Azure సైట్-నుండి-సైట్ VPN ట్రాఫిక్ కోసం NSG ఎక్కడ వర్తింపజేయాలి

సైట్-నుండి-సైట్ సొరంగం పనిచేస్తోంది, స్థానిక క్లయింట్ కొన్ని Azure హోస్ట్‌లను చేరుకుంటుంది, మరికొన్నింటిని చేరుకోదు, దాన్ని సరిచేయడానికి ఎవరో GatewaySubnet పై నెట్‌వర్క్ భద్రతా సమూహాన్ని జోడించారు. అక్కడే ఆపండి. Azure GatewaySubnet పై NSG ను మద్దతు ఇవ్వదు, మరియు సమూహం వర్క్‌లోడ్ నియమం లాగా అంతర్గత ప్యాకెట్‌ను చూడలేదు. విధానాన్ని గమ్యం సబ్‌నెట్ లేదా NIC పై ఉంచండి, డీక్రిప్షన్ తర్వాత ఉన్న మూల చిరునామాను సరిపోల్చండి, ఆపై పాత కనెక్షన్ కాకుండా కొత్త కనెక్షన్‌తో ధృవీకరించండి.

Azure దాన్ని మూల్యాంకనం చేసే చోట NSG ఉంచండి

వర్క్‌లోడ్ ఫిల్టరింగ్‌కు మద్దతు ఉన్న సరిహద్దు గమ్యం సబ్‌నెట్ లేదా గమ్యం నెట్‌వర్క్ ఇంటర్‌ఫేస్. గేట్‌వే సబ్‌నెట్ మౌలిక సదుపాయం, అక్కడ NSG మద్దతు లేదు మరియు గేట్‌వే పనితీరును దెబ్బతీయవచ్చని Azure నమోదు చేస్తుంది.

ఉంచడంలో ఒక తార్కిక సమస్య కూడా ఉంది. GatewaySubnet పైన NSG బాహ్య IPsec మార్పిడిని మూల్యాంకనం చేస్తుంది, దాని చిరునామాలు రెండు గేట్‌వేలకు చెందుతాయి. మీ అప్లికేషన్ నియమానికి సొరంగం లోపలి ప్రైవేట్ మూలం అవసరం, ఆ ప్యాకెట్ గేట్‌వే డీక్రిప్ట్ చేసిన తర్వాతే ఉంటుంది. సమూహాన్ని వర్క్‌లోడ్ సబ్‌నెట్‌కు జోడించండి, నియమం దాని కోసం రాసిన చిరునామాను చూస్తుంది.

ఏదైనా మార్చే ముందు ప్రస్తుత అనుబంధాలను తనిఖీ చేయండి, ఏమి కదిలిస్తున్నారో తెలుసుకోవడానికి:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

డీక్రిప్షన్ తర్వాత మూల చిరునామాను కనుగొనండి

అంతర్గత మూలం స్థానిక క్లయింట్ యొక్క ప్రైవేట్ చిరునామా, లేదా పరికరం లేదా VPN NAT అనువాదం తర్వాత అందించే చిరునామా. ఇది స్థానిక VPN గేట్‌వే యొక్క పబ్లిక్ చిరునామా కాదు, అది బాహ్య మార్పిడికి చెందుతుంది.

NAT డిజైన్‌లో భాగమైనప్పుడు, ఊహించకుండా అందించిన మూలాన్ని ధృవీకరించండి. Azure VM పై ప్యాకెట్ క్యాప్చర్, లేదా సేవ యొక్క కనెక్షన్ లాగ్‌లో మూల ఫీల్డ్, స్థానిక కాన్ఫిగరేషన్ చదవడం కంటే వేగంగా ప్రశ్నను పరిష్కరిస్తుంది. తర్వాత ఆ చిరునామా మరియు నిజమైన గమ్యం పోర్టుపై నియమాన్ని రాయండి.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

మీరు బహిర్గతం చేయాలనుకునే ప్రతి సేవకు ఒక నియమాన్ని ఉపయోగించండి, పోర్ట్ జాబితాను చిన్నగా ఉంచండి. స్థానిక పరిధి నుండి అన్ని పోర్టులను అనుమతించే నియమం NSG ను ఔపచారికతగా మారుస్తుంది.

