ఒక Azure VPN VM-లో రెండు పబ్లిక్ IP: ఏది ఏమి చేస్తుంది

ఒక Azure VPN VM-లో రెండు పబ్లిక్ IP ఉంటే అరుదుగా నిజమయ్యే ఆశ ఏర్పడుతుంది: క్లయింట్లు కనెక్ట్ అయ్యే చిరునామాయే వెబ్సైట్లు చూసే చిరునామా కూడా అవుతుంది. ఈ ఫలితాన్ని మూడు స్వతంత్ర నిర్ణయాలు ఇస్తాయి, వాటిలో మొదటిది మాత్రమే టన్నెల్ శ్రోతకు సంబంధించినది. రెండవది ఫార్వార్డ్ చేసిన క్లయింట్ ట్రాఫిక్ కోసం ఉపయోగించే అతిథి మూలం, మూడవది ఆ మూలానికి వర్తించే Azure నిష్క్రమణ పద్ధతి. ఒకటి మార్చితే మిగిలిన రెండు ఉన్న చోటే ఉంటాయి, కాబట్టి ప్రతిదీ స్పష్టంగా నిర్ణయించండి.

నిర్ణయం 1: టన్నెల్ ఎక్కడ ముగుస్తుంది

Azure పబ్లిక్ IP NIC-లోని ప్రైవేట్ IP కాన్ఫిగరేషన్తో అనుబంధించబడి ఉంటుంది; ఇది అతిథి ఆపరేటింగ్ సిస్టమ్ లోపల మీరు జోడించే చిరునామా కాదు. ఊహించకుండా మ్యాపింగ్ చదవండి: az network nic show --ids /subscriptions/.../networkInterfaces/vpn-nic --query 'ipConfigurations[].{private:privateIPAddress,public:publicIPAddress.id}'. ఆ క్వెరీ తిరిగి ఇచ్చే ఏ ప్రైవేట్ చిరునామా అయినా అతిథి నిజంగా కలిగి ఉండాల్సినది అదే.

ఒక NIC అనేక IP కాన్ఫిగరేషన్లను మోయగలదు, కాబట్టి రెండు పబ్లిక్ చిరునామాలకు రెండు NIC అవసరం లేదు. డిజైన్ నిజంగా రెండు NIC ఉపయోగిస్తే, ప్రతిదీ తన సొంత అతిథి మార్గాలను మరియు తదుపరి హాప్లను తీసుకువస్తుంది, మీరు సరళీకరించే బదులు ఒక రూటింగ్ నిర్ణయాన్ని జోడించారు.

స్పష్టమైన స్థానిక బైండ్ ఉన్న సేవ కోసం అతిథి యొక్క నిజమైన ప్రైవేట్ చిరునామాకు బైండ్ చేయండి, ఎప్పుడూ పబ్లిక్ ప్లేస్హోల్డర్కు కాదు. అన్ని చిరునామాలను అంగీకరించే శ్రోత తనను చేరే ప్రతి IP కాన్ఫిగరేషన్ ద్వారా ట్రాఫిక్ పొందుతుంది, కాబట్టి బైండ్ క్రమం నిర్ణయిస్తుందని ఆశించే బదులు నెట్వర్క్ భద్రతా సమూహం మరియు హోస్ట్ ఫైర్వాల్తో ప్రవేశాన్ని పరిమితం చేయండి.

నిర్ణయం 2: ఫార్వార్డ్ చేసిన క్లయింట్ ఏ మూలాన్ని ఉపయోగిస్తుంది

గేట్వే క్లయింట్ అభ్యర్థనను డీక్రిప్ట్ చేసిన తర్వాత, అది ఫార్వార్డ్ చేసే ప్యాకెట్ VPN శ్రోతకు చేరిన ప్యాకెట్ కంటే భిన్నం. అతిథికి ఫార్వార్డింగ్ ప్రారంభించబడి, ప్రవాహాన్ని అనుమతించే ఫైర్వాల్ విధానం మరియు క్లౌడ్ డిజైన్ అనుమతించే మూల చిరునామా అవసరం. క్లయింట్ లోపలి చిరునామాను అనువదిస్తే, Azure మూల్యాంకనం చేసేది ఆ అనువదించిన మూలాన్నే, క్లయింట్ లోపలి చిరునామాను కాదు.

ఇరుకైన SNAT నియమం అతిథి-ప్రైవేట్ మూలాన్ని ఎంచుకోగలదు, కానీ తర్వాతి Azure అనువాదాన్ని అధిగమించలేదు. VM లోపల ప్రతి క్లయింట్కు జవాబుదారీతనం అవసరమైతే SNAT ఎంచుకోండి; సబ్నెట్ నిష్క్రమణ డిజైన్ ఇప్పటికే స్థిరమైన పబ్లిక్ మూలాన్ని ఇస్తే మరియు రెండవ అనువాదం స్థితిని మాత్రమే జోడిస్తే దాన్ని వదిలేయండి.

