Statesch IP am Azure P2S VPN: firwat sech d'Clientadress änert
Azure point-to-site gëtt bei all Verbindung déi nächst fräi Adress aus dem Pool, dofir gëtt et keng fest Client-IP. Bind den Zougang un Beräicher oder un d'Identitéit.
All Azure point-to-site-Client kritt eng Adress aus dem Pool, wann en sech authentifizéiert, a behält se nëmme sou laang wéi dës Verbindung dauert. Et gëtt keng Reservatiounstabell, keng Zouuerdnung pro Benotzer, a keng Gateway-Astellung déi bedeit „gëff dëser Persoun ëmmer 172.16.0.10“. Genee dëse eenzege Mechanismus erkläert déi zwou Symptomer, op déi Leit méi spéit stoussen: eng NSG-Regel, déi op ee Benotzer net méi passt, op dee se virdrun gepasst huet, an eng Erlaabnislëscht, déi roueg eng Maschinn erakënnt, déi kee bewosst derbäi gesat huet. D'Regel duerch eng méi clever IP-Regel ersetzen hëlleft weder deem eenem nach deem aneren, well dat, wat d'Regel nennt, no engem Zäitplang nei verginn gëtt, deen Dir net kontrolléiert.
De Pool ass Kapazitéit, net Identitéit. En existéiert, fir datt gläichzäiteg Tunnelen eenzegaarteg Adressen kréien, an en recycléiert se an deem Moment, wou eng Locatioun ophalen. Wann dat kloer ass, hält d'nëtzlech Fro op „wéi spänt ech dëse Client fest“ ze sinn an gëtt „géint wat kann ech eng Regel schreiwen, déi de Gateway net recycléiert“.
Wat de Gateway tatsächlech mécht, wann e Client sech verbënnt
De Gateway hält de konfiguréierte Clientadresspool a behandelt en als Locatiounstabell. Bei der Verbindung hëlt en déi nächst fräi Adress, an der Praxis déi niddregst verfügbar, an assignéiert se un den Tunneladapter, bis de Client sech trennt oder d'Locatioun ofleeft. D'Uerdnung entscheet, net d'Identitéit: wien no enger roueger Period als éischten erëm verbënnt, kritt déi niddregst Adress, déi an deem Moment zoufälleg fräi ass.
D'Gréisst vum Pool verstoppt d'Verhalen. E Laborpool mat enger oder zwou Adressen méi wéi d'Zuel vun den Testeren gesäit deterministesch aus, well dee selwechte Laptop all Moien an der selwechter Uerdnung erëm verbënnt. Füügt eng drëtt Maschinn derbäi, ännert d'Gréisst vum Pool, oder loosst eng Sessioun iwwer de Mëttegiessen verbonnen, an d'Muster brécht. D'Adress war ni stabil; d'Schlaang war et.
All Ännerung un der point-to-site-Konfiguratioun setzt och de Locatiounsraum zréck. En aneren Authentifizéierungstyp, e Pool mat enger anerer Gréisst, en neie Poolberäich, oder e Gateway, dee ofgerappt an nei opgebaut gëtt, schéckt d'Cliente alleguer zréck an e Pool, deen net méi zu hirem ale Adressen passt. Näischt un där Ännerung beréiert Ären NSG, dofir gesäit de Broch spontan aus.
Dir kënnt et an ongeféier enger Minutt gesinn. Verbënnt Iech, notéiert d'Tunneladress an den Detailer vun der Verbindung vum Client, trennt Iech, verbënnt eng zweet Maschinn, a verbënnt dann déi éischt erëm. D'Adress, déi Dir zréckkritt, hängt dovun of, wat déi zweet Maschinn hält, an keng Portalastellung wäert déi virecht op Ufro restauréieren.
