VM-ka Azure ma gaadho IMDS ama WireServer ka dib marka VPN-du bilaabo

VM-ku wuu shaqaynayaa, macmiilka VPN wuxuu sheegayaa inuu ku xiran yahay, dhowr daqiiqo ka dib wakiilka Azure wuxuu bilaabaa inuu soo sheego xaalad aan caafimaad qabin. Mararka qaar SSH wuu sii noolaadaa laakiin Run Command-ka portal-ka ma sii noolaado, taas oo dadka u horseedda wakiilka halkii ay ka eegi lahaayeen shaxda waddooyinka. Go'aannada gudbinta martida lafteeda ayaa is beddelay markii tunnel-ku kor u kacay, laba cinwaan oo platform-ka ahna badanaa waa dhibbanayaasha ugu horreeya. Waxaan u arkaa calaamad waddo-maris ah ka hor intaanan u arkin cilad wakiil.

Calaamaddu waxay u egtahay wakiil jabay

Labada cinwaan ee hoose waxaa loo soo jeediyaa xal, mana aha isla adeeg. Koobinta /32 mid ka mid ah sababtoo ah waxay u shaqeysay tan kale waa sida ay xal ku meel gaar ah u noqoto habayn joogto ah oo aan qofna ku dhici karin inuu tirtiro.

Nidaamka shaqeeya waa in marka hore la xaqiijiyo cinwaanka ay wicitaanka guuldarraysatay run ahaantii bartilmaameedsanayso, ka dibna la akhriyo sida martidu u xalliso. Wax kasta oo kale waa qiyaas tallaabooyin dheeraad ah iyo daaqad isbeddel oo dheer.

168.63.129.16 ma aha meel dadweyne

168.63.129.16 waa cinwaanka platform-ka virtual-ka ee gaarka ah ee Azure, mid ka mid ah doorkiisuna waa WireServer, oo wakiilka VM u isticmaalo inuu kala hadlo fabric-ka. Microsoft waxay diiwaangelisay in taraafikada wakiilka ee port-yada TCP 80 iyo 32526 ay tahay inay sii ahaato mid la heli karo. Ma aha martigeliyaha internet-ka caadiga ah, mana aha wax VPN tunnel buuxa ay tahay inuu u qaado meel fog. Taasi waa sababta tunnel-ka u eg waar ah weli uu gaajaysan karo wakiilka.

Dukumeentiga cinwaanka platform-ka waxay kaloo sheegaysaa in cinwaankani aanu hoos imanayn waddooyinka isticmaaluhu qeexay, taas oo ah sifo fabric-ka Azure ee aan ahayn ballan ku saabsan martidaada. Xeer firewall maxalli ah ama siyaasadda waddo-mariska macmiilka VPN laftiisu weli way jabin karaan waddada, mana jiro midkoodna shaxda waddooyinka VNet-ka.

Haddii wakiilka uu soo sheegayo dhibaatada, hubi xaaladda adeegga iyo waddada cinwaankaas ka hor intaadan wax dib u rakibin.

169.254.169.254 wuxuu leeyahay xeerar u gaar ah

169.254.169.254 waa cinwaanka link-local ee Azure Instance Metadata Service. Codsiyada loo diro waxay leeyihiin shuruudo u gaar ah: NIC-ga aasaasiga ah iyo IP-ga aasaasiga ah, habaynta DHCP ee taageerta cinwaanka, iyo dhaafista proxy kasta oo HTTP ah. In lagu diro meel fog oo VPN ah ama gateway internet aan loo baahnayn ma aha qaabka gelitaanka ee Microsoft qeexayso.

Qodobkaas proxy-ga wuxuu qabtaa dadka hagaajiyay waddada oo weli arka guuldarrooyin. Proxy HTTP oo ku jira martida ayaa jebin kara IMDS halka ip route get uu soo celiyo isla interface-ka aad filayso, markaa hubi ka-reebista proxy-ga iyo sidoo kale waddooyinka.

Ha ku dhejin jawaabaha metadata tikitka taageerada intaad tan cilad-saarayso. Waxay qaadi karaan aqoonsi iyo faahfaahin instance oo ka sii noolaada dhacdada.

Akhri waddo-mariska siyaasadda martida, ma aha oo kaliya shaxda weyn

Martida Linux, saddex amar oo akhris-kaliya ah ayaa kala sooca lakabyada: ip -4 rule show xeerarka siyaasadda, ka dib ip -4 route get 168.63.129.16 iyo ip -4 route get 169.254.169.254 go'aannada kernel-ku run ahaantii gaaro. Ku socodsii ka hor iyo ka dib marka VPN-ku xirmo. Farqiga u dhexeeya labadaas soo-saar waa qaybtaada isbeddelka, waana mid faa'iido badan marka loo eego qiyaas kasta oo ku saabsan waxa macmiilku sameeyay.

Macmiilka VPN ee rakiba xeerarka siyaasadda wuxuu ka tagi karaa shaxda weyn isagoo aan taaban, isla markaana wuxuu leexin karaa raadintaas. Taasi waa sababta xalka kaliya shaxda weyn u hagaajiya uu ugu muuqdo inuu ka shaqeeyo hal host oo aan waxba ka qaban tan xigta. Martida leh NIC badan waxay ku daraan isla dhibaatada dhinaca kale, sababtoo ah jawaabtu waxay ku xiran tahay NIC-ga iyo cinwaanka isha ee xeerku doorto.

Ka hortag habka ku daraya labada waddo /32 iyada oo loo marayo gateway-ga hore. Waddada platform-ka ee link-local iyo tallaabada xigta ee WAN guud waa waxyaabo kala duwan, ka-reebis guudna waxay qarinaysaa isku-dhac siyaasadeed oo dhab ah.

Kala hay maamulka iyo soo-kabashada

Jawaabtaada SSH ama RDP waxaa sidoo kale qaban kara default tunnel buuxa, laakiin waxay bartilmaameedsataa cinwaanka la arkay ee maamulaha ee ma aha barta platform-ka. Ka baaray dhinaca lammaanaha codsi-jawaabkiisa, oo ka hor intaadan beddelin siyaasadda VPN hay kanaal soo-kabasho madax-bannaan sida console-ka taxanaha ah. Haddii hawlgalku dib u bilaabo VM-ka oo wakiilku soo sheego xaalad aan caafimaad qabin, baar ficilka la diiwaangeliyay iyo adeegga mas'uulka ah halkii aad ka malayn lahayd in isbeddelka waddada uu sababay dib-u-bilaabka.

Ka dib xaqiiji saddexda socod si gooni gooni ah: kheyraadka gaarka ah ee aad run ahaantii rabtay, isgaadhsiinta la taageeray ee wakiilka iyo platform-ka, iyo waddada maamulka. Soo-kabashada mid ma aha caddayn in labada kale ay badbaadeen.

Ku qor ka-reebista la ansixiyay magaca milkiilaha shabakadda martida iyo habaynta VPN, oo ay ku jirto waxa dhaca marka dib loo xirmo iyo dib loo bilaabo. UDR-yada Azure ma aha shaxda waddooyinka martida, wax ka beddelkooduna ma hagaajin doono xeer siyaasadeed maxalli ah.