Azure ਸਾਈਟ-ਤੋਂ-ਸਾਈਟ VPN ਟ੍ਰੈਫਿਕ ਲਈ NSG ਕਿੱਥੇ ਲਾਗੂ ਕਰੀਏ

ਸਾਈਟ-ਤੋਂ-ਸਾਈਟ ਸੁਰੰਗ ਚੱਲ ਰਹੀ ਹੈ, ਸਥਾਨਕ ਕਲਾਇੰਟ ਕੁਝ Azure ਹੋਸਟਾਂ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ ਅਤੇ ਕੁਝ ਤੱਕ ਨਹੀਂ, ਅਤੇ ਕਿਸੇ ਨੇ ਇਸ ਨੂੰ ਠੀਕ ਕਰਨ ਲਈ GatewaySubnet 'ਤੇ ਨੈੱਟਵਰਕ ਸੁਰੱਖਿਆ ਸਮੂਹ ਜੋੜਿਆ ਹੈ। ਉੱਥੇ ਹੀ ਰੁਕੋ। Azure GatewaySubnet 'ਤੇ NSG ਦਾ ਸਮਰਥਨ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਸਮੂਹ ਵਰਕਲੋਡ ਨਿਯਮ ਵਾਂਗ ਅੰਦਰੂਨੀ ਪੈਕੇਟ ਨਹੀਂ ਦੇਖ ਸਕਦਾ। ਨੀਤੀ ਮੰਜ਼ਿਲ ਸਬਨੈੱਟ ਜਾਂ NIC 'ਤੇ ਰੱਖੋ, ਡਿਕ੍ਰਿਪਸ਼ਨ ਤੋਂ ਬਾਅਦ ਮੌਜੂਦ ਸਰੋਤ ਪਤੇ ਨੂੰ ਮਿਲਾਓ, ਅਤੇ ਫਿਰ ਪੁਰਾਣੇ ਦੀ ਥਾਂ ਨਵੇਂ ਕਨੈਕਸ਼ਨ ਨਾਲ ਜਾਂਚੋ।

NSG ਨੂੰ ਉੱਥੇ ਰੱਖੋ ਜਿੱਥੇ Azure ਇਸ ਦਾ ਮੁਲਾਂਕਣ ਕਰਦਾ ਹੈ

ਵਰਕਲੋਡ ਫਿਲਟਰਿੰਗ ਲਈ ਸਮਰਥਿਤ ਸੀਮਾ ਮੰਜ਼ਿਲ ਸਬਨੈੱਟ ਜਾਂ ਮੰਜ਼ਿਲ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਹੈ। ਗੇਟਵੇ ਸਬਨੈੱਟ ਢਾਂਚਾ ਹੈ, ਅਤੇ Azure ਦਸਤਾਵੇਜ਼ ਕਰਦਾ ਹੈ ਕਿ ਉੱਥੇ NSG ਸਮਰਥਿਤ ਨਹੀਂ ਹਨ ਅਤੇ ਗੇਟਵੇ ਦੇ ਕੰਮ ਨੂੰ ਨੁਕਸਾਨ ਪਹੁੰਚਾ ਸਕਦੇ ਹਨ।

ਰੱਖਣ ਵਿੱਚ ਇੱਕ ਤਾਰਕਿਕ ਸਮੱਸਿਆ ਵੀ ਹੈ। GatewaySubnet 'ਤੇ NSG ਬਾਹਰੀ IPsec ਅਦਲਾ-ਬਦਲੀ ਦਾ ਮੁਲਾਂਕਣ ਕਰੇਗਾ, ਜਿਸ ਦੇ ਪਤੇ ਦੋਵੇਂ ਗੇਟਵੇ ਦੇ ਹਨ। ਤੁਹਾਡੇ ਐਪਲੀਕੇਸ਼ਨ ਨਿਯਮ ਨੂੰ ਸੁਰੰਗ ਦੇ ਅੰਦਰ ਨਿੱਜੀ ਸਰੋਤ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਉਹ ਪੈਕੇਟ ਗੇਟਵੇ ਵੱਲੋਂ ਡਿਕ੍ਰਿਪਟ ਕਰਨ ਤੋਂ ਬਾਅਦ ਹੀ ਹੁੰਦਾ ਹੈ। ਸਮੂਹ ਨੂੰ ਵਰਕਲੋਡ ਸਬਨੈੱਟ ਨਾਲ ਜੋੜੋ ਅਤੇ ਨਿਯਮ ਉਹ ਪਤਾ ਦੇਖੇਗਾ ਜਿਸ ਲਈ ਇਹ ਲਿਖਿਆ ਸੀ।

ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਮੌਜੂਦਾ ਸੰਬੰਧ ਜਾਂਚੋ, ਤਾਂ ਜੋ ਤੁਸੀਂ ਜਾਣੋ ਕਿ ਕੀ ਹਿਲਾ ਰਹੇ ਹੋ:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

ਡਿਕ੍ਰਿਪਸ਼ਨ ਤੋਂ ਬਾਅਦ ਸਰੋਤ ਪਤਾ ਲੱਭੋ

ਅੰਦਰੂਨੀ ਸਰੋਤ ਸਥਾਨਕ ਕਲਾਇੰਟ ਦਾ ਨਿੱਜੀ ਪਤਾ ਹੈ, ਜਾਂ ਉਹ ਪਤਾ ਜੋ ਕੋਈ ਯੰਤਰ ਜਾਂ VPN NAT ਅਨੁਵਾਦ ਤੋਂ ਬਾਅਦ ਪੇਸ਼ ਕਰਦਾ ਹੈ। ਇਹ ਸਥਾਨਕ VPN ਗੇਟਵੇ ਦਾ ਜਨਤਕ ਪਤਾ ਨਹੀਂ ਹੈ, ਜੋ ਬਾਹਰੀ ਅਦਲਾ-ਬਦਲੀ ਦਾ ਹਿੱਸਾ ਹੈ।

ਜਦੋਂ NAT ਡਿਜ਼ਾਈਨ ਦਾ ਹਿੱਸਾ ਹੋਵੇ, ਤਾਂ ਮੰਨਣ ਦੀ ਥਾਂ ਪੇਸ਼ ਕੀਤੇ ਸਰੋਤ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ। Azure VM 'ਤੇ ਪੈਕੇਟ ਕੈਪਚਰ, ਜਾਂ ਸੇਵਾ ਦੇ ਕਨੈਕਸ਼ਨ ਲੌਗ ਵਿੱਚ ਸਰੋਤ ਖੇਤਰ, ਸਥਾਨਕ ਸੰਰਚਨਾ ਪੜ੍ਹਨ ਨਾਲੋਂ ਛੇਤੀ ਸਵਾਲ ਦਾ ਹੱਲ ਕਰਦਾ ਹੈ। ਫਿਰ ਉਸ ਪਤੇ ਅਤੇ ਅਸਲ ਮੰਜ਼ਿਲ ਪੋਰਟ ਵਿਰੁੱਧ ਨਿਯਮ ਲਿਖੋ।

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

ਤੁਸੀਂ ਜਿਸ ਸੇਵਾ ਨੂੰ ਖੋਲ੍ਹਣਾ ਚਾਹੁੰਦੇ ਹੋ ਉਸ ਲਈ ਇੱਕ ਨਿਯਮ ਵਰਤੋ, ਅਤੇ ਪੋਰਟ ਸੂਚੀ ਛੋਟੀ ਰੱਖੋ। ਸਥਾਨਕ ਰੇਂਜ ਤੋਂ ਸਾਰੀਆਂ ਪੋਰਟਾਂ ਦੀ ਆਗਿਆ ਦੇਣ ਵਾਲਾ ਨਿਯਮ NSG ਨੂੰ ਰਸਮੀ ਕਾਰਵਾਈ ਬਣਾ ਦਿੰਦਾ ਹੈ।

