Prečo virtuálny počítač Azure s VPN zariadením stráca spätnú cestu
VPN zariadenie vo virtuálnom počítači Azure potrebuje zhodu UDR, príznaku preposielania na sieťovej karte a politiky hosťa. Sledujte jednu požiadavku pobočky cez všetky tri.
Virtuálny počítač Azure s VPN zariadením sa nachádza v dvoch nezávislých rozhodovacích systémoch. Azure rozhoduje, kadiaľ paket opúšťa podsieť, pomocou smerovacích tabuliek a nastavenia preposielania na sieťovej karte. Vlastný operačný systém zariadenia rozhoduje, či prepošle dešifrovaný paket ďalej. Tunel, ktorý sa zdvihne bezchybne, môže v druhom systéme stále zlyhať, a práve tam sa zastaví väčšina takýchto nasadení.
Traja vlastníci jednej cesty
Vezmite pobočkovú sieť 192.168.50.0/24 a podsieť pracovného zaťaženia 10.0.10.0/24, pričom zariadenie je na 10.0.0.4 vo svojej vlastnej podsieti. Jedna požiadavka sa dotkne troch samostatných konfigurácií.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Každý riadok vo väčšine organizácií vlastní iný tím, a preto táto porucha zvyčajne prichádza ako tri tikety namiesto jedného.
Trasa, ktorá ukazuje na zariadenie
Priraďte smerovaciu tabuľku k podsieti pracovného zaťaženia a dajte pobočkovému prefixu nasledujúci skok typu Virtual appliance s 10.0.0.4 ako adresou. Použite dostupnú privátnu adresu zariadenia, nikdy jeho verejný vstupný bod VPN. Nasledujúci skok musí byť adresa, ktorú podsieť pracovného zaťaženia už dokáže dosiahnuť. Zvyšok smerovania pracovného zaťaženia nechajte tak, ak ste sa vedome nerozhodli nahradiť predvolenú trasu.
Držte zariadenie vo vlastnej podsieti a uistite sa, že trasa, ktorá posiela pobočkovú prevádzku na zariadenie, nezachytí aj vlastnú odchádzajúcu cestu zariadenia. Taká slučka vyzerá ako zdravý tunel s nulou odpovedí, a to je veľmi nepríjemná vec na ladenie o 2 hodine ráno.
Príznak sieťovej karty, na ktorý všetci zabúdajú
Azure má nastavenie preposielania IP pre každú sieťovú kartu a je predvolene vypnuté. Existuje preto, že preposielajúca karta prijíma pakety adresované niečomu inému, a ich tiché zahodenie je bezpečný predvolený stav pre všetkých ostatných.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true ho zapne pre jedno rozhranie. Pokyny Microsoftu k preposielaniu na sieťovej karte vyžadujú toto nastavenie na každej pripojenej karte, ktorá preposiela prevádzku, takže zariadenie s jednou kartou ho stále potrebuje mať nastavené na tej karte.
Príznak nie je trasa ani pravidlo firewallu. Zapnutie dáva povolenie a nič viac.
Čo hosť urobí s dešifrovaným paketom
Keď sa tunel skončí, vlastný zásobník zariadenia urobí ďalšie rozhodnutie. Na hostiteľovi Linux je preposielanie IPv4 nastavením za behu, a sysctl -w net.ipv4.ip_forward=1 vydrží do ďalšieho spustenia. Uložte ho natrvalo do súboru v /etc/sysctl.d/ adresári. Zariadenie od výrobcu má vlastný ekvivalent a linuxové inštrukcie vložené do platformy výrobcu zvyčajne nerobia vôbec nič.
Politika firewallu hosťa je opäť samostatná, rovnako ako sieťová bezpečnostná skupina pracovného zaťaženia. Povolenie UDP 500 a 4500 na verejnú adresu virtuálneho počítača chráni tunel; nehovorí nič o tom, či sa dešifrovaná pobočková požiadavka môže dostať na port pracovného zaťaženia.
Sledujte jednu požiadavku a jej odpoveď
Vyberte jeden povolený tok a sledujte ho od začiatku do konca. Pobočka potrebuje trasu pre 10.0.10.0/24 cez pripojenie k lokalite, zariadenie potrebuje cestu doručenia do podsiete pracovného zaťaženia a podsieť pracovného zaťaženia potrebuje spätnú trasu k pobočke.
Rozhodnite sa skoro, či návrh zachováva zdrojovú adresu pobočky, alebo ju prekladá. NAT mení to, čo pracovné zaťaženie vidí, takže jeho pravidlá prístupu by mali opisovať model, ktorý ste skutočne zvolili, a nie odhadovanú adresu brány.
Úspešné podanie ruky dokazuje jeden článok tej reťaze. Cesta je úplná, keď sa odpoveď vráti cez to isté zariadenie a vlastná politika pracovného zaťaženia to dovolí.