IP statig Azure P2S VPN: pam mae cyfeiriad y cleient yn newid

Mae pob cleient Azure point-to-site yn cael cyfeiriad o'r pwll pan fydd yn dilysu, ac yn ei gadw dim ond am oes y cysylltiad hwnnw. Nid oes tabl cadw, dim mapio fesul defnyddiwr, a dim gosodiad porth sy'n golygu “rhoi 172.16.0.10 i'r person hwn bob amser”. Mae'r un mecanwaith hwnnw'n esbonio'r ddau symptom y bydd pobl yn dod ar eu traws yn ddiweddarach: rheol NSG sy'n peidio â chyd-fynd â defnyddiwr yr oedd yn arfer cyd-fynd ag ef, a rhestr ganiatáu sy'n gadael peiriant i mewn yn dawel na chyfrannodd neb ef ato yn fwriadol. Nid yw disodli'r rheol â rheol IP mwy cyfrwys yn trwsio'r naill na'r llall, oherwydd mae'r peth y mae'r rheol yn ei enwi yn cael ei ailddyrannu ar amserlen nad ydych yn ei rheoli.

Capasiti yw'r pwll, nid hunaniaeth. Mae'n bodoli er mwyn i dwneli cyfochrog gael cyfeiriadau unigryw, ac mae'n ailgylchu'r rhain ar yr union funud y daw prydles i ben. Unwaith y mae hynny'n glir, mae'r cwestiwn defnyddiol yn peidio â bod “sut mae pinio'r cleient hwn” ac yn dod yn “yn erbyn beth y gallaf ysgrifennu rheol na fydd y porth yn ei hailgylchu”.

Beth mae'r porth yn ei wneud mewn gwirionedd pan fydd cleient yn cysylltu

Mae'r porth yn cadw'r pwll cyfeiriadau cleient wedi'i ffurfweddu ac yn ei drin fel tabl prydles. Wrth gysylltu mae'n cymryd y cyfeiriad rhydd nesaf, yn ymarferol yr un isaf sydd ar gael, ac yn ei aseinio i addasydd y twnnel nes bod y cleient yn datgysylltu neu nes bod y brydles yn dod i ben. Trefn sy'n penderfynu, nid hunaniaeth: pwy bynnag sy'n ailgysylltu gyntaf ar ôl cyfnod tawel sy'n cael y cyfeiriad isaf sydd ar gael y foment honno.

Mae maint y pwll yn cuddio'r ymddygiad. Mae pwll labordy un neu ddau gyfeiriad yn fwy na nifer y profwyr yn edrych yn benderfyniadol, oherwydd bod yr un gliniadur yn tueddu i ailgysylltu yn yr un drefn bob bore. Ychwanegwch drydedd peiriant, newidiwch faint y pwll, neu gadewch sesiwn yn gysylltiedig dros ginio, ac mae'r patrwm yn torri. Nid oedd y cyfeiriad erioed yn sefydlog; y ciw oedd.

Mae unrhyw newid i ffurfweddiad point-to-site hefyd yn ailosod y gofod prydles. Math dilysu gwahanol, pwll wedi'i ailfeintio, ystod pwll newydd, neu borth sy'n cael ei ddymchwel a'i ailadeiladu — maent i gyd yn anfon cleientiaid yn ôl i bwll nad yw'n cyfateb mwyach i'w hen gyfeiriadau. Nid oes dim yn y newid hwnnw yn cyffwrdd â'ch NSG, a dyna pam mae'r torri yn edrych yn ddigymell.

Gallwch ei wylio yn digwydd mewn tua munud. Cysylltwch, nodwch gyfeiriad y twnnel ym manylion cysylltiad y cleient, datgysylltwch, cysylltwch ail beiriant, yna ailgysylltwch y cyntaf. Mae'r cyfeiriad a gewch yn ôl yn dibynnu ar yr hyn y mae'r ail beiriant yn ei ddal, ac ni fydd unrhyw osodiad porth yn adfer yr un blaenorol ar gais.

