IP mbili za umma kwenye VM moja ya VPN ya Azure: ipi hufanya nini

IP mbili za umma kwenye VM moja ya VPN ya Azure huzaa matarajio ambayo mara chache hutimia: anwani ambayo wateja huunganisha nayo itakuwa pia anwani ambayo tovuti huona. Maamuzi matatu huru huzalisha matokeo hayo, na ni ya kwanza tu yanayohusu msikilizaji wa handaki. Ya pili ni chanzo cha mgeni kinachotumika kwa trafiki ya mteja inayosambazwa, na ya tatu ni mbinu ya kutoka ya Azure inayotumika kwa chanzo hicho. Badilisha moja na mengine mawili yanabaki pale yalipokuwa, kwa hiyo amua kila moja kwa uwazi.

Uamuzi 1: handaki inaishia wapi

IP ya umma ya Azure inahusishwa na usanidi wa IP wa faragha kwenye NIC; si anwani unayoongeza ndani ya mfumo wa uendeshaji wa mgeni. Soma ramani badala ya kuifikiria: az network nic show --ids /subscriptions/.../networkInterfaces/vpn-nic --query 'ipConfigurations[].{private:privateIPAddress,public:publicIPAddress.id}'. Anwani yoyote ya faragha ambayo swali hilo linarudisha ndiyo ambayo mgeni lazima awe nayo kwa hakika.

NIC moja inaweza kubeba usanidi kadhaa wa IP, kwa hiyo anwani mbili za umma hazihitaji NIC mbili. Ikiwa muundo unatumia NIC mbili kwa kweli, kila moja huleta njia zake za mgeni na hatua zinazofuata, na umeongeza uamuzi wa uelekezaji badala ya kuurahisisha.

Kwa huduma iliyo na ufungaji wa ndani ulio wazi, funga kwa anwani halisi ya faragha ya mgeni, kamwe usifunge kwa kishika nafasi cha umma. Msikilizaji anayekubali anwani zote hupokea trafiki kupitia kila usanidi wa IP unaomfikia, kwa hiyo punguza kuingia kwa kundi la usalama la mtandao na firewall ya mwenyeji badala ya kutumaini mpangilio wa ufungaji utaamua.

Uamuzi 2: chanzo kipi kinachotumika na mteja aliyesambazwa

Baada ya lango kufafanua ombi la mteja, pakiti inayosambaza ni tofauti na ile iliyofika kwa msikilizaji wa VPN. Mgeni anahitaji usambazaji umewezeshwa, sera ya firewall inayoruhusu mtiririko, na anwani ya chanzo inayoruhusiwa na muundo wa wingu. Ukitafsiri anwani ya ndani ya mteja, chanzo hicho kilichotafsiriwa ndicho Azure itakachotathmini, si anwani ya ndani ya mteja.

Kanuni nyembamba ya SNAT inaweza kuchagua chanzo cha faragha cha mgeni, lakini haiwezi kushinda tafsiri ya Azure inayofuata. Chagua SNAT unapohitaji uwajibikaji kwa kila mteja ndani ya VM; iacha wakati muundo wa kutoka wa subneti tayari unatoa chanzo thabiti cha umma na tafsiri ya pili ingeongeza hali tu.

Uamuzi 3: mbinu ipi ya kutoka ya Azure inashinda

Microsoftmpangilio wa kipaumbele wa kutokainaandika: njia inayotumika kwa kifaa au lango ina kipaumbele, na muunganisho wa subneti kupitia NAT Gateway una kipaumbele juu ya IP ya umma ya kiwango cha instansi kwenye njia husika. Mpangilio huo ndio sababu kutafsiri hadi 10.20.0.5 hakuthibitishi kwamba tovuti itaona 198.51.100.20. Soma jedwali la njia linalofaa, muunganisho wa NAT Gateway na IP ya umma ya NIC kwa pamoja kabla ya kukubali muundo wa kutoka.

Wekampangilio wa usambazaji wa NIC ya Azurekando na usambazaji wa Linux. Bendera ya wingu inaruhusu pakiti ambazo chanzo au lengo lake halijatengwa kwa NIC; haiwezeshi net.ipv4.ip_forward, na mpangilio wa mgeni hautoi ruhusa ya wingu.

Soketi ya handaki ina uamuzi wake wa chanzo

Address ya WireGuard chini ya wg-quick inatenga anwani kwa kiolesura cha WireGuard; si maagizo ya ufungaji wa UDP wa nje. Chanzo cha soketi iliyosimbwa hufuata jedwali la njia, kwa hiyo njia ya sera au njia ya pili ya chaguo-msingi inaweza kuihamisha bila kugusa anwani ya kiolesura.OpenVPN: chaguo la local na UDP multihome hufanya vivyo hivyo: zinahusu msikilizaji na majibu yake, si chanzo cha intaneti cha kila mteja aliyesambazwa.

Hifadhi njia ya tabaka la chini inayobeba handaki, na thibitisha kwamba mteja bado anapokea majibu yaliyothibitishwa kutoka kwa mpangilio wa kuingia unaotarajiwa. Usitegemee mpangilio wa orodha ya anwani kama sera ya kudumu ya kuchagua chanzo, kwa sababu anwani inayofuata kuongezwa kwenye NIC inaweza kubadilisha ipi itashinda.

Nini cha kukubali, na kwa mpangilio gani

Kubali matokeo matatu kwa mbali. Kwanza, mteja wa nje anafikia kuingia kunakokusudiwa kwa VPN. Pili, ombi jipya lililoruhusiwa kutoka kwa mteja huyo wa VPN linatoka kupitia kutoka kwa intaneti kunakodokumentishwa. Tatu, njia za msikilizaji na usambazaji zisizokusudiwa zinabaki zimekataliwa. Andika ramani za umma-hadi-faragha na wamiliki wa mgeni na wingu wa kila uamuzi mahali pamoja.

Handaki iliyofanikiwa inathibitisha sehemu ya kwanza tu. Jaribu kutoka kwa mtiririko mpya, kwa sababu muunganisho uliohifadhiwa kwenye akiba unaweza kuendelea kutumia chanzo cha zamani muda mrefu baada ya njia kubadilika.