Għaliex VM b’apparat VPN f’Azure jitlef it-triq lura
Apparat VPN f’VM ta’ Azure jeħtieġ li l-UDR, il-bandiera tal-iffurwardjar tal-karta tan-netwerk u l-politika tal-mistieden jaqblu. Segwi talba waħda tal-fergħa mit-tlieta kollha.
VM ta’ Azure li jħaddem apparat VPN joqgħod ġewwa żewġ sistemi tad-deċiżjoni indipendenti. Azure jiddeċiedi minn fejn pakkett joħroġ mis-subnet, bl-użu ta’ tabelli tar-rotot u s-setting tal-iffurwardjar tal-karta tan-netwerk. Is-sistema operattiva tal-apparat innifsu tiddeċiedi jekk tgħaddix il-pakkett deċifrat ’il quddiem. Mina taħdem sew tista’ xorta tfalli fit-tieni sistema, u hemmhekk jieqfu ħafna minn dawn l-implimentazzjonijiet.
Tliet sidien ta’ triq waħda
Ħu netwerk tal-fergħa 192.168.50.0/24 u subnet tax-xogħol 10.0.10.0/24, bl-apparat f’ 10.0.0.4 fis-subnet tiegħu stess. Talba waħda tmiss tliet konfigurazzjonijiet separati.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Kull ringiela hija tal-pussess ta’ tim differenti f’ħafna organizzazzjonijiet, u għalhekk dan il-ħsara normalment jiġi bħala tliet biljetti minflok waħda.
Ir-rotta li tindika lejn l-apparat
Qabbad tabella tar-rotot mas-subnet tax-xogħol u agħti lill-prefiss tal-fergħa qabża li jmiss tat-tip Virtual appliance bi 10.0.0.4 bħala indirizz. Uża l-indirizz privat aċċessibbli tal-apparat, qatt il-punt tad-dħul pubbliku tiegħu tal-VPN. Il-qabża li jmiss trid tkun indirizz li s-subnet tax-xogħol diġà jista’ jilħaq. Ħalli l-bqija tar-routing tax-xogħol kif inhu, sakemm ma tkunx iddeċidejt b’mod deliberat li tissostitwixxi r-rotta awtomatika.
Żomm l-apparat fis-subnet tiegħu stess, u kun żgur li r-rotta li tibgħat it-traffiku tal-fergħa lejn l-apparat ma taqbadx ukoll it-triq tal-ħruġ tal-apparat innifsu. Ċiklu bħal dan jidher bħal mina f’saħħitha mingħajr tweġibiet, u dik hija ħaġa spjaċevoli ħafna biex tiddibbagja fis-2 ta’ filgħodu.
Il-bandiera tal-karta tan-netwerk li kulħadd jinsa
Azure għandu setting tal-iffurwardjar tal-IP għal kull karta tan-netwerk, u huwa mitfi b’mod awtomatiku. Jeżisti għax karta li tiffurwardja tirċievi pakketti indirizzati għal xi ħaġa oħra, u li tarmihom bil-kwiet huwa l-awtomatiku sikur għal kulħadd l-ieħor.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true ixegħlu għal interface waħda. Il-linji gwida ta’ Microsoft dwar l-iffurwardjar fuq il-karta tan-netwerk jeħtieġu s-setting fuq kull karta mqabbda li tiffurwardja traffiku, għalhekk apparat b’karta waħda xorta jeħtieġha fuq dik il-karta.
Il-bandiera mhix rotta u mhix regola tal-firewall. Li txegħelha tagħti permess u xejn aktar.
X’jagħmel il-mistieden bil-pakkett deċifrat
Meta l-mina tintemm, il-munzell tal-apparat innifsu jieħu d-deċiżjoni li jmiss. Fuq mistieden Linux, l-iffurwardjar tal-IPv4 huwa setting tal-ħin tal-eżekuzzjoni, u sysctl -w net.ipv4.ip_forward=1 idum sad-darba li jmiss tal-boot. Issejvjah f’fajl taħt /etc/sysctl.d/ minflok. Apparat tal-fornitur għandu l-ekwivalenti tiegħu, u l-istruzzjonijiet Linux imwaħħla f’pjattaforma tal-fornitur normalment jagħmlu xejn xejn.
Il-politika tal-firewall tal-mistieden hija għal darb’oħra separata, u l-istess il-grupp tas-sigurtà tan-netwerk tax-xogħol. Li tippermetti UDP 500 u 4500 lejn l-indirizz pubbliku tal-VM jipproteġi l-mina; ma jgħid xejn dwar jekk talba tal-fergħa deċifrata tistax tasal għal port tax-xogħol.
Segwi talba waħda u t-tweġiba tagħha
Agħżel fluss wieħed permess u segwih mill-bidu sat-tmiem. Il-fergħa teħtieġ rotta għal 10.0.10.0/24 permezz tal-konnessjoni tas-sit, l-apparat jeħtieġ triq tal-kunsinna lejn is-subnet tax-xogħol, u s-subnet tax-xogħol jeħtieġ rotta lura lejn il-fergħa.
Iddeċiedi kmieni jekk id-disinn iżommx l-indirizz tas-sors tal-fergħa jew jittraduċih. In-NAT ibiddel dak li jara x-xogħol, għalhekk ir-regoli tal-aċċess tiegħu għandhom jiddeskrivu l-mudell li għażilt verament u mhux indirizz tal-gateway maħsub.
Handshake li jirnexxi jipprova ħolqa waħda ta’ dik il-katina. It-triq hija kompleta meta t-tweġiba terġa’ lura mill-istess apparat u l-politika tax-xogħol innifsu tippermettiha.