Azure дахь VPN төхөөрөмжтэй VM яагаад буцах замаа алддаг вэ
Azure VM доторх VPN төхөөрөмж UDR, сүлжээний картын дамжуулалтын туг, зочны бодлого гурвыг нь тааруулах шаардлагатай. Нэг салбарын хүсэлтийг гурвуулаар нь дагаж үзээрэй.
VPN төхөөрөмж ажиллуулж буй Azure VM нь бие даасан хоёр шийдвэр гаргах системийн дотор байрладаг. Пакет аль дэд сүлжээнээс гарч байгааг Azure нь маршрутын хүснэгт болон сүлжээний картын дамжуулалтын тохиргоог ашиглан шийддэг. Шифр тайлсан пакетыг цааш дамжуулах эсэхийг төхөөрөмжийн өөрийн үйлдлийн систем шийддэг. Төгс боссон туннель хоёр дахь систем дээр бүтэлгүйтэж болох бөгөөд ийм байршуулалтын ихэнх нь яг энд зогсдог.
Нэг замын гурван эзэн
Салбарын сүлжээг авч үзье 192.168.50.0/24 ажлын ачааллын дэд сүлжээг 10.0.10.0/24, төхөөрөмж нь 10.0.0.4 хаяг дээр өөрийн дэд сүлжээнд байрлана. Нэг хүсэлт гурван тусдаа тохиргоог хөнддөг.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Ихэнх байгууллагад мөр бүрийг өөр баг эзэмшдэг тул энэ эвдрэл ихэвчлэн нэг биш гурван тасалбараар ирдэг.
Төхөөрөмж рүү заасан маршрут
Маршрутын хүснэгтийг ажлын ачааллын дэд сүлжээтэй холбож, салбарын угтварт Virtual appliance төрлийн дараагийн үсрэлт өгнө 10.0.0.4 хаягаар. Төхөөрөмжийн хүрч болох хувийн хаягийг ашигла, хэзээ ч түүний нийтийн VPN нэвтрэх цэгийг. Дараагийн үсрэлт нь ажлын ачааллын дэд сүлжээ аль хэдийн хүрч чадах хаяг байх ёстой. Өгөгдмөл маршрутыг санаатайгаар солихоор шийдээгүй бол ажлын ачааллын бусад маршрутчлалыг хөндөхгүй орхи.
Төхөөрөмжийг өөрийн дэд сүлжээнд байлгаж, салбарын урсгалыг төхөөрөмж рүү илгээх маршрут төхөөрөмжийн өөрийн гарах замыг ч барихгүй эсэхийг шалга. Ийм гогцоо нь тэг хариулттай эрүүл туннель мэт харагддаг бөгөөд шөнийн 2 цагт үүнийг дибаг хийх нь маш тааламжгүй юм.
Бүгд мартдаг сүлжээний картын туг
Azure-д сүлжээний карт бүрт IP дамжуулалтын тохиргоо байдаг бөгөөд энэ нь өгөгдмөлөөр унтарсан байдаг. Энэ нь дамжуулж буй карт өөр рүүгээ биш, өөр зүйл рүү хаягласан пакетуудыг хүлээн авдаг тул байдаг бөгөөд тэдгээрийг чимээгүй хаях нь бусад бүх хүмүүст аюулгүй өгөгдмөл юм.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true үүнийг нэг интерфейст асаана. Microsoft-ын сүлжээний картын дамжуулалтын заавар урсгал дамжуулж буй холбогдсон карт бүр дээр энэ тохиргоог шаарддаг тул нэг карттай төхөөрөмж ч үүнийг тухайн карт дээр тохируулах шаардлагатай.
Туг нь маршрут ч биш, галт ханын дүрэм ч биш. Үүнийг асаах нь зөвшөөрөл өгөх бөгөөд өөр юу ч биш.
Зочин шифр тайлсан пакетаар юу хийдэг вэ
Туннель дууссаны дараа төхөөрөмжийн өөрийн стек дараагийн шийдвэрийг гаргана. Linux зочинд IPv4 дамжуулалт нь ажиллагааны үеийн тохиргоо бөгөөд sysctl -w net.ipv4.ip_forward=1 дараагийн ачаалт хүртэл үргэлжилнэ. Үүнийг оронд нь файлд /etc/sysctl.d/ хадгал. Нийлүүлэгчийн төхөөрөмж өөрийн аналогтой бөгөөд нийлүүлэгчийн платформд наасан Linux заавар ихэвчлэн юу ч хийдэггүй.
Зочны галт ханын бодлого дахин тусдаа, ажлын ачааллын сүлжээний аюулгүй байдлын бүлэг ч мөн адил. VM-ийн нийтийн хаяг руу UDP 500 ба 4500 зөвшөөрөх нь туннелийг хамгаалдаг; шифр тайлсан салбарын хүсэлт ажлын ачааллын порт хүрч чадах эсэхийг энэ нь огт хэлэхгүй.
Нэг хүсэлт ба түүний хариуг дага
Зөвшөөрөгдсөн нэг урсгалыг сонгоод эхнээс нь төгсгөл хүртэл дага. Салбарт маршрут хэрэгтэй 10.0.10.0/24 сайтын холболтоор дамжин, төхөөрөмжид ажлын ачааллын дэд сүлжээ рүү хүргэх зам хэрэгтэй, ажлын ачааллын дэд сүлжээнд салбар руу буцах маршрут хэрэгтэй.
Загвар нь салбарын эх хаягийг хадгалах уу, эсвэл хөрвүүлэх үү гэдгийг эрт шийд. NAT нь ажлын ачаалал юу хардагийг өөрчилдөг тул түүний хандалтын дүрмүүд таны үнэхээр сонгосон загварыг дүрслэх ёстой, таамагласан гарцын хаяг биш.
Амжилттай гар барилт нь тэр гинжин хэлхээний нэг холбоосыг нотолдог. Хариу нь мөн тэр төхөөрөмжөөр буцаж ирж, ажлын ачааллын өөрийн бодлого зөвшөөрсөн үед зам бүрэн болно.