Mae NSG sy'n seiliedig ar IP y cleient mewn gwirionedd yn rheol ar drefn cysylltu

Y rheol y mae pobl yn ei hysgrifennu gyntaf yw'r un amlwg: rheol fewnol ar NIC y VM rheoli neu ar ei is-rwydwaith, gyda chyfeiriad mewnol y cleient VPN fel ffynhonnell. Mae'n fyr, mae'n pasio'r prawf ar y diwrnod y caiff ei hysgrifennu, ac mae'n methu cyn gynted ag y bydd gan y pwll fwy nag un cyfeiriad rhydd.

Daw dau fodd o fethu o hynny, a dim ond un ohonynt sy'n edrych fel nam. Gwrthodir defnyddiwr dilys oherwydd bod rhywun arall yn dal y cyfeiriad y mae'r rheol yn ei enwi ar hyn o bryd, ac mae hynny'n cyrraedd fel tocyn cymorth annifyr. Neu caniateir defnyddiwr na fwriadwyd oherwydd ei fod wedi etifeddu cyfeiriad y mae'r rheol yn dal i ymddiried ynddo, ac nid yw hynny'n cyrraedd o gwbl nes bod rhywun yn archwilio mynediad.

Gan fod y rheol yn dilyn y brydles, mae'r polisi effeithiol yn darllen “y person cyntaf i gysylltu sy'n cael mynediad rheoli”. Disgrifiad o drefn cysylltu yw hyn wedi'i wisgo fel bwriad, ac nid oes unrhyw hylendid rheolau yn ei wneud yn fynegiad o fwriad.

Mae prydles y cleient a chyfeiriad y porth yn wrthrychau gwahanol

Daw'r rhan fwyaf o'r dryswch o un gair. Mae gan y porth IP cyhoeddus sy'n gymharol sefydlog; mae gan gleientiaid gyfeiriadau preifat o'r pwll nad ydynt felly. Ar gyfer porth VPN nad yw'n barhaus ar draws parthau, mae'r IP cyhoeddus yn cael ei ddyrannu'n ddeinamig, ond mae'n goroesi ailfeintio, ailosod a chynnal a chadw arferol — mae'n newid pan fydd y porth ei hun yn cael ei ddileu a'i ailgreu. Mae SKU porth parthol a pharthbarhaus yn defnyddio IP cyhoeddus SKU Standard, a rhaid i'r dyraniad hwnnw fod yn statig.

Y sefydlogrwydd hwnnw yw'r hyn y mae partner safle angen yn ei ffurfweddiad, ac nid yw'n dweud dim am adnabod cleient unigol. Pan fydd partner yn gofyn pa gyfeiriad y byddant yn ei weld, yr ateb yw IP cyhoeddus y porth o dan site-to-site, neu ystod NAT a rennir — byth prydles twnnel gliniadur.

Mae pyllau grŵp yn rhoi ystod sy'n werth ysgrifennu rheolau yn ei herbyn

Mae Virtual WAN point-to-site yn cefnogi grwpiau defnyddwyr, a gellir aseinio ei bwll cyfeiriadau cleient ei hun i bob grŵp. Penderfynir aelodaeth gan hunaniaeth, felly mae'r ystod y mae cleient yn glanio ynddi yn dod yn ragweladwy: gweithrediadau mewn un ystod, contractwyr mewn un arall, ac mae'r ystod yn rhywbeth y gall rheol tânfur neu NSG ei enwi heb ddyfalu.

Mae gan y set rheolau sy'n deillio ohono siâp y gallwch ei adolygu:

• un pwll fesul cynulleidfa, wedi'i feintio ar gyfer brig sesiynau cyfochrog yn hytrach na phennau;
• aelodaeth grŵp yn cael ei thrin trwy hunaniaeth, nid trwy olygu rheolau pryd bynnag y bydd rhywun yn ymuno;
• rheolau NSG neu Azure Firewall wedi'u hysgrifennu yn erbyn ystodau pwll, byth yn erbyn prydlesau unigol;
• canolfan neu borth ar wahân ar gyfer cynulleidfaoedd na ddylent byth rannu ystod.

Mae rhoi pwll cyfan ar y rhestr ganiatáu yn onest ond yn fras: mae pob cleient cysylltiedig yn yr ystod honno'n cael yr un mynediad. Penderfyniad polisi yw hwnnw sy'n werth ei ddweud yn uchel yn lle ei ddarganfod yn ystod adolygiad. Mae unrhyw beth sydd o hyd angen ateb fesul person yn perthyn i'r adnodd, trwy aseiniadau rôl, nid i'r hidlydd pecynnau.

