IP statiku f'Azure P2S VPN: għaliex l-indirizz tal-klijent jinbidel

Kull klijent Azure point-to-site jirċievi indirizz mill-pool meta jawtentika ruħu, u jżommu biss sakemm iddum dik il-konnessjoni. M'hemmx tabella ta' riżervi, m'hemmx immappjar għal kull utent, u m'hemmx setting tal-gateway li jfisser “dejjem agħti lil din il-persuna 172.16.0.10”. Dan il-mekkaniżmu wieħed jispjega ż-żewġ sintomi li n-nies jiltaqgħu magħhom aktar tard: regola NSG li tieqaf taqbel ma' utent li kienet taqbel miegħu, u lista ta' permessi li bil-kwiet tħalli tidħol magna li ħadd ma żieda apposta. Li tissostitwixxi r-regola b'regola IP aktar għaqlija ma ssewwi lil waħda minnhom, għax dak li r-regola ssemmi jerġa' jiġi assenjat skont skeda li int ma tikkontrollax.

Il-pool huwa kapaċità, mhux identità. Jeżisti biex it-tunnels simultanji jieħdu indirizzi uniċi, u jerġa' jużahom fil-mument li tintemm il-kiri. Meta dan ikun ċar, il-mistoqsija utli tieqaf tkun “kif inwaħħal dan il-klijent” u ssir “kontra xiex nista' nikteb regola li l-gateway mhux se jerġa' juża”.

X'jagħmel il-gateway fil-fatt meta jikkonnettja klijent

Il-gateway iżomm il-pool tal-indirizzi tal-klijent ikkonfigurat u jittrattah bħala tabella tal-kiri. Meta jikkonnettja jieħu l-indirizz ħieles li jmiss, fil-prattika l-aktar baxx disponibbli, u jassenjah lill-adapter tat-tunnel sakemm il-klijent jaqta' jew sakemm tiskadi l-kirja. Tiddeċiedi l-ordni, mhux l-identità: min jerġa' jikkonnettja l-ewwel wara perjodu kwiet jieħu l-indirizz l-aktar baxx li f'dak il-mument ikun ħieles b'kumbinazzjoni.

Id-daqs tal-pool jaħbi l-imġiba. Pool tal-laboratorju indirizz jew tnejn akbar mill-għadd ta' testers jidher deterministiku, għax l-istess laptop għandu tendenza jerġa' jikkonnettja fl-istess ordni kull filgħodu. Żid it-tielet magna, ibdel id-daqs tal-pool, jew ħalli sessjoni konnessa waqt l-ikel, u l-mudell jinqasam. L-indirizz qatt ma kien stabbli; il-kju kien.

Kull bidla fil-konfigurazzjoni point-to-site terġa' tissettja wkoll l-ispazju tal-kiri. Tip ta' awtentikazzjoni differenti, pool b'daqs differenti, firxa ġdida tal-pool, jew gateway li jitwaqqa' u jerġa' jinbena kollha jibagħtu lill-klijenti lura fi pool li ma jibqax jaqbel mal-indirizzi l-qodma tagħhom. Xejn f'dik il-bidla ma jmiss l-NSG tiegħek, għalhekk il-ħsara tidher spontanja.

Tista' tarah jiġri f'madwar minuta. Ikkonnettja, innota l-indirizz tat-tunnel fid-dettalji tal-konnessjoni tal-klijent, aqta', ikkonnettja t-tieni magna, imbagħad erġa' kkonnettja l-ewwel waħda. L-indirizz li terġa' tikseb jiddependi minn dak li qed iżżomm it-tieni magna, u l-ebda setting tal-portal mhux se jerġa' jdaħħal dak ta' qabel fuq talba.

