IP statach in Azure P2S VPN: cén fáth a n-athraíonn seoladh an chliaint

Faigheann gach cliant Azure point-to-site seoladh ón linn nuair a dhéanann sé féinpháirtíocht, agus ní choinníonn sé é ach chomh fada agus a mhaireann an nasc sin. Níl aon tábla áirithinte, aon mhapáil in aghaidh an úsáideora, ná aon socrú geata a chiallaíonn “tabhair 172.16.0.10 don duine seo i gcónaí”. Míníonn an t-aon mheicníocht sin an dá chomhartha a bhuaileann daoine leo níos déanaí: riail NSG a stopann ag teacht le húsáideoir ar tháinig sí leis roimhe, agus liosta ceadaithe a ligeann isteach go ciúin meaisín nach bhfuair aon duine seachas é féin é a chur leis d'aon ghnó. Ní réitíonn riail IP níos cliste na rudaí céanna, mar go ndéantar an rud a ainmníonn an riail a athdháileadh de réir sceidil nach bhfuil faoi do smacht.

Cumas is ea an linn, ní féiniúlacht. Tá sí ann ionas go bhfaigheadh tolláin chomhaimseartha seoltaí uathúla, agus athchúrsálann sí iad an nóiméad a chríochnaíonn léas. Nuair a bhíonn sé sin soiléir, stopann an cheist úsáideach de bheith “conas an cliant seo a phionnáil” agus éiríonn sí “cad is féidir liom riail a scríobh ina choinne nach ndéanfaidh an geata a athchúrsáil”.

Cad a dhéanann an geata i ndáiríre nuair a nascann cliant

Coinníonn an geata an linn seoltaí cliaint atá cumraithe agus caitheann sé léi mar thábla léas. Ar nasc, tógann sé an chéad seoladh saor eile, go praiticiúil an ceann is ísle atá ar fáil, agus sannann sé don oiriúnaitheoir tolláin é go dtí go ndícheanglaíonn an cliant nó go dtí go dtagann deireadh leis an léas. Is é an t-ord a shocraíonn, ní an fhéiniúlacht: an té a athnascann ar dtús tar éis tréimhse chiúin, faigheann sé an seoladh is ísle a bhíonn saor go fóill ag an nóiméad sin.

Folaíonn méid na linne an t-iompar. Breathnaíonn linn saotharlainne atá seoladh nó dhó níos mó ná líon na dtástálaithe chomh cinntitheach, mar go mbíonn an ríomhaire glúine céanna ag athnascadh san ord céanna gach maidin. Cuir tríú meaisín leis, athraigh méid na linne, nó fág seisiún nasctha thar am lóin, agus briseann an patrún. Ní raibh an seoladh riamh cobhsaí; ba í an scuaine a bhí.

Athshocraíonn aon athrú ar chumraíocht point-to-site an spás léas freisin. Cineál féinpháirtíochta difriúil, linn athmhéadaithe, raon linne nua, nó geata a scartar agus a atógáil — seolann siad uile na cliaint ar ais isteach i linn nach gcomhfhreagraíonn dá seoltaí sean a thuilleadh. Ní bhaineann aon rud sa athrú sin le do NSG, agus is mar sin a bhíonn an briseadh le feiceáil go spontáineach.

Is féidir leat é a fheiceáil ag tarlú i gceann nóiméid nó mar sin. Nasc, breac síos seoladh an tolláin i sonraí naisc an chliaint, dícheangail, nasc dara meaisín, agus ansin athnasc an chéad cheann. Braitheann an seoladh a fhaigheann tú ar ais ar an rud atá ag an dara meaisín, agus ní chuirfidh aon socrú tairsí an ceann roimhe ar ais ar éileamh.

Is riail ar ord na nasc i ndáiríre é NSG atá bunaithe ar IP an chliaint

Is í an riail a scríobhann daoine ar dtús an ceann follasach: riail isteach ar NIC an VM bainistíochta nó ar a fho-líonra, le seoladh inmheánach an chliaint VPN mar fhoinse. Tá sí gearr, éiríonn sí leis an tástáil ar an lá a scríobhtar í, agus teipeann sí chomh luath agus a bhíonn níos mó ná aon seoladh saor amháin sa linn.

Leanann dhá mhód teipe as sin, agus ní fhéachann ach ceann acu amhail fabht. Diúltaítear d'úsáideoir dlisteanach mar go bhfuil an seoladh a ainmníonn an riail ag duine éigin eile faoi láthair, agus tagann sé sin isteach mar thicéad tacaíochta cráite. Nó ligtear isteach d'úsáideoir nach raibh beartaithe mar go bhfuair sé seoladh le hoidhreacht a bhfuil an riail fós ag brath air, agus ní thagann sé sin isteach ar chor ar bith go dtí go ndéanann duine iniúchadh ar an rochtain.

Ós rud é go leanann an riail an léas, deir an polasaí éifeachtach “an chéad duine a nascann, faigheann sé rochtain bhainistíochta”. Is cur síos ar ord na nasc é sin atá gléasta mar rún, agus ní dhéanann aon ghlaine riail de go mbeadh sé ina léiriú rúin.

Is rudaí difriúla iad léas an chliaint agus seoladh an gheata

Tagann an chuid is mó den mhearbhall ó aon fhocal amháin. Tá IP poiblí ag an ngeata atá réasúnta cobhsaí; tá seoltaí príobháideacha ag na cliaint ón linn nach bhfuil. I gcás geata VPN nach bhfuil iomarcach ó thaobh crios de, déantar an IP poiblí a leithdháileadh go dinimiciúil, ach maireann sé trí athmhéadú, athshocrú agus cothabháil rialta — athraíonn sé nuair a scriostar agus a athchruthaítear an geata féin. Úsáideann SKUanna geata crios-iomarcacha agus criosacha IP poiblí de SKU Standard, agus caithfidh an leithdháileadh sin a bheith statach.

