Zakaj navidezni stroj Azure z napravo VPN izgubi povratno pot
Naprava VPN v navideznem stroju Azure potrebuje usklajene UDR, zastavico posredovanja na omrežni kartici in politiko gosta. Sledite eni zahtevi podružnice skozi vse tri.
Navidezni stroj Azure, ki izvaja napravo VPN, stoji v dveh neodvisnih sistemih odločanja. Azure odloča, kje paket zapusti podomrežje, s pomočjo usmerjevalnih tabel in nastavitve posredovanja na omrežni kartici. Lastni operacijski sistem naprave odloča, ali bo posredoval dešifriran paket naprej. Tunel, ki se dvigne brezhibno, lahko še vedno odpove v drugem sistemu, in prav tam se ustavi večina tovrstnih postavitev.
Trije lastniki ene poti
Vzemite omrežje podružnice 192.168.50.0/24 in podomrežje delovne obremenitve 10.0.10.0/24, pri čemer je naprava na 10.0.0.4 v svojem podomrežju. Ena zahteva se dotakne treh ločenih konfiguracij.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Vsako vrstico v večini organizacij upravlja druga ekipa, zato ta okvara običajno prispe kot tri zahtevki namesto enega.
Pot, ki kaže na napravo
Povežite usmerjevalno tabelo s podomrežjem delovne obremenitve in predponi podružnice dodelite naslednji skok vrste Virtual appliance z 10.0.0.4 kot naslovom. Uporabite dosegljiv zasebni naslov naprave, nikoli njene javne vstopne točke VPN. Naslednji skok mora biti naslov, ki ga podomrežje delovne obremenitve že lahko doseže. Preostanek usmerjanja delovne obremenitve pustite pri miru, razen če ste se zavestno odločili zamenjati privzeto pot.
Napravo držite v njenem lastnem podomrežju in poskrbite, da pot, ki pošilja promet podružnice na napravo, ne ujame tudi lastne izhodne poti naprave. Takšna zanka je videti kot zdrav tunel brez odgovorov, in to je zelo neprijetno razhroščevati ob 2 uri zjutraj.
Zastavica omrežne kartice, ki jo vsi pozabijo
Azure ima nastavitev posredovanja IP za vsako omrežno kartico in ta je privzeto izklopljena. Obstaja zato, ker posredovalna kartica prejme pakete, naslovljene na nekaj drugega, in njihovo tiho zavrženje je varna privzeta vrednost za vse ostale.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true jo vklopi za en vmesnik. Microsoftova navodila za posredovanje na omrežni kartici zahtevajo nastavitev na vsaki povezani kartici, ki posreduje promet, zato naprava z eno kartico to še vedno potrebuje na tej kartici.
Zastavica ni pot in ni pravilo požarnega zidu. Njena vključitev daje dovoljenje in nič drugega.
Kaj gost stori z dešifriranim paketom
Ko se tunel konča, lastni sklad naprave sprejme naslednjo odločitev. Na gostu Linux je posredovanje IPv4 nastavitev med izvajanjem in sysctl -w net.ipv4.ip_forward=1 velja do naslednjega zagona. Namesto tega jo shranite v datoteko v /etc/sysctl.d/ imeniku. Naprava proizvajalca ima svoj ekvivalent in navodila za Linux, prilepljena v platformo proizvajalca, običajno ne naredijo čisto nič.
Politika požarnega zidu gosta je spet ločena, prav tako varnostna skupina omrežja delovne obremenitve. Dovoljenje UDP 500 in 4500 na javni naslov navideznega stroja ščiti tunel; ne pove ničesar o tem, ali lahko dešifrirana zahteva podružnice doseže vrata delovne obremenitve.
Sledite eni zahtevi in njenemu odgovoru
Izberite en dovoljen tok in mu sledite od začetka do konca. Podružnica potrebuje pot za 10.0.10.0/24 prek povezave do lokacije, naprava potrebuje dostavno pot do podomrežja delovne obremenitve, podomrežje delovne obremenitve pa potrebuje povratno pot proti podružnici.
Zgodaj se odločite, ali zasnova ohrani izvorni naslov podružnice ali ga prevede. NAT spremeni, kar delovna obremenitev vidi, zato bi morala njena pravila dostopa opisovati model, ki ste ga dejansko izbrali, in ne domnevnega naslova prehoda.
Uspešen rokovanje dokaže en člen te verige. Pot je popolna, ko se odgovor vrne skozi isto napravo in lastna politika delovne obremenitve to dovoli.