En NSG, deen op d'Client-IP baséiert, ass tatsächlech eng Regel iwwer d'Uerdnung vun de Verbindungen
D'Regel, déi Leit als éischt schreiwen, ass déi offensichtlech: eng Regel fir eranzekommen op der NIC vun der Verwaltungs-VM oder op hirem Subnetz, mat der interner Adress vum VPN-Client als Quell. Se ass kuerz, se besteet den Test um Dag, wou se geschriwwe gëtt, a se feelt, soubal de Pool méi wéi eng fräi Adress huet.
Dovu kommen zwou Aarten a Feeler, an nëmmen eng gesäit aus wéi e Feeler. E legitimen Benotzer gëtt verworf, well een aneren de Moment d'Adress hält, déi d'Regel nennt, an dat kënnt als eng läschteg Support-Ticket un. Oder en net gewollte Benotzer gëtt eragelooss, well hien eng Adress geierft huet, déi d'Regel nach vertraut, an dat kënnt als näischt un, bis een den Zougang auditméisseg prüft.
Well d'Regel der Locatioun follegt, liest sech déi effektiv Politik „déi éischt Persoun, déi sech verbënnt, kritt Verwaltungszougang“. Dat ass eng Beschreiwung vun der Verbindungsuerdnung, déi als Absicht verkleed ass, a keng Regelhygiène mécht doraus eng Äusserung vun Absicht.
D'Clientlocatioun an d'Gatewayadress sinn ënnerschiddlech Objeten
De gréissten Deel vun der Duercherneen kënnt vun engem Wuert. De Gateway huet eng ëffentlech IP, déi relativ stabil ass; d'Cliente hunn privat Adressen aus dem Pool, déi et net sinn. Fir en net zone-redundanten VPN-Gateway gëtt déi ëffentlech IP dynamesch verginn, awer se iwwerlieft eng Gréisstenännerung, en Reset an d'routineg Maintenance — se ännert sech, wann de Gateway selwer geläscht an nei erstallt gëtt. Zone-redundant an zonal Gateway-SKUen benotzen eng ëffentlech IP vun der Standard-SKU, an déi Vergi muss statesch sinn.
Dës Stabilitéit ass dat, wat en onsite-Peer an enger Konfiguratioun brauch, a se seet näischt iwwer d'Identifizéierung vun engem eenzelen Client. Wann e Partner freet, wéi eng Adress en gesäit, ass d'Äntwert dem Gateway seng ëffentlech IP bei site-to-site, oder e gedeelten NAT-Beräich — ni d'Tunnellocatioun vun engem Laptop.
Gruppepools ginn Iech e Beräich, géint dee sech Regelen ze schreiwe lount
Virtual WAN point-to-site ënnerstëtzt Benotzergruppen, an all Grupp kann hire eigenen Clientadresspool kréien. D'Memberzuel gëtt duerch d'Identitéit decidéiert, sou datt de Beräich, an dee e Client fält, viraussobar gëtt: Operatiounen an engem Beräich, Kontraktoren an engem aneren, an de Beräich ass eppes, wat eng Firewall- oder NSG-Regel nenne kann, ouni ze roden.
D'Resultat vun de Regelen huet eng Form, déi Dir iwwerpréiwe kënnt:
- ee Pool pro Publikum, bemoss un de Spëtzte vu gläichzäitege Sessiounen an net un der Zuel vu Leit;
- d'Memberzuel gëtt iwwer d'Identitéit geréiert, net duerch d'Ännere vu Regelen all Kéier, wou een derbäikënnt;
- NSG- oder Azure-Firewall-Regelen, déi géint Poolberäicher geschriwwe sinn, ni géint eenzel Locatiounen;
- een eegene Hub oder Gateway fir Publiken, déi ni e Beräich solle deelen.
| Rule target | Survives a reconnect | What it still cannot express |
|---|---|---|
| Client tunnel address | No | Follows connection order and admits whoever holds the address next |
| Whole client pool | Yes | Grants every connected client identical access |
| Virtual WAN group pool | Yes | Only as reliable as group membership |
| Gateway public IP | Until the gateway is recreated | Identifies the site, not the person |
E ganze Pool op d'Erlaabnislëscht ze setzen ass éierlech, awer grob: all verbonnene Client an deem Beräich kritt de selwechten Zougang. Dat ass eng politesch Entscheedung, déi et wäert ass, se haart ze soen, amplaz se während enger Iwwerpréiwung ze entdecken. Alles, wat nach eng Äntwert pro Persoun brauch, gehéiert bei d'Ressource, iwwer Rollenzouweisungen, an net bei de Paketfilter.
