Azure లో VPN పరికరం ఉన్న VM తిరిగి వెళ్లే మార్గాన్ని ఎందుకు కోల్పోతుంది
Azure VM లోని VPN పరికరానికి UDR, NIC ఫార్వర్డింగ్ ఫ్లాగ్ మరియు అతిథి విధానం సరిపోలాలి. ఒక శాఖ అభ్యర్థనను మూడింటి గుండా అనుసరించండి.
VPN పరికరాన్ని నడిపే Azure VM రెండు స్వతంత్ర నిర్ణయ వ్యవస్థల లోపల ఉంటుంది. ప్యాకెట్ ఏ సబ్నెట్ నుండి బయటకు వెళ్తుందో Azure నిర్ణయిస్తుంది, రూట్ పట్టికలు మరియు NIC ఫార్వర్డింగ్ సెట్టింగ్‌ను ఉపయోగించి. డీక్రిప్ట్ చేసిన ప్యాకెట్‌ను ముందుకు పంపాలా అని పరికరం స్వంత ఆపరేటింగ్ సిస్టమ్ నిర్ణయిస్తుంది. పరిపూర్ణంగా పైకి వచ్చిన టన్నెల్ రెండవ వ్యవస్థలో విఫలమవుతుంది, మరియు ఇలాంటి అమలుల్లో చాలావరకు అక్కడే ఆగిపోతాయి.
ఒకే మార్గానికి ముగ్గురు యజమానులు
ఒక శాఖ నెట్‌వర్క్ తీసుకోండి 192.168.50.0/24 మరియు ఒక వర్క్‌లోడ్ సబ్నెట్ తీసుకోండి 10.0.10.0/24, పరికరం ఈ చిరునామాలో ఉంది 10.0.0.4 దాని స్వంత సబ్నెట్‌లో. ఒకే అభ్యర్థన మూడు వేర్వేరు కాన్ఫిగరేషన్‌లను తాకుతుంది.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
చాలా సంస్థలలో ప్రతి వరుసను వేరే బృందం కలిగి ఉంటుంది, అందుకే ఈ వైఫల్యం సాధారణంగా ఒకటి బదులు మూడు టికెట్‌లుగా వస్తుంది.
పరికరం వైపు చూపే మార్గం
వర్క్‌లోడ్ సబ్నెట్‌కు రూట్ పట్టికను జోడించి, శాఖ ప్రీఫిక్స్‌కు Virtual appliance రకమైన తదుపరి హాప్ ఇవ్వండి 10.0.0.4 చిరునామాగా. పరికరం యొక్క చేరుకోగల ప్రైవేట్ చిరునామాను ఉపయోగించండి, ఎప్పుడూ దాని పబ్లిక్ VPN ప్రవేశ బిందువును. తదుపరి హాప్ వర్క్‌లోడ్ సబ్నెట్ ఇప్పటికే చేరుకోగల చిరునామా అయి ఉండాలి. డిఫాల్ట్ మార్గాన్ని ఉద్దేశపూర్వకంగా మార్చాలని నిర్ణయించుకోకపోతే, వర్క్‌లోడ్ మిగిలిన రూటింగ్‌ను అలాగే ఉంచండి.
పరికరాన్ని దాని స్వంత సబ్నెట్‌లో ఉంచి, శాఖ ట్రాఫిక్‌ను పరికరానికి పంపే మార్గం పరికరం స్వంత నిష్క్రమణ మార్గాన్ని కూడా పట్టుకోకుండా చూసుకోండి. అలాంటి లూప్ సున్నా ప్రతిస్పందనలతో ఆరోగ్యకరమైన టన్నెల్ లాగా కనిపిస్తుంది, రాత్రి 2 గంటలకు దాన్ని డీబగ్ చేయడం చాలా కష్టం.
