Dvije javne IP adrese na jednom Azure VPN VM: koja šta radi

Dvije javne IP adrese na jednom Azure VPN VM stvaraju očekivanje koje se retko ostvari: adresa na koju se klijenti spajaju biće i adresa koju vide web stranice. Tri nezavisne odluke daju taj ishod, a samo se prva tiče slušača tunela. Druga je izvor u gostu koji se koristi za prosleđeni klijentski saobraćaj, a treća je Azure metoda izlaznog saobraćaja koja se primenjuje na taj izvor. Promenite jednu i druge dve ostaju gde su bile, zato svaku odlučite izričito.

Odluka 1: gde tunel završava

Javna IP adresa u Azureu povezana je sa konfiguracijom privatne IP adrese na NIC-u; to nije adresa koju dodajete unutar gostujućeg operativnog sistema. Pročitajte mapiranje umesto da ga pretpostavljate: az network nic show --ids /subscriptions/.../networkInterfaces/vpn-nic --query 'ipConfigurations[].{private:privateIPAddress,public:publicIPAddress.id}'. Koju god privatnu adresu da vrati taj upit, upravo je ona koju gost mora stvarno imati.

Jedan NIC može nositi nekoliko IP konfiguracija, pa dve javne adrese ne zahtevaju dva NIC-a. Ako dizajn ipak koristi dva NIC-a, svaki donosi sopstvene rute u gostu i sledeće hopove, a vi ste dodali odluku o rutiranju umesto da ste je pojednostavili.

Za servis sa izričitim lokalnim vezivanjem vežite se na stvarnu privatnu adresu gosta, nikada na javni rezervisani prikaz. Slušač koji prihvata sve adrese prima saobraćaj kroz svaku IP konfiguraciju koja do njega dođe, zato ograničite ulaz mrežnom sigurnosnom grupom i host firewallom, umesto da se nadate da će redosled vezivanja odlučiti.

Odluka 2: koji izvor koristi prosleđeni klijent

Nakon što gateway dešifruje klijentski zahtev, paket koji prosleđuje razlikuje se od paketa koji je stigao na VPN slušač. Gostu treba omogućeno prosleđivanje, firewall pravilo koje dopušta tok i izvorna adresa koju dizajn oblaka dopušta. Ako prevedete unutrašnju klijentsku adresu, Azure će vrednovati upravo taj prevedeni izvor, a ne unutrašnju adresu klijenta.

Usko SNAT pravilo može odabrati privatni izvor u gostu, ali ne može nadjačati nizvodno Azure prevođenje. Odaberite SNAT kada vam treba odgovornost po klijentu unutar VM-a; preskočite ga kada izlazni dizajn podmreže već daje stabilan javni izvor i drugo prevođenje bi samo dodalo stanje.

Odluka 3: koja Azure metoda izlaznog saobraćaja pobeđuje

Microsoft dokumentujeredosled prioriteta izlaznog saobraćaja: primenjiva ruta prema uređaju ili gatewayu ima prioritet, a povezanost podmreže preko NAT Gatewaya ima prioritet nad javnom IP adresom na nivou instance na relevantnoj putanji. Zbog tog redosleda prevođenje na 10.20.0.5 ne dokazuje da će web stranica videti 198.51.100.20. Pročitajte efektivnu tabelu ruta, povezanost sa NAT Gatewayom i javnu IP adresu NIC-a zajedno pre nego što prihvatite dizajn izlaza.

Držitepostavku prosleđivanja Azure NIC-aodvojeno od Linux prosleđivanja. Zastavica u oblaku dopušta pakete čiji izvor ili odredište nije dodeljen NIC-u; ona ne omogućuje net.ipv4.ip_forward, a postavka u gostu ne daje dopuštenje oblaka.

Tunelski socket ima sopstvenu odluku o izvoru

Address u WireGuardu pod wg-quick dodeljuje adresu WireGuard interfejsu; to nije uputstvo za spoljno UDP vezivanje. Izvor šifrovanog socketa sledi tabelu ruta, pa ga politička ruta ili druga podrazumevana ruta može pomeriti bez diranja adrese interfejsa.OpenVPN: opcija local i UDP multihome ponašaju se isto: tiču se slušača i njegovih odgovora, a ne internet izvora svakog prosleđenog klijenta.

Sačuvajte rutu donjeg sloja koja nosi tunel i potvrdite da klijent i dalje prima autentifikovane odgovore iz očekivanog rasporeda ulaza. Ne oslanjajte se na redosled liste adresa kao trajnu politiku izbora izvora, jer sledeća adresa dodata NIC-u može promeniti koja pobeđuje.

Šta prihvatiti i kojim redom

Prihvatite tri rezultata odvojeno. Prvo, spoljni klijent dosegne predviđeni VPN ulaz. Drugo, novi dopušteni zahtev tog VPN klijenta izađe kroz dokumentovani internet izlaz. Treće, neželjeni putevi slušača i prosleđivanja ostaju odbijeni. Zabeležite mapiranja javne u privatnu adresu i vlasnike svake odluke na strani gosta i oblaka na istom mestu.

Uspešan tunel dokazuje samo prvi deo. Testirajte izlaz novim tokom, jer keširana veza može nastaviti da koristi stari izvor dugo nakon promene rute.