картасынын өткөрүү жөндөөсү менен чечет. Шифри ачылган пакетти андан ары өткөрөбү, жокпу, түзмөктүн өз операциялык системасы чечет. Мыкты көтөрүлгөн туннель экинчи системада баары бир ийгиликсиз болушу мүмкүн, жана ушундай жайгаштыруулардын көбү ушул жерде токтойт.
Бир жолдун үч ээси
Филиал тармагын алыңыз 192.168.50.0/24 жана жумуш жүктөмүнүн субтармагын алыңыз 10.0.10.0/24, түзмөк бул даректе 10.0.0.4 өзүнүн субтармагында. Бир сурам үч өзүнчө конфигурацияга тийет.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Көптөгөн уюмдарда ар бир сапты башка топ ээлейт, ошондуктан бул бузулуу адатта бир билеттин ордуна үч билет болуп келет.
Түзмөктү көрсөткөн маршрут
Маршрут таблицасын жумуш жүктөмүнүн субтармагына байлап, филиал префиксине Virtual appliance түрүндөгү кийинки секирик бериңиз 10.0.0.4 дареги катары. Түзмөктүн жеткиликтүү жеке дарегин колдонуңуз, эч качан анын коомдук VPN кирүү чекитин. Кийинки секирик жумуш жүктөмүнүн субтармагы азыр эле жете алган дарек болушу керек. Жумуш жүктөмүнүн калган маршруттоосун өзгөртпөй калтырыңыз, эгер демейки маршрутту атайын алмаштырууну чечпесеңиз.
Түзмөктү өзүнүн субтармагында кармаңыз жана филиал трафигин түзмөккө жөнөткөн маршрут түзмөктүн өз чыгуу жолун да кармабасына көз жеткириңиз. Мындай илмек нөлдүк жооптору бар соо туннелге окшошот, аны түн ичинде саат 2де оңдоо абдан жагымсыз иш.
Баары унутуп калган тармак картасынын желеги
Azure'да ар бир тармак картасы үчүн IP өткөрүү жөндөөсү бар жана ал демейки боюнча өчүк. Ал өткөрүүчү карта өзүнө эмес, башка нерсеге адрестелген пакеттерди кабыл алгандыктан бар, аларды үнсүз таштоо калгандар үчүн коопсуз демейки болуп саналат.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true аны бир интерфейс үчүн күйгүзөт. Microsoft'тун тармак картасында өткөрүү боюнча нускамасы трафикти өткөргөн ар бир туташкан картада бул жөндөөнү талап кылат, ошондуктан бир карталуу түзмөк да аны ошол картада коюшу керек.
Желек маршрут да эмес, өрт дубалынын эрежеси да эмес. Аны күйгүзүү уруксат берет, башка эч нерсе бербейт.
Конок шифри ачылган пакетти эмне кылат
Туннель бүткөндөн кийин түзмөктүн өз стеги кийинки чечимди кабыл алат. Linux коногунда IPv4 өткөрүү — аткаруу убагындагы жөндөө, жана sysctl -w net.ipv4.ip_forward=1 кийинки жүктөөгө чейин сакталат. Анын ордуна аны /etc/sysctl.d/ астындагы файлга сактаңыз. Жеткирүүчү түзмөктүн өз баламасы бар, ал эми жеткирүүчү платформага чапталган Linux нускамалары адатта эч нерсе кылбайт.
Коноктун өрт дубалынын саясаты дагы өзүнчө, жумуш жүктөмүнүн тармактык коопсуздук тобу да ошондой. VMдин коомдук дарегине UDP 500 жана 4500 уруксат берүү туннелди коргойт; бирок шифри ачылган филиал сурамы жумуш жүктөмүнүн портуна жете алабы, жокпу, бул тууралуу эч нерсе айтпайт.
Бир сурамды жана анын жообун көзөмөлдөңүз
Бир уруксат берилген агымды тандап, аны башынан аягына чейин көзөмөлдөңүз. Филиалга маршрут керек 10.0.10.0/24 сайт байланышы аркылуу, түзмөккө жумуш жүктөмүнүн субтармагына жеткирүү жолу керек, ал эми жумуш жүктөмүнүн субтармагына филиалга карай кайтуу маршруту керек.
Долбоор филиалдын булак дарегин сактайбы же аны которобу, муну эрте чечиңиз. NAT жумуш жүктөмү көргөн нерсени өзгөртөт, ошондуктан анын кирүү эрежелери болжолдонгон шлюз дарегин эмес, сиз чынында тандаган моделди сүрөттөшү керек.
Ийгиликтүү кол алышуу ошол чынжырдын бир звеносун далилдейт. Жооп ошол эле түзмөк аркылуу кайтып келгенде жана жумуш жүктөмүнүн өз саясаты уруксат бергенде жол толук болот.