Dva javna IP naslova na enem Azure VPN VM: kateri kaj počne

Dva javna IP naslova na enem Azure VPN VM ustvarita pričakovanje, ki se redko uresniči: naslov, na katerega se povezujejo odjemalci, bo tudi naslov, ki ga vidijo spletna mesta. Ta rezultat prinesejo tri neodvisne odločitve in samo prva se nanaša na poslušalca tunela. Druga je vir v gostu, ki se uporablja za posredovani odjemalčev promet, tretja pa je metoda izstopa v Azure, ki velja za ta vir. Spremenite eno in drugi dve ostaneta tam, kjer sta bili, zato vsako odločite izrecno.

Odločitev 1: kje se tunel konča

Javni IP v Azure je povezan s konfiguracijo zasebnega IP na NIC; to ni naslov, ki ga dodate znotraj gostujočega operacijskega sistema. Preberite preslikavo, namesto da bi jo predpostavili: az network nic show --ids /subscriptions/.../networkInterfaces/vpn-nic --query 'ipConfigurations[].{private:privateIPAddress,public:publicIPAddress.id}'. Kateri koli zasebni naslov vrne ta poizvedba, prav tega mora gost dejansko imeti.

Ena NIC lahko nosi več konfiguracij IP, zato dva javna naslova ne zahtevata dveh NIC. Če zasnova vseeno uporablja dve NIC, vsaka prinese svoje poti v gostu in naslednje skoke, vi pa ste dodali odločitev o usmerjanju, namesto da bi jo poenostavili.

Za storitev z izrecno lokalno vezavo se vežite na resnični zasebni naslov gosta, nikoli na javni nadomestni znak. Poslušalec, ki sprejme vse naslove, prejema promet skozi vsako konfiguracijo IP, ki ga doseže, zato omejite vstop z varnostno skupino omrežja in požarnim zidom gostitelja, namesto da bi upali, da bo odločil vrstni red vezave.

Odločitev 2: kateri vir uporablja posredovani odjemalec

Ko prehod dešifrira odjemalčevo zahtevo, je paket, ki ga posreduje, drugačen od paketa, ki je prispel do poslušalca VPN. Gost potrebuje omogočeno posredovanje, požarno politiko, ki dovoli tok, in izvorni naslov, ki ga zasnova oblaka dovoli. Če prevedete notranji naslov odjemalca, bo Azure ocenil prav ta prevedeni vir, ne notranjega naslova odjemalca.

Ozko pravilo SNAT lahko izbere zasebni vir gosta, ne more pa prevladati nad poznejšim prevodom v Azure. Izberite SNAT, ko potrebujete odgovornost za vsakega odjemalca znotraj VM; izpustite ga, ko izstopna zasnova podomrežja že zagotavlja stabilen javni vir in bi drugi prevod dodal le stanje.

Odločitev 3: katera metoda izstopa v Azure zmaga

Microsoft dokumentiravrstni red prednosti izstopa: veljavna pot do naprave ali prehoda ima prednost, povezljivost podomrežja prek NAT Gateway pa ima prednost pred javnim IP na ravni instance na ustrezni poti. Zaradi tega vrstnega reda prevod v 10.20.0.5 ne dokazuje, da bo spletno mesto videlo 198.51.100.20. Preberite veljavno usmerjevalno tabelo, povezavo z NAT Gateway in javni IP NIC skupaj, preden sprejmete izstopno zasnovo.

Držitenastavitev posredovanja Azure NICločeno od posredovanja v Linuxu. Zastavica v oblaku dovoli pakete, katerih vir ali cilj ni dodeljen NIC; ne vklopi net.ipv4.ip_forward in nastavitev v gostu ne daje dovoljenja oblaka.

Vtičnica tunela ima svojo odločitev o viru

Address v WireGuardu pod wg-quick dodeli naslov vmesniku WireGuard; to ni navodilo za zunanjo vezavo UDP. Vir šifrirane vtičnice sledi usmerjevalni tabeli, zato jo lahko politična pot ali druga privzeta pot premakne, ne da bi se dotaknila naslova vmesnika.OpenVPN: možnost local in UDP multihome se obnašata enako: nanašata se na poslušalca in njegove odgovore, ne na internetni vir vsakega posredovanega odjemalca.

Ohranite pot spodnjega sloja, ki nosi tunel, in potrdite, da odjemalec še vedno prejema overjene odgovore iz pričakovane postavitve vstopa. Ne zanašajte se na vrstni red seznama naslovov kot trajno politiko izbire vira, ker lahko naslednji naslov, dodan NIC, spremeni, kateri zmaga.

Kaj sprejeti in v kakšnem vrstnem redu

Sprejmite tri rezultate ločeno. Prvič, zunanji odjemalec doseže predvideni vstop VPN. Drugič, nova dovoljena zahteva tega odjemalca VPN odide skozi dokumentirani internetni izstop. Tretjič, neželene poti poslušalca in posredovanja ostanejo zavrnjene. Zapišite preslikave javnega v zasebni naslov in odgovorne za vsako odločitev na strani gosta in oblaka na istem mestu.

Uspešen tunel dokaže le prvi del. Preizkusite izstop z novim tokom, ker lahko predpomnjena povezava še dolgo po spremembi poti uporablja stari vir.