Wann d'Deployement net op Virtual WAN ka wiesselen
Vill Gateways bleiwen einfach VPN-Gateways, an de Wiessel op Virtual WAN ass keng beilegie Ännerung. D'praktesch Äntwert ass, d'Entscheedung pro Benotzer vum Paketfilter op eppes ze verleeën, wat scho weess, wien de Benotzer ass.
Identitéit op Ressourcenniveau ass déi bëllegst Versioun. Storage, SQL an Key Vault ënnerstëtzen alleguer Entra ID-Authentifizéierung mat Rollenzouweisungen pro Benotzer oder pro Grupp, sou datt de VPN nëmme muss d'Netzäreichbarkeet beweisen. En Iwwerspranghost mat benannte Konten mécht déi selwecht Aarbecht fir administrativ Aufgaben, well den Host de Mënsch festhält an den Tunnel just Paketen transportéiert. D'Clienten am DNS registréieren an den Numm amplaz vun der Zuel erlaaben hieft d'Regel eng Schicht erop. Identitéit op der Applikatiounsschicht — en Zertifikatssujet, eng Token-Behauptung, eng Gruppememberzuel — funktionéiert, wann net d'Netz, mä d'Applikatioun gefrot gëtt ze entscheeden.
Fir e Partner, deen op enger fester Quelladress behaart, ass d'Äntwert site-to-site oder ExpressRoute mat engem definéierte Peer-Präfix. Si erlaaben de Peer-Präfix, d'Adress, déi op hirer Säit erschéngt, gehéiert dem Gateway, an se ännert sech net, wann een e Laptop nei startet.
Préift de Pool, ier Dir nach eng Erlaabnislëscht ännert
Zwou Eegenschafte vum Pool verursaachen de gréissten Deel vum Verhalen, wat d'Leit dem Client reprochéieren. En ze klenge Pool recycléiert Locatiounen séier, sou datt Adressen ëmmer ze bewege schéngen an all Adress-baséiert Regel vun der Konstruktioun hier onzouverlässeg ausgesäit. En Pool, deen d'on-site-Beräicher oder de Raum vum virtuelle Netz iwwerdeckt, schaaft eng Routing-Onkloerheet, déi keng Firewallregel reparéiert.
Setzt dräi Saachen op eng Säit, ier Dir eng Regel beréiert: de point-to-site-Pool, de Raume vun de virtuelle Netzadressen an d'on-site-Beräicher. Se däerfen sech net iwwerdecken, an de Pool brauch Plaz fir all gläichzäitege Client plus eng Margin fir Neiverbindungen.
Da schléisst de Krees an dëser Uerdnung:
- Verbannt Iech vun zwou Maschinnen a béiden Uerdnungen a vergläicht d'Adressen; wa se sech kënnen austauschen, ass keng Adress-baséiert Regel sécher.
- Préift, ob de Gateway Virtual WAN ass; wann jo, benotzt Gruppepools amplaz vu Regelen pro Adress.
- Frot, wat geschitt, wann eng Regel déi falsch Persoun trëfft; wann d'Äntwert en Zougangsvirfall ass, verleeët d'Kontrolle op d'Identitéit.
- Notéiert, wéi ee Beräich zu wéi enger Grupp gehéiert, am selwechte Repository wéi d'NSG-Definitiounen.
- Testt nach eng Kéier no all Ännerung um Pool, un der Authentifizéierung oder um Gateway, well déi Ännerungen d'Mapping nei schreiwen, ouni et unzekënnegen.