Bitta Azure VPN VM da ikkita ommaviy IP: qaysi biri nima qiladi

Bitta Azure VPN VM da ikkita ommaviy IP kamdan-kam bajariladigan kutishni yaratadi: mijozlar ulanadigan manzil veb-saytlar ko'radigan manzil ham bo'ladi. Bu natijani uchta mustaqil qaror beradi va faqat birinchisi tunnel tinglovchisiga tegishli. Ikkinchisi yo'naltirilgan mijoz trafigi uchun ishlatiladigan mehmon manbasi, uchinchisi esa shu manbaga tatbiq etiladigan Azure chiqish usuli. Birini o'zgartirsangiz, qolgan ikkitasi joyida qoladi, shuning uchun har birini aniq hal qiling.

Qaror 1: tunnel qayerda tugaydi

Azure ommaviy IP si NIC dagi xususiy IP konfiguratsiyasi bilan bog'langan; bu mehmon operatsion tizimi ichida siz qo'shadigan manzil emas. Taxmin qilish o'rniga xaritani o'qing: az network nic show --ids /subscriptions/.../networkInterfaces/vpn-nic --query 'ipConfigurations[].{private:privateIPAddress,public:publicIPAddress.id}'. Bu so'rov qaysi xususiy manzilni qaytarsa, mehmon aslida o'shanga ega bo'lishi kerak.

Bitta NIC bir nechta IP konfiguratsiyasini ko'tara oladi, shuning uchun ikkita ommaviy manzil ikkita NIC talab qilmaydi. Agar dizayn haqiqatan ikkita NIC ishlatsa, har biri o'z mehmon marshrutlari va keyingi sakrashlarini olib keladi va siz soddalashtirish o'rniga marshrutlash qarorini qo'shdingiz.

Aniq mahalliy bog'lanishga ega xizmat uchun mehmonning haqiqiy xususiy manziliga bog'lang, hech qachon ommaviy o'rinbosarga emas. Barcha manzillarni qabul qiluvchi tinglovchi o'ziga yetib keladigan har bir IP konfiguratsiyasi orqali trafik oladi, shuning uchun bog'lanish tartibi hal qiladi deb umid qilish o'rniga tarmoq xavfsizlik guruhi va xost xavfsizlik devori bilan kirishni cheklang.

Qaror 2: yo'naltirilgan mijoz qaysi manbadan foydalanadi

Shlyuz mijoz so'rovini shifrdan yechgandan so'ng, u yo'naltiradigan paket VPN tinglovchisiga kelgan paketdan farq qiladi. Mehmon yoqilgan yo'naltirish, oqimga ruxsat beruvchi xavfsizlik devori siyosati va bulut dizayni ruxsat beradigan manba manziliga muhtoj. Agar mijozning ichki manzilini tarjima qilsangiz, Azure aynan shu tarjima qilingan manbani baholaydi, mijozning ichki manzilini emas.

Tor SNAT qoidasi mehmonning xususiy manbasini tanlashi mumkin, lekin keyingi Azure tarjimasini yengib o'ta olmaydi. VM ichida har bir mijoz uchun javobgarlik kerak bo'lsa SNAT ni tanlang; quyi tarmoqning chiqish dizayni allaqachon barqaror ommaviy manba bersa va ikkinchi tarjima faqat holat qo'shsa, undan voz keching.

Qaror 3: qaysi Azure chiqish usuli g'olib chiqadi

Microsoftchiqish ustuvorlik tartibinihujjatlashtiradi: qurilma yoki shlyuzga tatbiq etiladigan marshrut ustuvor, tegishli yo'lda quyi tarmoqning NAT Gateway ulanishi esa nusxa darajasidagi ommaviy IP dan ustun. Shu tartib sababli 10.20.0.5 ga tarjima qilish veb-sayt 198.51.100.20 ni ko'rishini isbotlamaydi. Chiqish dizaynini qabul qilishdan oldin amaldagi marshrutlar jadvalini, NAT Gateway bog'lanishini va NIC ning ommaviy IP sini birga o'qing.

Ajratib saqlang:Azure NIC yo'naltirish sozlamasiLinux yo'naltirishidan alohida. Bulut bayrog'i manbasi yoki manzili NIC ga tayinlanmagan paketlarga ruxsat beradi; u net.ipv4.ip_forward ni yoqmaydi va mehmon sozlamasi bulut ruxsatini bermaydi.

Tunnel soketining o'z manba qarori bor

wg-quick ostidagi WireGuard Address parametri WireGuard interfeysiga manzil tayinlaydi; bu tashqi UDP bog'lanish ko'rsatmasi emas. Shifrlangan soketning manbasi marshrutlar jadvaliga ergashadi, shuning uchun siyosat marshruti yoki ikkinchi standart marshrut interfeys manziliga tegmasdan uni ko'chirishi mumkin.OpenVPNning local opsiyasi va UDP multihome ham xuddi shunday yo'l tutadi: ular tinglovchi va uning javoblariga taalluqli, har bir yo'naltirilgan mijozning internet manbasiga emas.

Tunnelni ko'taruvchi quyi qatlam marshrutini saqlang va mijoz hali ham kutilgan kirish tartibidan autentifikatsiya qilingan javoblar olishini tasdiqlang. Manzillar ro'yxati tartibiga doimiy manba tanlash siyosati sifatida tayanmang, chunki NIC ga qo'shiladigan keyingi manzil qaysi biri g'olib chiqishini o'zgartirishi mumkin.

Nimani va qanday tartibda qabul qilish kerak

Uchta natijani alohida qabul qiling. Birinchidan, tashqi mijoz mo'ljallangan VPN kirishiga yetadi. Ikkinchidan, o'sha VPN mijozining yangi ruxsat etilgan so'rovi hujjatlashtirilgan internet chiqishidan chiqadi. Uchinchidan, mo'ljallanmagan tinglovchi va yo'naltirish yo'llari rad etilgan holda qoladi. Ommaviydan xususiyga xaritalarni va har bir qarorning mehmon hamda bulut mas'ullarini bir joyda yozib qo'ying.

Muvaffaqiyatli tunnel faqat birinchi qismni isbotlaydi. Chiqishni yangi oqim bilan sinab ko'ring, chunki keshlangan ulanish marshrut o'zgargandan keyin ham uzoq vaqt eski manbadan foydalanishi mumkin.