Краткое руководство. Диагностика проблемы с фильтром трафика на виртуальной машине с помощью портала Azure

С помощью этого краткого руководства вы развернете виртуальную машину (VM) и проверите доступ к IP-адресу и URL-адресу, а также доступ с IP-адреса. Затем вы определите причину проблемы с подключением и найдете способ ее устранения.

Если у вас еще нет подписки Azure, создайте бесплатную учетную запись, прежде чем начинать работу.

Вход в Azure

Войдите на портал Azure по адресу https://portal.azure.com.

Создание виртуальной машины

Выберите + Создать ресурс в верхнем левом углу окна портала Azure.

Выберите Вычисление, а затем — Windows Server 2019 Datacenter или версию Ubuntu Server.

Введите или выберите следующие значения, примите значения по умолчанию для остальных параметров и нажмите кнопку ОК:

Нажмите кнопку Проверить и создать, чтобы начать развертывание виртуальной машины. Развертывание виртуальной машины занимает несколько минут. Дождитесь окончания развертывания виртуальной машины, прежде чем приступить к выполнению следующих шагов.

Тестирование взаимодействия по сети

Чтобы проверить сетевое подключение с помощью Наблюдателя за сетями, прежде всего необходимо включить Наблюдатель за сетями хотя бы в одном регионе Azure, а затем применить в Наблюдателе за сетями функцию проверки IP-потока.

Если в хотя бы одном регионе уже включена служба "Наблюдатель за сетями", перейдите к разделу Применение проверки IP-потока.

1. На портале Главная выберите Больше служб. В текстовом поле Фильтр введите Наблюдатель за сетями. Когда в результатах появится Наблюдатель за сетями, выберите его.
2. Включите "Наблюдатель за сетями" в регионе "Восточная часть США", так как это регион, куда была развернута виртуальная машина на предыдущем шаге. Выберите Добавить, чтобы развернуть элементы, а затем выберите Регион в разделе Подписка, как показано на следующем рисунке:
3. Выберите регион и нажмите Добавить.

При создании виртуальной машины Azure применяет к ней стандартные правила разрешений и запретов трафика. Позднее вы можете переопределить эти значения по умолчанию, чтобы разрешить или запретить дополнительные типы трафика.

На портале Главная выберите Больше служб. В поле Фильтр в разделе Все службы введите Наблюдатель за сетями. Когда в результатах появится Наблюдатель за сетями, выберите его.

В разделе Средства диагностики сети выберите Проверка IP-потока.

Выберите подписку, введите или выберите следующие значения и щелкните Проверка, как показано на изображении ниже:

Параметр Значение Подписка Выберите свою подписку. Группа ресурсов Выберите MyResourceGroup. Виртуальная машина Выберите myVm. сетевому интерфейсу myvm — имя сетевого интерфейса, созданного на портале при создании виртуальной машины отличается Протокол TCP Направление Исходящие Локальный IP-адрес 10.0.0.4 Локальный порт 60 000 Удаленный IP-адрес 13.107.21.200 — один из адресов для <www.bing.com>. Удаленный порт 80

Через несколько секунд вы получите результат, извещающий о том, что такой доступ разрешается правилом безопасности с именем AllowInternetOutbound. При выполнении проверки Наблюдатель за сетями автоматически создается в регионе "Восточная часть США", если существующий Наблюдатель за сетями был расположен в другом регионе до запуска проверки.

Выполните шаг 3 еще раз, но измените значение удаленного IP-адреса на 172.31.0.100. Результат свидетельствует о том, что такой доступ запрещен правилом безопасности с именем DenyAllOutBound.

Выполните шаг 3 еще раз, но укажите для направления значение Входящие, локальный порт80 и удаленный порт60000. Удаленный IP-адрес остается 172.31.0.100. Результат свидетельствует о том, что такой доступ запрещен правилом безопасности с именем DenyAllInBound.

Теперь вы знаете, какие правила безопасности разрешают или запрещают трафик к виртуальной машине или от нее. Это поможет вам решить проблему.

Просмотр сведений о правиле безопасности

Чтобы определить, почему правила в шагах 3–5 раздела Применение проверки IP-потока разрешают или запрещают обмен данными, проверьте действующие правила безопасности для сетевого интерфейса виртуальной машины.

