Azure தளம்-க்கு-தளம் VPN போக்குவரத்திற்கு NSG எங்கு பயன்படுத்த வேண்டும்

தளம்-க்கு-தளம் சுரங்கம் இயங்குகிறது, உள்ளூர் கிளையன் சில Azure புரவலர்களை அடைகிறது, மற்றவற்றை அடையவில்லை, அதைச் சரிசெய்ய யாரோ GatewaySubnet இல் பிணைய பாதுகாப்புக் குழுவை இணைத்துள்ளார். அங்கே நிறுத்துங்கள். Azure GatewaySubnet இல் NSG க்கு ஆதரவு அளிக்காது, குழுவால் பணிச்சுமை விதி போல உள் பொட்டலத்தைப் பார்க்க முடியாது. கொள்கையை இலக்கு துணை வலைப்பிணையம் அல்லது NIC இல் வைக்கவும், மறைகுறியாக்கத்திற்குப் பின் உள்ள மூல முகவரியைப் பொருத்தவும், பின்னர் பழைய இணைப்புக்கு பதிலாக புதிய இணைப்பில் சரிபார்க்கவும்.

Azure அதை மதிப்பிடும் இடத்தில் NSG வைக்கவும்

பணிச்சுமை வடிகட்டலுக்கு ஆதரிக்கப்படும் எல்லை இலக்கு துணை வலைப்பிணையம் அல்லது இலக்கு பிணைய இடைமுகம். நுழைவாயில் துணை வலைப்பிணையம் என்பது உள்கட்டமைப்பு, அங்கே NSG ஆதரிக்கப்படாது மற்றும் நுழைவாயிலின் இயக்கத்தைப் பாதிக்கலாம் என்று Azure ஆவணப்படுத்துகிறது.

இடத்தில் ஒரு தர்க்கச் சிக்கலும் உள்ளது. GatewaySubnet இல் உள்ள NSG வெளிப்புற IPsec பரிமாற்றத்தை மதிப்பிடும், அதன் முகவரிகள் இரண்டு நுழைவாயில்களுக்கும் சொந்தமானவை. உங்கள் பயன்பாட்டு விதிக்கு சுரங்கத்தின் உள்ளே உள்ள தனிப்பட்ட மூலம் தேவை, அந்த பொட்டலம் நுழைவாயில் அதை மறைகுறியாக்கிய பிறகே இருக்கும். குழுவை பணிச்சுமை துணை வலைப்பிணையத்தில் இணைக்கவும், விதி அதற்காக எழுதப்பட்ட முகவரியைக் காணும்.

எதையும் மாற்றுவதற்கு முன் தற்போதைய தொடர்புகளைச் சரிபார்க்கவும், எதை நகர்த்துகிறீர்கள் என்று அறிய:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

மறைகுறியாக்கத்திற்குப் பின் மூல முகவரியைக் கண்டறியவும்

உள் மூலம் என்பது உள்ளூர் கிளையனின் தனிப்பட்ட முகவரி, அல்லது சாதனம் அல்லது VPN NAT மொழிபெயர்ப்பிற்குப் பின் வழங்கும் முகவரி. இது உள்ளூர் VPN நுழைவாயிலின் பொது முகவரி அல்ல, அது வெளிப்புற பரிமாற்றத்திற்கு உரியது.

NAT வடிவமைப்பின் பகுதியாக இருக்கும்போது, ஊகிக்காமல் வழங்கப்பட்ட மூலத்தை உறுதிப்படுத்தவும். Azure VM இல் பொட்டலம் பிடிப்பது, அல்லது சேவையின் இணைப்பு பதிவில் மூல புலம், உள்ளூர் கட்டமைப்பைப் படிப்பதை விட விரைவாக கேள்வியைத் தீர்க்கிறது. பின்னர் அந்த முகவரி மற்றும் உண்மையான இலக்கு துறைமுகத்திற்கு எதிரான விதியை எழுதவும்.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

நீங்கள் வெளிப்படுத்த விரும்பும் ஒவ்வொரு சேவைக்கும் ஒரு விதியைப் பயன்படுத்தவும், துறைமுக பட்டியலைச் சுருக்கமாக வைக்கவும். உள்ளூர் வரம்பிலிருந்து அனைத்து துறைமுகங்களையும் அனுமதிக்கும் விதி NSG ஐ ஒரு முறையான நடைமுறையாக மாற்றுகிறது.

