Azure අඩවියේ සිට අඩවියට VPN රහස් ගමන් සඳහා NSG යෙදිය යුත්තේ කොහේද

අඩවියේ සිට අඩවියට උමඟ ක්‍රියාත්මකයි, දේශීය සේවාලාභියා සමහර Azure සත්කාරක වෙත ළඟා වන අතර තවත් සමහරකට නොවේ, එය නිවැරදි කිරීමට කෙනෙකු GatewaySubnet වෙත ජාල ආරක්ෂණ කණ්ඩායමක් අමුණා ඇත. එතැන නවතින්න. Azure GatewaySubnet මත NSG සඳහා සහාය නොදක්වයි, සහ කණ්ඩායමට වැඩබර නීතියක් මෙන් අභ්‍යන්තර පැකට්ටුව දැකිය නොහැක. ප්‍රතිපත්තිය ගමනාන්ත උපජාලය හෝ NIC මත තබන්න, විග්‍රහ කිරීමෙන් පසු පවතින මූලාශ්‍ර ලිපිනය ගලපන්න, පසුව පැරණි සම්බන්ධතාවයක් නොව නව සම්බන්ධතාවයකින් තහවුරු කරන්න.

Azure එය ඇගයන තැන NSG තබන්න

වැඩබර පෙරහන සඳහා සහාය දක්වන මායිම ගමනාන්ත උපජාලය හෝ ගමනාන්ත ජාල අතුරුමුහුණතයි. ද්වාර උපජාලය යටිතල පහසුකමකි, සහ එහි NSG සහාය නොදක්වන අතර ද්වාරයේ ක්‍රියාකාරිත්වයට හානි කළ හැකි බව Azure ලේඛනගත කරයි.

ස්ථානගත කිරීමේ තාර්කික ගැටලුවක් ද ඇත. GatewaySubnet මත NSG බාහිර IPsec හුවමාරුව ඇගයනු ඇත, එහි ලිපින දෙකොන ද්වාර දෙකට අයත් වේ. ඔබේ යෙදුම් නීතියට උමඟ තුළ ඇති පෞද්ගලික මූලාශ්‍රය අවශ්‍ය වන අතර, එම පැකට්ටුව ද්වාරය විග්‍රහ කිරීමෙන් පසුව පමණක් පවතී. කණ්ඩායම වැඩබර උපජාලයට අමුණන්න, නීතිය එය සඳහා ලියූ ලිපිනය දකිනු ඇත.

කිසිවක් වෙනස් කිරීමට පෙර වත්මන් සම්බන්ධතා පරීක්ෂා කරන්න, ඔබ ගෙනයන්නේ කුමක්දැයි දැන ගැනීමට:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

විග්‍රහයෙන් පසු මූලාශ්‍ර ලිපිනය සොයන්න

අභ්‍යන්තර මූලාශ්‍රය දේශීය සේවාලාභියාගේ පෞද්ගලික ලිපිනය, හෝ උපකරණයක් හෝ VPN NAT පරිවර්තනයෙන් පසු ඉදිරිපත් කරන ලිපිනයයි. එය දේශීය VPN ද්වාරයේ පොදු ලිපිනය නොවේ, එය බාහිර හුවමාරුවට අයත් වේ.

NAT සැලසුමේ කොටසක් වන විට, උපකල්පනය නොකර ඉදිරිපත් කළ මූලාශ්‍රය තහවුරු කරන්න. Azure VM මත පැකට්ටු ග්‍රහණය, හෝ සේවාවේ සම්බන්ධතා ලොගයේ මූලාශ්‍ර ක්ෂේත්‍රය, දේශීය වින්‍යාසය කියවීමට වඩා ඉක්මනින් ප්‍රශ්නය විසඳයි. පසුව එම ලිපිනය සහ සැබෑ ගමනාන්ත වරාය සඳහා නීතිය ලියන්න.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

ඔබ නිරාවරණය කිරීමට බලාපොරොත්තු වන සෑම සේවාවකටම එක් නීතියක් භාවිත කරන්න, සහ වරාය ලැයිස්තුව කෙටිව තබන්න. දේශීය පරාසයෙන් සියලු වරායයන්ට අවසර දෙන නීතියක් NSG එක විධිමත් කිරීමක් බවට පත් කරයි.

