Azure இல் VPN சாதன VM திரும்பும் பாதையை ஏன் இழக்கிறது
Azure VM இல் உள்ள VPN சாதனத்திற்கு UDR, NIC இன் அனுப்பல் கொடி மற்றும் விருந்தினர் கொள்கை மூன்றும் பொருந்த வேண்டும். ஒரு கிளை கோரிக்கையை மூன்றின் வழியாகவும் பின்தொடரவும்.
VPN சாதனத்தை இயக்கும் Azure VM இரண்டு சுயாதீன முடிவெடுக்கும் அமைப்புகளுக்குள் உள்ளது. ஒரு பொதி எந்த துணைப் பிணையத்திலிருந்து வெளியேறுகிறது என்பதை Azure தீர்மானிக்கிறது, வழித்தட அட்டவணைகள் மற்றும் NIC இன் அனுப்பல் அமைப்பைப் பயன்படுத்தி. மறைகுறியாக்கப்பட்ட பொதியை முன்னோக்கி அனுப்புவதா என்பதை சாதனத்தின் சொந்த இயங்குதளம் தீர்மானிக்கிறது. முழுமையாக எழும் சுரங்கப்பாதை கூட இரண்டாவது அமைப்பில் தோல்வியடையலாம், இத்தகைய பயன்பாடுகள் பெரும்பாலும் அங்கேயே நிற்கின்றன.
ஒரு பாதையின் மூன்று உரிமையாளர்கள்
ஒரு கிளை பிணையத்தை எடுத்துக் கொள்ளுங்கள் 192.168.50.0/24 ஒரு பணிச்சுமை துணைப் பிணையத்தையும் 10.0.10.0/24, சாதனம் இந்த முகவரியில் உள்ளது 10.0.0.4 அதன் சொந்த துணைப் பிணையத்தில். ஒரு கோரிக்கை மூன்று தனித்தனி உள்ளமைவுகளைத் தொடுகிறது.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
பெரும்பாலான நிறுவனங்களில் ஒவ்வொரு வரிசையும் வெவ்வேறு குழுவின் உரிமையில் உள்ளது, அதனால்தான் இந்தக் கோளாறு பொதுவாக ஒன்றுக்குப் பதிலாக மூன்று புகார்களாக வருகிறது.
சாதனத்தை நோக்கிக் காட்டும் வழித்தடம்
பணிச்சுமை துணைப் பிணையத்துடன் ஒரு வழித்தட அட்டவணையை இணைத்து, கிளை முன்னொட்டுக்கு Virtual appliance வகை அடுத்த தாவலைக் கொடுங்கள் 10.0.0.4 முகவரியாக. சாதனத்தின் அணுகக்கூடிய தனிப்பட்ட முகவரியைப் பயன்படுத்துங்கள், ஒருபோதும் அதன் பொது VPN நுழைவு முனையை. அடுத்த தாவல் பணிச்சுமை துணைப் பிணையம் ஏற்கனவே அடையக்கூடிய முகவரியாக இருக்க வேண்டும். இயல்புநிலை வழித்தடத்தை வேண்டுமென்றே மாற்ற முடிவு செய்யாவிட்டால், பணிச்சுமையின் மற்ற வழியமைப்பை அப்படியே விடுங்கள்.
சாதனத்தை அதன் சொந்த துணைப் பிணையத்தில் வைத்து, கிளைப் போக்குவரத்தை சாதனத்திற்கு அனுப்பும் வழித்தடம் சாதனத்தின் சொந்த வெளியேறும் பாதையையும் பிடிக்காமல் இருப்பதை உறுதிப்படுத்துங்கள். அத்தகைய சுழற்சி பதில்கள் இல்லாத ஆரோக்கியமான சுரங்கப்பாதை போலத் தெரிகிறது, இரவு 2 மணிக்கு அதை பிழைதிருத்துவது மிகவும் கடினம்.
