Cén fáth nach n-athraíonn Azure Point-to-Site VPN do IP phoiblí
Ní iompraíonn tollán pointe-go-suíomh ach róid an líonra fhíorúil, mar sin fanann do IP phoiblí go háitiúil go dtí go n-aistríonn tollánú éigeantach agus SNAT an bhalla dhóiteáin an t-eisreamh go Azure.
Ceanglaím cliant Azure VPN ar ríomhaire glúine Windows, oscailim leathanach macalla seoltaí agus feicim an seoladh poiblí céanna a thug mo ródaire baile. Idir an dá linn freagraíonn an bosca léim ag 10.20.0.4 agus réitítear ainm críochphointe príobháideach, mar sin níl an tollán briste. Déanann geata pointe-go-suíomh go beacht an rud a deir a chumraíocht réamhshocraithe: iompraíonn sé na réimíreanna príobháideacha agus fágann sé gach rud eile ar an nasc áitiúil. Is athrú ar dhearadh ródaithe é seoladh eisrimh ar le Azure é a fháil, ní deisiú.
An rud a fhógairt an geata de réir réamhshocraithe
Brúnn an geata róid do spás seoltaí an líonra fhíorúil, chomh maith le líonraí piaraí ina bhfuil trasnú geata ceadaithe agus réimíreanna áitiúla a fhoghlaimítear trí nasc suíomh-go-suíomh nó BGP. Níl aon 0.0.0.0/0 sa tacar sin. Coinníonn do chóras oibriúcháin a ród réamhshocraithe ar Wi-Fi nó Ethernet, mar sin ní théann paicéad chuig API poiblí isteach sa tollán ar chor ar bith.
Is léas príobháideach ó chomhthiomsú pointe-go-suíomh é an seoladh a fhaigheann cliant taobh istigh den tollán. Aithníonn sé an cliant d'acmhainní sa VNet; ní seoladh é a fheiceann an t-idirlíon, agus ní bheidh sé le feiceáil riamh mar fhoinse iarratais amach chuig API SaaS. Ní féidir le iontráil liosta ceadaithe a tógadh timpeall an léis sin oibriú, cibé fad a fhanfaidh tú go dtiocfaidh sé chun solais i logaí an díoltóra.
Tollán scoilte agus tollánú éigeantach taobh le taobh
| Split tunnel, the default | Forced tunneling | |
|---|---|---|
| Internet traffic exits through | local ISP or office router | firewall or appliance inside Azure |
| Source address the API sees | your home or office IP | the firewall public IP |
| Inspection and logging in Azure | none | policy rules plus flow logs |
| Ongoing cost | gateway only | gateway, firewall hours, data processing |
| What usually breaks | nothing on the egress path | DNS, on-premises routes, overlapping local ranges |
Ní athraíonn ach an dara ró an seoladh a fheiceann seirbhís iargúlta. Is costas agus dromchla oibriúcháin é gach rud eile sa tábla sin a nglacann tú leis nuair is gá an t-eisreamh a iniúchadh nó a aistriú laistigh de Azure. Má iarrann duine ort an IP poiblí a athrú, tá an cholún ar dheis ar fad á lorg aige, ní mionchoigeartú ar an gcliant.
Tá rogha idirmheánach ann ar fiú í a lua sula n-athchruthaíonn tú rud ar bith. Tugann VM seachfhreastalaí nó geata laistigh den VNet seoladh foinse rialaithe duit do na feidhmchláir ar féidir a dhíriú uirthi, gan ród réamhshocraithe an chliaint a bhogadh. Coinníonn sé sin brabhsáil rialta áitiúil agus sásaíonn sé comhpháirtí nach bhfuil ag teastáil uaidh ach aon ghlao amháin API ó Azure. Teipeann sé nuair a bhaineann an riachtanas le gach trácht i ndáiríre, mar sin féin téann aon rud a dhéanann neamhaird den socrú seachfhreastalaí amach go háitiúil.
Déan an tollán a iompar an ród réamhshocraithe
Ar gheata líonra fíorúil, is é an bealach tacaíochta chun gach trácht idirlín an chliaint a stiúradh isteach sa tollán róid saincheaptha a chur le cumraíocht pointe-go-suíomh. Clúdaíonn dhá leath spás IPv4 ar fad, agus tá gach ceann níos sonraí ná an ród réamhshocraithe áitiúil, mar sin is fearr leis an gcliant iad gan aon rud a scriosadh:
Set-AzVirtualNetworkGateway -VirtualNetworkGateway GWOBJ -CustomRoute 0.0.0.0/1,128.0.0.0/1Tá an líne sin léiritheach seachas réidh le cóipeáil: faigh réad an gheata ar dtús le Get-AzVirtualNetworkGateway agus cuir in ionad GWOBJ é, agus deimhnigh go nglacann an SKU agus an tsamhail imlonnaithe róid saincheaptha sula rithfidh tú é. Tá na réimíreanna céanna le feiceáil sa tairseach ar leathanach cumraíochta pointe-go-suíomh, arb é an áit is sábháilte iad a shocrú mura bhfuil an geata á scriptiú agat cheana féin.
