Kur piemērot NSG Azure vietņu savstarpējā VPN trafikā

Vietņu savstarpējais tunelis darbojas, vietējais klients sasniedz dažus Azure resursdatorus, bet citus ne, un kāds, lai to labotu, GatewaySubnet pievienoja tīkla drošības grupu. Apstājieties šeit. Azure neatbalsta NSG uz GatewaySubnet, un grupa neredz iekšējo paketi tā, kā to redz darba slodzes noteikums. Ievietojiet politiku mērķa apakštīklā vai NIC, saskaņojiet avota adresi, kas pastāv pēc atšifrēšanas, un pēc tam pārbaudiet ar jaunu, nevis vecu savienojumu.

Ievietojiet NSG tur, kur Azure to novērtē

Atbalstītā darba slodzes filtrēšanas robeža ir mērķa apakštīkls vai mērķa tīkla saskarne. Vārtejas apakštīkls ir infrastruktūra, un Azure dokumentē, ka NSG tur netiek atbalstīti un var traucēt vārtejas darbību.

Ir arī loģiska problēma ar izvietojumu. NSG uz GatewaySubnet novērtētu ārējo IPsec apmaiņu, kuras adreses pieder abām vārtejām. Jūsu lietojumprogrammas noteikumam ir vajadzīgs privātais avots tuneļa iekšpusē, un šī pakete pastāv tikai pēc tam, kad vārteja to atšifrē. Pievienojiet grupu darba slodzes apakštīklam, un noteikums redzēs adresi, kurai tas tika rakstīts.

Pirms kaut ko mainīt pārbaudiet pašreizējās saistības, lai zinātu, ko pārvietojat:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Atrodiet avota adresi pēc atšifrēšanas

Iekšējais avots ir vietējā klienta privātā adrese vai adrese, ko ierīce vai VPN NAT uzrāda pēc tulkošanas. Tā nav vietējās VPN vārtejas publiskā adrese, kas pieder ārējai apmaiņai.

Ja NAT ir daļa no dizaina, apstipriniet uzrādīto avotu, nevis pieņemiet to. Pakešu tveršana Azure VM vai avota lauks pakalpojuma savienojuma žurnālā jautājumu atrisina ātrāk nekā vietējās konfigurācijas lasīšana. Pēc tam rakstiet noteikumu pret šo adresi un reālo mērķa portu.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Izmantojiet vienu noteikumu katram pakalpojumam, kuru vēlaties atklāt, un turiet portu sarakstu īsu. Noteikums, kas atļauj visus portus no vietējā diapazona, pārvērš NSG par formalitāti.

Pārbaudiet noklusējuma VirtualNetwork tvērumu

VirtualNetwork pakalpojuma tags ir plašāks nekā vietējais virtuālais tīkls. Tā definīcija ietver pievienotās vietējās adrešu telpas, peering tīklus un citus ar vārteju savienotus prefiksus. Tāpēc noklusējuma atļaušanas noteikums, kas ierobežots ar VirtualNetwork, jau var atļaut tuneļa trafiku, ko operators uzskatīja par ārēju.

Lasiet noklusējuma noteikumus pirms šauru pievienošanas un lasiet katru augstākas prioritātes noteikumu, kas varētu atbilst pirmais. Skaidras atļaujas pievienošana neizņem plašāku noteikumu, kas plūsmu jau atļauj. Kur politika prasa aizliegumu, ievietojiet to prioritātē, kas patiešām tiek novērtēta pirms atļaujas.

Microsoft pakalpojumu tagu dokumentācija uzskaita, ko sedz VirtualNetwork tags, un tas ir avots, uz kuru atsaukties, kad kāds apgalvo, ka tags nozīmē tikai VNet diapazonu.

Lasiet spēkā esošos noteikumus abās robežās

Kad darbojas gan apakštīkla NSG, gan NIC NSG, plūsmai jāatbilst abiem. Atļauja vienā neatceļ aizliegumu otrā, un pakete faktiski sastopas ar apkopoto skatu.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Ja darbojas Azure Virtual Network Manager drošības administratora noteikumi, pārskatiet arī šo slāni. Administratora Always allow noteikums var piegādāt trafiku bez NSG novērtējuma, savukārt administratora Deny to aptur pirms NSG to ierauga. Tikai NSG pārskats šādam izkārtojumam nav pilnīgs.

Atcerieties, ka NSG saglabā stāvokli. Noteikuma rediģēšana ne vienmēr pārtrauc esošu atļautu savienojumu, tāpēc pieņemšanas testam vajadzīga jauna plūsma. Šī īpašība ir noderīga ražošanā un maldinoša izmaiņu logā.

Pārbaudiet ar jaunu savienojumu

Atveriet jaunu sesiju no vietējā klienta uz pakalpojuma portu, pēc tam atkārtojiet no resursdatora, kuram jābūt liegta piekļuve. Palaidiet plūsmas testu arī no VM puses, lai zinātu, ka atgriešanās ceļš ir neskarts.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

NSG atļauja ir viens piekļuves lēmums, nevis maršruts un nevis klausītājs. Ja noteikums atļauj plūsmu un savienojums joprojām neizdodas, pirms grupas atkārtotas rediģēšanas pārbaudiet klienta maršrutu uz VPN, Azure atgriešanās maršrutu un resursdatora ugunsmūri. Pierakstiet faktisko avota adresi, NSG saistības un atbilstošo noteikumu kopā ar apstiprināto pakalpojumu, jo nākamā peering vai maršruta izmaiņa var mainīt to, ko sedz VirtualNetwork tags.