Pacotes de saída eliminando / expirando - somente com o Azure

Question

Eu tenho um problema com pacotes caindo para um centro de dados de terceiros na Flórida, EUA. O problema ocorre apenas em máquinas virtuais do Azure, independentemente do datacenter em que a VM esteja. Eu fiz os mesmos testes simultaneamente de outras redes que não são do Azure e não há perda de pacotes. As máquinas virtuais do Azure eram "inúteis" / prontas para uso sem softwares carregados ou outras personalizações / alterações.

Já falei com os administradores de rede no datacenter e os únicos pacotes que eles veem são os que não têm tempo limite; os pacotes que atingem o tempo limite nunca chegam ao firewall, por isso parece algo do lado do Azure (especialmente porque os pacotes eliminam / esgotam consistentemente vários datacenters / regiões do Azure). Alguém sabe como eu poderia resolver isso?

O teste que eu estava executando foi um ping TCP contínuo (usando tcping.exe ) para a porta 80 (desde ICMP está bloqueado no Azure):

tcping -t 216.155.111.149 80
tcping -t 216.155.111.151 80
tcping -t 216.155.111.146 80

Outra evidência que apóia o fato de que não é o data center de terceiros é que eu posso executar o mesmo ping TCP contínuo do meu computador de casa / computador de trabalho e não descartar pacotes. Eu também configuro uma VPN de encapsulamento da VM do Azure para uma VM em um datacenter que não seja do Azure e nenhum pacote é descartado. A única ocasião em que os pacotes são descartados é quando o tráfego sai diretamente para a Internet / WAN via Azure.

Sei que a próxima etapa seria alguns testes de rota de rastreamento, mas como o Azure bloqueia o ICMP, tive de usar o nmap para executar uma rota de rastreamento TCP ; colados abaixo estão as imagens desses testes.

nmap -sS -p 80 -Pn --traceroute 216.155.111.149

    

Answer 1

Como mencionei no meu comentário, você está efetivamente atingindo um cenário semelhante ao descrito em este artigo .

Eu poderia reproduzir facilmente seu comportamento:

Eeupoderiaresolverfacilmenteoproblemaadicionandoum IP público no nível da instância para a VM:

Édifícildizerexatamenteoqueestáacontecendo,jáquenãotemoscapturassimultâneas,masmeuentendimentoéqueodispositivodeborda(potencialmenteumfirewall)nositeremoto(www.oandp.com)mantémconexõesfechadasemsuatabeladeconexõespormaistempodoqueoAzure,portanto,quandooAzureusaumadasportasliberadas(ouseja,jáusadas)eoladoremotoaindaachaqueaconexãonãoestátotalmentefechada,nossospacotesSYNsãodescartados.

OILPIPaplicaumNATestáticoouum"NAT de um para um", portanto, não há tradução de porta nem reutilização de porta (a menos que seu sistema operacional o faça), evitando assim o problema.