පෙරනිමි VirtualNetwork විෂය පථය පරීක්ෂා කරන්න

VirtualNetwork සේවා ටැගය දේශීය අතථ්‍ය ජාලයට වඩා පුළුල්ය. එහි නිර්වචනයට සම්බන්ධිත දේශීය ලිපින අවකාශ, සමතුල්‍ය ජාල සහ ද්වාරය හරහා සම්බන්ධිත වෙනත් උපසර්ග ඇතුළත් වේ. එනිසා VirtualNetwork වෙත සීමා වූ පෙරනිමි අවසර නීතියක් ක්‍රියාකරු බාහිර යැයි සිතූ උමඟ රහස් ගමන් සඳහා දැනටමත් අවසර දිය හැක.

පටු නීති එකතු කිරීමට පෙර පෙරනිමි නීති කියවන්න, සහ පළමුව ගැලපිය හැකි සෑම ඉහළ ප්‍රමුඛතා නීතියක්ම කියවන්න. පැහැදිලි අවසරයක් එකතු කිරීමෙන් දැනටමත් ගැලීමට අවසර දෙන පුළුල් නීතියක් ඉවත් නොවේ. ප්‍රතිපත්තිය ප්‍රතික්ෂේපයක් අවශ්‍ය වන තැන, අවසරයට පෙර සැබවින්ම ඇගයෙන ප්‍රමුඛතාවක එය තබන්න.

Microsoft හි සේවා ටැග් ලේඛනය VirtualNetwork ටැගය කුමක් ආවරණය කරයිද යන්න ලැයිස්තුගත කරයි, ටැගය අදහස් කරන්නේ VNet පරාසය පමණක් යැයි යමෙකු තර්ක කරන විට උපුටා දැක්විය යුතු සඳහන එයයි.

දෙකොන මායිම්වල ඵලදායී නීති කියවන්න

උපජාල NSG සහ NIC NSG දෙකම අදාළ වන විට, ගැලීම දෙකම තෘප්තිමත් කළ යුතුය. එකක අවසරයක් අනෙකෙහි ප්‍රතික්ෂේපයක් අවලංගු නොකරයි, සහ පැකට්ටුව සැබවින්ම මුණගැසෙන්නේ එකතු කළ දර්ශනයයි.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Azure Virtual Network Manager හි ආරක්ෂණ පරිපාලක නීති ක්‍රියාත්මක නම්, එම ස්තරය ද සමාලෝචනය කරන්න. පරිපාලක Always allow නීතියකට NSG ඇගැයීමකින් තොරව රහස් ගමන් ලබා දිය හැක, පරිපාලක Deny එකක් NSG දකින පෙර එය නවත්වයි. එවැනි සැකැස්මකට NSG පමණක් සමාලෝචනය කිරීම අසම්පූර්ණය.

NSG තත්ත්වය රඳවා ගන්නා බව මතක තබා ගන්න. නීතියක් සංස්කරණය කිරීමෙන් පවතින අවසර ලත් සම්බන්ධතාවය අවසන් විය යුතු නැත, එබැවින් පිළිගැනීමේ පරීක්ෂණයට නව ගැලීමක් අවශ්‍ය වේ. මෙම ගුණාංගය නිෂ්පාදනයේ ප්‍රයෝජනවත් වන අතර වෙනස්කම් කවුළුවක් තුළ නොමඟ යවයි.

නව සම්බන්ධතාවයකින් තහවුරු කරන්න

දේශීය සේවාලාභියාගේ සිට සේවා වරායට නව සැසියක් විවෘත කරන්න, පසුව ප්‍රතික්ෂේප කළ යුතු සත්කාරකයකින් නැවත කරන්න. VM පැත්තෙන් ද ගැලීම් පරීක්ෂණය ධාවනය කරන්න, ආපසු මාර්ගය නිරුපද්‍රිත බව දැන ගැනීමට.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

NSG අවසරය එක් ප්‍රවේශ තීරණයකි, මාර්ගයක් නොවේ සහ ශ්‍රාවකයෙක් නොවේ. නීතිය ගැලීමට අවසර දුන්නද සම්බන්ධතාවය තවමත් අසාර්ථක නම්, කණ්ඩායම නැවත සංස්කරණය කිරීමට පෙර සේවාලාභියාගේ VPN මාර්ගය, Azure හි ආපසු මාර්ගය සහ සත්කාරක ගිනිපවුර පරීක්ෂා කරන්න. සැබෑ මූලාශ්‍ර ලිපිනය, NSG සම්බන්ධතා සහ ගැලපෙන නීතිය අනුමත සේවාව සමඟ සටහන් කරන්න, මන්ද ඊළඟ සමතුල්‍යතාව හෝ මාර්ග වෙනස්කම VirtualNetwork ටැගය ආවරණය කරන දේ වෙනස් කළ හැක.