په Azure کې د سایت-تر-سایټ VPN ټرافیک لپاره NSG چېرې پلي کړو

د سایت-تر-سایټ تونل روان دی، ځایي کاروونکی ځینې Azure کوربه ته رسیږي او نورو ته نه، او چا د دې د سمولو لپاره GatewaySubnet ته د شبکې امنیتي ډله وتړله. هلته ودرشئ. Azure په GatewaySubnet باندې NSG نه ملاتړ کوي، او ډله نشي کولی داخلي پیکیج لکه د کاري بار قاعده وګوري. پالیسي په هدف سبنیټ یا NIC کې ږدئ، هغه سرچینه پته سره سمون ورکړئ چې د ډیکریپشن وروسته شته، او بیا د زاړه پر ځای د نوي نښلون سره تایید کړئ.

NSG هلته ږدئ چېرې چې Azure یې ارزوي

د کاري بار د فلټر کولو ملاتړ شوې پوله هدف سبنیټ یا هدف شبکهي انټرفیس دی. د ګیټوې سبنیټ زیربنا ده، او Azure مستند کوي چې هلته NSG نه ملاتړ کیږي او کیدای شي د ګیټوې کار زیانمن کړي.

په ځای پرځای کولو کې یوه منطقي ستونزه هم ده. په GatewaySubnet باندې NSG به بهرنې IPsec تبادله ارزوله، چې پتې یې د دوو ګیټوې دي. ستاسو د اپلیکیشن قاعده د تونل دننه خصوصي سرچینې ته اړتیا لري، او هغه پیکیج یوازې هغه وخت شته چې ګیټوې یې ډیکریپټ کړي. ډله د کاري بار سبنیټ سره وتړئ او قاعده به هغه پته وګوري چې ورته لیکل شوې وه.

له هر څه بدلولو دمخه اوسني تړاوونه وګورئ، ترڅو پوه شئ چې څه ګرځوئ:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

د ډیکریپشن وروسته د سرچینې پته ومومئ

داخلي سرچینه د ځایي کاروونکي خصوصي پته ده، یا هغه پته چې یو وسیله یا د VPN NAT د ژباړې وروسته ښیي. دا د ځایي VPN ګیټوې عامه پته نه ده، چې د بهرنۍ تبادلې پورې اړه لري.

کله چې NAT د ډیزاین برخه وي، د اټکل کولو پر ځای ښودل شوې سرچینه تایید کړئ. په Azure VM باندې د پیکیجونو نیول، یا د خدمت د نښلون په لاګ کې د سرچینې ساحه، پوښتنه له ځایي ترتیباتو لوستلو څخه ژر حل کوي. بیا قاعده د هغې پتې او ریښتیني هدف پورټ لپاره ولیکئ.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

د هر هغه خدمت لپاره یوه قاعده وکاروئ چې غواړئ ښکاره کړئ، او د پورټونو لیست لنډ وساتئ. هغه قاعده چې د ځایي حد له ټولو پورټونو اجازه ورکوي NSG په یوه رسمي کار بدلوي.

د VirtualNetwork پیش فرض حد وګورئ

د VirtualNetwork خدمت ټاګ له ځایي مجازي شبکې څخه پراخ دی. د هغې تعریف نښلول شوې ځایي پتې ځایونه، همکارې شبکې او نور هغه مخکښې شاملوي چې د ګیټوې سره نښلول شوې. نو د VirtualNetwork پورې محدودې پیش فرض اجازې قاعده کیدای شي دمخه هغه تونل ټرافیک ته اجازه ورکړي چې آپریټر بهرنی ګاڼه.

له نریو قواعدو اضافه کولو دمخه پیش فرض قواعد ولولئ، او هره هغه لوړ لومړیتوب قاعده ولولئ چې لومړی سمون ښایي ولري. ښکاره اجازه اضافه کول هغه پراخه قاعده نه لیرې کوي چې جریان ته دمخه اجازه ورکوي. چېرې چې پالیسي منع غواړي، هغه په داسې لومړیتوب کې ږدئ چې واقعاً د اجازې دمخه ارزول کیږي.

د Microsoft د خدمت ټاګونو مستندات لیست کوي چې VirtualNetwork ټاګ څه پوښي، او دا هغه حواله ده چې باید ورته اشاره وشي کله چې څوک استدلال کوي چې ټاګ یوازې د VNet حد مانا لري.

په دواړو پولو کې اغیزمن قواعد ولولئ

کله چې د سبنیټ NSG او د NIC NSG دواړه پلي وي، جریان باید دواړه پوره کړي. په یوه کې اجازه په بل کې منع نه باطلوي، او پیکیج واقعاً د یوځای شوي لید سره مخ کیږي.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

که د Azure Virtual Network Manager امنیتي مدیر قواعد په کار وي، هغه طبقه هم بیاکتنه کړئ. د مدیر Always allow قاعده کیدای شي ټرافیک پرته له NSG ارزونې ورسوي، پداسې حال کې چې د مدیر Deny هغه مخکې له دې چې NSG یې وویني دروي. داسې ترتیب لپاره یوازې د NSG بیاکتنه نیمګړې ده.

په یاد ولرئ چې NSG حالت ساتونکي دي. د قاعدې سمون اړینه نه ده چې شته اجازه شوې نښلون پای ته ورسوي، نو د منلو ازموینې ته نوی جریان ته اړتیا ده. دا ځانګړتیا په تولید کې ګټوره او د بدلون په کړکۍ کې ګمراه کوونکې ده.

د نوي نښلون سره تایید کړئ

له ځایي کاروونکي څخه د خدمت پورټ ته نوې ناسته پرانیزئ، بیا له هغه کوربه چې باید رد شي تکرار یې کړئ. د جریان ازموینه د VM له خوا هم چلوئ، ترڅو پوه شئ چې د بیرته راستنیدو لار سمه ده.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

د NSG اجازه یوه د لاسرسي پریکړه ده، نه لار او نه اوریدونکی. که قاعده جریان ته اجازه ورکړي او نښلون بیا هم ناکام شي، مخکې له دې چې ډله بیا سمه کړئ د کاروونکي لار VPN ته، د Azure د بیرته راستنیدو لار او د کوربه فایر وال وګورئ. ریښتینې سرچینه پته، د NSG تړاوونه او سمون خوړونکې قاعده د تصویب شوي خدمت سره ثبت کړئ، ځکه چې راتلونکی همکاري یا د لار بدلون کیدای شي هغه څه بدل کړي چې د VirtualNetwork ټاګ یې پوښي.