డిఫాల్ట్ VirtualNetwork పరిధిని తనిఖీ చేయండి

VirtualNetwork సేవా ట్యాగ్ స్థానిక వర్చువల్ నెట్‌వర్క్ కంటే విస్తృతం. దాని నిర్వచనంలో కనెక్ట్ చేయబడిన స్థానిక చిరునామా స్థలాలు, పీర్ చేయబడిన నెట్‌వర్క్‌లు మరియు గేట్‌వేతో కనెక్ట్ చేయబడిన ఇతర ప్రిఫిక్స్‌లు ఉంటాయి. కాబట్టి VirtualNetwork కు పరిమితమైన డిఫాల్ట్ అనుమతి నియమం ఆపరేటర్ బాహ్యమని భావించిన సొరంగ ట్రాఫిక్‌ను ఇప్పటికే అనుమతించవచ్చు.

సన్నని నియమాలను జోడించే ముందు డిఫాల్ట్ నియమాలను చదవండి, మరియు మొదట సరిపోలే ప్రతి అధిక ప్రాధాన్యత నియమాన్ని చదవండి. స్పష్టమైన అనుమతిని జోడించడం ఇప్పటికే ప్రవాహాన్ని అనుమతించే విస్తృత నియమాన్ని తొలగించదు. విధానం నిరాకరణ కోరే చోట, అనుమతికి ముందు నిజంగా మూల్యాంకనం అయ్యే ప్రాధాన్యతపై ఉంచండి.

Microsoft యొక్క సేవా ట్యాగ్ డాక్యుమెంటేషన్ VirtualNetwork ట్యాగ్ ఏమి కవర్ చేస్తుందో జాబితా చేస్తుంది, మరియు ట్యాగ్ కేవలం VNet పరిధిని సూచిస్తుందని ఎవరైనా వాదించినప్పుడు ఉదహరించాల్సిన సూచన అదే.

రెండు సరిహద్దుల్లో ప్రభావవంతమైన నియమాలను చదవండి

సబ్‌నెట్ NSG మరియు NIC NSG రెండూ వర్తించినప్పుడు, ప్రవాహం రెండింటినీ తీర్చాలి. ఒకదానిలో అనుమతి మరొకదానిలో నిరాకరణను రద్దు చేయదు, మరియు ప్యాకెట్ నిజంగా ఎదుర్కొనేది సమ్మిళిత దృశ్యాన్ని.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Azure Virtual Network Manager భద్రతా నిర్వాహక నియమాలు అమల్లో ఉంటే, ఆ పొరను కూడా సమీక్షించండి. నిర్వాహక Always allow నియమం NSG మూల్యాంకనం లేకుండా ట్రాఫిక్‌ను పంపవచ్చు, నిర్వాహక Deny NSG లు చూసే ముందే దాన్ని ఆపుతుంది. అలాంటి ఏర్పాటుకు NSG మాత్రమే సమీక్ష అసంపూర్ణం.

NSG లు స్థితిని నిలుపుకుంటాయని గుర్తుంచుకోండి. నియమాన్ని సవరించడం ఇప్పటికే అనుమతించిన కనెక్షన్‌ను తప్పనిసరిగా ముగించదు, కాబట్టి అంగీకార పరీక్షకు కొత్త ప్రవాహం అవసరం. ఈ లక్షణం ఉత్పత్తిలో ఉపయోగకరం మరియు మార్పు విండోలో తప్పుదారి పట్టిస్తుంది.

కొత్త కనెక్షన్‌తో ధృవీకరించండి

స్థానిక క్లయింట్ నుండి సేవా పోర్టుకు కొత్త సెషన్ తెరవండి, తర్వాత తిరస్కరించబడాల్సిన హోస్ట్ నుండి పునరావృతం చేయండి. VM వైపు నుండి కూడా ప్రవాహ పరీక్షను అమలు చేయండి, తిరుగు మార్గం సురక్షితంగా ఉందని తెలుసుకోవడానికి.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

NSG అనుమతి ఒక యాక్సెస్ నిర్ణయం, మార్గం కాదు మరియు శ్రోత కాదు. నియమం ప్రవాహాన్ని అనుమతించినా కనెక్షన్ విఫలమైతే, సమూహాన్ని మళ్లీ సవరించే ముందు VPN లోకి క్లయింట్ మార్గం, Azure తిరుగు మార్గం మరియు హోస్ట్ ఫైర్‌వాల్‌ను తనిఖీ చేయండి. నిజమైన మూల చిరునామా, NSG అనుబంధాలు మరియు సరిపోలే నియమాన్ని ఆమోదించిన సేవతో పాటు నమోదు చేయండి, ఎందుకంటే తదుపరి పీరింగ్ లేదా మార్గ మార్పు VirtualNetwork ట్యాగ్ ఏమి కవర్ చేస్తుందో మార్చవచ్చు.