Pse një VM e Azure me pajisje VPN humb rrugën e kthimit
Një pajisje VPN në një VM të Azure ka nevojë që UDR-ja, flamuri i përcjelljes së kartës së rrjetit dhe politika e mysafirit të përputhen. Ndiqni një kërkesë dege përmes të trejave.
Një VM e Azure që ekzekuton një pajisje VPN ndodhet brenda dy sistemeve të pavarura vendimmarrëse. Azure vendos nga del një paketë nga një nënrrjet, duke përdorur tabelat e rrugëve dhe rregullimin e përcjelljes së kartës së rrjetit. Sistemi operativ i vetë pajisjes vendos nëse do ta përcjellë paketën e dekriptuar. Një tunel që ngrihet në mënyrë të përsosur mund të dështojë gjithsesi në sistemin e dytë, dhe pikërisht atje ndalen shumica e këtyre vendosjeve.
Tre pronarë të një rruge
Merrni një rrjet dege 192.168.50.0/24 dhe një nënrrjet të ngarkesës së punës 10.0.10.0/24, me pajisjen në 10.0.0.4 në nënrrjetin e vet. Një kërkesë e vetme prek tre konfigurime të veçanta.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Çdo rresht zotërohet nga një ekip tjetër në shumicën e organizatave, dhe për këtë arsye ky defekt zakonisht vjen si tre bileta në vend të një.
Rruga që tregon drejt pajisjes
Lidhni një tabelë rrugësh me nënrrjetin e ngarkesës së punës dhe jepini prefiksit të degës një hap tjetër të tipit Virtual appliance me 10.0.0.4 si adresë. Përdorni adresën private të arritshme të pajisjes, kurrë pikën e saj publike të hyrjes VPN. Hapi tjetër duhet të jetë një adresë që nënrrjeti i ngarkesës së punës tashmë mund ta arrijë. Lëreni pjesën tjetër të rrugëzimit të ngarkesës së punës ashtu siç është, përveç nëse keni vendosur me qëllim të zëvendësoni rrugën e parazgjedhur.
Mbajeni pajisjen në nënrrjetin e vet dhe sigurohuni që rruga që dërgon trafikun e degës drejt pajisjes të mos kapë edhe rrugën dalëse të vetë pajisjes. Një lak i tillë duket si një tunel i shëndoshë pa përgjigje, dhe është një gjë shumë e pakëndshme për t'u korrigjuar në orën 2 të mëngjesit.
Flamuri i kartës së rrjetit që të gjithë e harrojnë
Azure ka një rregullim të përcjelljes së IP-së për çdo kartë rrjeti, dhe ai është i fikur si parazgjedhje. Ai ekziston sepse një kartë që përcjell merr paketa të adresuara për diçka tjetër, dhe hedhja e tyre në heshtje është parazgjedhja e sigurt për të gjithë të tjerët.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true e aktivizon për një ndërfaqe. Udhëzimet e Microsoft mbi përcjelljen në kartën e rrjetit kërkojnë rregullimin në çdo kartë të lidhur që përcjell trafik, kështu që një pajisje me një kartë ka ende nevojë për të në atë kartë.
Flamuri nuk është rrugë dhe nuk është rregull muri zjarri. Aktivizimi i tij jep leje dhe asgjë tjetër.
Çfarë bën mysafiri me paketën e dekriptuar
Pasi tuneli përfundon, staku i vetë pajisjes merr vendimin tjetër. Në një mysafir Linux, përcjellja e IPv4 është rregullim i kohës së ekzekutimit, dhe sysctl -w net.ipv4.ip_forward=1 zgjat deri në nisjen tjetër. Ruajeni në një skedar nën /etc/sysctl.d/ në vend të kësaj. Një pajisje e furnizuesit ka ekuivalentin e vet, dhe udhëzimet e Linux të ngjitura në një platformë furnizuesi zakonisht nuk bëjnë absolutisht asgjë.
Politika e murit të zjarrit të mysafirit është përsëri e veçantë, dhe po ashtu grupi i sigurisë së rrjetit të ngarkesës së punës. Lejimi i UDP 500 dhe 4500 drejt adresës publike të VM-së mbron tunelin; nuk thotë asgjë nëse një kërkesë dege e dekriptuar mund të arrijë një port të ngarkesës së punës.
Ndiqni një kërkesë dhe përgjigjen e saj
Zgjidhni një rrjedhë të lejuar dhe ndiqeni nga fillimi në fund. Degës i duhet një rrugë për 10.0.10.0/24 përmes lidhjes së sajtit, pajisjes i duhet një rrugë dërgimi drejt nënrrjetit të ngarkesës së punës, dhe nënrrjetit të ngarkesës së punës i duhet një rrugë kthimi drejt degës.
Vendosni herët nëse projektimi e ruan adresën burimore të degës apo e përkthen atë. NAT ndryshon atë që sheh ngarkesa e punës, kështu që rregullat e saj të aksesit duhet të përshkruajnë modelin që keni zgjedhur vërtet, jo një adresë portë e supozuar.
Një shtrëngim duarsh i suksesshëm provon një hallkë të atij zinxhiri. Rruga është e plotë kur përgjigja kthehet përmes të njëjtës pajisje dhe politika e vetë ngarkesës së punës e lejon atë.