నిర్ణయం 3: ఏ Azure నిష్క్రమణ పద్ధతి గెలుస్తుంది

Microsoftనిష్క్రమణ ప్రాధాన్యత క్రమాన్నిడాక్యుమెంట్ చేస్తుంది: పరికరం లేదా గేట్వేకు వర్తించే మార్గానికి ప్రాధాన్యత ఉంటుంది, మరియు సంబంధిత మార్గంలో సబ్నెట్ NAT Gateway కనెక్టివిటీ ఇన్స్టాన్స్-స్థాయి పబ్లిక్ IP కంటే ప్రాధాన్యత పొందుతుంది. ఈ క్రమం వల్లనే 10.20.0.5కు అనువాదం చేయడం వెబ్సైట్ 198.51.100.20ను చూస్తుందని నిరూపించదు. నిష్క్రమణ డిజైన్ను అంగీకరించే ముందు ప్రభావవంతమైన మార్గ పట్టిక, NAT Gateway అనుబంధం మరియు NIC యొక్క పబ్లిక్ IPను కలిసి చదవండి.

ఉంచండిAzure NIC ఫార్వార్డింగ్ సెట్టింగ్నుLinux ఫార్వార్డింగ్ నుండి వేరుగా. క్లౌడ్ జెండా మూలం లేదా గమ్యం NICకు కేటాయించని ప్యాకెట్లను అనుమతిస్తుంది; అది net.ipv4.ip_forward సక్రియం చేయదు, అతిథి సెట్టింగ్ క్లౌడ్ అనుమతిని ఇవ్వదు.

టన్నెల్ సాకెట్కు దాని సొంత మూల నిర్ణయం ఉంది

wg-quick కింద WireGuard యొక్క Address WireGuard ఇంటర్ఫేస్కు చిరునామాన్ని కేటాయిస్తుంది; ఇది బాహ్య UDP బైండింగ్ సూచన కాదు. ఎన్క్రిప్ట్ చేసిన సాకెట్ యొక్క మూలం మార్గ పట్టికను అనుసరిస్తుంది, కాబట్టి విధాన మార్గం లేదా రెండవ డిఫాల్ట్ ఇంటర్ఫేస్ చిరునామాను తాకకుండా దాన్ని కదిలించగలదు.OpenVPNయొక్క local ఎంపిక మరియు UDP multihome అదే విధంగా ప్రవర్తిస్తాయి: అవి శ్రోత మరియు దాని ప్రత్యుత్తరాలకు సంబంధించినవి, ఫార్వార్డ్ చేసిన ప్రతి క్లయింట్ ఇంటర్నెట్ మూలానికి కాదు.

టన్నెల్ మోసే అండర్లే మార్గాన్ని సంరక్షించండి మరియు క్లయింట్ ఇప్పటికీ ఆశించిన ప్రవేశ అమరిక నుండి ప్రామాణీకరించిన ప్రత్యుత్తరాలు పొందుతున్నదని నిర్ధారించండి. చిరునామా జాబితా క్రమాన్ని శాశ్వత మూల-ఎంపిక విధానంగా నమ్మకండి, ఎందుకంటే NICకు జోడించే తదుపరి చిరునామా ఏది గెలుస్తుందో మార్చవచ్చు.

ఏమి అంగీకరించాలి, ఏ క్రమంలో

మూడు ఫలితాలను విడివిడిగా అంగీకరించండి. మొదట, బాహ్య క్లయింట్ ఉద్దేశించిన VPN ప్రవేశాన్ని చేరుకుంటుంది. రెండవది, ఆ VPN క్లయింట్ నుండి కొత్త అనుమతించిన అభ్యర్థన డాక్యుమెంట్ చేసిన ఇంటర్నెట్ నిష్క్రమణ ద్వారా బయటకు వెళ్తుంది. మూడవది, ఉద్దేశించని శ్రోత మరియు ఫార్వార్డింగ్ మార్గాలు తిరస్కరించబడినట్లే ఉంటాయి. పబ్లిక్-నుండి-ప్రైవేట్ మ్యాపింగ్లను మరియు ప్రతి నిర్ణయం యొక్క అతిథి మరియు క్లౌడ్ బాధ్యులను ఒకే చోట నమోదు చేయండి.

విజయవంతమైన టన్నెల్ మొదటి భాగాన్ని మాత్రమే నిరూపిస్తుంది. కొత్త ప్రవాహంతో నిష్క్రమణను పరీక్షించండి, ఎందుకంటే క్యాష్ చేసిన కనెక్షన్ మార్గం మారిన తర్వాత కూడా చాలా కాలం పాత మూలాన్ని ఉపయోగించవచ్చు.