Pan na all y defnyddiad symud i Virtual WAN

Mae llawer o byrth yn aros yn byrth VPN cyffredin, ac nid yw symud i Virtual WAN yn newid achlysurol. Yr ateb ymarferol yw symud y penderfyniad fesul defnyddiwr oddi ar yr hidlydd pecynnau ac ymlaen i rywbeth sy'n gwybod yn barod pwy yw'r defnyddiwr.

Hunaniaeth ar lefel adnodd yw'r fersiwn rataf. Mae Storage, SQL a Key Vault i gyd yn cefnogi dilysu Entra ID ag aseiniadau rôl fesul defnyddiwr neu fesul grŵp, felly dim ond cyrhaeddiad rhwydwaith y mae angen i'r VPN ei brofi. Mae gwesteiwr naid â chyfrifon enwir yn gwneud yr un gwaith ar gyfer gwaith gweinyddol, oherwydd mae'r gwesteiwr yn cofnodi'r person a'r twnnel yn unig yn cludo pecynnau. Mae cofrestru cleientiaid yn DNS a rhoi'r enw yn lle'r rhif ar y rhestr ganiatáu yn symud y rheol i fyny un haen. Mae hunaniaeth haen cymhwysiad — pwnc tystysgrif, haeriad tocyn, aelodaeth grŵp — yn gweithio pan mai'r cymhwysiad, nid y rhwydwaith, yw'r peth y gofynnir iddo benderfynu.

Ar gyfer partner sy'n mynnu cyfeiriad ffynhonnell sefydlog, yr ateb yw site-to-site neu ExpressRoute â rhagddodiad cymar diffiniedig. Maent yn caniatáu'r rhagddodiad cymar, mae'r cyfeiriad sy'n ymddangos ar eu hochr yn perthyn i'r porth, ac nid yw'n newid pan fydd rhywun yn ailgychwyn gliniadur.

Gwiriwch y pwll cyn i chi olygu rhestr ganiatáu arall

Mae dau briodwedd pwll yn achosi'r rhan fwyaf o'r ymddygiad y mae pobl yn ei feio ar y cleient. Mae pwll sy'n rhy fach yn ailgylchu prydlesau'n gyflym, felly mae cyfeiriadau'n ymddangos fel pe baent yn symud yn gyson ac mae unrhyw reol sy'n seiliedig ar gyfeiriad yn edrych yn sigledig o'r dechrau. Mae pwll sy'n gorgyffwrdd ag ystodau safle neu ofod y rhwydwaith rhithwir yn creu ansicrwydd llwybro na fydd unrhyw reol tânfur yn ei drwsio.

Rhowch dri pheth ar un dudalen cyn cyffwrdd â rheol: y pwll point-to-site, gofod cyfeiriadau'r rhwydwaith rhithwir, a'r ystodau safle. Rhaid iddynt beidio â gorgyffwrdd, ac mae angen lle ar y pwll ar gyfer pob cleient ar yr un pryd ynghyd â chylfaint ar gyfer ailgysylltu.

Yna cau'r ddolen yn y drefn hon:

• Cysylltwch o ddau beiriant yn y ddau drefn a chymharwch y cyfeiriadau; os gallant gyfnewid, nid oes unrhyw reol sy'n seiliedig ar gyfeiriad yn ddiogel.
• Gwiriwch a yw'r porth yn Virtual WAN; os yw, defnyddiwch byllau grŵp yn lle rheolau fesul cyfeiriad.
• Gofynnwch beth sy'n digwydd pan fydd rheol yn cyfateb i'r person anghywir; os mai digwyddiad mynediad yw'r ateb, symudwch y rheolaeth i hunaniaeth.
• Cofnodwch pa ystod sy'n perthyn i ba grŵp yn yr un storfa â'r diffiniadau NSG.
• Ailbrofwch ar ôl unrhyw newid i'r pwll, dilysu neu'r porth, oherwydd mae'r newidiadau hynny'n ailysgrifennu'r mapio heb gyhoeddi hynny.