IP statis di Azure P2S VPN: mengapa alamat klien berubah

Setiap klien Azure point-to-site menerima alamat dari kumpulan saat melakukan autentikasi, dan hanya menyimpannya selama koneksi itu berlangsung. Tidak ada tabel reservasi, tidak ada pemetaan per pengguna, dan tidak ada pengaturan gateway yang berarti “selalu beri orang ini 172.16.0.10”. Mekanisme tunggal itulah yang menjelaskan kedua gejala yang orang temui kemudian: aturan NSG yang berhenti cocok dengan pengguna yang dulu cocok, dan daftar izin yang diam-diam meloloskan mesin yang tidak sengaja ditambahkan siapa pun. Mengganti aturan dengan aturan IP yang lebih pintar tidak memperbaiki keduanya, karena hal yang dinamai aturan itu dialokasikan ulang menurut jadwal yang tidak Anda kendalikan.

Kumpulan itu kapasitas, bukan identitas. Ia ada agar terowongan bersamaan mendapat alamat unik, dan ia mendaur ulangnya begitu sewa berakhir. Setelah itu jelas, pertanyaan yang berguna berhenti menjadi “bagaimana saya mematok klien ini” dan menjadi “terhadap apa saya bisa menulis aturan yang tidak akan didaur ulang gateway”.

Apa yang sebenarnya dilakukan gateway saat klien terhubung

Gateway menyimpan kumpulan alamat klien yang dikonfigurasi dan memperlakukannya sebagai tabel sewa. Saat terhubung, ia mengambil alamat bebas berikutnya, dalam praktiknya yang terendah tersedia, dan memberikannya ke adaptor terowongan sampai klien terputus atau sewa berakhir. Urutan yang menentukan, bukan identitas: siapa pun yang menyambung ulang lebih dulu setelah periode tenang mendapat alamat terendah yang kebetulan bebas pada saat itu.

Ukuran kumpulan menyembunyikan perilaku itu. Kumpulan laboratorium yang satu atau dua alamat lebih besar dari jumlah penguji tampak deterministik, karena laptop yang sama cenderung menyambung ulang dalam urutan yang sama setiap pagi. Tambahkan mesin ketiga, ubah ukuran kumpulan, atau biarkan sesi terhubung selama makan siang, dan polanya rusak. Alamatnya tidak pernah stabil; antreannya yang stabil.

Setiap perubahan pada konfigurasi point-to-site juga mengatur ulang ruang sewa. Jenis autentikasi berbeda, kumpulan yang diubah ukurannya, rentang kumpulan baru, atau gateway yang dibongkar dan dibangun ulang semuanya mengirim klien kembali ke kumpulan yang tidak lagi memetakan ke alamat lama mereka. Tidak ada bagian dari perubahan itu yang menyentuh NSG Anda, karena itulah kerusakannya tampak spontan.

Anda dapat melihatnya terjadi dalam sekitar satu menit. Hubungkan, catat alamat terowongan di detail koneksi klien, putuskan, hubungkan mesin kedua, lalu sambungkan ulang mesin pertama. Alamat yang Anda dapatkan kembali bergantung pada apa yang dipegang mesin kedua, dan tidak ada pengaturan portal yang akan memulihkan yang sebelumnya atas permintaan.

NSG yang dikunci pada IP klien sebenarnya adalah aturan tentang urutan koneksi

Aturan yang pertama ditulis orang adalah yang jelas: aturan masuk pada NIC VM manajemen atau pada subnetnya, dengan alamat internal klien VPN sebagai sumber. Singkat, lolos uji pada hari ditulis, dan gagal begitu kumpulan memiliki lebih dari satu alamat bebas.

Ada dua mode kegagalan, dan hanya satu yang tampak seperti bug. Pengguna sah ditolak karena orang lain sedang memegang alamat yang dinamai aturan, dan itu datang sebagai tiket dukungan yang menjengkelkan. Atau pengguna yang tidak dimaksudkan diloloskan karena mewarisi alamat yang masih dipercaya aturan, dan itu tidak datang sebagai apa pun sampai seseorang mengaudit akses.

Karena aturan mengikuti sewa, kebijakan efektifnya berbunyi “orang pertama yang terhubung mendapat akses manajemen”. Itu deskripsi urutan koneksi yang didandani sebagai niat, dan tidak ada higiene aturan yang membuatnya menyatakan niat.

Sewa klien dan alamat gateway adalah objek yang berbeda

Sebagian besar kebingungan berasal dari satu kata. Gateway memiliki IP publik yang relatif stabil; klien memiliki alamat privat dari kumpulan yang tidak stabil. Untuk gateway VPN yang tidak redundan zona, IP publik dialokasikan secara dinamis, tetapi bertahan dari perubahan ukuran, reset, dan pemeliharaan rutin — ia berubah ketika gateway itu sendiri dihapus dan dibuat ulang. SKU gateway redundan zona dan zonal memakai IP publik SKU Standard, dan alokasi itu harus statis.