ਡਿਫਾਲਟ VirtualNetwork ਦਾਇਰਾ ਜਾਂਚੋ

VirtualNetwork ਸੇਵਾ ਟੈਗ ਸਥਾਨਕ ਵਰਚੁਅਲ ਨੈੱਟਵਰਕ ਨਾਲੋਂ ਚੌੜਾ ਹੈ। ਇਸ ਦੀ ਪਰਿਭਾਸ਼ਾ ਵਿੱਚ ਜੁੜੇ ਸਥਾਨਕ ਪਤਾ ਖੇਤਰ, ਪੀਅਰ ਕੀਤੇ ਨੈੱਟਵਰਕ ਅਤੇ ਗੇਟਵੇ ਨਾਲ ਜੁੜੇ ਹੋਰ ਪ੍ਰੀਫਿਕਸ ਸ਼ਾਮਲ ਹਨ। ਇਸ ਲਈ VirtualNetwork ਤੱਕ ਸੀਮਿਤ ਡਿਫਾਲਟ ਆਗਿਆ ਨਿਯਮ ਪਹਿਲਾਂ ਹੀ ਉਸ ਸੁਰੰਗ ਟ੍ਰੈਫਿਕ ਦੀ ਆਗਿਆ ਦੇ ਸਕਦਾ ਹੈ ਜਿਸ ਨੂੰ ਆਪਰੇਟਰ ਬਾਹਰੀ ਮੰਨਦਾ ਸੀ।

ਤੰਗ ਨਿਯਮ ਜੋੜਨ ਤੋਂ ਪਹਿਲਾਂ ਡਿਫਾਲਟ ਨਿਯਮ ਪੜ੍ਹੋ, ਅਤੇ ਪਹਿਲਾਂ ਮੇਲ ਖਾ ਸਕਣ ਵਾਲੇ ਹਰ ਉੱਚ ਤਰਜੀਹ ਵਾਲੇ ਨਿਯਮ ਨੂੰ ਪੜ੍ਹੋ। ਸਪੱਸ਼ਟ ਆਗਿਆ ਜੋੜਨ ਨਾਲ ਉਹ ਚੌੜਾ ਨਿਯਮ ਨਹੀਂ ਹਟਦਾ ਜੋ ਪਹਿਲਾਂ ਹੀ ਪ੍ਰਵਾਹ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਜਿੱਥੇ ਨੀਤੀ ਇਨਕਾਰ ਮੰਗਦੀ ਹੈ, ਉੱਥੇ ਇਸ ਨੂੰ ਉਸ ਤਰਜੀਹ 'ਤੇ ਰੱਖੋ ਜੋ ਆਗਿਆ ਤੋਂ ਪਹਿਲਾਂ ਸੱਚਮੁੱਚ ਮੁਲਾਂਕਣ ਹੁੰਦੀ ਹੈ।

Microsoft ਦਾ ਸੇਵਾ ਟੈਗ ਦਸਤਾਵੇਜ਼ ਦੱਸਦਾ ਹੈ ਕਿ VirtualNetwork ਟੈਗ ਕੀ ਕਵਰ ਕਰਦਾ ਹੈ, ਅਤੇ ਜਦੋਂ ਕੋਈ ਦਲੀਲ ਦਿੰਦਾ ਹੈ ਕਿ ਟੈਗ ਦਾ ਅਰਥ ਸਿਰਫ਼ VNet ਰੇਂਜ ਹੈ ਤਾਂ ਇਹੀ ਹਵਾਲਾ ਦੇਣ ਯੋਗ ਹੈ।

ਦੋਵੇਂ ਸੀਮਾਵਾਂ 'ਤੇ ਪ੍ਰਭਾਵੀ ਨਿਯਮ ਪੜ੍ਹੋ

ਜਦੋਂ ਸਬਨੈੱਟ NSG ਅਤੇ NIC NSG ਦੋਵੇਂ ਲਾਗੂ ਹੋਣ, ਪ੍ਰਵਾਹ ਨੂੰ ਦੋਵੇਂ ਪੂਰੇ ਕਰਨੇ ਪੈਣਗੇ। ਇੱਕ ਵਿੱਚ ਆਗਿਆ ਦੂਜੇ ਵਿੱਚ ਇਨਕਾਰ ਨੂੰ ਰੱਦ ਨਹੀਂ ਕਰਦੀ, ਅਤੇ ਪੈਕੇਟ ਅਸਲ ਵਿੱਚ ਸੰਯੁਕਤ ਦ੍ਰਿਸ਼ ਨਾਲ ਮਿਲਦਾ ਹੈ।

