Azure P2S VPN ичиндеги статикалык IP: клиенттин дареги эмнеге өзгөрөт

Ар бир Azure point-to-site клиенти аутентификация учурунда пулдан дарек алат жана аны ошол туташуунун узактыгында гана сактайт. Резервдее таблицасы да, колдонуучу боюнча салыштыруу да, «бул адамга ар дайым 172.16.0.10 бер» дегенди билдирген шлюз параметри да жок. Так ушул бир механизм адамдар кийинчерээк туш болгон эки белгини түшүндүрөт: мурун дал келген колдонуучуга эми дал келбеген NSG эрежеси жана эч ким атайылап кошпогон машинаны үнсүз өткөрүп жиберген уруксат тизмеси. Эрежени акылдуураак IP эрежеси менен алмаштыруу экөөнү тең оңдобойт, анткени эреже атаган нерсе сиз көзөмөлдөбөгөн график боюнча кайра бөлүнөт.

Пул — сыйымдуулук, инсандык эмес. Ал бир убактагы туннелдер уникалдуу даректерди алышы үчүн бар жана ижара бүткөн учурда аларды кайра колдонот. Бул айкын болгондо, пайдалуу суроо «бул клиентти кантип бекитем» болуудан калат да, «шлюз кайра колдонбой турган нерсеге каршы кандай эреже жаза алам» болуп калат.

Клиент туташканда шлюз чындыгында эмне кылат

Шлюз конфигурацияланган клиент даректеринин пулун кармайт жана аны ижара таблицасы катары карайт. Туташууда кийинки бош даректи, иш жүзүндө эң төмөнкү жеткиликтүүнү алат да, клиент ажыраганга же ижара бүткөнгө чейин аны туннель адаптерине дайындайт. Чечимди тартип кабыл алат, инсандык эмес: тынч мезгилден кийин биринчи туташкан адам ошол учурда кокустан бош болгон эң төмөнкү даректи алат.

Пулдун өлчөмү жүрүм-турумду жашырат. Тестирлөөчүлөрдүн санынан бир-эки дарекке чоң лабораториялык пул детерминделгендей көрүнөт, анткени ошол ноутбук ар таңда бирдей тартипте кайра туташат. Үчүнчү машина кошуңуз, пулдун өлчөмүн өзгөртүңүз же түшкү тамак убагында сессияны туташкан бойдон калтырыңыз — үлгү бузулат. Дарек эч качан туруктуу болгон эмес; кезек туруктуу болгон.

point-to-site конфигурациясынын кандайдыр бир өзгөрүүсү ижара мейкиндигин да баштапкы абалга келтирет. Башка аутентификация түрү, өлчөмү өзгөргөн пул, жаңы пул диапазону же бузулуп кайра курулган шлюз — баары клиенттерди эски даректерине дал келбеген пулга кайтарат. Бул өзгөрүүнүн эч бир бөлүгү сиздин NSG-ге тийбейт, ошондуктан бузулуу өзүнөн өзү пайда болгондой көрүнөт.

Муну болжол менен бир мүнөттө байкоого болот. Туташыңыз, клиенттин туташуу чоо-жайында туннель дарегин жазып алыңыз, ажыраңыз, экинчи машинаны туташтырыңыз, анан биринчисин кайра туташтырыңыз. Кайтарылган дарек экинчи машина эмнени кармап турганына көз каранды жана эч бир портал параметри мурункусун суроо боюнча калыбына келтирбейт.

Клиенттин IP-сине негизделген NSG чындыгында туташуу тартиби жөнүндөгү эреже

Адамдар биринчи жазган эреже айкын: башкаруу VM-инин NIC-ине же анын ички тармагына кирүүчү эреже, булак катары VPN клиентинин ички дареги. Кыска, жазылган күнү тесттен өтөт жана пулда бирден көп бош дарек болгондо эле иштебей калат.

Мындан эки ката режими келип чыгат жана алардын бири гана катага окшош. Мыйзамдуу колдонуучуга баш тартылат, анткени эреже атаган даректи ошол учурда башка бирөө кармап турат, жана бул тынчсыздандырган колдоо билети катары келет. Же ниеттелбеген колдонуучу өткөрүлөт, анткени ал эреже али ишенген даректи мурастап алган, жана бул бирөө жеткиликти текшермейинче эч нерсе катары келбейт.

Эреже ижараны ээрчигендиктен, натыйжалуу саясат «биринчи туташкан адам башкаруу жеткилигин алат» деп окулат. Бул ниеттин кийимин кийген туташуу тартибинин сүрөттөмөсү жана эч бир эреже гигиенасы аны ниетти билдирүүгө айландырбайт.

Клиенттин ижарасы менен шлюздун дареги ар башка объектилер

Түшүнбөстүктүн көбү бир сөздөн келет. Шлюздун салыштырмалуу туруктуу коомдук IP-си бар; клиенттердин пулдан алган жеке даректери туруктуу эмес. Аймактык резервделбеген VPN шлюзу үчүн коомдук IP динамикалык түрдө бөлүнөт, бирок ал өлчөм өзгөрүүсүнөн, кайра жүктөөдөн жана күнүмдүк тейлөөдөн аман калат — ал шлюздун өзү жок кылынып кайра түзүлгөндө өзгөрөт. Аймактык резервделген жана аймактык шлюз SKU-лары Standard SKU-нун коомдук IP-син колдонот жана бул бөлүштүрүү статикалык болушу керек.

