ولې په Azure کې د VPN وسیلې VM د بیرته راستنیدو لار له لاسه ورکوي
په Azure VM کې د VPN وسیله اړتیا لري چې UDR، د شبکې کارت د لیږد بیرغ او د میلمه تګلاره سره سمون ولري۔ یوه څانګه غوښتنه د درېیو له لارې تعقیب کړئ۔
هغه Azure VM چې د VPN وسیله چلوې، د دوو خپلوواکمنو پرېکړې سیسټمونو دننه ده۔ Azure پرېکړه کوي چې یوه کڅوړه له کوم فرعي شبکې وځي، د لارښود جدولونو او د شبکې کارت د لیږد تنظیم په کارولو سره۔ د وسیلې خپل عملیاتي سیسټم پرېکړه کوي چې ایا هغه ډیکریپټ شوې کڅوړه نوره هم لیږدوي۔ هغه تونل چې بشپړ پورته شي بیا هم په دویم سیسټم کې ناکام کیدای شي، او هماغه ځای دی چې ډیری دا ډول ځای پرځای کول بندېږي۔
د یوې لارې درې مالکان
یوه څانګه شبکه واخلئ 192.168.50.0/24 او یوه کاري بار فرعي شبکه واخلئ 10.0.10.0/24، وسیله په دې پته ده 10.0.0.4 په خپله فرعي شبکه کې۔ یوه غوښتنه درې جلا ترتیباتو ته لاس ورکوي۔
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
په ډیرو سازمانونو کې هر قطار بیل ټیم لري، نو ځکه دا خرابي معمولا د یوې پرځای درې ټیکټونو په بڼه راځي۔
هغه لار چې وسیلې ته اشاره کوي
د کاري بار فرعي شبکې سره یو لارښود جدول ونښلوئ او د څانګې مختاړي ته د Virtual appliance ډول بله ټوپ ورکړئ 10.0.0.4 د پتې په توګه۔ د وسیلې د لاسرسي وړ شخصي پته وکاروئ، هیڅکله د هغې عامه VPN د ننوتلو نقطه۔ بله ټوپ باید هغه پته وي چې کاري بار فرعي شبکه دمخه ورته رسیدلی شي۔ د کاري بار پاتې لارښود پرېږدئ، پرته له دې چې په قصد سره مو د تلواليزې لارې بدلولو پرېکړه کړې وي۔
وسیله په خپله فرعي شبکه کې وساتئ او ډاډ ترلاسه کړئ چې د څانګې ترافیک وسیلې ته لیږدونکې لار د وسیلې خپله وتونکې لار هم نه نیسي۔ داسې کړۍ د صفر ځوابونو سره روغ تونل ښکاري، او د شپې په 2 بجو یې تصحیح کول ډیر ستونزه ده۔
هغه د شبکې کارت بیرغ چې هرڅوک یې هېروي
Azure د هرې شبکې کارت لپاره د IP د لیږد تنظیم لري، او په تلواليز ډول بند دی۔ دا ځکه شته چې لیږدونکی کارت هغه کڅوړې ترلاسه کوي چې بل څه ته استول شوې، او په غلې ډول یې غورځول د نورو ټولو لپاره خوندي تلوالیز دی۔
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true دا د یوې برخې لپاره فعالوي۔ د Microsoft لارښوونې د شبکې کارت د لیږد په اړه په هر نښلول شوي کارت دا تنظیم غواړي چې ترافیک لیږدوي، نو یوازې یو کارت لرونکې وسیله هم باید دا په هماغه کارت کې تنظیم کړي۔
بیرغ نه لار ده او نه د اور دېوال قاعده۔ فعالول یې یوازې اجازه ورکوي او نور هیڅ۔
میلمه د ډیکریپټ شوې کڅوړې سره څه کوي
کله چې تونل پای ومومي، د وسیلې خپل سټیک بله پرېکړه کوي۔ په Linux میلمه کې IPv4 لیږد د چلولو وخت تنظیم دی، او sysctl -w net.ipv4.ip_forward=1 تر بل بوت پورې دوام کوي۔ په بدل کې یې په یوه فایل کې /etc/sysctl.d/ وساتئ۔ د پلورونکي وسیله خپل معادل لري، او هغه Linux لارښوونې چې د پلورونکي پلیټ فارم کې نښلول شوې وي معمولا هیڅ نه کوي۔
د میلمه د اور دېوال تګلاره بیا جلا ده، او همدارنګه د کاري بار د شبکې امنیت ګروپ۔ VM عامه پتې ته د UDP 500 او 4500 اجازه تونل ساتي؛ خو دا نه وایي چې ایا ډیکریپټ شوې څانګه غوښتنه کولای شي د کاري بار یوې بندر ته ورسیږي۔
یوه غوښتنه او د هغې ځواب تعقیب کړئ
یو اجازه لرونکی بهیر وټاکئ او له سره تر پایه یې تعقیب کړئ۔ څانګې ته یوه لاره ورته اړتیا ده 10.0.10.0/24 د سایټ د اړیکې له لارې، وسیلې ته د کاري بار فرعي شبکې ته د رسولو لاره اړتیا ده، او کاري بار فرعي شبکې ته د څانګې په لور د بیرته راستنیدو لاره اړتیا ده۔
ژر پرېکړه وکړئ چې ډیزاین د څانګې د سرچینې پته ساتي که ژباړي یې۔ NAT هغه څه بدلوي چې کاري بار یې ویني، نو د هغې د لاسرسي قواعد باید هغه ماډل بیان کړي چې تاسو واقعا غوره کړی، نه اټکل شوې د دروازې پته۔
بریالۍ لاس ورکول د هغه زنځیر یوه کړۍ ثابتوي۔ لاره بشپړه ده کله چې ځواب د هماغې وسیلې له لارې بیرته راشي او د کاري بار خپله تګلاره اجازه ورکړي۔