Firwat den Azure Point-to-Site VPN Är ëffentlech IP net ännert
En Point-to-site-Tunnel transportéiert nëmmen d'Routen vum virtuelle Netz, dofir bleift Är ëffentlech IP lokal, bis gezwonge Tunneling a Firewall-SNAT den Ausgang op Azure verleeën.
Ech verbannen den Azure VPN-Client op engem Windows-Laptop, maachen eng Adress-Echo-Säit op a gesinn déi selwecht ëffentlech Adress, déi mäin Heemrouter verginn huet. Wärend deem äntwert de Jump-Box op 10.20.0.4 an en privaten Endpunktnumm gëtt opgeléist, also ass den Tunnel net futti. En Point-to-site-Gateway mécht genee dat, wat seng Standardkonfiguratioun seet: en transportéiert déi privat Prefixen an léisst alles anert um lokale Link. Eng Azure-eegen Ausgangsadress ze kréien ass eng Ännerung vum Routingdesign, net eng Reparatur.
Wat den Gateway Standardmäßeg annoncéiert
Den Gateway dréckt Routen fir de Adressraum vum virtuelle Netz, plus Peering-Netzer, wou Gateway-Transit erlaabt ass, an lokal Prefixen, déi iwwer eng Site-to-site-Verbindung oder BGP geléiert goufen. An deem Set gëtt et keen 0.0.0.0/0. Äert Betribssystem hält seng Standardroute op Wi-Fi oder Ethernet, dofir geet e Paket op eng ëffentlech API guer net an den Tunnel.
D'Adress, déi e Client am Tunnel kritt, ass eng privat Leasing aus dem Point-to-site-Pool. Si identifizéiert de Client vis-à-vis vun de Ressourcen am VNet; et ass keng Adress, déi den Internet ka gesinn, an si wäert ni als Quell vun enger erausgehender Ufro un eng SaaS-API erschéngen. En Allowlist-Andrag, dee ronderëm déi Leasing gebaut ass, kann net funktionéieren, egal wéi laang Dir waart, datt en an de Loge vum Fournisseur erschéngt.
Split Tunnel a gezwongen Tunneling niewenteneen
| Split tunnel, the default | Forced tunneling | |
|---|---|---|
| Internet traffic exits through | local ISP or office router | firewall or appliance inside Azure |
| Source address the API sees | your home or office IP | the firewall public IP |
| Inspection and logging in Azure | none | policy rules plus flow logs |
| Ongoing cost | gateway only | gateway, firewall hours, data processing |
| What usually breaks | nothing on the egress path | DNS, on-premises routes, overlapping local ranges |
Nëmmen déi zweet Zeil ännert d'Adress, déi en entfernten Service gesäit. Alles anescht an där Tabell ass Käschten an operationell Uewerfläch, déi Dir akzeptéiert, wann den Ausgang bannen Azure muss iwwerpréift oder iwwersat ginn. Wa jeeemand Iech freet, d'ëffentlech IP ze änneren, freet hie fir déi ganz riets Kolonn, net fir eng kleng Upassung um Client.
Et gëtt eng mëttel Optioun, déi ee soll nennen, ier Dir eppes nei baut. Eng Proxy- oder Gateway-VM bannen am VNet gëtt Iech eng kontrolléiert Quelladress fir d'Applikatiounen, déi een drop ka riichten, ouni d'Standardroute vum Client ze verréckelen. Dat hält normal Browsen lokal a befriddegt nach ëmmer e Partner, dee just een eenzegen API-Uriff aus Azure brauch. Et feelt, wann d'Ufuerderung wierklech iwwer den ganzen Traffic geet, well alles, wat d'Proxy-Astellung ignoréiert, nach ëmmer lokal erausgeet.
Maacht, datt den Tunnel d'Standardroute dréit
Op engem virtuelle Netzgëteways ass dee supportéierte Wee, fir den ganzen Internetverkéier vum Client an den Tunnel ze leeden, personaliséiert Routen an d'Point-to-site-Konfiguratioun ze setzen. Zwee Hälften decken de ganzen IPv4-Raum of, an all ass méi spezifesch wéi d'lokal Standardroute, dofir bevirdeelt de Client se, ouni eppes ze läschen:
Set-AzVirtualNetworkGateway -VirtualNetworkGateway GWOBJ -CustomRoute 0.0.0.0/1,128.0.0.0/1Déi Linn ass illustrativ an net fäerdeg fir ze kopéieren: huelt fir d'éischt d'Gateway-Objekt mat Get-AzVirtualNetworkGateway a setzt et amplaz vu GWOBJ, a bestätegt virum Ausféieren, datt d'SKU an d'Deploymentsmodell personaliséiert Routen akzeptéieren. Déiselwecht Prefixen erschéngen am Portal op der Point-to-site-Konfiguratiounssäit, wat déi méi sécher Plaz ass, se ze setzen, wann Dir den Gateway nach net skript.