NSG ibbażat fuq l-IP tal-klijent fil-fatt huwa regola dwar l-ordni tal-konnessjonijiet

Ir-regola li n-nies jiktbu l-ewwel hija dik ovvja: regola li tidħol fuq in-NIC tal-VM tal-amministrazzjoni jew fuq is-subnet tagħha, bl-indirizz intern tal-klijent VPN bħala sors. Hija qasira, tgħaddi t-test fil-jum li tinkiteb, u tfalli hekk kif il-pool ikollu aktar minn indirizz ħieles wieħed.

Minnha joħorġu żewġ modi ta' falliment, u wieħed biss jidher bħala bug. Utent leġittimu jiġi miċħud għax xi ħadd ieħor qed iżżomm dak l-indirizz li r-regola ssemmi f'dak il-mument, u dan jasal bħala ticket ta' appoġġ irritanti. Jew utent mhux maħsub jiġi ammess għax wiret indirizz li r-regola għadha tafdah, u dan ma jasal bħala xejn sakemm xi ħadd ma jagħmilx awditu tal-aċċess.

Għax ir-regola ssegwi l-kirja, il-politika effettiva taqra “l-ewwel persuna li tikkonnettja tieħu aċċess amministrattiv”. Din hija deskrizzjoni tal-ordni tal-konnessjonijiet imlibbsa bħala intenzjoni, u l-ebda igjene tar-regoli ma tagħmilha espressjoni ta' intenzjoni.

Il-kirja tal-klijent u l-indirizz tal-gateway huma oġġetti differenti

Il-biċċa l-kbira tal-konfużjoni ġejja minn kelma waħda. Il-gateway għandu IP pubbliku relattivament stabbli; il-klijenti għandhom indirizzi privati mill-pool li mhumiex. Għal gateway VPN mhux redundanti fiż-żoni, l-IP pubbliku jiġi assenjat b'mod dinamiku, iżda jgħix minn bidla fid-daqs, reset u manutenzjoni ta' rutina — jinbidel meta l-gateway innifsu jitħassar u jinħoloq mill-ġdid. L-SKUs tal-gateway redundanti fiż-żoni u żonali jużaw IP pubbliku tal-Isku Standard, u dak l-assenjament irid ikun statiku.

Dik l-istabbiltà hija dak li jkun jeħtieġ peer lokali fil-konfigurazzjoni tiegħu, u ma tgħid xejn dwar l-identifikazzjoni ta' klijent individwali. Meta sieħeb jistaqsi liema indirizz se jara, it-tweġiba hija l-IP pubbliku tal-gateway taħt site-to-site, jew firxa NAT kondiviża — qatt il-kirja tat-tunnel ta' laptop.

Il-pools tal-grupp jagħtuk firxa li jiswa jinkitbu regoli kontriha

Virtual WAN point-to-site jappoġġja gruppi ta' utenti, u kull grupp jista' jiġi assenjat il-pool tal-indirizzi tal-klijent tiegħu. Is-sħubija hija deċiża mill-identità, allura l-firxa li fiha jispiċċa klijent issir prevedibbli: operazzjonijiet f'firxa waħda, kuntratturi f'oħra, u l-firxa hija xi ħaġa li regola tal-firewall jew tal-NSG tista' ssemmi mingħajr ma taħseb.

Is-sett ta' regoli li jirriżulta għandu forma li tista' tirrevedi:

• pool wieħed għal kull udjenza, imkejjel għall-quċċata ta' sessjonijiet simultanji u mhux għall-għadd ta' nies;
• is-sħubija fil-grupp tiġi amministrata mill-identità, mhux billi jiġu editjati r-regoli kull darba li xi ħadd jingħaqad;
• regoli tal-NSG jew ta' Azure Firewall miktuba kontra firxiet tal-pool, qatt kontra kirjiet individwali;
• hub jew gateway separat għal udjenzi li qatt m'għandhom jaqsmu firxa.

Li tqiegħed pool sħiħ fil-lista tal-permessi huwa onest iżda goff: kull klijent konness f'dik il-firxa jieħu l-istess aċċess. Dik hija deċiżjoni ta' politika li tiswa tgħidha b'leħen għoli minflok ma tiskopriha waqt reviżjoni. Kull ħaġa li għadha teħtieġ tweġiba għal kull persuna tappartjeni lir-riżors, permezz ta' assenjamenti ta' rwol, u mhux lill-filtru tal-pakketti.