Stabilitas itulah yang dibutuhkan rekan lokal dalam konfigurasinya, dan itu tidak mengatakan apa pun tentang mengidentifikasi klien individu. Ketika mitra bertanya alamat mana yang akan mereka lihat, jawabannya adalah IP publik gateway pada site-to-site, atau rentang NAT bersama — tidak pernah sewa terowongan sebuah laptop.

Kumpulan grup memberi Anda rentang yang layak untuk ditulisi aturan

Virtual WAN point-to-site mendukung grup pengguna, dan setiap grup dapat diberi kumpulan alamat kliennya sendiri. Keanggotaan ditentukan oleh identitas, jadi rentang tempat klien mendarat menjadi dapat diprediksi: operasi di satu rentang, kontraktor di rentang lain, dan rentang itu sesuatu yang dapat dinamai aturan firewall atau NSG tanpa menebak.

Kumpulan aturan yang dihasilkan memiliki bentuk yang dapat Anda tinjau:

• satu kumpulan per audiens, berukuran untuk puncak sesi bersamaan alih-alih jumlah orang;
• keanggotaan grup ditangani melalui identitas, bukan dengan mengedit aturan setiap kali seseorang bergabung;
• aturan NSG atau Azure Firewall ditulis terhadap rentang kumpulan, tidak pernah terhadap sewa individual;
• hub atau gateway terpisah untuk audiens yang tidak boleh berbagi rentang.

Mendaftarkan seluruh kumpulan ke daftar izin itu jujur tetapi kasar: setiap klien yang terhubung di rentang itu mendapat akses yang sama. Itu keputusan kebijakan yang layak diucapkan keras-keras alih-alih ditemukan saat tinjauan. Apa pun yang masih membutuhkan jawaban per orang berada di sumber daya, melalui penetapan peran, bukan di penyaring paket.

Ketika penerapan tidak dapat pindah ke Virtual WAN

Banyak gateway tetap menjadi gateway VPN biasa, dan pindah ke Virtual WAN bukan perubahan sembarangan. Jawaban praktisnya adalah memindahkan keputusan per pengguna dari penyaring paket ke sesuatu yang sudah tahu siapa penggunanya.

Identitas tingkat sumber daya adalah versi termurah. Storage, SQL, dan Key Vault semuanya mendukung autentikasi Entra ID dengan penetapan peran per pengguna atau per grup, jadi VPN hanya perlu membuktikan keterjangkauan jaringan. Host lompat dengan akun bernama melakukan pekerjaan yang sama untuk tugas administratif, karena host mencatat orangnya dan terowongan hanya membawa paket. Mendaftarkan klien di DNS dan mengizinkan nama alih-alih nomor menaikkan aturan satu lapis. Identitas lapisan aplikasi — subjek sertifikat, klaim token, keanggotaan grup — bekerja ketika aplikasi, bukan jaringan, yang diminta memutuskan.

Bagi mitra yang bersikeras pada alamat sumber tetap, jawabannya adalah site-to-site atau ExpressRoute dengan prefiks mitra yang ditentukan. Mereka mengizinkan prefiks mitra, alamat yang muncul di sisi mereka milik gateway, dan tidak berubah ketika seseorang menghidupkan ulang laptop.

Periksa kumpulan sebelum Anda mengedit daftar izin lain

Dua properti kumpulan menyebabkan sebagian besar perilaku yang orang salahkan pada klien. Kumpulan yang terlalu kecil mendaur ulang sewa dengan cepat, sehingga alamat tampak terus bergerak dan aturan berbasis alamat apa pun tampak rapuh secara desain. Kumpulan yang tumpang tindih dengan rentang lokal atau ruang jaringan virtual menciptakan ambiguitas perutean yang tidak diperbaiki aturan firewall mana pun.

Letakkan tiga hal di satu halaman sebelum menyentuh aturan: kumpulan point-to-site, ruang alamat jaringan virtual, dan rentang lokal. Ketiganya tidak boleh tumpang tindih, dan kumpulan perlu ruang untuk setiap klien bersamaan plus margin untuk penyambungan ulang.

Lalu tutup lingkarannya dalam urutan ini:

• Hubungkan dari dua mesin dalam kedua urutan dan bandingkan alamatnya; jika keduanya dapat bertukar, tidak ada aturan berbasis alamat yang aman.
• Periksa apakah gateway adalah Virtual WAN; jika ya, gunakan kumpulan grup alih-alih aturan per alamat.
• Tanyakan apa yang terjadi ketika aturan mengenai orang yang salah; jika jawabannya adalah insiden akses, pindahkan kendali ke identitas.
• Catat rentang mana milik grup mana di repositori yang sama dengan definisi NSG.
• Uji ulang setelah setiap perubahan kumpulan, autentikasi, atau gateway, karena perubahan itu menulis ulang pemetaan tanpa mengumumkannya.