எல்லோரும் மறக்கும் NIC கொடி
Azure இல் ஒவ்வொரு NIC க்கும் IP அனுப்பல் அமைப்பு உள்ளது, அது இயல்பாகவே அணைக்கப்பட்டுள்ளது. அனுப்பும் NIC தனக்கு அல்லாத வேறொன்றுக்கு அனுப்பப்பட்ட பொதிகளைப் பெறுவதால் இது உள்ளது, அவற்றை அமைதியாக விடுவது மற்ற அனைவருக்கும் பாதுகாப்பான இயல்புநிலை.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true ஒரு இடைமுகத்திற்கு அதை இயக்குகிறது. Microsoft இன் NIC அனுப்பல் வழிகாட்டுதல் போக்குவரத்தை அனுப்பும் ஒவ்வொரு இணைக்கப்பட்ட NIC இலும் இந்த அமைப்பைக் கோருகிறது, எனவே ஒரு NIC மட்டுமே உள்ள சாதனமும் அதை அந்த NIC இல் அமைக்க வேண்டும்.
கொடி ஒரு வழித்தடம் அல்ல, தீர்வரிச் சுவர் விதியும் அல்ல. அதை இயக்குவது அனுமதியை மட்டுமே தருகிறது.
விருந்தினர் மறைகுறியாக்கப்பட்ட பொதியுடன் என்ன செய்கிறார்
சுரங்கப்பாதை முடிந்ததும், சாதனத்தின் சொந்த அடுக்கு அடுத்த முடிவை எடுக்கிறது. Linux விருந்தினரில் IPv4 அனுப்பல் என்பது இயக்கநேர அமைப்பு, மேலும் sysctl -w net.ipv4.ip_forward=1 அடுத்த துவக்கத்திற்கு வரை நீடிக்கும். அதற்குப் பதிலாக அதை ஒரு கோப்பில் /etc/sysctl.d/ சேமியுங்கள். விற்பனையாளர் சாதனத்திற்கு அதன் சொந்த இணை உள்ளது, விற்பனையாளர் தளத்தில் ஒட்டப்படும் Linux வழிமுறைகள் பொதுவாக எதுவும் செய்வதில்லை.
விருந்தினரின் தீர்வரிச் சுவர் கொள்கை மீண்டும் தனியானது, பணிச்சுமையின் பிணைய பாதுகாப்புக் குழுவும் அப்படியே. VM இன் பொது முகவரிக்கு UDP 500 மற்றும் 4500 அனுமதிப்பது சுரங்கப்பாதையைப் பாதுகாக்கிறது; மறைகுறியாக்கப்பட்ட கிளைக் கோரிக்கை பணிச்சுமை துறைமுகத்தை அடைய முடியுமா என்பதைப் பற்றி அது எதுவும் கூறவில்லை.
ஒரு கோரிக்கையையும் அதன் பதிலையும் பின்தொடருங்கள்
அனுமதிக்கப்பட்ட ஒரு ஓட்டத்தைத் தேர்ந்தெடுத்து அதைத் தொடக்கத்திலிருந்து இறுதி வரை பின்தொடருங்கள். கிளைக்கு ஒரு வழித்தடம் தேவை 10.0.10.0/24 தள இணைப்பின் வழியாக, சாதனத்திற்கு பணிச்சுமை துணைப் பிணையத்திற்கு விநியோகப் பாதை தேவை, பணிச்சுமை துணைப் பிணையத்திற்கு கிளையை நோக்கித் திரும்பும் வழித்தடம் தேவை.
வடிவமைப்பு கிளையின் மூல முகவரியை வைத்திருக்கிறதா அல்லது மொழிபெயர்க்கிறதா என்பதை முன்கூட்டியே முடிவு செய்யுங்கள். NAT பணிச்சுமை பார்ப்பதை மாற்றுகிறது, எனவே அதன் அணுகல் விதிகள் நீங்கள் உண்மையில் தேர்ந்தெடுத்த மாதிரியை விவரிக்க வேண்டும், ஊகிக்கப்பட்ட நுழைவாயில் முகவரியை அல்ல.
வெற்றிகரமான கைக்குலுக்கல் அந்தச் சங்கிலியின் ஒரு இணைப்பை நிரூபிக்கிறது. பதில் அதே சாதனத்தின் வழியாகத் திரும்பி வந்து பணிச்சுமையின் சொந்தக் கொள்கை அதை அனுமதிக்கும்போது பாதை முழுமையாகிறது.