இயல்புநிலை VirtualNetwork வீச்சைச் சரிபார்க்கவும்

VirtualNetwork சேவைக் குறிச்சொல் உள்ளூர் மெய்நிகர் பிணையத்தை விட பரந்தது. அதன் வரையறையில் இணைக்கப்பட்ட உள்ளூர் முகவரி இடைவெளிகள், சக பிணையங்கள் மற்றும் நுழைவாயில் வழியாக இணைக்கப்பட்ட பிற முன்னொட்டுகள் அடங்கும். எனவே VirtualNetwork க்கு வரம்பிடப்பட்ட இயல்புநிலை அனுமதி விதி, இயக்குபவர் வெளிப்புறமாகக் கருதிய சுரங்க போக்குவரத்தை ஏற்கனவே அனுமதிக்கலாம்.

குறுகிய விதிகளைச் சேர்ப்பதற்கு முன் இயல்புநிலை விதிகளைப் படிக்கவும், முதலில் பொருந்தக்கூடிய ஒவ்வொரு உயர் முன்னுரிமை விதியையும் படிக்கவும். வெளிப்படையான அனுமதியைச் சேர்ப்பது ஏற்கனவே ஓட்டத்தை அனுமதிக்கும் பரந்த விதியை நீக்காது. கொள்கை மறுப்பு தேவைப்படும் இடத்தில், அனுமதிக்கு முன் உண்மையில் மதிப்பிடப்படும் முன்னுரிமையில் வைக்கவும்.

Microsoft இன் சேவைக் குறிச்சொல் ஆவணம் VirtualNetwork குறிச்சொல் எதை உள்ளடக்குகிறது என்பதைப் பட்டியலிடுகிறது, குறிச்சொல் VNet வீச்சை மட்டுமே குறிக்கும் என்று யாராவது வாதிடும்போது மேற்கோள் காட்ட வேண்டிய குறிப்பு அதுவே.

இரு எல்லைகளிலும் பயனுள்ள விதிகளைப் படிக்கவும்

துணை வலைப்பிணையம் NSG மற்றும் NIC NSG இரண்டும் பொருந்தும்போது, ஓட்டம் இரண்டையும் பூர்த்தி செய்ய வேண்டும். ஒன்றில் உள்ள அனுமதி மற்றொன்றில் உள்ள மறுப்பை ரத்து செய்யாது, பொட்டலம் உண்மையில் சந்திப்பது ஒருங்கிணைந்த பார்வையையே.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Azure Virtual Network Manager இன் பாதுகாப்பு நிர்வாகி விதிகள் இயங்கினால், அந்த அடுக்கையும் மதிப்பாய்வு செய்யவும். நிர்வாகி Always allow விதி NSG மதிப்பீடு இல்லாமல் போக்குவரத்தை வழங்கலாம், நிர்வாகி Deny NSG கள் பார்ப்பதற்கு முன்பே அதை நிறுத்துகிறது. அத்தகைய ஏற்பாட்டிற்கு NSG மட்டும் மதிப்பாய்வு முழுமையற்றது.

NSG கள் நிலையை வைத்திருக்கும் என்பதை நினைவில் கொள்ளுங்கள். விதியைத் திருத்துவது ஏற்கனவே அனுமதிக்கப்பட்ட இணைப்பை அவசியம் முடிக்காது, எனவே ஏற்பு சோதனைக்கு புதிய ஓட்டம் தேவை. இந்தப் பண்பு உற்பத்தியில் பயனுள்ளது, மாற்ற சாளரத்தில் தவறாக வழிநடத்துகிறது.

புதிய இணைப்பில் சரிபார்க்கவும்

உள்ளூர் கிளையனில் இருந்து சேவை துறைமுகத்திற்கு புதிய அமர்வைத் திறக்கவும், பின்னர் மறுக்கப்பட வேண்டிய புரவலனில் இருந்து மீண்டும் செய்யவும். VM பக்கத்திலும் ஓட்டச் சோதனையை இயக்கவும், திரும்பும் பாதை பாதுகாப்பாக உள்ளது என்று அறிய.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

NSG அனுமதி ஒரு அணுகல் முடிவு, பாதை அல்ல மற்றும் கேட்பவர் அல்ல. விதி ஓட்டத்தை அனுமதித்தும் இணைப்பு தோல்வியடைந்தால், குழுவை மீண்டும் திருத்துவதற்கு முன் VPN க்குள் கிளையனின் பாதை, Azure இன் திரும்பும் பாதை மற்றும் புரவலன் தீச்சுவர் ஆகியவற்றைச் சரிபார்க்கவும். உண்மையான மூல முகவரி, NSG தொடர்புகள் மற்றும் பொருந்தும் விதியை அங்கீகரிக்கப்பட்ட சேவையுடன் பதிவு செய்யவும், ஏனெனில் அடுத்த சக பிணைப்பு அல்லது பாதை மாற்றம் VirtualNetwork குறிச்சொல் எதை உள்ளடக்குகிறது என்பதை மாற்றலாம்.