Fejn tapplika NSG għat-traffiku VPN ta' Azure minn sit għal sit

Il-mina minn sit għal sit hija attiva, il-klijent lokali jilħaq xi hosts ta' Azure u oħrajn le, u xi ħadd waħħal grupp tas-sigurtà tan-netwerk ma' GatewaySubnet biex isewwi dan. Ibqa' hemm. Azure ma tappoġġjax NSG fuq GatewaySubnet, u l-grupp ma jistax jara l-pakkett intern bħalma tara regola tax-xogħol. Qiegħed il-politika fuq is-subnet jew in-NIC tad-destinazzjoni, qabbel l-indirizz tas-sors li jeżisti wara d-deċifrar, u mbagħad ivverifika b'konnessjoni ġdida, mhux waħda qadima.

Qiegħed l-NSG fejn Azure tivvalutah

Il-fruntiera appoġġjata għall-iffiltrar tax-xogħol hija s-subnet jew l-interface tan-netwerk tad-destinazzjoni. Is-subnet tal-gateway hija infrastruttura, u Azure tiddokumenta li NSG mhumiex appoġġjati hemm u jistgħu jfixklu t-tħaddim tal-gateway.

Hemm ukoll problema ta' loġika fil-post. L-NSG fuq GatewaySubnet tivvaluta l-iskambju IPsec ta' barra, li l-indirizzi tiegħu jappartjenu għaż-żewġ gateways. Ir-regola tal-applikazzjoni tiegħek teħtieġ is-sors privat ġewwa l-mina, u dak il-pakkett jeżisti biss wara li l-gateway jiddeċifrah. Waħħal il-grupp mas-subnet tax-xogħol u r-regola tara l-indirizz li għalih inkiteb.

Iċċekkja l-assoċjazzjonijiet attwali qabel ma tibdel xejn, biex tkun taf x'qed tċaqlaq:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Sib l-indirizz tas-sors wara d-deċifrar

Is-sors intern huwa l-indirizz privat tal-klijent lokali, jew l-indirizz li apparat jew in-NAT tal-VPN jippreżenta wara t-traduzzjoni. Mhuwiex l-indirizz pubbliku tal-gateway VPN lokali, li jappartjeni għall-iskambju ta' barra.

Meta n-NAT huwa parti mid-disinn, ikkonferma s-sors ippreżentat minflok ma tassumih. Qbid ta' pakketti fuq il-VM ta' Azure, jew il-qasam tas-sors fil-log tal-konnessjonijiet tas-servizz, isolvi l-kwistjoni aktar malajr milli taqra l-konfigurazzjoni lokali. Imbagħad ikteb ir-regola kontra dak l-indirizz u l-port tad-destinazzjoni reali.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Uża regola waħda għal kull servizz li trid tesponi, u żomm il-lista tal-ports qasira. Regola li tippermetti l-ports kollha mill-firxa lokali tagħmel l-NSG sempliċi formalità.

Iċċekkja l-ambitu awtomatiku ta' VirtualNetwork

It-tikketta tas-servizz VirtualNetwork hija usa' min-netwerk virtwali lokali. Id-definizzjoni tagħha tinkludi spazji tal-indirizzi lokali konnessi, netwerks peering u prefissi oħra konnessi mal-gateway. Għalhekk regola awtomatika ta' permess limitata għal VirtualNetwork tista' diġà tippermetti traffiku tal-mina li operatur kien jaħseb li huwa estern.

Aqra r-regoli awtomatiċi qabel ma żżid oħrajn dojoq, u aqra kull regola bi prijorità ogħla li tista' taqbel l-ewwel. Iż-żieda ta' permess espliċitu ma tneħħix regola usa' li diġà tippermetti l-fluss. Fejn il-politika teħtieġ ċaħda, qiegħedha fi prijorità li tassew tiġi vvalutata qabel il-permess.

Id-dokumentazzjoni tat-tikketti tas-servizz ta' Microsoft telenka x'tkopri t-tikketta VirtualNetwork, u dik hija r-referenza li għandha tiġi ċċitata meta xi ħadd jargumenta li t-tikketta tfisser biss il-firxa tal-VNet.

Aqra r-regoli effettivi fiż-żewġ fruntieri

Meta japplikaw kemm NSG tas-subnet kif ukoll NSG tan-NIC, il-fluss irid jissodisfa t-tnejn. Permess f'waħda ma jannullax ċaħda fl-oħra, u l-veduta aggregata hija dik li l-pakkett tassew jiltaqa' magħha.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Jekk qed japplikaw regoli tal-amministratur tas-sigurtà ta' Azure Virtual Network Manager, irrevedi dak is-saff ukoll. Regola amministrattiva Always allow tista' twassal traffiku mingħajr valutazzjoni tal-NSG, filwaqt li Deny amministrattiva twaqqafha qabel ma l-NSG jarawha. Reviżjoni tal-NSG biss mhijiex kompleta għal dak l-arranġament.

Ftakar li l-NSG huma stateful. L-editjar ta' regola mhux bilfors itemm konnessjoni permessa eżistenti, għalhekk test ta' aċċettazzjoni jeħtieġ fluss ġdid. Din il-proprjetà hija utli fil-produzzjoni u qarrieqa waqt tieqa ta' bidla.

Ivverifika b'konnessjoni ġdida

Iftaħ sessjoni ġdida mill-klijent lokali għall-port tas-servizz, imbagħad erġa' agħmel dan minn host li għandu jiġi miċħud. Mexxi t-test tal-fluss mill-ġenb tal-VM ukoll, biex tkun taf li t-triq lura hija sħiħa.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

Permess tal-NSG huwa deċiżjoni waħda ta' aċċess, mhux rotta u mhux semmiegħ. Jekk ir-regola tippermetti l-fluss u l-konnessjoni xorta tfalli, iċċekkja ir-rotta tal-klijent fil-VPN, ir-rotta lura ta' Azure u l-firewall tal-host qabel ma terġa' teditja l-grupp. Irreġistra l-indirizz tas-sors reali, l-assoċjazzjonijiet tal-NSG u r-regola li taqbel mas-servizz approvat, għax il-bidla li jmiss fil-peering jew fir-rotta tista' tbiddel x'tkopri t-tikketta VirtualNetwork.