Firwat eng Azure-VM mat VPN-Apparat de Réckwee verléiert
Eng VPN-Apparat an enger Azure-VM brauch, datt d’UDR, de Weiderleetungsflag vun der Netzwierkkart an d’Gastepolitik iwwerenee stëmmen. Follegt eng Filialufro duerch all dräi.
Eng Azure-VM, déi eng VPN-Apparat bedreift, steet an zwou onofhängegen Entscheedungssystemer. Azure entscheet, wou e Pak engem Subnetz verléisst, mat Hëllef vu Routentabellen an der Weiderleetungsastellung vun der Netzwierkkart. D’Betribssystem vun der Apparat selwer entscheet, ob et de entschlësselte Pak weiderleet. En Tunnel, dee perfekt eropkënnt, kann um zweeten System nach ëmmer feelen, an do stiwwelen déi meescht vun dësen Deployementer.
Dräi Besëtzer vun engem Wee
Hëlt e Filialnetz vun 192.168.50.0/24 an e Workload-Subnetz vun 10.0.10.0/24, mat der Apparat op 10.0.0.4 an hirem eegene Subnetz. Eng eenzeg Ufro beréiert dräi getrennte Konfiguratiounen.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
All Zeil gehéiert an de meeschten Organisatiounen engem aneren Team, dofir kënnt dëse Feeler meeschtens als dräi Ticketen amplaz vun enger.
D’Route, déi op d’Apparat weist
Verbind eng Routentabelle mam Workload-Subnetz a gëff dem Filialprefix en nächsten Hop vum Typ Virtual appliance mat 10.0.0.4 als Adress. Benotz déi erreechbar privat Adress vun der Apparat, ni hiren ëffentlechen VPN-Agangspunkt. Den nächsten Hop muss eng Adress sinn, déi den Workload-Subnetz schonn erreeche kann. Loos de Rescht vum Routing vum Workload an Rou, ausser du hues bewosst decidéiert, d’Standardroute z’ersetzen.
Halt d’Apparat an hirem eegene Subnetz a stell sécher, datt d’Route, déi Filialtrafic op d’Apparat schéckt, net och den eegene Ausgangswee vun der Apparat fänkt. Esou eng Schleif gesäit aus wéi en gesunden Tunnel ouni Äntwerten, an dat ass eng ganz onglaubech Saach fir um 2 Auer nuets ze debuggen.
De Netzwierkkarte-Flag, deen all vergësst
Azure huet eng IP-Weiderleetungsastellung pro Netzwierkkart, an déi ass standardméisseg aus. Si existéiert, well eng weiderleetend Kaart Päck kritt, déi op eppes anescht adresséiert sinn, an se stëll ze verwerfen ass de séchere Standard fir all déi aner.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true schalt se fir eng Interface un. Dem Microsoft seng Richtlinne fir Weiderleedung op der Netzwierkkart fuerderen d’Astellung op all ugeschlossener Kaart, déi Trafic weiderleet, also brauch eng Apparat mat enger Kaart se nach ëmmer op därer Kaart.
De Flag ass keng Route an et ass keng Firewallregel. En anzeschalten gëtt Erlaabnes a soss näischt.
Wat de Gast mam entschlësselte Pak mécht
Wann den Tunnel ophält, hëlt de Stack vun der Apparat selwer déi nächst Entscheedung. Op engem Linux-Gast ass IPv4-Weiderleedung eng Astellung zur Laufzäit, an sysctl -w net.ipv4.ip_forward=1 hällt bis zum nächsten Start. Späicher se amplaz an enger Datei ënner /etc/sysctl.d/ dauerhaft. Eng Apparat vun engem Hiersteller huet hir eege Gläichwäertegkeet, a Linux-Instruktiounen, déi an eng Hierstellerplattform agefouert ginn, maachen normalerweis guer näischt.
D’Firewallpolitik vum Gast ass nees separat, an dat selwecht gëllt fir d’Netzwiersécherheetsgrupp vum Workload. UDP 500 an 4500 op d’ëffentlech Adress vun der VM zouzeloossen schützt den Tunnel; et seet näischt doriwwer, ob eng entschlësselt Filialufro en Workloadport erreeche kann.
Follegt enger Ufro an hirer Äntwert
Wielt ee erlaabte Floss a verfollegt en vun Ufank bis Enn. D’Filial brauch eng Route fir 10.0.10.0/24 iwwer d’Säitverbindung, d’Apparat brauch en Zouliwwerungswee zum Workload-Subnetz, an de Workload-Subnetz brauch eng Réckroute richtung Filial.
Entscheet fréi, ob den Design d’Quelladress vun der Filial behält oder se iwwersetzt. NAT ännert, wat den Workload gesäit, dofir sollten seng Zougangsregelen de Modell beschreiwen, deen s du tatsächlech gewielt hues, an net eng geroden Gateway-Adress.
En erfollegräichen Handshake beweiseen ee Glidd vun dëser Kette. De Wee ass komplett, wann d’Äntwert duerch déiselwecht Apparat zréckkënnt an d’Politik vum Workload selwer et erlaabt.