Kwa nini VM ya Azure yenye kifaa cha VPN inapoteza njia ya kurudi
Kifaa cha VPN ndani ya VM ya Azure kinahitaji UDR, bendera ya upelekaji ya kadi ya mtandao na sera ya mgeni zikubaliane. Fuatilia ombi moja la tawi kupitia zote tatu.
VM ya Azure inayoendesha kifaa cha VPN iko ndani ya mifumo miwili huru ya maamuzi. Azure huamua pakiti inatoka kwenye subneti gani, kwa kutumia majedwali ya njia na mpangilio wa upelekaji wa kadi ya mtandao. Mfumo wa uendeshaji wa kifaa chenyewe huamua kama kitapeleka pakiti iliyofumbuliwa mbele. Handaki inayoinuka kikamilifu bado inaweza kushindwa kwenye mfumo wa pili, na hapo ndipo usambazaji mwingi wa aina hii unakoma.
Wamiliki watatu wa njia moja
Chukua mtandao wa tawi 192.168.50.0/24 na subneti ya mzigo wa kazi 10.0.10.0/24, kifaa kikiwa kwenye 10.0.0.4 ndani ya subneti yake mwenyewe. Ombi moja linagusa mipangilio mitatu tofauti.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Kila safu inamilikiwa na timu tofauti katika mashirika mengi, ndiyo sababu hitilafu hii kwa kawaida huja kama tiketi tatu badala ya moja.
Njia inayoelekeza kwenye kifaa
Unganisha jedwali la njia na subneti ya mzigo wa kazi na upe kiambishi cha tawi hatua inayofuata ya aina ya Virtual appliance na 10.0.0.4 kama anwani. Tumia anwani ya kibinafsi inayofikika ya kifaa, kamwe usitumie sehemu yake ya kuingia ya VPN ya umma. Hatua inayofuata lazima iwe anwani ambayo subneti ya mzigo wa kazi inaweza kufikia tayari. Acha uelekezaji mwingine wa mzigo wa kazi kama ulivyo, isipokuwa umeamua kwa makusudi kubadilisha njia chaguomsingi.
Weka kifaa ndani ya subneti yake na hakikisha kwamba njia inayotuma trafiki ya tawi kwenye kifaa haikamati pia njia ya kutoka ya kifaa chenyewe. Mzunguko kama huo unaonekana kama handaki yenye afya bila majibu, na hilo ni jambo la kuchukiza sana kulipatua saa 2 usiku.
Bendera ya kadi ya mtandao ambayo kila mtu anaisahau
Azure ina mpangilio wa upelekaji wa IP kwa kila kadi ya mtandao, na kwa chaguomsingi umezimwa. Upo kwa sababu kadi inayopeleka hupokea pakiti zilizoelekezwa kwa kitu kingine, na kuzitupa kimya ndiyo chaguomsingi salama kwa wengine wote.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true huwascha kwa kiolesura kimoja. Mwongozo wa Microsoft kuhusu upelekaji kwenye kadi ya mtandao unahitaji mpangilio huo kwenye kila kadi iliyounganishwa inayopeleka trafiki, kwa hivyo kifaa chenye kadi moja bado kinahitaji kuuweka kwenye kadi hiyo.
Bendera si njia na si kanuni ya firewall. Kuiwasha kunatoa ruhusa na hakuna kingine.
Mgeni hufanya nini na pakiti iliyofumbuliwa
Mara handaki inapoisha, mrundikano wa kifaa chenyewe hufanya uamuzi unaofuata. Kwa mgeni wa Linux, upelekaji wa IPv4 ni mpangilio wa wakati wa utekelezaji, na sysctl -w net.ipv4.ip_forward=1 hudumu hadi kuwasha kunakofuata. Ihifadhi kwenye faili iliyo chini ya /etc/sysctl.d/ badala yake. Kifaa cha muuzaji kina kifananishi chake, na maagizo ya Linux yaliyobandikwa kwenye jukwaa la muuzaji kwa kawaida hayafanyi chochote kabisa.
Sera ya firewall ya mgeni ni tofauti tena, na vivyo hivyo kikundi cha usalama cha mtandao cha mzigo wa kazi. Kuruhusu UDP 500 na 4500 kwenye anwani ya umma ya VM kunalinda handaki; haisemi chochote kuhusu kama ombi la tawi lililofumbuliwa linaweza kufikia bandari ya mzigo wa kazi.
Fuatilia ombi moja na jibu lake
Chagua mtiririko mmoja unaoruhusiwa na uufuatilie kutoka mwanzo hadi mwisho. Tawi linahitaji njia ya 10.0.10.0/24 kupitia muunganisho wa tovuti, kifaa kinahitaji njia ya uwasilishaji kwenye subneti ya mzigo wa kazi, na subneti ya mzigo wa kazi inahitaji njia ya kurudi kuelekea tawi.
Amua mapema kama muundo unahifadhi anwani ya chanzo ya tawi au kuifasiri. NAT hubadilisha kile mzigo wa kazi unaona, kwa hivyo kanuni zake za ufikiaji zinapaswa kuelezea mtindo uliochagua kweli na si anwani ya lango iliyokisiwa.
Makubaliano ya mkono yenye mafanikio yanathibitisha kiungo kimoja cha mnyororo huo. Njia inakamilika wakati jibu linarudi kupitia kifaa kilekile na sera ya mzigo wa kazi yenyewe inairuhusu.