Azure-ലെ VPN ഉപകരണ VM തിരിച്ചുള്ള പാത എന്തുകൊണ്ട് നഷ്ടപ്പെടുത്തുന്നു
Azure VM-ലെ VPN ഉപകരണത്തിന് UDR, NIC ഫോർവേഡിംഗ് ഫ്ലാഗ്, അതിഥി നയം എന്നിവ ഒത്തുപോകേണ്ടതുണ്ട്. ഒരു ബ്രാഞ്ച് അഭ്യർത്ഥന മൂന്നിലൂടെയും പിന്തുടരുക.
VPN ഉപകരണം പ്രവർത്തിപ്പിക്കുന്ന ഒരു Azure VM രണ്ട് സ്വതന്ത്ര തീരുമാന സംവിധാനങ്ങൾക്കുള്ളിലാണ്. പാക്കറ്റ് ഏത് സബ്നെറ്റിൽ നിന്ന് പുറത്തുപോകുന്നു എന്നത് Azure തീരുമാനിക്കുന്നു, റൂട്ട് ടേബിളുകളും NIC-യുടെ ഫോർവേഡിംഗ് ക്രമീകരണവും ഉപയോഗിച്ച്. ഡീക്രിപ്റ്റ് ചെയ്ത പാക്കറ്റ് മുന്നോട്ട് അയയ്ക്കുന്നുണ്ടോ എന്നത് ഉപകരണത്തിന്റെ സ്വന്തം ഓപ്പറേറ്റിംഗ് സിസ്റ്റം തീരുമാനിക്കുന്നു. തികച്ചും ഉയരുന്ന ഒരു ടണലും രണ്ടാം സംവിധാനത്തിൽ പരാജയപ്പെടാം, അവിടെയാണ് ഇത്തരം വിന്യാസങ്ങളിൽ ഭൂരിഭാഗവും നിലയ്ക്കുന്നത്.
ഒരു പാതയുടെ മൂന്ന് ഉടമകൾ
ഒരു ബ്രാഞ്ച് നെറ്റ്വർക്ക് എടുക്കുക 192.168.50.0/24 ഒരു വർക്ക്ലോഡ് സബ്നെറ്റും 10.0.10.0/24, ഉപകരണം ഈ വിലാസത്തിലാണ് 10.0.0.4 സ്വന്തം സബ്നെറ്റിൽ. ഒരു അഭ്യർത്ഥന മൂന്ന് വെവ്വേറെ കോൺഫിഗറേഷനുകളെ തൊടുന്നു.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
മിക്ക സംഘടനകളിലും ഓരോ വരിയും വ്യത്യസ്ത ടീമിന്റെ ഉടമസ്ഥതയിലാണ്, അതുകൊണ്ടാണ് ഈ തകരാർ സാധാരണയായി ഒന്നിനുപകരം മൂന്ന് ടിക്കറ്റുകളായി വരുന്നത്.
ഉപകരണത്തിലേക്ക് ചൂണ്ടുന്ന റൂട്ട്
വർക്ക്ലോഡ് സബ്നെറ്റുമായി ഒരു റൂട്ട് ടേബിൾ ബന്ധിപ്പിച്ച് ബ്രാഞ്ച് പ്രിഫിക്സിന് Virtual appliance തരത്തിലുള്ള അടുത്ത ഹോപ്പ് നൽകുക 10.0.0.4 വിലാസമായി. ഉപകരണത്തിന്റെ എത്തിച്ചേരാവുന്ന സ്വകാര്യ വിലാസം ഉപയോഗിക്കുക, ഒരിക്കലും അതിന്റെ പൊതു VPN പ്രവേശന കേന്ദ്രം. അടുത്ത ഹോപ്പ് വർക്ക്ലോഡ് സബ്നെറ്റിന് ഇതിനകം എത്താൻ കഴിയുന്ന ഒരു വിലാസമായിരിക്കണം. ഡിഫോൾട്ട് റൂട്ട് മാറ്റാൻ ബോധപൂർവം തീരുമാനിച്ചിട്ടില്ലെങ്കിൽ വർക്ക്ലോഡിന്റെ ബാക്കി റൂട്ടിംഗ് അതേപടി വിടുക.
ഉപകരണം അതിന്റെ സ്വന്തം സബ്നെറ്റിൽ തന്നെ നിർത്തി, ബ്രാഞ്ച് ട്രാഫിക് ഉപകരണത്തിലേക്ക് അയയ്ക്കുന്ന റൂട്ട് ഉപകരണത്തിന്റെ സ്വന്തം പുറത്തേക്കുള്ള പാതയും പിടിക്കുന്നില്ലെന്ന് ഉറപ്പാക്കുക. അത്തരം ഒരു ലൂപ്പ് പൂജ്യം മറുപടികളുള്ള ആരോഗ്യകരമായ ടണൽ പോലെ തോന്നും, രാത്രി 2 മണിക്ക് അത് ഡീബഗ് ചെയ്യുന്നത് വളരെ ബുദ്ധിമുട്ടാണ്.
