Halka loo isticmaalo NSG ee taraafikada VPN goob-ilaa-goob ee Azure

Tunnel-ka goob-ilaa-goob wuu shaqaynayaa, macmiilka maxalliga ah wuxuu gaaraa qaar ka mid ah martigeliyayaasha Azure qaarna ma gaaro, oo qof ayaa koox ammaan shabakadeed ku dhejiyay GatewaySubnet si uu taas u hagaajiyo. Halkaas joog. Azure ma taageerto NSG ee GatewaySubnet, kooxduna ma arki karto xirmada gudaha sida xeerka culeyska shaqadu u arko. Dhig siyaasadda subnet-ka ama NIC-ga loo socdo, u dhig ciwaanka isha ee jira ka dib furfurista, kadibna ku xaqiiji isku-xidh cusub oo aan ahayn mid hore.

Dhig NSG meesha Azure ku qiimeeyo

Xadka la taageeray ee shaandhaynta culeyska shaqadu waa subnet-ka ama is-dhexgalka shabakada ee loo socdo. Subnet-ka iridda waa kaabayaal, oo Azure waxay diiwaangelisaa in NSG aysan halkaas lagu taageerin oo ay waxyeeleyn karaan shaqada iridda.

Waxaa kaloo jira dhibaato macquul ah oo ku saabsan meelaynta. NSG ee GatewaySubnet wuxuu qiimeyn lahaa is-weydaarsiga IPsec ee dibadda, oo ciwaannadiisa ay leeyihiin labada irid. Xeerka barnaamijkaaga wuxuu u baahan yahay isha gaarka ah ee gudaha tunnel-ka, xirmadaasna waxay jirtaa oo kaliya ka dib marka iriddu furfurto. Ku dheji kooxda subnet-ka culeyska shaqada oo xeerku wuxuu arki doonaa ciwaanka loo qoray.

Hubi isku-xidhka hadda jira ka hor intaadan wax beddelin, si aad u ogaato waxa aad dhaqaaqinayso:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Raadi ciwaanka isha ka dib furfurista

Isha gudaha waa ciwaanka gaarka ah ee macmiilka maxalliga ah, ama ciwaanka qalab ama NAT-ka VPN soo bandhigo ka dib tarjumaadda. Ma aha ciwaanka dadweynaha ee iridda VPN maxalliga ah, kaas oo ka tirsan is-weydaarsiga dibadda.

Marka NAT qayb ka mid ah naqshadda, xaqiiji isha la soo bandhigay halkii aad ka fikiri lahayd. Qabashada xirmooyinka VM-ka Azure, ama goobta isha ee diiwaanka isku-xidhka adeegga, ayaa su'aasha ka xalliya si ka dhaqso badan akhrinta qaabeynta maxalliga ah. Kadib qor xeerka ciwaankaas iyo dekedda loo socdo ee dhabta ah.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Isticmaal hal xeer adeeg kasta oo aad rabto inaad soo bandhigto, oo liiska dekedaha ka dhig mid gaaban. Xeerka u oggolaanaya dhammaan dekedaha inta ka mid ah xadka maxalliga ah wuxuu NSG ka dhigaa mid rasmi ah.

Hubi baaxadda caadiga ah ee VirtualNetwork

Astaanta adeegga VirtualNetwork way ka ballaaran tahay shabakadda dalwaddada maxalliga ah. Qeexitaankeedu waxa uu ka mid yahay meelaha ciwaanka maxalliga ah ee ku xiran, shabakadaha isku xiran iyo horgalayaasha kale ee iridda ku xiran. Sidaas darteed xeerka oggolaanshaha caadiga ah ee ku xaddidan VirtualNetwork wuxuu horey u oggolaan karaa taraafikada tunnel-ka oo hawlwadeenku u arkayay mid dibadda ah.

Akhri xeerarka caadiga ah ka hor intaadan ku darin kuwa cidhiidhi ah, oo akhri xeer kasta oo mudnaan sare leh oo ugu horreeya u dhigma. Ku darista oggolaansho cad ma tirtirto xeer ballaaran oo horey u oggolaaday qulqulka. Meesha siyaasaddu u baahan tahay diidmo, dhig mudnaan si dhab ah loo qiimeeyo ka hor oggolaanshaha.

Dukumeentiga astaamaha adeegga ee Microsoft wuxuu taxayaa waxa astaanta VirtualNetwork daboolto, waana tixraaca la xiro marka qof u doodo in astaantu macneheedu yahay oo kaliya baaxadda VNet.

Akhri xeerarka waxtarka leh labada xad

Marka NSG-ga subnet-ka iyo NSG-ga NIC-ga labaduba khuseeyaan, qulqulka waa in uu buuxiyaa labadaba. Oggolaansho mid ku jira ma buriso diidmo ku jirta kan kale, xirmaduna waxay dhab ahaan la kulantaa aragtida la isku daray.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Haddii xeerarka maamulka ammaanka ee Azure Virtual Network Manager ay ku jiraan, dib u eeg lakabkaas sidoo kale. Xeerka maamulka Always allow wuxuu gaarsiin karaa taraafikada iyada oo aan NSG la qiimeyn, halka Deny maamulku uu joojiyo ka hor inta NSG-yadu aysan arkin. Dib u eegis NSG oo keliya ayaa aan dhammaystirnayn habayntaas.

Xusuuso in NSG-yadu ay xaalad hayaan. Beddelidda xeer ma tilmaamayso inuu joojinayo isku-xidh horey loo oggolaaday, sidaas darteed tijaabada aqbalidda waxay u baahan tahay qulqul cusub. Sifadaas waa faa'iido leh wax-soo-saarka waxayna marin-habaabisaa inta lagu jiro daaqadda isbeddelka.

Ku xaqiiji isku-xidh cusub

Fur kalfadhi cusub oo ka socda macmiilka maxalliga ah ilaa dekedda adeegga, kadib ku celi martigeliyaha ku habboon in la diido. Socodsii tijaabada qulqulka dhanka VM-ka sidoo kale, si aad u ogaato in wadada soo noqodku ay tahay mid caafimaad qabta.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

Oggolaanshaha NSG waa hal go'aan gelitaan, ma aha waddo iyo ma aha dhageyste. Haddii xeerku oggolaado qulqulka oo isku-xidhku wali guul-darraysto, hubi wadada macmiilka ee VPN-ka, wadada soo noqodka Azure iyo dab-damiska martigeliyaha ka hor intaadan mar kale beddelin kooxda. Diiwaangeli ciwaanka isha dhabta ah, isku-xidhka NSG iyo xeerka u dhigma oo lasocda adeegga la ansixiyay, maxaa yeelay isbeddelka xiga ee peering ama wadada ayaa beddeli kara waxa astaanta VirtualNetwork daboolto.