అందరూ మరచిపోయే NIC ఫ్లాగ్
Azure లో ప్రతి NIC కి IP ఫార్వర్డింగ్ సెట్టింగ్ ఉంది, అది డిఫాల్ట్‌గా ఆఫ్ ఉంటుంది. ఫార్వర్డ్ చేసే NIC తనకు కాకుండా వేరే దానికి పంపిన ప్యాకెట్‌లను స్వీకరిస్తుంది, వాటిని నిశ్శబ్దంగా పడేయడం మిగిలిన అందరికీ సురక్షితమైన డిఫాల్ట్.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true ఒక ఇంటర్‌ఫేస్ కోసం దాన్ని ఆన్ చేస్తుంది. Microsoft యొక్క NIC ఫార్వర్డింగ్ మార్గదర్శకం ట్రాఫిక్‌ను ఫార్వర్డ్ చేసే ప్రతి కనెక్ట్ అయిన NIC లో ఈ సెట్టింగ్‌ను కోరుతుంది, కాబట్టి ఒకే NIC ఉన్న పరికరం కూడా దాన్ని ఆ NIC లో సెట్ చేయాలి.
ఫ్లాగ్ మార్గం కాదు, ఫైర్‌వాల్ నియమం కూడా కాదు. దాన్ని ఆన్ చేయడం అనుమతిని మాత్రమే ఇస్తుంది.
అతిథి డీక్రిప్ట్ చేసిన ప్యాకెట్‌తో ఏమి చేస్తుంది
టన్నెల్ ముగిసిన తర్వాత పరికరం స్వంత స్టాక్ తదుపరి నిర్ణయం తీసుకుంటుంది. Linux అతిథిలో IPv4 ఫార్వర్డింగ్ రన్‌టైమ్ సెట్టింగ్, మరియు sysctl -w net.ipv4.ip_forward=1 తదుపరి బూట్ వరకు ఉంటుంది. దాన్ని బదులుగా ఒక ఫైల్‌లో /etc/sysctl.d/ సేవ్ చేయండి. విక్రేత పరికరానికి దాని స్వంత సమానమైనది ఉంటుంది, విక్రేత ప్లాట్‌ఫారమ్‌లో అతికించిన Linux సూచనలు సాధారణంగా ఏమీ చేయవు.
అతిథి ఫైర్‌వాల్ విధానం మళ్లీ వేరు, వర్క్‌లోడ్ నెట్‌వర్క్ భద్రతా సమూహం కూడా అలాగే. VM పబ్లిక్ చిరునామాకు UDP 500 మరియు 4500 అనుమతించడం టన్నెల్‌ను రక్షిస్తుంది; డీక్రిప్ట్ చేసిన శాఖ అభ్యర్థన వర్క్‌లోడ్ పోర్టును చేరుకోగలదా అనే దాని గురించి అది ఏమీ చెప్పదు.
ఒక అభ్యర్థనను మరియు దాని ప్రతిస్పందనను అనుసరించండి
అనుమతించిన ఒక ప్రవాహాన్ని ఎంచుకుని దాన్ని మొదటి నుండి చివరి వరకు అనుసరించండి. శాఖకు ఒక మార్గం అవసరం 10.0.10.0/24 సైట్ కనెక్షన్ ద్వారా, పరికరానికి వర్క్‌లోడ్ సబ్నెట్‌కు డెలివరీ మార్గం అవసరం, వర్క్‌లోడ్ సబ్నెట్‌కు శాఖ వైపు తిరిగి వెళ్లే మార్గం అవసరం.
డిజైన్ శాఖ మూల చిరునామాను ఉంచుతుందా లేదా అనువదిస్తుందా అని ముందుగానే నిర్ణయించండి. NAT వర్క్‌లోడ్ చూసేదాన్ని మారుస్తుంది, కాబట్టి దాని ప్రవేశ నియమాలు మీరు నిజంగా ఎంచుకున్న నమూనాను వివరించాలి, ఊహించిన గేట్‌వే చిరునామాను కాదు.
విజయవంతమైన హ్యాండ్‌షేక్ ఆ గొలుసులోని ఒక లింక్‌ను నిరూపిస్తుంది. ప్రతిస్పందన అదే పరికరం ద్వారా తిరిగి వచ్చి వర్క్‌లోడ్ స్వంత విధానం అనుమతించినప్పుడు మార్గం పూర్తవుతుంది.