Kje uporabiti NSG za promet VPN med mestoma v Azure

Tunel med mestoma je vzpostavljen, lokalni odjemalec doseže nekatere gostitelje Azure, drugih pa ne, in nekdo je zato na GatewaySubnet pripel skupino za varnost omrežja. Ustavite se tam. Azure ne podpira NSG na GatewaySubnet, skupina pa notranjega paketa ne vidi tako kot pravilo delovne obremenitve. Pravilo postavite v ciljno podomrežje ali NIC, uskladite izvorni naslov, ki obstaja po dešifriranju, in nato preverite z novo povezavo, ne s staro.

NSG postavite tja, kjer ga Azure ocenjuje

Podprta meja za filtriranje delovne obremenitve je ciljno podomrežje ali ciljni omrežni vmesnik. Podomrežje prehoda je infrastruktura in Azure dokumentira, da NSG tam niso podprti in lahko poslabšajo delovanje prehoda.

Tudi pri postavitvi je logična težava. NSG na GatewaySubnet bi ocenjeval zunanjo izmenjavo IPsec, katere naslovi pripadajo obema prehodoma. Pravilo aplikacije potrebuje zasebni vir znotraj tunela, ta paket pa obstaja šele po tem, ko ga prehod dešifrira. Skupino pripnite na podomrežje delovne obremenitve in pravilo bo videlo naslov, za katerega je bilo napisano.

Pred kakršno koli spremembo preverite trenutne povezave, da veste, kaj premikate:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Poiščite izvorni naslov po dešifriranju

Notranji vir je zasebni naslov lokalnega odjemalca ali naslov, ki ga naprava ali NAT VPN predstavi po prevodu. To ni javni naslov lokalnega prehoda VPN, ki pripada zunanji izmenjavi.

Ko je NAT del zasnove, potrdite predstavljeni vir, namesto da ga predvidevate. Zajem paketov na VM Azure ali polje vira v dnevniku povezav storitve razreši vprašanje hitreje kot branje lokalne konfiguracije. Nato napišite pravilo za ta naslov in dejanska ciljna vrata.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Uporabite eno pravilo na storitev, ki jo želite izpostaviti, in seznam vrat naj bo kratek. Pravilo, ki dovoljuje vsa vrata iz lokalnega obsega, spremeni NSG v formalnost.

Preverite privzeti obseg VirtualNetwork

Oznaka storitve VirtualNetwork je širša od lokalnega navideznega omrežja. Njena opredelitev vključuje povezane lokalne naslovne prostore, omrežja s peeringom in druge predpone, povezane s prehodom. Zato lahko privzeto pravilo dovoljenja, omejeno na VirtualNetwork, že dovoljuje promet tunela, ki ga je upravljavec imel za zunanjega.

Preberite privzeta pravila, preden dodate ozka, in preberite vsako pravilo z višjo prioriteto, ki bi se lahko ujemalo prvo. Dodajanje izrecnega dovoljenja ne odstrani širšega pravila, ki tok že dovoljuje. Kjer politika zahteva zavrnitev, jo postavite na prioriteto, ki se resnično ocenjuje pred dovoljenjem.

Microsoftova dokumentacija o oznakah storitev navaja, kaj oznaka VirtualNetwork pokriva, in to je referenca, ki jo navedete, ko nekdo trdi, da oznaka pomeni le obseg VNet.

Preberite veljavna pravila na obeh mejah

Ko veljata NSG podomrežja in NSG vmesnika NIC, mora tok zadostiti obema. Dovoljenje v enem ne razveljavi zavrnitve v drugem, in paket v resnici sreča združen pogled.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Če veljajo varnostna skrbniška pravila Azure Virtual Network Manager, pregledejte tudi to plast. Skrbniško pravilo Always allow lahko dostavi promet brez ocene NSG, medtem ko ga skrbniško Deny ustavi, preden ga NSG vidijo. Pregled samo NSG je za takšno ureditev nepopoln.

Ne pozabite, da so NSG stanjevni. Urejanje pravila ne konča nujno obstoječe dovoljene povezave, zato sprejemni preskus potrebuje nov tok. Ta lastnost je koristna v produkciji in zavajajoča v oknu sprememb.

Preverite z novo povezavo

Odprite novo sejo z lokalnega odjemalca na vrata storitve, nato to ponovite z gostitelja, ki mu je treba zavrniti dostop. Preizkus toka zaženite tudi z strani VM, da boste vedeli, da je povratna pot nedotaknjena.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

Dovoljenje NSG je ena odločitev o dostopu, ne pot in ne poslušalec. Če pravilo tok dovoli in povezava še vedno ne uspe, preverite pot odjemalca v VPN, povratno pot Azure in požarni zid gostitelja, preden skupino znova uredite. Zabeležite dejanski izvorni naslov, povezave NSG in ustrezno pravilo skupaj z odobreno storitvijo, ker lahko naslednja sprememba peeringa ali poti spremeni, kaj oznaka VirtualNetwork pokriva.