It-traffiku tar-ritorn ta’ Azure P2S VPN jaħdem biss f’direzzjoni waħda

L-ikona tat-tunnel hija ħadra, l-NSG jidher li jippermetti, ir-rotot effettivi jidhru tajbin, u xorta l-VM ma tistax tiftaħ konnessjoni lura lejn il-klijent konness. Is-suppożizzjoni tas-soltu hija li tunnel point-to-site li jaħdem huwa simetriku: jekk il-klijent jasal għall-VM, il-VM jasal għall-klijent. Dik is-suppożizzjoni hija l-iżball fir-raġunament, mhux fil-konfigurazzjoni. Tunnel jista’ jġorr direzzjoni waħda ta’ fluss mhux mitlub u jwarrab l-oħra, u t-tiswija tiddependi minn liema saff qed iwarrabha.

Mitu: tunnel konness huwa tunnel f’żewġ direzzjonijiet

Tunnel VPN huwa mogħdija ta’ politika, mhux wajer. Kull direzzjoni tiġi mqabbla ma’ seletturi, rotot u filtri, u kwalunkwe minnhom jista’ jippermetti direzzjoni waħda filwaqt li jimblokka l-oħra.

Fil-prattika l-asimmetrija hija komuni biżżejjed biex id-direzzjoni tkun fl-ewwel test, mhux fl-aħħar. Il-klijent jibda, il-gateway isegwi l-fluss, u t-tweġiba ssegwi l-istat li nħoloq. VM li tibda fluss ġdid m’għandhiex stat bħal dan, għalhekk tiddependi milli l-mogħdija tar-ritorn tkun espliċitament routabbli u permessa. Meta dik il-mogħdija tkun neqsin, l-attentat ta’ konnessjoni jmut qabel ma jarah kwalunkwe applikazzjoni.

Ittestja d-direzzjoni qabel ma tittestja l-aċċessibbiltà

Agħżel indirizz wieħed tal-klijent, indirizz wieħed tal-VM u protokoll wieħed. Ikkonnettja mill-klijent u rreġistra r-riżultat; imbagħad ibda l-istess test mill-VM u rreġistra dak ukoll. Jekk l-ewwel jirnexxi u t-tieni jonqos, il-pool tal-klijenti, l-assoċjazzjoni tal-gateway u l-mogħdija mill-klijent għall-VNet kollha jaħdmu.

Il-pass li jmiss huwa evidenza, mhux aktar regoli. Iċċekkja l-NSG fuq is-subnet tal-VM fiż-żewġ direzzjonijiet, aqra r-rotot effettivi fuq in-NIC tal-VM, u aqbad pakketti fuq il-VM waqt li l-klijent jibgħat traffiku. Talba li tasal mingħajr tweġiba hija problema ta’ filtru jew mogħdija tar-ritorn; talba li qatt ma tasal hija problema ta’ mogħdija. Tqisx ping fallut bħala prova li l-VM mhix aċċessibbli, għax politika tal-ICMP tista’ twarrab it-tweġiba waqt li TCP jaħdem.

Il-mogħdija tar-ritorn IKEv2 point-to-site hija l-issuspettat tas-soltu

Fir-rapport Azure wara dan l-artiklu, klijent seta’ jasal għall-VMs permezz ta’ IKEv2, iżda l-ICMP deħlin mill-VM għall-klijent falla sakemm it-tip ta’ tunnel tal-gateway inbidel għal OpenVPN. Ir-rapporteur jgħid li Microsoft ikkonfermat limitazzjoni fil-mogħdija IKEv2 point-to-site, fejn it-traffiku tar-ritorn mill-VM għall-klijent mhuwiex routat b’mod simetriku sakemm il-klijent ma jkunx beda s-sessjoni. IKEv2 jiddependi fuq seletturi tat-traffiku, u l-gateway ma rrispettax id-direzzjoni tar-ritorn f’dak il-każ.

Dan ma jagħmilx lil OpenVPN it-tip ta’ tunnel aħjar b’mod ġenerali. Dan jagħmel it-tip ta’ tunnel varjabbli fil-matriċi tat-test għal din il-piż tax-xogħol.

Il-bidla tat-tip ta’ tunnel hija bidla fis-servizz, mhux swiċċ. Kull klijent jeħtieġ profil kompatibbli, u l-gateway jista’ jkollu bżonn ċertifikat jew konfigurazzjoni ta’ awtentikazzjoni differenti. Irriproduċi l-imġiba f’direzzjoni waħda b’klijent tat-test wieħed u VM tat-test waħda, ibdel it-tip skont skeda approvata, u mbagħad irrepeti l-istess testijiet tad-direzzjoni. Jekk l-imġiba tibqa’ wara l-bidla, it-tip ta’ tunnel ma kienx il-kawża u ċċekknaqt il-problema mingħajr ma mess il-produzzjoni.

Mitu: l-iskoperta bil-broadcast taqsam il-fruntiera tal-VNet

It-tieni suppożizzjoni tonqos għal raġuni mhux relatata. Network virtwali Azure ma jġorrx traffiku tal-broadcast, għalhekk VM ma tistax tirċievi frejms tal-broadcast minn network lokali permezz ta’ konnessjoni site-to-site jew point-to-site. Applikazzjonijiet li jsibu sħabhom bil-broadcast, bħall-ibbrawżjar antik tal-fajls jew xi protokolli tal-iskoperta tal-apparat, qatt ma jaraw in-naħa remota, tkun kif tkun miktuba r-rotot.

Ibdel l-iskoperta bil-broadcast b’ismijiet DNS, servizz tad-direttorju jew lista espliċita ta’ sħab. Jekk l-applikazzjoni m’għandhiex alternattiva unicast, id-disinn jeħtieġ mekkaniżmu ieħor ta’ skoperta, mhux tunnel usa’.

X’għandu jinbidel, u kif wieħed jipprovah

Jekk it-test tad-direzzjoni jonqos biss fuq IKEv2, irreġistra t-tip ta’ tunnel tal-gateway, il-pool tal-indirizzi tal-klijenti u t-test eżatt tal-ICMP jew TCP, imbagħad evalwa profil OpenVPN approvat għall-klijenti affettwati. Jekk jonqos fuq kull tip ta’ tunnel, aħdem il-mogħdija tar-ritorn: l-indirizz tal-klijent irid ikun routabbli mis-subnet tal-VM, kwalunkwe rotta definita mill-utent trid turi lejn hop li jmiss validu, u l-firewall tal-klijent irid jaċċetta l-fluss deħlin. Iddaħħal l-evidenza tal-NSG u tar-rotot mat-tikketta.

Ivverifika bl-applikazzjoni, mhux bil-ping. Skambju tal-ICMP li jirnexxi wara bidla ma jgħid xejn dwar il-port tas-servizz, l-awtentikazzjoni tiegħu jew ir-riżoluzzjoni tal-ismijiet. Irrepeti t-test wara rikonnessjoni, għax klijent li jirċievi indirizz differenti mill-pool jista’ jbiddel ir-riżultat. Imbagħad irrepetih darba oħra wara li l-klijent jorqod u jqum, għax huwa f’sessjoni mġedda li l-imġiba f’direzzjoni waħda spiss terġa’ tidher.