В поле поиска в верхней части портала введите myvm. Когда в результатах поиска появится обычный сетевой интерфейс myvm, выберите его.

В разделе Поддержка и устранение неполадок выберите Действующие правила безопасности, как показано на следующем рисунке:

На шаге 3 в разделе применения проверки IP-потока вы узнали, что причиной разрешения обмена данными является правило AllowInternetOutbound. На предыдущем рисунке можно увидеть, что назначение для правила — Интернет. Не совсем ясно, почему примененный на шаге 3 в разделе применения проверки IP-потока адрес 13.107.21.200 относится к категории Интернет.

Выберите правило AllowInternetOutBound, а затем прокрутите вниз до параметра Назначение, как показано на следующем рисунке:

Один из этих префиксов имеет значение 12.0.0.0/8, которое охватывает диапазон IP-адресов с 12.0.0.1 по 15.255.255.254. Так как 13.107.21.200 попадает в этот диапазон адресов, правило AllowInternetOutBound разрешает исходящий трафик. Кроме того, на изображении в шаге 2 не существует правил с более высоким приоритетом (чем меньше это число, тем выше приоритет), которые переопределяют указанное выше правило. Закройте поле Префиксы адресов. Чтобы запретить исходящий трафик по адресу 13.107.21.200, вы можете добавить правило безопасности с более высоким приоритетом, которое запрещает исходящие подключения по этому IP-адресу через порт 80.

При выполнении проверки исходящих данных на адрес 172.131.0.100 на шаге 4 раздела Применение проверки IP-потока вы узнали, что правило DenyAllOutBound запрещает обмен данными. Это правило соответствует правилу DenyAllOutBound, показанному на изображении на шаге 2, где для Назначения указано 0.0.0.0/0. Это правило запрещает исходящие подключения на адрес 172.131.0.100, так как он не входит в диапазон назначения любого из правил для исходящего трафика,показанных на изображении. Чтобы разрешить исходящий трафик, вы можете добавить правило безопасности с более высоким приоритетом, которое разрешает исходящие соединения для IP-адреса 172.131.0.100 по порту 80.

При запуске проверки входящего трафика с адреса 172.131.0.100 на шаге 5 раздела Применение проверки IP-потока вы узнали, что правило DenyAllInBound запрещает обмен данными. Это правило соответствует правилу DenyAllInBound, показанному на изображении в шаге 2. Правило DenyAllInBound применяется принудительно, так как отсутствуют другие правила с высоким приоритетом, разрешающие входящий трафик на виртуальную машину по порту 80 с адреса 172.31.0.100. Чтобы разрешить входящий трафик, вы можете добавить правило безопасности с более высоким приоритетом, которое разрешает входящий трафик на порт 80 с адреса 172.31.0.100.

Проверки в этом кратком руководстве предназначены для тестирования конфигурации Azure. Если все эти проверки возвращают ожидаемые результаты, но сетевые проблемы при этом сохраняются, проверьте отсутствие брандмауэров между виртуальной машиной и конечной точкой, с которой вы взаимодействуете, а также отсутствие брандмауэра в операционной системы самой виртуальной машины, который разрешает или запрещает обмен данными.

Очистка ресурсов

Удалите группу ресурсов и все содержащиеся в ней ресурсы, когда она станет не нужна.

1. В поле Поиск в верхней части портала введите myResourceGroup. Когда группа ресурсов myResourceGroup появится в результатах поиска, выберите ее.
2. Выберите Удалить группу ресурсов.
3. Введите myResourceGroup в поле TYPE THE RESOURCE GROUP NAME: (Введите имя группы ресурсов:) и нажмите кнопку Удалить.

Дальнейшие действия

С помощью этого краткого руководства вы создали виртуальную машину и проверили работу фильтров входящего и исходящего трафика. Вы узнали, что правила групп безопасности сети могут разрешать или запрещать исходящий и входящий трафик виртуальной машины. Изучите дополнительные сведения о правилах безопасности и создании правил безопасности.

Даже если фильтры трафика правильно настроены, обмен данными с виртуальной машиной может завершиться сбоем из-за настроек маршрутизации. Сведения о том, как диагностировать проблемы с маршрутизацией в сети виртуальных машин, см. в этом кратком руководстве. Единое средство для диагностики проблем с исходящей маршрутизацией, задержками и фильтрацией описано в статье об устранении неполадок с подключением.