Вопрос или проблема
Я запускаю виртуальную машину Linux на Azure (IaaS), которая предоставляет SFTP-сервис для Интернета.
Я переношу этот сервис обратно на локальные серверы через брандмауэр на другом публичном IP-адресе.
К сожалению, многие клиенты подключаются к этому сервису через публичный IP-адрес (в отличие от FQDN).
- У виртуальной машины Linux публичный IP 1.1.1.1 прямо на ее сетевом интерфейсе.
- У брандмауэра публичный IP 2.2.2.2.
Я хочу перенаправить трафик на локальный брандмауэр.
Существует ли в Azure сервис/ресурс, который может принимать входящие соединения на 1.1.1.1, затем изменять IP-адрес назначения на 2.2.2.2, а затем также изменять IP-адрес источника на 1.1.1.1 или другой публичный IP (например, 3.3.3.3) на этом сервисе/ресурсе?
Спасибо!
Перенаправление на уровне IP (сетевом уровне), о котором вы спрашиваете, не существует, как и поддержка SFTP для подобного (в отличие от HTTP).
Просто измените DNS-запись, указывающую на новый сервер, и всё. Если вы еще не используете DNS, сейчас самое время начать.
Конечно, вы могли бы перенаправить запросы и данные между старым и новым сервером (используя NAT источника и назначения или подобное), но тогда поток данных был бы неудобным.
Ответ или решение
IP-ориентированное перенаправление трафика в Azure: Решения и рекомендации
Перенаправление IP-трафика может быть сложным, особенно когда речь идет о миграции услуг, таких как SFTP, из облака Azure в локальную инфраструктуру. В вашем случае у вас есть виртуальная машина в Azure с публичным IP-адресом 1.1.1.1, и вы хотите перенаправить трафик на локальный фаервол с публичным IP-адресом 2.2.2.2. Рассмотрим возможные решения, используя услуги Azure и сетевые технологии.
Проблема
Как указано, многие ваши клиенты соединяются с SFTP-сервисом через публичный IP-адрес (1.1.1.1), в то время как новая служба будет находиться на локальном сервере за фаерволом с другим публичным IP (2.2.2.2). Ваша задача состоит в том, чтобы перенаправить входящие соединения от 1.1.1.1 к 2.2.2.2. Однако, как было отмечено, существует множество ограничений при попытке реализовать перенаправление на уровне IP.
Ограничения IP-редиректа
На уровне сети IP-редирект не поддерживает динамическое перенаправление IP-адресов, как это делается в приложениях уровня 7 (например, для HTTP). Протокол SFTP (SSH File Transfer Protocol) не поддерживает перенаправление на уровне IP так, как это делает HTTP. Поэтому простое перенаправление IP-трафика с 1.1.1.1 на 2.2.2.2 через облачные сервисы Azure невозможно.
Решения
-
Максимальное использование DNS:
Если вы еще не начали использовать DNS, настоятельно рекомендую сделать это. Измените записи DNS, чтобы направить запросы к новому IP-адресу (2.2.2.2). Это лучший способ управления трафиком, так как позволяет вам легко управлять и изменять адреса серверов, не беспокоясь о статических IP-адресах. -
Azure Load Balancer:
Чтобы достичь более высокого уровня управления трафиком, рассмотрите использование Azure Load Balancer. Он позволит вам настраивать правило NAT, которое будет принимать входящие соединения на 1.1.1.1 и перенаправлять их на ваш локальный IP-адрес (где находится ваш фаервол). Обратите внимание, что вам потребуется правильно настроить фаервол для обработки этих перенаправляемых соединений. -
VPN или ExpressRoute:
Если ваша система требует большей безопасности и стабильности, возможно, стоит рассмотреть возможность создания VPN-соединения или использования ExpressRoute для установления частного соединения между вашим локальным сервером и Azure. Это обеспечит надежное соединение и более высокий контроль над маршрутизацией данных. -
Обработка трафика с помощью промежуточного сервера:
Хотя это может потребовать дополнительной настройки и ресурсов, вы можете развернуть промежуточный сервер в Azure, который будет принимать входящий трафик на 1.1.1.1 и затем передавать его на локальный фаервол 2.2.2.2 с помощью специализированного софта, который поддерживает прокси или маршрутизацию.
Заключение
Для успешной миграции вашего SFTP-сервиса крайне важно стратегически планировать, особенно учитывая тот факт, что клиенты подключаются через статический IP-адрес. Использование DNS для перенаправления — это первый шаг, который сократит множество потенциальных проблем. Если изменение DNS-записей невозможно, рассмотрите вариант с Azure Load Balancer или промежуточными серверами, несмотря на их ограничения.
Предлагаю организовать встречу или консультацию, чтобы обсудить эти решения более детально и определить наилучший подход для вашего бизнеса.