എല്ലാവരും മറക്കുന്ന NIC ഫ്ലാഗ്
Azure-ൽ ഓരോ NIC-ക്കും IP ഫോർവേഡിംഗ് ക്രമീകരണമുണ്ട്, അത് സ്വതവേ ഓഫാണ്. ഫോർവേഡ് ചെയ്യുന്ന NIC തന്നിലല്ലാത്ത മറ്റെന്തോ ലക്ഷ്യമാക്കിയ പാക്കറ്റുകൾ സ്വീകരിക്കുന്നതിനാലാണ് ഇത് ഉള്ളത്, അവ നിശ്ശബ്ദമായി വലിച്ചെറിയുന്നതാണ് മറ്റെല്ലാവർക്കും സുരക്ഷിതമായ സ്വതവം.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true ഒരു ഇന്റർഫേസിനായി അത് ഓണാക്കുന്നു. Microsoft-ന്റെ NIC ഫോർവേഡിംഗ് മാർഗ്ഗനിർദ്ദേശം ട്രാഫിക് ഫോർവേഡ് ചെയ്യുന്ന ഓരോ ബന്ധിപ്പിച്ച NIC-യിലും ഈ ക്രമീകരണം ആവശ്യപ്പെടുന്നു, അതിനാൽ ഒരു NIC മാത്രമുള്ള ഉപകരണത്തിനും അത് ആ NIC-യിൽ സജ്ജീകരിക്കേണ്ടതുണ്ട്.
ഫ്ലാഗ് ഒരു റൂട്ടല്ല, ഫയർവാൾ നിയമവുമല്ല. അത് ഓണാക്കുന്നത് അനുമതി നൽകുന്നു, അത്രമാത്രം.
ഡീക്രിപ്റ്റ് ചെയ്ത പാക്കറ്റുമായി അതിഥി എന്ത് ചെയ്യുന്നു
ടണൽ അവസാനിക്കുമ്പോൾ ഉപകരണത്തിന്റെ സ്വന്തം സ്റ്റാക്ക് അടുത്ത തീരുമാനം എടുക്കുന്നു. Linux അതിഥിയിൽ IPv4 ഫോർവേഡിംഗ് ഒരു റൺടൈം ക്രമീകരണമാണ്, കൂടാതെ sysctl -w net.ipv4.ip_forward=1 അടുത്ത ബൂട്ട് വരെ നിലനിൽക്കും. പകരം അത് /etc/sysctl.d/ എന്നതിന് കീഴിലുള്ള ഒരു ഫയലിൽ സംരക്ഷിക്കുക. വെണ്ടർ ഉപകരണത്തിന് സ്വന്തമായി തത്തുല്യമുണ്ട്, വെണ്ടർ പ്ലാറ്റ്ഫോമിൽ ഒട്ടിച്ചിടുന്ന Linux നിർദ്ദേശങ്ങൾ സാധാരണയായി ഒന്നും ചെയ്യുന്നില്ല.
അതിഥിയുടെ ഫയർവാൾ നയം വീണ്ടും വെവ്വേറെയാണ്, വർക്ക്ലോഡിന്റെ നെറ്റ്വർക്ക് സെക്യൂരിറ്റി ഗ്രൂപ്പും. VM-ന്റെ പൊതു വിലാസത്തിലേക്ക് UDP 500, 4500 എന്നിവ അനുവദിക്കുന്നത് ടണലിനെ സംരക്ഷിക്കുന്നു; ഡീക്രിപ്റ്റ് ചെയ്ത ബ്രാഞ്ച് അഭ്യർത്ഥന ഒരു വർക്ക്ലോഡ് പോർട്ടിൽ എത്തുമോ എന്നതിനെക്കുറിച്ച് അത് ഒന്നും പറയുന്നില്ല.
ഒരു അഭ്യർത്ഥനയും അതിന്റെ മറുപടിയും പിന്തുടരുക
അനുവദനീയമായ ഒരു ഫ്ലോ തിരഞ്ഞെടുത്ത് ആദ്യം മുതൽ അവസാനം വരെ പിന്തുടരുക. ബ്രാഞ്ചിന് ഒരു റൂട്ട് ആവശ്യമാണ് 10.0.10.0/24 സൈറ്റ് കണക്ഷനിലൂടെ, ഉപകരണത്തിന് വർക്ക്ലോഡ് സബ്നെറ്റിലേക്ക് ഒരു ഡെലിവറി പാത ആവശ്യമാണ്, വർക്ക്ലോഡ് സബ്നെറ്റിന് ബ്രാഞ്ചിലേക്ക് ഒരു തിരിച്ചുപോക്ക് റൂട്ട് ആവശ്യമാണ്.
ഡിസൈൻ ബ്രാഞ്ചിന്റെ ഉറവിട വിലാസം നിലനിർത്തുന്നുണ്ടോ പരിഭാഷപ്പെടുത്തുന്നുണ്ടോ എന്ന് നേരത്തെ തീരുമാനിക്കുക. NAT വർക്ക്ലോഡ് കാണുന്നത് മാറ്റുന്നു, അതിനാൽ അതിന്റെ ആക്സസ് നിയമങ്ങൾ നിങ്ങൾ യഥാർത്ഥത്തിൽ തിരഞ്ഞെടുത്ത മാതൃകയെ വിവരിക്കണം, ഊഹിച്ച ഗേറ്റ്വേ വിലാസമല്ല.
വിജയകരമായ ഒരു ഹാൻഡ്ഷേക്ക് ആ ശൃംഖലയുടെ ഒരു കണ്ണി മാത്രം തെളിയിക്കുന്നു. മറുപടി അതേ ഉപകരണത്തിലൂടെ തിരികെ വന്ന് വർക്ക്ലോഡിന്റെ സ്വന്തം നയം അത് അനുവദിക്കുമ്പോൾ പാത പൂർണ്ണമാകുന്നു.