Каде да се примени NSG за Azure VPN сообраќај од локација до локација

Тунелот од локација до локација е активен, локалниот клиент достигнува некои Azure домаќини, а други не, и некој додал мрежна безбедносна група на GatewaySubnet за да го поправи тоа. Запрете таму. Azure не поддржува NSG на GatewaySubnet, и групата не може да го види внатрешниот пакет како што го гледа правило за работно оптоварување. Ставете ја политиката на целната подмрежа или NIC, усогласете ја изворната адреса што постои по дешифрирањето, а потоа проверете со нова, а не со стара врска.

Ставете го NSG таму каде што Azure го оценува

Поддржаната граница за филтрирање на работното оптоварување е целната подмрежа или целниот мрежен интерфејс. Подмрежата на портата е инфраструктура, и Azure документира дека NSG таму не се поддржани и можат да го нарушат работењето на портата.

Има и логичен проблем со поставувањето. NSG на GatewaySubnet би ја оценувал надворешната IPsec размена, чии адреси им припаѓаат на двете порти. Вашето правило за апликацијата бара приватниот извор внатре во тунелот, а тој пакет постои само откако портата ќе го дешифрира. Прикачете ја групата на подмрежата на работното оптоварување и правилото ќе ја види адресата за која е напишано.

Проверете ги тековните поврзувања пред да промените нешто, за да знаете што преместувате:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Најдете ја изворната адреса по дешифрирањето

Внатрешниот извор е приватната адреса на локалниот клиент, или адресата што уред или NAT на VPN ја прикажува по преводот. Тоа не е јавната адреса на локалната VPN порта, која припаѓа на надворешната размена.

Кога NAT е дел од дизајнот, потврдете го прикажаниот извор наместо да го претпоставувате. Заземање пакети на Azure VM, или полето за извор во дневникот за врски на услугата, го решава прашањето побрзо отколку читање на локалната конфигурација. Потоа напишете го правилото за таа адреса и вистинскиот целен порт.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Користете едно правило за секоја услуга што сакате да ја изложите и држете ја листата на портови кратка. Правило што дозволува сите портови од локалниот опсег го прави NSG формалност.

Проверете го стандардниот опсег VirtualNetwork

Ознаката за услуга VirtualNetwork е поширока од локалната виртуелна мрежа. Нејзината дефиниција вклучува поврзани локални адресни простори, мрежи поврзани со peering и други префикси поврзани преку порта. Затоа стандардното правило за дозвола ограничено на VirtualNetwork веќе може да дозволува тунелски сообраќај што операторот го сметал за надворешен.

Прочитајте ги стандардните правила пред да додадете тесни, и прочитајте го секое правило со повисок приоритет што може прво да се совпадне. Додавањето експлицитна дозвола не отстранува пошироко правило што веќе го дозволува текот. Каде политиката бара забрана, поставете ја на приоритет што навистина се оценува пред дозволата.

Документацијата на Microsoft за ознаки на услуги наведува што покрива ознаката VirtualNetwork, и тоа е референцата што се цитира кога некој тврди дека ознаката значи само опсегот на VNet.

Прочитајте ги ефективните правила на двете граници

Кога се применуваат и NSG на подмрежата и NSG на NIC, текот мора да ги задоволи двете. Дозволата во едното не ја поништува забраната во другото, и токму збирниот приказ е она со што пакетот навистина се среќава.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Ако се во игра безбедносните администраторски правила на Azure Virtual Network Manager, прегледајте го и тој слој. Администраторско правило Always allow може да достави сообраќај без оценување на NSG, додека администраторско Deny го запира пред NSG да го видат. Преглед само на NSG е нецелосен за таков распоред.

Запомнете дека NSG чуваат состојба. Уредувањето правило не ја прекинува нужно постојната дозволена врска, па прифатниот тест бара свеж тек. Ова својство е корисно во производство и измамливо за време на прозорец за промени.

Проверете со свежа врска

Отворете нова сесија од локалниот клиент до портата на услугата, потоа повторете од домаќин што треба да биде одбиен. Пуштете го тестот на тек и од страната на VM, за да знаете дека повратниот пат е исправен.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

Дозволата од NSG е една одлука за пристап, не е рута и не е слушач. Ако правилото го дозволува текот, а врската сè уште не успева, проверете рутата на клиентот во VPN, повратната рута на Azure и ѕидот на домаќинот пред повторно да ја уредите групата. Запишете ја вистинската изворна адреса, поврзувањата на NSG и соодветното правило заедно со одобрената услуга, бидејќи следната промена на peering или рута може да го промени тоа што го покрива ознаката VirtualNetwork.