Zwee ëffentlech IPen op enger eenzeger Azure VPN-VM: wien mécht wat

Zwee ëffentlech IPen op enger eenzeger Azure VPN-VM schafen eng Erwaardung, déi seelen hält: d'Adress, mat där d'Cliente sech verbannen, ass och d'Adress, déi d'Websäite gesinn. Dräi onofhängeg Entscheedunge bréngen dat Resultat, an nëmmen déi éischt geet ëm den Tunnel-Listener. Déi zweet ass d'Gastequell fir weidergeleet Client-Trafic, an déi drëtt ass d'Azure-Ausgangsmethod, déi fir déi Quell gëllt. Ännert een, an déi aner zwee bleiwen, wou se waren, also entscheet jiddwereen explizit.

Entscheedung 1: wou den Tunnel ophält

Eng ëffentlech Azure-IP ass mat enger privater IP-Konfiguratioun op der NIC verbonnen; et ass keng Adress, déi Dir am Gastbetriibssystem bäisetzt. Liest d'Zouuerdnung, amplaz se unzehuelen: az network nic show --ids /subscriptions/.../networkInterfaces/vpn-nic --query 'ipConfigurations[].{private:privateIPAddress,public:publicIPAddress.id}'. Wéi eng privat Adress déi Ufro och zréckgëtt, grad déi muss de Gast tatsächlech hunn.

Eng NIC kann e puer IP-Konfiguratiounen droen, also zwee ëffentlech Adressen erfuerdere keng zwou NICen. Wann den Design awer zwou NICen notzt, bréngt jiddwereng hir eege Gasterouten an nächste Spréng mat, an Dir hutt eng Routingentscheedung bäigefüügt, amplaz eng ze vereinfachen.

Fir e Service mat enger expliziter lokaler Bindung, bindt un déi richteg privat Gasteadress, ni un den ëffentlechen Ersatz. En Listener, deen all Adressen unhëlt, kritt Trafic iwwer all IP-Konfiguratioun, déi hien erreecht, dofir begrenzt den Agang mat der Netzwiersécherheetsgrupp an der Host-Firewall, amplaz ze hoffen, datt d'Bindungsuerdnung entscheet.

Entscheedung 2: wéi eng Quell de weidergeleet Client benotzt

Nodeems de Gateway eng Clientufro entschlësselt huet, ass de Pak, deen en weiderleet, en anere wéi deen, deen um VPN-Listener ukomm ass. De Gast brauch aktivéiert Weiderleeden, eng Firewallpolitik, déi de Flux erlaabt, an eng Quelladress, déi den Clouddesign erlaabt. Wann Dir déi intern Clientadress iwwersetzt, ass déi iwwersat Quell déi, déi Azure bewäert, net déi intern Adress vum Client.

Eng schmuel SNAT-Reeg ka eng privat Gastequell wielen, awer se kann eng spéider Azure-Iwwersetzung net iwwerstëmmen. Wielt SNAT, wann Dir Verantwortung pro Client an der VM braucht; loosst se ewech, wann den Ausgangsdesign vum Subnet schonn eng stabil ëffentlech Quell gëtt an eng zweet Iwwersetzung nëmmen Zoustand bäigefüügt.

Entscheedung 3: wéi eng Azure-Ausgangsmethod gewënnt

Microsoft dokumentéiertd'Prioritéitsuerdnung fir den Ausgang: eng applicabel Route op en Apparat oder Gateway huet Prioritéit, an d'Subnet-NAT-Gateway-Konnektivitéit huet Prioritéit virun enger ëffentlecher IP op Instanzniveau um betraffene Wee. Dës Uerdnung ass de Grond, firwat eng Iwwersetzung op 10.20.0.5 net beweist, datt eng Websäit 198.51.100.20 gesäit. Liest d'effektiv Routentabell, d'NAT-Gateway-Zouuerdnung an d'ëffentlech IP vun der NIC zesummen, ier Dir den Ausgangsdesign akzeptéiert.

Haltd'Weiderleedungsastellung vun der Azure-NICgetrennt vum Weiderleeden a Linux. D'Cloud-Flag erlaabt Päck, deenen hir Quell oder Destinatioun net der NIC zougewise sinn; et aktivéiert net.ipv4.ip_forward net, an d'Gastastellung gëtt keng Cloud-Berechtegung.

Den Tunnel-Socket huet seng eege Quellentscheedung

Dem WireGuard seng Address ënner wg-quick gëtt der WireGuard-Schnittstell eng Adress; et ass keng Instruktioun fir eng baussenzeg UDP-Bindung. D'Quell vum verschlësselte Socket follegt der Routentabell, dofir kann eng Politikroute oder eng zweet Standardroute se verréckelen, ouni d'Schnittstellenadress ze beréieren.OpenVPN: d'Optioun local an UDP multihome behuelen sech d'selwecht: si betreffen de Listener an seng Äntwerten, net d'Internetquell vun all weidergeleetem Client.

Bewaart d'Underlay-Route, déi den Tunnel dréit, a bestätegt, datt de Client nach ëmmer authentifizéiert Äntwerten aus der erwaarter Agangsanordnung kritt. Verloosst Iech net op d'Uerdnung vun der Adresslëscht als permanent Quellauswielpolitik, well déi nächst Adress, déi der NIC bäigefüügt gëtt, ka änneren, wien gewënnt.

Wat akzeptéieren, an a wéi enger Uerdnung

Akzeptéiert dräi Resultater getrennt. Éischtens erreecht en externe Client den intendéierten VPN-Agang. Zweetens verléisst eng nei erlaabte Ufro vun deem VPN-Client den dokumentéierten Internetausgang. Drëttens bleiwen ongewollt Listener- a Weiderleedungsweeër verwierft. Halt d'Zouuerdnunge vun ëffentlech op privat an d'Gast- an Cloud-Verantwortlecher vun all Entscheedung op der selwechter Plaz fest.

En erfollegräichen Tunnel beweist nëmmen den éischten Deel. Test den Ausgang mat engem neie Flux, well eng gecachte Verbindung d'al Quell nach laang no der Routenännerung benotze kann.