Azure сайт хоорондын VPN трафикт NSG-г хаана хэрэглэх вэ

Сайт хоорондын туннель ажиллаж байна, локал клиент Azure-ийн зарим хостод хүрч, заримд нь хүрэхгүй байна, тэгээд хэн нэгэн үүнийг засах гэж GatewaySubnet дээр сүлжээний аюулгүй байдлын бүлэг хавсаргасан. Тэнд зогсоорой. Azure GatewaySubnet дээр NSG-г дэмждэггүй бөгөөд бүлэг нь ажлын ачааллын дүрэм шиг дотоод пакетыг харж чадахгүй. Бодлогыг зорилтот дэд сүлжээ эсвэл NIC дээр байрлуулж, тайлахын дараа байгаа эх хаягийг тааруулж, дараа нь хуучин биш шинэ холболтоор шалгана уу.

NSG-г Azure үнэлдэг газарт байрлуул

Ажлын ачааллыг шүүх дэмжигдсэн хил нь зорилтот дэд сүлжээ эсвэл зорилтот сүлжээний интерфейс юм. Гарцын дэд сүлжээ нь дэд бүтэц бөгөөд Azure тэнд NSG дэмжигдэхгүй, гарцын ажиллагааг алдагдуулж болзошгүйг бичсэн байдаг.

Байршилд логикийн асуудал бас бий. GatewaySubnet дээрх NSG нь гадаад IPsec солилцоог үнэлэх бөгөөд түүний хаягууд нь хоёр гарцад хамаарна. Таны програмын дүрэмд туннелийн доторх хувийн эх үүсвэр хэрэгтэй бөгөөд тэр пакет нь гарц тайлсны дараа л бий болно. Бүлгийг ажлын ачааллын дэд сүлжээнд хавсаргавал дүрэм зориулсан хаягийг харна.

Ямар нэг зүйлийг өөрчлөхөөс өмнө одоогийн холбоосыг шалгаж, юу зөөж байгаагаа мэдээрэй:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Тайлсны дараа эх хаягийг ол

Дотоод эх үүсвэр нь локал клиентийн хувийн хаяг эсвэл төхөөрөмж эсвэл VPN-ийн NAT орчуулгын дараа үзүүлэх хаяг юм. Энэ нь локал VPN гарцын нийтийн хаяг биш, тэр нь гадаад солилцоонд хамаарна.

NAT нь загварын хэсэг бол үүнийг таамаглахын оронд үзүүлсэн эх үүсвэрийг баталгаажуул. Azure VM дээр пакет барих эсвэл үйлчилгээний холболтын бүртгэлийн эх талбар нь локал тохиргоог уншихаас илүү хурдан асуудлыг шийднэ. Дараа нь тухайн хаяг болон бодит зорилтот портод дүрэм бич.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Илчлэхийг хүсэж буй үйлчилгээ бүрт нэг дүрэм ашиглаж, портын жагсаалтыг богино байлга. Локал мужаас бүх портыг зөвшөөрөх дүрэм NSG-г албан ёсны зүйл болгоно.

Анхдагч VirtualNetwork хүрээг шалга

VirtualNetwork үйлчилгээний шошго нь локал виртуал сүлжээнээс өргөн. Түүний тодорхойлолтод холбогдсон локал хаягийн орон зай, peering сүлжээ болон гарцаар холбогдсон бусад префиксүүд багтана. Тиймээс VirtualNetwork-д хязгаарласан анхдагч зөвшөөрлийн дүрэм нь операторын гадаад гэж үзсэн туннелийн трафикийг аль хэдийн зөвшөөрч болно.

Нарийн дүрэм нэмэхийн өмнө анхдагч дүрмүүдийг уншиж, эхлээд тохирч болох өндөр ач холбогдолтой дүрэм бүрийг унш. Илэрхий зөвшөөрөл нэмэх нь урсгалыг аль хэдийн зөвшөөрч буй өргөн дүрмийг арилгахгүй. Бодлого хориглолт шаарддаг газарт зөвшөөрлийн өмнө үнэхээр үнэлэгдэх ач холбогдолд байрлуул.

Microsoft-ын үйлчилгээний шошгын баримт бичиг VirtualNetwork шошго юуг хамардгийг жагсаасан бөгөөд шошго зөвхөн VNet-ийн хүрээг илэрхийлнэ гэж хэн нэгэн маргах үед иш татах эх сурвалж нь энэ юм.

Хоёр хилийн үр дүнтэй дүрмийг унш

Дэд сүлжээний NSG болон NIC-ийн NSG хоёулаа үйлчлэх үед урсгал хоёуланг нь хангах ёстой. Нэг дэх зөвшөөрөл нөгөө дэх хориглолтыг цуцлахгүй бөгөөд пакет бодитоор нэгдсэн дүр төрхтэй тулгардаг.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Azure Virtual Network Manager-ийн аюулгүй байдлын админ дүрмүүд үйлчилж байвал тэр давхаргыг ч хяна. Админы Always allow дүрэм NSG-ийн үнэлгээгүйгээр трафик хүргэж болох бол админы Deny NSG-үүд харахаас өмнө зогсоодог. Ийм зохион байгуулалтад зөвхөн NSG-г хянах нь бүрэн бус.

NSG-үүд төлөв хадгалдаг гэдгийг сана. Дүрэм засварлах нь одоо байгаа зөвшөөрөгдсөн холболтыг заавал зогсоохгүй тул хүлээн авах туршилтад шинэ урсгал хэрэгтэй. Энэ шинж чанар үйлдвэрлэлд ашигтай, өөрчлөлтийн цонхонд төөрөгдүүлдэг.

Шинэ холболтоор шалга

Локал клиентээс үйлчилгээний порт руу шинэ сесс нээж, дараа нь татгалзах ёстой хостноос давт. VM-ийн талаас ч урсгалын туршилт ажиллуулж, буцах зам бүрэн бүтэн эсэхийг мэдээрэй.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

NSG-ийн зөвшөөрөл бол нэг хандалтын шийдвэр, зам ч биш, сонсогч ч биш. Дүрэм урсгалыг зөвшөөрсөн ч холболт бүтэлгүйтвэл бүлгийг дахин засахын өмнө клиентийн VPN руу хүрэх зам, Azure-ийн буцах зам, хостны галт хана шалга. Бодит эх хаяг, NSG-ийн холбоос, тохирох дүрмийг зөвшөөрөгдсөн үйлчилгээтэй хамт бүртгэ, учир нь дараагийн peering эсвэл замын өөрчлөлт VirtualNetwork шошгын хамрах хүрээг өөрчилж болно.