Statinis IP Azure P2S VPN: kodėl keičiasi kliento adresas

Kiekvienas Azure point-to-site klientas autentifikavimosi metu gauna adresą iš telkinio ir laiko jį tik tol, kol trunka tas ryšys. Nėra nei rezervacijų lentelės, nei susiejimo pagal naudotoją, nei tokio tinklų sietuvo nustatymo, kuris reikštų „visada duok šiam žmogui 172.16.0.10“. Būtent šis vienintelis mechanizmas paaiškina abu simptomus, su kuriais žmonės susiduria vėliau: NSG taisyklę, kuri nustoja atitikti naudotoją, kurį anksčiau atitiko, ir leidžiamųjų sąrašą, kuris tyliai įleidžia mašiną, kurios niekas sąmoningai nepridėjo. Taisyklės pakeitimas protingesne IP taisykle neištaiso nė vieno, nes tai, ką taisyklė įvardija, perskirstoma pagal grafiką, kurio jūs nekontroliuojate.

Telkinys yra talpa, o ne tapatybė. Jis egzistuoja tam, kad vienu metu veikiantys tuneliai gautų unikalius adresus, ir jis pernaudoja juos tą akimirką, kai pasibaigia nuoma. Kai tai aišku, naudingas klausimas nustoja būti „kaip man prisegti šį klientą“ ir tampa „prieš ką galiu parašyti taisyklę, kurios sietuvas nepernaudos“.

Ką sietuvas iš tikrųjų daro, kai klientas prisijungia

Sietuvas laiko sukonfigūruotą klientų adresų telkinį ir traktuoja jį kaip nuomos lentelę. Prisijungdamas jis paima kitą laisvą adresą, praktiškai mažiausią prieinamą, ir priskiria jį tunelio adapteriui, kol klientas atsijungia arba kol baigiasi nuoma. Sprendžia tvarka, o ne tapatybė: kas po ramaus laikotarpio prisijungia pirmas, gauna mažiausią adresą, kuris tuo metu atsitiktinai yra laisvas.

Telkinio dydis slepia elgseną. Laboratorijos telkinys, vienu ar dviem adresais didesnis už testuotojų skaičių, atrodo deterministinis, nes tas pats nešiojamasis kompiuteris paprastai kiekvieną rytą prisijungia ta pačia tvarka. Pridėkite trečią mašiną, pakeiskite telkinio dydį arba palikite sesiją prijungtą pietų metu, ir modelis sugriūva. Adresas niekada nebuvo stabilus; stabilia buvo eilė.

Bet koks point-to-site konfigūracijos pakeitimas taip pat iš naujo nustato nuomos erdvę. Kitoks autentifikavimo tipas, pakeisto dydžio telkinys, naujas telkinio diapazonas arba sietuvas, kuris nugriaunamas ir pastatomas iš naujo, visi grąžina klientus į telkinį, kuris nebeatitinka jų senų adresų. Niekas tame pakeitime neliečia jūsų NSG, todėl gedimas atrodo savaiminis.

Tai galima pamatyti maždaug per minutę. Prisijunkite, užsirašykite tunelio adresą kliento ryšio informacijoje, atsijunkite, prijunkite antrą mašiną, tada vėl prijunkite pirmąją. Adresas, kurį gaunate atgal, priklauso nuo to, ką laiko antroji mašina, ir joks portalo nustatymas neatkurs ankstesnio pagal pareikalavimą.

NSG, pagrįsta kliento IP, iš tikrųjų yra taisyklė apie prisijungimo tvarką

Taisyklė, kurią žmonės rašo pirmiausia, yra akivaizdi: įeinanti taisyklė administravimo VM tinklo plokštei arba jos pogrupiui, su VPN kliento vidiniu adresu kaip šaltiniu. Ji trumpa, praeina testą tą dieną, kai parašoma, ir nepavyksta, kai tik telkinyje yra daugiau nei vienas laisvas adresas.

Iš to kyla du gedimo būdai, ir tik vienas atrodo kaip klaida. Teisėtam naudotojui atsisakoma, nes tą akimirką tą adresą, kurį įvardija taisyklė, laiko kažkas kitas, ir tai ateina kaip kaitinošs pagalbos prašymas. Arba nepageidaujamas naudotojas įleidžiamas, nes jis paveldėjo adresą, kuriuo taisyklė vis dar pasitiki, ir tai neateina kaip niekas, kol kas nors nepradeda audituoti prieigos.

Kadangi taisyklė seka nuomą, efektyvi politika skamba taip: „pirmasis prisijungęs asmuo gauna administravimo prieigą“. Tai prisijungimo tvarkos aprašymas, apsirengęs ketinimu, ir jokia taisyklių higiena nepaverčia jo ketinimo išraiška.

Kliento nuoma ir sietuvo adresas yra skirtingi objektai

Didžioji dalis painiavos kyla iš vieno žodžio. Sietuvas turi viešąjį IP, kuris yra palyginti stabilus; klientai turi privačius adresus iš telkinio, kurie tokie nėra. Ne zonų dubliavimo VPN sietuvui viešasis IP skiriamas dinamiškai, bet jis išgyvena dydžio pakeitimą, atstatymą ir įprastą techninę priežiūrą — jis pasikeičia, kai pats sietuvas ištrinamas ir sukuriamas iš naujo. Zonų dubliavimo ir zoniniai sietuvo SKU naudoja Standard SKU viešąjį IP, ir tas skyrimas turi būti statinis.