Так ушул туруктуулук жергиликтүү өнөктөшкө конфигурациясында керек жана ал жеке клиентти идентификациялоо жөнүндө эч нерсе айтпайт. Өнөктөш кайсы даректи көрөрүн сураганда, жооп — site-to-site учурунда шлюздун коомдук IP-си же жалпы NAT диапазону, эч качан ноутбуктун туннель ижарасы эмес.

Топтук пулдар сизге эреже жазууга татыктуу диапазон берет

Virtual WAN point-to-site колдонуучу топторун колдойт жана ар бир топко өзүнүн клиент даректеринин пулун дайындоого болот. Мүчөлүк инсандык менен аныкталат, ошондуктан клиент түшкөн диапазон болжолдуу болуп калат: операциялар бир диапазондо, мердигерлер экинчисинде, ал эми диапазон — брандмауэр же NSG эрежеси болжолсуз атай алган нерсе.

Алынган эрежелер жыйындысынын карап чыгууга боло турган формасы бар:

• ар бир аудиторияга бир пул, адам санына эмес, катар жүргөн сессиялардын чокусуна өлчөнгөн;
• топ мүчөлүгү инсандык менен башкарылат, ар ким кошулган сайын эрежелерди оңдоо менен эмес;
• NSG же Azure Firewall эрежелери пул диапазондоруна каршы жазылат, эч качан жеке ижараларга каршы эмес;
• диапазонду эч качан бөлүшпөөгө тийиш аудиториялар үчүн өзүнчө хаб же шлюз.

Бүт пулду уруксат тизмесине коюу чынчыл, бирок одоно: ошол диапазондогу ар бир туташкан клиент бирдей жеткилик алат. Бул кароо учурунда табуудан көрө үнүн чыгарып айтууга татыктуу саясий чечим. Дагы эле ар бир адамга жооп керек болгон нерсе ресурска ролдорду дайындоо аркылуу таандык, пакет чыпкасына эмес.

Жайгаштыруу Virtual WAN-га өтө албаганда

Көптөгөн шлюздар жөнөкөй VPN шлюзу болуп кала берет, ал эми Virtual WAN-га өтүү кокустан болгон өзгөрүү эмес. Практикалык жооп — колдонуучу боюнча чечимди пакет чыпкасынан колдонуучунун ким экенин буга чейин билген нерсеге жылдыруу.

Ресурс деңгээлиндеги инсандык — эң арзан версия. Storage, SQL жана Key Vault баары колдонуучу же топ боюнча ролдорду дайындоо менен Entra ID аутентификациясын колдошот, ошондуктан VPN тек тармактык жеткиликти далилдеши керек. Аталган эсептери бар секирүүчү хост административдик иш үчүн ошол эле жумушту аткарат, анткени хост адамды жазат, ал эми туннель пакеттерди гана ташыйт. Клиенттерди DNS-ке каттоо жана сандын ордуна атка уруксат берүү эрежени бир катмарга көтөрөт. Колдонмо деңгээлиндеги инсандык — сертификат субъектиси, токен билдирүүсү, топ мүчөлүгү — чечим кабыл алуу үчүн тармакка эмес, колдонмого кайрылганда иштейт.

Туруктуу булак дарегин талап кылган өнөктөш үчүн жооп — белгиленген өнөктөш префикси менен site-to-site же ExpressRoute. Алар өнөктөш префиксине уруксат беришет, алардын тарабында көрүнгөн дарек шлюзга таандык жана бирөө ноутбукту кайра күйгүзгөндө өзгөрбөйт.

Кийинки уруксат тизмесин оңдоодон мурун пулду текшериңиз

Пулдун эки касиети адамдар клиентке тага турган жүрүм-турумдун көбүн шарттайт. Өтө кичине пул ижараларды тез кайра колдонот, ошондуктан даректер тынымсыз кыймылдап жүргөндөй көрүнөт жана дарекке негизделген ар кандай эреже долбоор боюнча туруксуз көрүнөт. Жергиликтүү диапазондор же виртуалдык тармак мейкиндиги менен кабатташкан пул эч бир брандмауэр эрежеси оңдобогон маршруттоо эки маанилүүлүгүн жаратат.

Эрежеге кол тийгизерден мурун үч нерсени бир баракка салыңыз: point-to-site пулу, виртуалдык тармактын дарек мейкиндиги жана жергиликтүү диапазондор. Алар кабатташпашы керек, ал эми пулга ар бир катар жүргөн клиент үчүн орун жана кайра туташууга маржа керек.

Анан циклди ушундай тартипте жабыңыз:

• Эки машинадан эки тартипте тең туташып, даректерди салыштырыңыз; эгер алар алмашса, дарекке негизделген эч бир эреже коопсуз эмес.
• Шлюз Virtual WAN бекенин текшериңиз; эгер ошондой болсо, дарек боюнча эрежелердин ордуна топтук пулдарды колдонуңуз.
• Эреже туура эмес адамга дал келгенде эмне болорун сураңыз; жооп жеткилик окуясы болсо, көзөмөлдү инсандыкка өткөрүңүз.
• Кайсы диапазон кайсы топко таандык экенин NSG аныктамалары менен бирдей кампада жазыңыз.
• Пул, аутентификация же шлюз өзгөргөндөн кийин кайра текшериңиз, анткени бул өзгөрүүлөр салыштырууну жарыя кылбай эле кайра жазат.