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

ਜੇ Azure Virtual Network Manager ਦੇ ਸੁਰੱਖਿਆ ਪ੍ਰਸ਼ਾਸਕ ਨਿਯਮ ਲਾਗੂ ਹੋਣ, ਤਾਂ ਉਹ ਪਰਤ ਵੀ ਸਮੀਖਿਆ ਕਰੋ। ਪ੍ਰਸ਼ਾਸਕੀ Always allow ਨਿਯਮ NSG ਮੁਲਾਂਕਣ ਤੋਂ ਬਿਨਾਂ ਟ੍ਰੈਫਿਕ ਪਹੁੰਚਾ ਸਕਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਪ੍ਰਸ਼ਾਸਕੀ Deny NSG ਦੇ ਦੇਖਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਰੋਕ ਦਿੰਦਾ ਹੈ। ਅਜਿਹੀ ਵਿਵਸਥਾ ਲਈ ਸਿਰਫ਼ NSG ਦੀ ਸਮੀਖਿਆ ਅਧੂਰੀ ਹੈ।

ਯਾਦ ਰੱਖੋ ਕਿ NSG ਸਥਿਤੀ ਰੱਖਦੇ ਹਨ। ਨਿਯਮ ਸੋਧਣ ਨਾਲ ਮੌਜੂਦਾ ਮਨਜ਼ੂਰ ਕਨੈਕਸ਼ਨ ਜ਼ਰੂਰੀ ਨਹੀਂ ਟੁੱਟੇ, ਇਸ ਲਈ ਸਵੀਕ੍ਰਿਤੀ ਪਰੀਖਿਆ ਲਈ ਨਵਾਂ ਪ੍ਰਵਾਹ ਚਾਹੀਦਾ ਹੈ। ਇਹ ਗੁਣ ਉਤਪਾਦਨ ਵਿੱਚ ਲਾਹੇਵੰਦ ਅਤੇ ਤਬਦੀਲੀ ਵਿੰਡੋ ਦੌਰਾਨ ਭਰਮਾਊ ਹੈ।

ਨਵੇਂ ਕਨੈਕਸ਼ਨ ਨਾਲ ਜਾਂਚੋ

ਸਥਾਨਕ ਕਲਾਇੰਟ ਤੋਂ ਸੇਵਾ ਪੋਰਟ ਤੱਕ ਨਵਾਂ ਸੈਸ਼ਨ ਖੋਲ੍ਹੋ, ਫਿਰ ਉਸ ਹੋਸਟ ਤੋਂ ਦੁਹਰਾਓ ਜਿਸ ਨੂੰ ਇਨਕਾਰ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। VM ਪਾਸਿਓਂ ਵੀ ਪ੍ਰਵਾਹ ਪਰੀਖਿਆ ਚਲਾਓ, ਤਾਂ ਜੋ ਤੁਸੀਂ ਜਾਣੋ ਕਿ ਵਾਪਸੀ ਮਾਰਗ ਸੁਰੱਖਿਅਤ ਹੈ।

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

NSG ਆਗਿਆ ਇੱਕ ਪਹੁੰਚ ਫੈਸਲਾ ਹੈ, ਨਾ ਮਾਰਗ ਅਤੇ ਨਾ ਸਰੋਤਾ। ਜੇ ਨਿਯਮ ਪ੍ਰਵਾਹ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ ਅਤੇ ਕਨੈਕਸ਼ਨ ਫਿਰ ਵੀ ਅਸਫਲ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਸਮੂਹ ਨੂੰ ਦੁਬਾਰਾ ਸੋਧਣ ਤੋਂ ਪਹਿਲਾਂ VPN ਵਿੱਚ ਕਲਾਇੰਟ ਦਾ ਮਾਰਗ, Azure ਦਾ ਵਾਪਸੀ ਮਾਰਗ ਅਤੇ ਹੋਸਟ ਫਾਇਰਵਾਲ ਜਾਂਚੋ। ਅਸਲ ਸਰੋਤ ਪਤਾ, NSG ਸੰਬੰਧ ਅਤੇ ਮੇਲ ਖਾਣ ਵਾਲਾ ਨਿਯਮ ਮਨਜ਼ੂਰ ਸੇਵਾ ਨਾਲ ਦਰਜ ਕਰੋ, ਕਿਉਂਕਿ ਅਗਲਾ ਪੀਅਰਿੰਗ ਜਾਂ ਮਾਰਗ ਤਬਦੀਲੀ ਬਦਲ ਸਕਦੀ ਹੈ ਕਿ VirtualNetwork ਟੈਗ ਕੀ ਕਵਰ ਕਰਦਾ ਹੈ।