Déanann athrú na réimíreanna sin an pacáiste cliaint a chur ó mhaith. Íoslódáil pacáiste cliaint VPN arís agus athshuiteáil é, mar sin téann na róid taobh istigh den phróifíl. Coinníonn cliant a athcheanglaíonn lena sheanphróifíl an seantacar ród, agus féadfaidh tú uair an chloig a chailleadh ag dífhabhtú athraithe nár shroich riamh é.
I mol WAN fíorúil daingean, is é an coibhéis ród réamhshocraithe i dtábla ród an mhoil a bhaineann leis an ngeata pointe-go-suíomh, agus Azure Firewall sa mhol ag tógáil an tráchta. Aistríonn an balla dóiteáin na naisc atá dírithe ar an idirlíon chuig a sheoltaí IP poiblí féin, agus is ón aistriú sin a thagann an seoladh eisrimh nua. Nuair a bhíonn roinnt IP poiblí ag balla dóiteáin, is féidir le haon cheann acu teacht chun solais mar an fhoinse, mar sin caithfidh liosta ceadaithe iad ar fad a bheith ann.
Is IPv4 an dá dhearadh thuas. Ní dhéanann an dá réimír /1 aon rud do IPv6, agus tá tacaíocht IPv6 pointe-go-suíomh chomh cúng sin gur chóir duit an teaglaim a thástáil sula ngeallfaidh tú comhionannas.
Seiceáil an ród, ansin an t-eisreamh
Tar éis an pacáiste a athshuiteáil agus athcheangal, deimhnigh gur shuiteáil an cliant na leathanna i ndáiríre. Ar Windows ba chóir do Get-NetRoute -DestinationPrefix 0.0.0.0/1 agus an cheist chéanna do 128.0.0.0/1 comhéadan an tolláin a ainmniú, agus taispeánann route print an dá cheann in aice do bhunróid réamhshocraithe. Ar Linux caithfidh ip route show an dá réimír a liostú; mura ndéanann, níor iompair an phróifíl riamh iad.
Ansin seiceáil an seoladh poiblí ón gcliant arís agus léigh log an bhalla dhóiteáin don nasc céanna. Ba chóir gurb é IP poiblí an bhalla dhóiteáin leis an bport aistrithe an fhoinse. Ciallaíonn cliant a théann amach go háitiúil fós agus an dá ród ann gur shroich paicéid Azure agus gur fhág siad ar bhealach eile: ród arna shainiú ag an úsáideoir ar fholíonra an gheata, balla dóiteáin atá féin tolláin go héigeantach chuig an líonra áitiúil, nó polasaí a scaoileann an sreabhadh roimh an aistriú.
Aththástáil ceann amháin de cheann scríbe príobháideach sa seisiún céanna. Is é an t-óstach léim a stopann ag freagairt tar éis an athraithe an comhartha is gnáth go bhfuil rud éigin díbeartha ag na réimíreanna nua, cibé acu ród áitiúil níos cúinge a fógraíodh roimhe seo nó réiteach ainmneacha a théann anois chuig réititheoir gan seoltóir ar aghaidh do do chriosanna príobháideacha.
Cathain a d'fhágfaidh tú an tollán scoilte ina luí
Más é an t-aon aidhm teacht ar API príobháideach, ar chríochphointe príobháideach nó ar leathanach riaracháin inmheánach, tá an t-iompar réamhshocraithe níos saoire agus níos ciúine. Cuireann tollánú éigeantach uaireanta an bhalla dhóiteáin agus táillí próiseála sonraí, cosán níos faide, agus áit amháin eile ina bhféadfadh gach sreabhadh cliaint teip. Gabhann sé go leor tráchta níos mó ná an t-aon cheann scríbe a bhí i gceist agat.
Sroich amach chuige nuair a chuirtear an riachtanas in iúl i dtéarmaí eisrimh: caithfidh comhpháirtí seoladh seasta Azure a fheiceáil, teastaíonn ó shlándáil na naisc a bheith logáilte agus iniúchta, nó caithfidh sonraí imeacht trí aon phointe rialaithe amháin. Fiú ansin tugann an dearadh eisreamh roinnte do gach úsáideoir, mar sin caithfidh cuntasacht in aghaidh an úsáideora teacht ó fhéiniúlacht san fheidhmchlár seachas ón seoladh foinse.
Sula ndúnfaidh tú an t-athrú, deimhnigh ceithre rud: is é an pacáiste cliaint suiteáilte an ceann nua, tá an dá ród /1 ar chomhéadan an tolláin, freagraíonn ceann scríbe príobháideach fós, agus taispeánann log na seirbhíse iargúlta seoladh an bhalla dhóiteáin.