Is é an chobhsaíocht sin an rud a theastaíonn ó phiara áitiúil ina chumraíocht, agus ní deir sí aon rud faoi chliant aonair a aithint. Nuair a fhiafraíonn comhpháirtí cén seoladh a fheicfidh sé, is é an freagra IP poiblí an gheata faoi site-to-site, nó raon NAT comhroinnte — riamh léas tolláin ríomhaire glúine.

Tugann linnte grúpa raon ar fiú rialacha a scríobh ina choinne

Tacaíonn Virtual WAN point-to-site le grúpaí úsáideoirí, agus is féidir linn seoltaí cliaint dá gcuid féin a shannadh do gach grúpa. Socraítear ballraíocht de réir féiniúlachta, mar sin éiríonn an raon a dtiteann cliant ann intuartha: oibríochtaí i raon amháin, conraitheoirí i raon eile, agus is rud é an raon ar féidir le riail balla dóiteáin nó NSG é a ainmniú gan buille faoi thuairim.

Tá cruth ar an tacar rialacha a thagann as ar féidir leat é a athbhreithniú:

• linn amháin in aghaidh an lucht féachana, méadaithe do bhuacphointí seisiún comhaimseartha seach líon na ndaoine;
• ballraíocht grúpa á láimhseáil trí fhéiniúlacht, ní trí rialacha a chur in eagar gach uair a thagann duine isteach;
• rialacha NSG nó Azure Firewall scríofa in aghaidh raonta linne, riamh in aghaidh léas aonair;
• mol nó geata ar leith do luchta féachana nach gceart dóibh raon a roinnt choíche.

Tá sé macánta ach garbh linn iomlán a chur ar an liosta ceadaithe: faigheann gach cliant nasctha sa raon sin an rochtain chéanna. Is cinneadh polasaí é sin ar fiú é a rá os ard in ionad é a fháil amach le linn athbhreithnithe. Baineann aon rud a theastaíonn freagra in aghaidh an duine fós leis an acmhainn, trí rólanna a shannadh, ní leis an scagaire paicéad.

Nuair nach féidir leis an imscaradh bogadh go Virtual WAN

Fanann a lán geataí ina ngnáthgheataí VPN, agus ní athrú éasca é bogadh go Virtual WAN. Is é an freagra praiticiúil an cinneadh in aghaidh an úsáideora a bhogadh ón scagaire paicéad go rud a bhfuil a fhios aige cheana cé hé an t-úsáideoir.

Is é féiniúlacht ar leibhéal acmhainne an leagan is saoire. Tacaíonn Storage, SQL agus Key Vault go léir le féinpháirtíocht Entra ID le rólanna in aghaidh an úsáideora nó an ghrúpa, mar sin ní gá don VPN ach inrochtaineacht líonra a chruthú. Déanann óstach léime le cuntais ainmnithe an obair chéanna d'obair riaracháin, mar go dtaifeadann an t-óstach an duine agus ní iompraíonn an tollán ach paicéid. Bogann cliaint a chlárú i DNS agus an t-ainm seach an uimhir a cheadú an riail suas leibhéal amháin. Oibríonn féiniúlacht ag leibhéal an fheidhmchláir — ábhar teastais, éileamh comhartha, ballraíocht ghrúpa — nuair is é an feidhmchlár, ní an líonra, an rud a iarrtar air cinneadh a dhéanamh.

I gcás comhpháirtí a áitíonn ar sheoladh foinse seasta, is é an freagra site-to-site nó ExpressRoute le réimír phiara shainithe. Ceadaíonn siad an réimír phiara, baineann an seoladh a fheictear ar a taobh leis an ngeata, agus ní athraíonn sé nuair a atosaíonn duine ríomhaire glúine.

Seiceáil an linn sula gcuireann tú liosta ceadaithe eile in eagar

Cúisíonn dhá airí linne an chuid is mó den iompar a chuireann daoine i leith an chliaint. Athchúrsálann linn atá róbheag léasanna go tapa, mar sin breathnaíonn seoltaí amhail is go mbogann siad i gcónaí agus breathnaíonn aon riail atá bunaithe ar sheoladh éagobhsaí ó bhun. Cruthaíonn linn a fhorluíonn na raonta áitiúla nó spás seoltaí an líonra fhíorúil débhríocht ródaithe nach ndeisíonn aon riail balla dóiteáin.

Cuir trí rud ar aon leathanach amháin sula dteagmhaíonn tú le riail: an linn point-to-site, spás seoltaí an líonra fhíorúil agus na raonta áitiúla. Ní cheart dóibh forluí, agus teastaíonn spás ón linn do gach cliant comhaimseartha móide corrlach le haghaidh athnasctha.

Ansin dún an lúb san ord seo:

• Nasc ó dhá mheaisín sa dá ord agus déan comparáid idir na seoltaí; má féidir leo malartú, níl aon riail atá bunaithe ar sheoladh sábháilte.
• Seiceáil an bhfuil an geata ina Virtual WAN; má tá, úsáid linnte grúpa in ionad rialacha in aghaidh an tseolta.
• Fiafraigh cad a tharlaíonn nuair a bhuaileann riail an duine mícheart; más eachtra rochtana é an freagra, bog an rialú chuig féiniúlacht.
• Taifead cén raon a bhaineann le cén grúpa sa stór céanna le sainmhínithe NSG.
• Aththástáil tar éis aon athraithe ar an linn, ar fhéinpháirtíocht nó ar an ngeata, mar go n-athscríobhann na hathruithe sin an mhapáil gan é a fhógairt.