Būtent šio stabilumo reikia vietiniam partneriui jo konfigūracijoje, ir jis nieko nesako apie atskiro kliento identifikavimą. Kai partneris klausia, kokį adresą jis matys, atsakymas yra sietuvo viešasis IP site-to-site atveju arba bendras NAT diapazonas — niekada nešiojamojo kompiuterio tunelio nuoma.

Grupių telkiniai duoda diapazoną, prieš kurį verta rašyti taisykles

Virtual WAN point-to-site palaiko naudotojų grupes, ir kiekvienai grupei galima priskirti savo klientų adresų telkinį. Narystė sprendžiama pagal tapatybę, todėl diapazonas, į kurį patenka klientas, tampa nuspėjamas: operacijos viename diapazone, rangovai kitame, o diapazonas yra tai, ką ugniasienės ar NSG taisyklė gali įvardyti nespėliodama.

Gautas taisyklių rinkinys turi formą, kurią galite peržiūrėti:

• vienas telkinys vienai auditorijai, dydis pagal didžiausią vienu metu veikiančių sesijų skaičių, o ne pagal žmonių skaičių;
• narystė grupėje tvarkoma pagal tapatybę, o ne redaguojant taisykles kiekvieną kartą, kai kas nors prisijungia;
• NSG arba Azure Firewall taisyklės rašomos pagal telkinio diapazonus, niekada pagal atskiras nuomas;
• atskiras centras arba sietuvas auditorijoms, kurios niekada neturėtų dalytis diapazonu.

Viso telkinio įtraukimas į leidžiamųjų sąrašą yra sąžiningas, bet grubus: kiekvienas prijungtas klientas tame diapazone gauna tą pačią prieigą. Tai politikos sprendimas, kurį verta pasakyti garsiai, o ne atrasti per peržiūrą. Viskas, kam dar reikia atsakymo kiekvienam asmeniui, priklauso ištekliui per vaidmenų priskyrimus, o ne paketų filtrui.

Kai diegimas negali pereiti prie Virtual WAN

Daugelis sietuvų išlieka paprastais VPN sietuvais, o perėjimas prie Virtual WAN nėra atsitiktinis pakeitimas. Praktinis atsakymas yra perkelti sprendimą kiekvienam naudotojui iš paketų filtro į tai, kas jau žino, kas yra naudotojas.

Tapatybė išteklių lygmeniu yra pigiausia versija. Storage, SQL ir Key Vault visi palaiko Entra ID autentifikavimą su vaidmenų priskyrimais pagal naudotoją ar grupę, todėl VPN tereikia įrodyti tinklo pasiekiamumą. Šuolio kompiuteris su įvardintomis paskyromis atlieka tą patį darbą administravimo užduotims, nes kompiuteris įrašo žmogų, o tunelis tik perduoda paketus. Klientų registravimas DNS ir vardo, o ne numerio, leidimas pakelia taisyklę vienu sluoksniu aukščiau. Programos lygmens tapatybė — sertifikato subjektas, žetono teiginys, narystė grupėje — veikia, kai nuspręsti prašoma programos, o ne tinklo.

Partneriui, kuris reikalauja fiksuoto šaltinio adreso, atsakymas yra site-to-site arba ExpressRoute su apibrėžtu partnerio prefiksu. Jie leidžia partnerio prefiksą, adresas, kuris pasirodo jų pusėje, priklauso sietuvui ir nesikeičia, kai kas nors perkrauna nešiojamąjį kompiuterį.

Patikrinkite telkinį prieš redaguodami dar vieną leidžiamųjų sąrašą

Dvi telkinio savybės sukelia didžiąją dalį elgsenos, kurią žmonės priskiria klientui. Per mažas telkinys greitai pernaudoja nuomas, todėl adresai atrodo nuolat judantys, o bet kuri adresu pagrįsta taisyklė atrodo nepatikima iš prigimties. Telkinys, kuris persidengia su vietiniais diapazonais arba virtualaus tinklo adresų erdve, sukuria maršrutizavimo dviprasmybę, kurios nesutvarko jokia ugniasienės taisyklė.

Prieš liesdami taisyklę, sudėkite tris dalykus į vieną puslapį: point-to-site telkinį, virtualaus tinklo adresų erdvę ir vietinius diapazonus. Jie neturi persidengti, o telkiniui reikia vietos kiekvienam vienu metu veikiančiam klientui ir atsargos pakartotiniams prisijungimams.

Tada uždarykite ciklą šia tvarka:

• Prisijunkite iš dviejų mašinų abiem tvarkomis ir palyginkite adresus; jei jie gali apsikeisti, jokia adresu pagrįsta taisyklė nėra saugi.
• Patikrinkite, ar sietuvas yra Virtual WAN; jei taip, naudokite grupių telkinius, o ne taisykles kiekvienam adresui.
• Paklauskite, kas nutinka, kai taisyklė atitinka ne tą žmogų; jei atsakymas yra prieigos incidentas, perkelkite kontrolę į tapatybę.
• Užsirašykite, kuris diapazonas priklauso kuriai grupei, tame pačiame saugykloje kaip NSG apibrėžimai.
• Išbandykite iš naujo po bet kokio telkinio, autentifikavimo ar sietuvo pakeitimo, nes tie pakeitimai perrašo susiejimą neskelbdami.