Meta l-varar ma jistax jgħaddi għal Virtual WAN

Ħafna gateways jibqgħu gateways VPN sempliċi, u l-mixja għal Virtual WAN mhix bidla każwali. It-tweġiba prattika hija li ċċaqlaq id-deċiżjoni għal kull utent mill-filtru tal-pakketti għal xi ħaġa li diġà taf min hu l-utent.

L-identità fil-livell tar-riżors hija l-aktar verżjoni rħisa. Storage, SQL u Key Vault kollha jappoġġjaw awtentikazzjoni Entra ID b'assenjamenti ta' rwol għal kull utent jew għal kull grupp, għalhekk il-VPN irid biss jipprova l-aċċessibilità tan-netwerk. Host tal-qbiż b'kontijiet bl-isem jagħmel l-istess xogħol għax-xogħol amministrattiv, għax il-host jirreġistra lill-bniedem u t-tunnel biss iġorr pakketti. Li tirreġistra l-klijenti fid-DNS u tawtorizza l-isem minflok in-numru tgħolli r-regola saff wieħed. L-identità tal-livell tal-applikazzjoni — suġġett ta' ċertifikat, talba ta' token, sħubija fi grupp — taħdem meta tkun l-applikazzjoni, u mhux in-netwerk, li tintalab tiddeċiedi.

Għal sieħeb li jinsisti fuq indirizz tas-sors fiss, it-tweġiba hija site-to-site jew ExpressRoute b'prefiss tal-peer definit. Huma jawtorizzaw il-prefiss tal-peer, l-indirizz li jidher fuq naħa tagħhom huwa tal-gateway, u ma jinbidilx meta xi ħadd jerġa' jibda laptop.

Iċċekkja l-pool qabel ma teditja lista oħra ta' permessi

Żewġ proprjetajiet tal-pool jikkawżaw il-biċċa l-kbira tal-imġiba li n-nies jakkużaw lill-klijent biha. Pool żgħir wisq jerġa' juża l-kirjiet malajr, allura l-indirizzi jidhru dejjem jiċċaqilqu u kull regola bbażata fuq l-indirizz tidher instabbli mid-disinn. Pool li jikkoinċidi mal-firxiet lokali jew mal-ispazju tal-indirizzi tan-netwerk virtwali joħloq ambigwità fir-rotot li l-ebda regola tal-firewall ma ssewwi.

Qiegħed tliet affarijiet fuq paġna waħda qabel ma tmiss regola: il-pool point-to-site, l-ispazju tal-indirizzi tan-netwerk virtwali u l-firxiet lokali. M'għandhomx jikkoinċidu, u l-pool jeħtieġ spazju għal kull klijent simultanju flimkien ma' marġini għal konnessjonijiet mill-ġdid.

Imbagħad agħlaq iċ-ċirku f'dan l-ordni:

• Ikkonnettja minn żewġ magni fiż-żewġ ordnijiet u qabbel l-indirizzi; jekk jistgħu jinqalbu, l-ebda regola bbażata fuq l-indirizz mhija sigura.
• Iċċekkja jekk il-gateway huwiex Virtual WAN; jekk iva, uża pools tal-grupp minflok regoli għal kull indirizz.
• Staqsi x'jiġri meta regola tolqot il-persuna żbaljata; jekk it-tweġiba hija inċident ta' aċċess, ċaqlaq il-kontroll għall-identità.
• Irreġistra liema firxa tappartjeni lil liema grupp fl-istess repo bħad-definizzjonijiet tal-NSG.
• Erġa' ttestja wara kull bidla fil-pool, fl-awtentikazzjoni jew fil-gateway, għax dawk il-bidliet jerġgħu jiktbu l-immappjar mingħajr ma jħabbruh.