Kur taikyti NSG „Azure“ svetainių tarpusavio VPN srautui

Svetainių tarpusavio tunelis veikia, vietinis klientas pasiekia vienus „Azure“ hostus, o kitų ne, ir kažkas, norėdamas tai ištaisyti, prie „GatewaySubnet“ prijungė tinklo saugos grupę. Sustokite čia. „Azure“ nepalaiko NSG „GatewaySubnet“, o grupė nemato vidinio paketo taip, kaip mato darbo krūvio taisyklė. Įdėkite politiką į paskirties potinklį arba NIC, suderinkite šaltinio adresą, kuris egzistuoja po iššifravimo, ir tada patikrinkite nauju, o ne senu ryšiu.

Įdėkite NSG ten, kur „Azure“ jį vertina

Palaikoma darbo krūvio filtravimo riba yra paskirties potinklis arba paskirties tinklo sąsaja. Tinklų sietuvo potinklis yra infrastruktūra, ir „Azure“ dokumentuoja, kad NSG ten nepalaikomi ir gali sutrikdyti sietuvo veikimą.

Yra ir loginė išdėstymo problema. NSG „GatewaySubnet“ vertintų išorinį IPsec mainą, kurio adresai priklauso dviem sietuvams. Jūsų programos taisyklei reikia privataus šaltinio tunelio viduje, o tas paketas egzistuoja tik po to, kai sietuvas jį iššifruoja. Prijunkite grupę prie darbo krūvio potinklio ir taisyklė matys adresą, kuriam ji buvo parašyta.

Prieš ką nors keisdami patikrinkite dabartines asociacijas, kad žinotumėte, ką perkellate:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Raskite šaltinio adresą po iššifravimo

Vidinis šaltinis yra privatus vietinio kliento adresas arba adresas, kurį įrenginys ar VPN NAT pateikia po vertimo. Tai nėra viešas vietinio VPN sietuvo adresas, kuris priklauso išoriniam mainui.

Kai NAT yra dizaino dalis, patvirtinkite pateikiamą šaltinį, o ne darykite prielaidą. Paketų fiksavimas „Azure“ VM arba šaltinio laukas paslaugos ryšio žurnale klausimą išsprendžia greičiau nei vietinės konfigūracijos skaitymas. Tada parašykite taisyklę tam adresui ir tikram paskirties prievadui.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Naudokite vieną taisyklę kiekvienai paslaugai, kurią norite atskleisti, ir laikykite prievadų sąrašą trumpą. Taisyklė, leidžianti visus prievadus iš vietinio diapazono, paverčia NSG formalumu.

Patikrinkite numatytąją „VirtualNetwork“ apimtį

„VirtualNetwork“ paslaugos žyma yra platesnė nei vietinis virtualus tinklas. Jos apibrėžimas apima prijungtas vietines adresų erdves, sujungtus tinklus ir kitus prie sietuvo prijungtus prefiksus. Todėl numatytoji leidimo taisyklė, apribota „VirtualNetwork“, jau gali leisti tunelio srautą, kurį operatorius laikė išoriniu.

Perskaitykite numatytąsias taisykles prieš pridėdami siauras ir perskaitykite kiekvieną aukštesnio prioriteto taisyklę, kuri gali atitikti pirmiau. Aiškaus leidimo pridėjimas nepanaikina platesnės taisyklės, kuri srautą jau leidžia. Kai politika reikalauja uždraudimo, įdėkite jį į prioritetą, kuris tikrai vertinamas prieš leidimą.

„Microsoft“ paslaugų žymų dokumentacija išvardija, ką apima „VirtualNetwork“ žyma, ir tai yra nuoroda, į kurią remiamasi, kai kas nors teigia, kad žyma reiškia tik VNet diapazoną.

Perskaitykite galiojančias taisykles abiejose ribose

Kai galioja ir potinklio NSG, ir NIC NSG, srautas turi atitikti abu. Leidimas viename nepanaikina uždraudimo kitame, ir paketas iš tikrųjų susiduria su suvestiniu vaizdu.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Jei veikia „Azure Virtual Network Manager“ saugos administratoriaus taisyklės, peržiūrėkite ir tą sluoksnį. Administratoriaus „Always allow“ taisyklė gali perduoti srautą be NSG vertinimo, o administratoriaus „Deny“ sustabdo jį anksčiau, nei NSG jį pamato. Tik NSG apžvalga tokiai tvarkai yra nepilna.

Atminkite, kad NSG išsaugo būseną. Taisyklės redagavimas nebūtinai nutraukia esamą leistą ryšį, todėl priėmimo testui reikia naujo srauto. Ši savybė naudinga gamyboje ir klaidinanti keitimo lange.

Patikrinkite nauju ryšiu

Atidarykite naują sesiją iš vietinio kliento į paslaugos prievadą, tada pakartokite iš hosto, kuriam turėtų būti atsisakyta. Paleiskite srauto testą ir iš VM pusės, kad žinotumėte, jog grįžimo kelias sveikas.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

NSG leidimas yra vienas prieigos sprendimas, ne maršrutas ir ne klausytojas. Jei taisyklė leidžia srautą, o ryšys vis tiek nepavyksta, prieš vėl redaguodami grupę patikrinkite kliento maršrutą į VPN, „Azure“ grįžimo maršrutą ir hosto užkardą. Užrašykite tikrąjį šaltinio adresą, NSG asociacijas ir atitinkančią taisyklę kartu su patvirtinta paslauga, nes kitas sujungimo ar maršruto pakeitimas gali pakeisti, ką apima „VirtualNetwork“ žyma.