Зошто Azure VM со VPN уред ја губи повратната патека
VPN уредот во Azure VM бара UDR, знаменцето за проследување на мрежната карта и политиката на гостинот да се совпаѓаат. Следете едно барање од филијала низ сите три.
Azure VM што извршува VPN уред стои во два независни системи за одлучување. Azure одлучува каде пакетот ја напушта подмрежата, користејќи табели за рутирање и поставката за проследување на мрежната карта. Сопствениот оперативен систем на уредот одлучува дали ќе го проследи дешифрираниот пакет понатаму. Тунел што совршено се подига сепак може да не успее во вториот систем, и токму таму застануваат повеќето вакви распоредувања.
Три сопственици на една патека
Земете мрежа на филијала 192.168.50.0/24 и подмрежа за работно оптоварување 10.0.10.0/24, а уредот е на 10.0.0.4 во сопствената подмрежа. Едно барање допира три одделни конфигурации.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Секој ред во повеќето организации го поседува различен тим, затоа оваа дефект обично пристигнува како три тикети наместо еден.
Рутата што покажува кон уредот
Поврзете табела за рутирање со подмрежата за работно оптоварување и дајте ѝ на префиксот на филијалата следен скок од типот Virtual appliance со 10.0.0.4 како адреса. Користете ја достапната приватна адреса на уредот, никогаш неговата јавна влезна точка за VPN. Следниот скок мора да биде адреса што подмрежата за работно оптоварување веќе може да ја достигне. Оставете го остатокот од рутирањето на работното оптоварување на мир, освен ако намерно не сте одлучиле да ја замените стандардната рута.
Држете го уредот во сопствената подмрежа и уверете се дека рутата што испраќа сообраќај од филијалата кон уредот не ја фаќа и сопствената излезна патека на уредот. Таквата јамка изгледа како здрав тунел со нула одговори, а тоа е многу непријатно нешто за отстранување грешки во 2 часот по полноќ.
Знаменцето на мрежната карта што сите го забораваат
Azure има поставка за проследување на IP за секоја мрежна карта, и таа е исклучена по стандард. Постои затоа што картата што проследува прима пакети адресирани на нешто друго, а нивното тивко отфрлање е безбедното стандардно однесување за сите останати.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true го вклучува за едно интерфејс. Упатството на Microsoft за проследување на мрежната карта бара поставката на секоја поврзана карта што проследува сообраќај, па уредот со една карта сепак ја бара на таа карта.
Знаменцето не е рута и не е правило на огнениот ѕид. Неговото вклучување дава дозвола и ништо друго.
Што прави гостинот со дешифрираниот пакет
Кога тунелот завршува, сопствениот стек на уредот ја носи следната одлука. На Linux гостин, проследувањето на IPv4 е поставка во време на извршување, и sysctl -w net.ipv4.ip_forward=1 трае до следното подигање. Зачувајте ја во датотека под /etc/sysctl.d/ наместо тоа. Уредот на производителот има свој еквивалент, а Linux упатствата вметнати во платформа на производител обично не прават ништо.
Политиката на огнениот ѕид на гостинот е повторно одделна, како и мрежната безбедносна група на работното оптоварување. Дозволувањето UDP 500 и 4500 кон јавната адреса на VM го штити тунелот; тоа не кажува ништо за тоа дали дешифрирано барање од филијала може да стигне до порта на работното оптоварување.
Следете едно барање и неговиот одговор
Изберете еден дозволен тек и следете го од почеток до крај. На филијалата ѝ треба рута за 10.0.10.0/24 преку врската со локацијата, на уредот му треба пат за испорака до подмрежата за работно оптоварување, а на подмрежата за работно оптоварување ѝ треба повратна рута кон филијалата.
Одлучете рано дали дизајнот ја задржува изворната адреса на филијалата или ја преведува. NAT го менува она што го гледа работното оптоварување, па неговите правила за пристап треба да го опишуваат моделот што навистина сте го избрале, а не претпоставена адреса на порта.
Успешното ракување докажува една алка од тој синџир. Патеката е целосна кога одговорот се враќа низ истиот уред и сопствената политика на работното оптоварување го дозволува тоа.