D'Ännerung vun dëse Prefixe mécht de Clientpaket ongëlteg. Luet de VPN-Clientpaket nach emol erof a reinstalléiert en, well d'Routen am Profil dobannen reesen. E Client, dee sech mat sengem ale Profil erëm verbënnt, behält deenen ale Routenset, an Dir kënnt eng Stonn verléieren, fir eng Ännerung ze debuggen, déi en ni erreecht huet.
An engem gesécherten virtuelle WAN-Hub ass d'Äquivalent eng Standardroute an der Hub-Routetabell, déi mam Point-to-site-Gateway associéiert ass, woubäi den Azure Firewall am Hub den Traffic hëlt. De Firewall iwwersetzt Internet-gericht Verbindungen op seng eege ëffentlech IP-Adressen, an aus där Iwwersetzung kënnt déi nei Ausgangsadress. Wann e Firewall verschidde ëffentlech IPen huet, kann jiddwereng dovun als Quell erschéngen, dofir muss en Allowlist se all enthalen.
Béid Designe hei uewen sinn IPv4. Déi zwou /1-Prefixen maachen näischt fir IPv6, an d'Point-to-site-IPv6-Ënnerstëtzung ass schmuel genuch, datt Dir d'Kombinatioun musst testen, ier Dir Paritéit versprécht.
Kuckt d'Route, dann den Ausgang
Nodeems Dir de Paket reinstalléiert an Iech erëm verbonnen hutt, bestätegt, datt de Client d'Hälften tatsächlech installéiert huet. Op Windows sollten Get-NetRoute -DestinationPrefix 0.0.0.0/1 an déiselwecht Ufro fir 128.0.0.0/1 den Tunnelinterface nennen, an route print weist béid niewent Ärer ursprénglecher Standardroute. Op Linux muss ip route show déi zwee Prefixen oplëschten; wann net, huet de Profil se ni gedroen.
Da kontrolléiert d'ëffentlech Adress vum Client aus nach emol a liest de Firewall-Log fir déiselwecht Verbindung. D'Quell sollte d'ëffentlech IP vum Firewall mat engem iwwersate Port sinn. E Client, dee nach ëmmer lokal erausgeet, obwuel béid Routen existéieren, heescht, datt d'Paketen Azure erreecht hunn an iwwer en anere Wee fortgaange sinn: eng benotzerdefinéiert Route um Gateway-Subnet, e Firewall, deen selwer gezwongen getunnelt ass op d'lokal Netz, oder eng Politik, déi de Flux virun der Iwwersetzung fale léisst.
Testt nach emol eng privat Destinatioun an der selwechter Sitzung. En Jump-Host, deen no der Ännerung ophält ze äntweren, ass dat gewéinlecht Zeeche fir datt déi nei Prefixen eppes verdrängt hunn, entweder eng méi schmuel lokal Route, déi virdru annoncéiert gouf, oder d'Nimmopklorung, déi elo op en Resolver ouni Forwarder fir Är privat Zonen geet.
Wéini léisst ee de Split Tunnel a Rou
Wann d'Zil just ass, eng privat API, en privaten Endpunkt oder eng intern Admin-Säit z'erreechen, ass d'Standardverhalen méi bëlleg a méi roueg. Gezwongen Tunneling setzt Firewall-Stonnen an Datenverarbeitungskäschten derbäi, e méi laange Wee, an nach eng Plaz, wou all Clientflux ka feelen. Et fänkt och vill méi Traffic a wéi déi eenzeg Destinatioun, déi Iech bekëmmert huet.
Gräift der no, wann d'Ufuerderung a Begrëffer vum Ausgang formuléiert ass: e Partner muss eng fix Azure-Adress gesinn, d'Sécherheet wëllt, datt d'Verbindungen geloggt an iwwerpréift ginn, oder d'Date musse vun engem kontrolléierte Punkt erausgoen. Och dann gëtt d'Design all Benotzer en gedeelten Ausgang, dofir muss d'Verantwortung pro Benotzer aus der Identitéit an der Applikatioun kommen, net aus der Quelladress.
Ier Dir d'Ännerung zoumaacht, bestätegt véier Saachen: dee installéierte Clientpaket ass deen Neien, déi zwou /1-Routen sëtzen um Tunnelinterface, eng privat Destinatioun äntwert nach, an de Log vum entfernte Service weist d'Firewalladress.