Żewġ IPs pubbliċi fuq VM VPN Azure waħda: liema tagħmel xiex

Żewġ IPs pubbliċi fuq VM VPN Azure waħda joħolqu aspettattiva li rarament tinżamm: l-indirizz li magħhom jgħaqqdu l-klijenti jkun ukoll l-indirizz li jaraw is-siti web. Tliet deċiżjonijiet indipendenti jipproduċu dak ir-riżultat, u biss l-ewwel waħda tikkonċerna s-semmiegħa tal-mina. It-tieni hija s-sors tal-mistieden li jintuża għat-traffiku tal-klijent mgħoddi, u t-tielet hija l-metodu tal-ħruġ ta' Azure li japplika għal dak is-sors. Ibdel waħda u t-tnejn l-oħra jibqgħu fejn kienu, għalhekk iddeċiedi kull waħda b'mod espliċitu.

Deċiżjoni 1: fejn tintemm il-mina

IP pubblika ta' Azure hija assoċjata ma' konfigurazzjoni ta' IP privata fuq in-NIC; mhix indirizz li żżid ġewwa s-sistema operattiva tal-mistieden. Aqra l-mappa minflok tassumiha: az network nic show --ids /subscriptions/.../networkInterfaces/vpn-nic --query 'ipConfigurations[].{private:privateIPAddress,public:publicIPAddress.id}'. Kwalunkwe indirizz privat li tirritorna dik il-mistoqsija huwa dak li l-mistieden irid fil-fatt ikollu.

NIC waħda tista' ġġorr bosta konfigurazzjonijiet tal-IP, għalhekk żewġ indirizzi pubbliċi ma jeħtiġux żewġ NICs. Jekk id-disinn juża tabilħaqq żewġ NICs, kull waħda ġġib ir-rotot tal-mistieden u l-hops li jmiss tagħha, u tkun żidt deċiżjoni ta' routing minflok issimplifikajt waħda.

Għal servizz b'irbit lokali espliċitu, orbot mal-indirizz privat reali tal-mistieden, qatt mal-postholder pubbliku. Semmiegħa li taċċetta l-indirizzi kollha tirċievi traffiku permezz ta' kull konfigurazzjoni tal-IP li tasal għandha, għalhekk illimita d-dħul bil-grupp tas-sigurtà tan-netwerk u l-firewall tal-host minflok tittama li jiddeċiedi l-ordni tal-irbit.

Deċiżjoni 2: liema sors juża l-klijent mgħoddi

Wara li l-gateway jiddeċifra talba tal-klijent, il-pakkett li jgħaddi huwa differenti mill-pakkett li wasal għand is-semmiegħa VPN. Il-mistieden jeħtieġ tqassim attivat, politika tal-firewall li tippermetti l-fluss, u indirizz tas-sors li jippermetti d-disinn tal-cloud. Jekk tittraduċi l-indirizz intern tal-klijent, dak is-sors tradott huwa dak li Azure se jevalwa, mhux l-indirizz intern tal-klijent.

Regola SNAT dejqa tista' tagħżel sors privat tal-mistieden, iżda ma tistax tegħleb traduzzjoni ta' Azure aktar 'il quddiem. Agħżel SNAT meta għandek bżonn responsabbiltà għal kull klijent ġewwa l-VM; aqbeżha meta d-disinn tal-ħruġ tas-subnet diġà jipprovdi sors pubbliku stabbli u traduzzjoni oħra żżid biss stat.

Deċiżjoni 3: liema metodu tal-ħruġ ta' Azure jirbaħ

Microsoft tiddokumental-ordni ta' prijorità tal-ħruġ: rotta applikabbli lejn apparat jew gateway għandha prijorità, u l-konnettività tas-subnet permezz ta' NAT Gateway għandha prijorità fuq IP pubblika fil-livell tal-istanza fit-triq rilevanti. Dan l-ordni huwa r-raġuni għaliex it-traduzzjoni għal 10.20.0.5 ma tipprovax li sit web se jara 198.51.100.20. Aqra t-tabella tar-rotot effettiva, l-assoċjazzjoni tan-NAT Gateway u l-IP pubblika tan-NIC flimkien qabel taċċetta d-disinn tal-ħruġ.

Żommis-setting tat-tqassim tan-NIC ta' Azureseparat mit-tqassim f'Linux. Il-bandiera tal-cloud tippermetti pakketti li s-sors jew id-destinazzjoni tagħhom mhijiex assenjata lin-NIC; ma tattivax net.ipv4.ip_forward, u s-setting tal-mistieden ma tagħtix il-permess tal-cloud.

Is-socket tal-mina għandha d-deċiżjoni tas-sors tagħha

Address ta' WireGuard taħt wg-quick jassenja indirizz lill-interface WireGuard; mhijiex struzzjoni ta' rbit UDP estern. Is-sors tas-socket encrypted isegwi t-tabella tar-rotot, għalhekk rotta ta' politika jew it-tieni rotta default tista' ċċaqlaqha mingħajr ma tmiss l-indirizz tal-interface.OpenVPN: l-għażla local u UDP multihome iġibu ruħhom bl-istess mod: jikkonċernaw is-semmiegħa u t-tweġibiet tiegħu, mhux is-sors tal-internet ta' kull klijent mgħoddi.

Ippreserva r-rotta tas-saff t'isfel li ġġorr il-mina, u kkonferma li l-klijent għadu jirċievi tweġibiet awtentikati mill-arranġament tad-dħul mistenni. Tiddependix fuq l-ordni tal-lista tal-indirizzi bħala politika permanenti ta' għażla tas-sors, għax l-indirizz li jmiss miżjud man-NIC jista' jbiddel liema jirbaħ.

X'għandu jiġi aċċettat, u f'liema ordni

Aċċetta tliet riżultati separatament. L-ewwel, klijent estern jasal għad-dħul VPN mahsub. It-tieni, talba ġdida permessa minn dak il-klijent VPN toħroġ mill-ħruġ tal-internet iddokumentat. It-tielet, mogħdijiet tas-semmiegħa u tat-tqassim mhux intenzjonati jibqgħu miċħuda. Irreġistra l-mappings minn pubbliku għal privat u l-proprjetarji tal-mistieden u tal-cloud ta' kull deċiżjoni fl-istess post.

Mina li tirnexxi tipprova biss l-ewwel parti. Ittestja l-ħruġ b'fluss ġdid, għax konnessjoni fil-cache tista' tkompli tuża s-sors antik ħafna wara li tinbidel ir-rotta.