Mahali pa kutumia NSG kwa trafiki ya VPN ya Azure kutoka tovuti hadi tovuti

Handaki la tovuti hadi tovuti linafanya kazi, mteja wa ndani anafikia baadhi ya wahudumu wa Azure na wengine hafiki, na mtu ameunganisha kikundi cha usalama wa mtandao kwenye GatewaySubnet ili kurekebisha hilo. Simama hapo. Azure haiunga mkono NSG kwenye GatewaySubnet, na kikundi hakiwezi kuona pakiti ya ndani kama kanuni ya mzigo inavyoona. Weka sera kwenye subnet au NIC lengwa, linganisha anwani ya chanzo inayokuwepo baada ya usimbuaji, kisha thibitisha kwa muunganisho mpya badala ya wa zamani.

Weka NSG mahali Azure inapoitathmini

Mpaka unaoungwa mkono kwa uchujaji wa mzigo ni subnet au kiolesura cha mtandao lengwa. Subnet ya lango ni miundombinu, na Azure inaandika kwamba NSG haziungwi mkono hapo na zinaweza kudhuru utendakazi wa lango.

Pia kuna tatizo la kimantiki katika uwekaji. NSG kwenye GatewaySubnet ingetathmini ubadilishanaji wa IPsec wa nje, ambao anwani zake ni za malango mawili. Kanuni ya programu yako inahitaji chanzo cha kibinafsi ndani ya handaki, na pakiti hiyo inapatikana tu baada ya lango kuisimbua. Unganisha kikundi kwenye subnet ya mzigo na kanuni itaona anwani iliyoandikiwa.

Kagua miunganisho ya sasa kabla ya kubadilisha chochote, ili ujue unachohamisha:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Tafuta anwani ya chanzo baada ya usimbuaji

Chanzo cha ndani ni anwani ya kibinafsi ya mteja wa ndani, au anwani ambayo kifaa au NAT ya VPN inawasilisha baada ya tafsiri. Si anwani ya umma ya lango la VPN la ndani, ambayo ni ya ubadilishanaji wa nje.

NAT inapokuwa sehemu ya muundo, thibitisha chanzo kilichowasilishwa badala ya kukidhani. Kunasa pakiti kwenye VM ya Azure, au sehemu ya chanzo kwenye kumbukumbu ya miunganisho ya huduma, huamua swali haraka kuliko kusoma usanidi wa ndani. Kisha andika kanuni kwa anwani hiyo na bandari halisi ya lengo.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Tumia kanuni moja kwa kila huduma unayokusudia kuweka wazi, na ufanye orodha ya bandari kuwa fupi. Kanuni inayoruhusu bandari zote kutoka masafa ya ndani hufanya NSG kuwa utaratibu tu.

Kagua wigo chaguo-msingi wa VirtualNetwork

Lebo ya huduma VirtualNetwork ni pana kuliko mtandao pepe wa ndani. Ufafanuzi wake unajumuisha nafasi za anwani za ndani zilizounganishwa, mitandao iliyooanishwa na viambishi vingine vilivyounganishwa na lango. Kwa hiyo kanuni chaguo-msingi ya kuruhusu iliyozuiliwa kwa VirtualNetwork inaweza kuwa tayari inaruhusu trafiki ya handaki ambayo mwendeshaji alidhani ni ya nje.

Soma kanuni chaguo-msingi kabla ya kuongeza nyembamba, na soma kila kanuni ya kipaumbele cha juu inayoweza kulingana kwanza. Kuongeza ruhusa ya wazi hakuondoi kanuni pana zaidi ambayo tayari inaruhusu mtiririko. Pale sera inapohitaji kukataa, weka kwenye kipaumbele kinachotathminiwa kweli kabla ya ruhusa.

Nyaraka za lebo za huduma za Microsoft zinaorodhesha kile lebo ya VirtualNetwork inashughulikia, na hiyo ndiyo rejea ya kutaja mtu anapobishana kwamba lebo inamaanisha masafa ya VNet pekee.

Soma kanuni za matendo kwenye mipaka yote miwili

Wakati NSG ya subnet na NSG ya NIC zinatumika zote, mtiririko lazima ukidhi zote. Ruhusa katika moja haibatilishi kukataa katika nyingine, na pakiti hukutana na mwonekano uliojumuishwa.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Ikiwa kanuni za msimamizi wa usalama za Azure Virtual Network Manager zinahusika, kagua tabaka hilo pia. Kanuni ya msimamizi Always allow inaweza kuwasilisha trafiki bila tathmini ya NSG, wakati Deny ya msimamizi inazuia kabla NSG hazijaiona. Ukaguzi wa NSG pekee haujakamilika kwa mpangilio huo.

Kumbuka kwamba NSG zina hali. Kuhariri kanuni hakumalizi lazima muunganisho ulioruhusiwa uliopo, kwa hiyo jaribio la kukubali linahitaji mtiririko mpya. Sifa hiyo ni muhimu katika uzalishaji na inapotosha wakati wa dirisha la mabadiliko.

Thibitisha kwa muunganisho mpya

Fungua kikao kipya kutoka kwa mteja wa ndani hadi bandari ya huduma, kisha rudia kutoka kwa mwenyeji anayepaswa kukataliwa. Endesha jaribio la mtiririko kutoka upande wa VM pia, ili ujue njia ya kurudi iko salama.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

Ruhusa ya NSG ni uamuzi mmoja wa ufikiaji, si njia na si msikilizaji. Ikiwa kanuni inaruhusu mtiririko na muunganisho bado unashindikana, kagua njia ya mteja kuingia VPN, njia ya kurudi ya Azure na ukuta wa moto wa mwenyeji kabla ya kuhariri kikundi tena. Rekodi anwani halisi ya chanzo, miunganisho ya NSG na kanuni inayolingana pamoja na huduma iliyoidhinishwa, kwa sababu mabadiliko ya peering au njia yanayofuata yanaweza kubadilisha kile lebo ya VirtualNetwork inashughulikia.