Għala l-VPN Point-to-Site ta' Azure ma jbiddilx l-IP pubblika tiegħek
Tunnel point-to-site iġorr biss ir-rotot tan-netwerk virtwali, għalhekk l-IP pubblika tiegħek tibqa' lokali sakemm it-tunnelling furzat u s-SNAT tal-firewall iċaqilqu l-ħruġ lejn Azure.
Ngħaqqad il-klijent Azure VPN fuq laptop Windows, niftaħ paġna tal-eku tal-indirizz u nara l-istess indirizz pubbliku li ta r-router tad-dar tiegħi. Sadanittant il-jump box f'10.20.0.4 iwieġeb u isem ta' endpoint privat jiġi riżolt, għalhekk it-tunnel mhux miksur. Gateway point-to-site jagħmel eżattament dak li tgħid il-konfigurazzjoni default tiegħu: iġorr il-prefissi privati u jħalli kollox ieħor fuq il-link lokali. Li tikseb indirizz tal-ħruġ proprjetà ta' Azure hija bidla fid-disinn tar-routing, mhux tiswija.
X'jħabbar il-gateway b'mod default
Il-gateway iimbotta rotot għall-ispazju tal-indirizzi tan-netwerk virtwali, flimkien ma' netwerks peering fejn it-transitu tal-gateway huwa permess u prefissi lokali mgħallma permezz ta' konnessjoni site-to-site jew BGP. F'dak is-sett m'hemmx 0.0.0.0/0. Is-sistema operattiva tiegħek iżżomm ir-rotta default tagħha fuq Wi-Fi jew Ethernet, għalhekk pakkett lejn API pubblika qatt ma jidħol fit-tunnel.
L-indirizz li klijent jirċievi ġewwa t-tunnel huwa kera privata mill-pool point-to-site. Dan jidentifika l-klijent lir-riżorsi fil-VNet; mhuwiex indirizz li l-internet jista' jara, u qatt mhu se jidher bħala s-sors ta' talba li toħroġ lejn API SaaS. Entrata fil-lista permessa mibnija madwar dik il-kera ma tistax taħdem, kemm iddum tistenna biex tidher fil-logs tal-fornitur.
Tunnel maqsum u tunnelling furzat spalla ma' spalla
| Split tunnel, the default | Forced tunneling | |
|---|---|---|
| Internet traffic exits through | local ISP or office router | firewall or appliance inside Azure |
| Source address the API sees | your home or office IP | the firewall public IP |
| Inspection and logging in Azure | none | policy rules plus flow logs |
| Ongoing cost | gateway only | gateway, firewall hours, data processing |
| What usually breaks | nothing on the egress path | DNS, on-premises routes, overlapping local ranges |
It-tieni ringiela biss tbiddel l-indirizz li jara servizz remot. Kull ħaġa oħra f'dik it-tabella hija spiża u wiċċ operattiv li taċċetta meta l-ħruġ irid jiġi spezzjonat jew tradott ġewwa Azure. Jekk xi ħadd jitolbok li l-IP pubblika tinbidel, qed jitlob il-kolonna kollha tal-lemin, mhux aġġustament żgħir fil-klijent.
Hemm għażla intermedja li jistħoqqilha tissemma qabel terġa' tibni xi ħaġa. VM proxy jew gateway ġewwa l-VNet tagħtik indirizz tas-sors ikkontrollat għall-applikazzjonijiet li jistgħu jiġu indirizzati lejh, mingħajr ma ċċaqlaq ir-rotta default tal-klijent. Dan iżomm il-browsing normali lokali u xorta jissodisfa sieħeb li għandu bżonn biss sejħa waħda tal-API li tasal minn Azure. Ma jaħdimx meta l-ħtieġa tkun verament dwar it-traffiku kollu, għax kull ħaġa li tinjora s-setting tal-proxy xorta toħroġ lokalment.
Agħmel it-tunnel iġorr ir-rotta default
Fuq gateway tan-netwerk virtwali, il-mod appoġġat biex idderieġi t-traffiku kollu tal-internet tal-klijent fit-tunnel huwa li żżid rotot personalizzati mal-konfigurazzjoni point-to-site. Żewġ nofsijiet ikopru l-ispazju kollu IPv4, u kull waħda hija aktar speċifika mir-rotta default lokali, għalhekk il-klijent jippreferihom mingħajr ma jħassar xejn:
Set-AzVirtualNetworkGateway -VirtualNetworkGateway GWOBJ -CustomRoute 0.0.0.0/1,128.0.0.0/1Dik il-linja hija illustrattiva u mhux kompluta biex tikkopja: l-ewwel ġib l-oġġett tal-gateway b'Get-AzVirtualNetworkGateway u ibdlu ma' GWOBJ, u qabel ma tmexxih ikkonferma li l-SKU u l-mudell tal-varar jaċċettaw rotot personalizzati. L-istess prefissi jidhru fil-portal fuq il-paġna tal-konfigurazzjoni point-to-site, li hija l-post aktar sikur biex tistabbilixxihom jekk għadek m'intix tiskriptja l-gateway.
Il-bidla ta' dawk il-prefissi tħassar il-pakkett tal-klijent. Niżżel mill-ġdid il-pakkett tal-klijent VPN u erġa' installah, għax ir-rotot jivvjaġġaw ġewwa l-profil. Klijent li jerġa' jikkonnettja bil-profil il-qadim tiegħu jżomm is-sett tar-rotot il-qadim, u tista' titlef siegħa tiddenbubja bidla li qatt ma waslet għandu.
F'hub WAN virtwali sikur l-ekwivalenti hija rotta default fit-tabella tar-rotot tal-hub assoċjata mal-gateway point-to-site, bit-traffiku jittieħed mill-Azure Firewall fil-hub. Il-firewall jittraduċi l-konnessjonijiet lejn l-internet fl-indirizzi IP pubbliċi tiegħu stess, u minn dik it-traduzzjoni ġej l-indirizz tal-ħruġ il-ġdid. Meta firewall ikollu bosta IP pubbliċi, kwalunkwe waħda minnhom tista' tidher bħala s-sors, għalhekk lista permessa trid ikollha kollha.
Iż-żewġ disinji hawn fuq huma IPv4. Iż-żewġ prefissi /1 ma jagħmlu xejn għall-IPv6, u l-appoġġ IPv6 point-to-site huwa tant dojoq li għandek tittestja l-kombinazzjoni qabel ma twiegħed parità.
Iċċekkja r-rotta, imbagħad il-ħruġ
Wara li terġa' tinstalla l-pakkett u terġa' tikkonnettja, ikkonferma li l-klijent tassew installa n-nofsijiet. Fuq Windows, Get-NetRoute -DestinationPrefix 0.0.0.0/1 u l-istess mistoqsija għal 128.0.0.0/1 għandhom isemmu l-interface tat-tunnel, u route print juri t-tnejn ħdejn ir-rotta default oriġinali tiegħek. Fuq Linux, ip route show trid telenka ż-żewġ prefissi; jekk ma tagħmilx, il-profil qatt ma ġarrihom.
Imbagħad erġa' ċċekkja l-indirizz pubbliku mill-klijent u aqra l-log tal-firewall għall-istess konnessjoni. Is-sors għandu jkun l-IP pubblika tal-firewall b'port tradott. Klijent li għadu joħroġ lokalment waqt li ż-żewġ rotot jeżistu jfisser li l-pakketti waslu Azure u ħarġu minn triq oħra: rotta definita mill-utent fis-subnet tal-gateway, firewall li hu stess huwa furzat fit-tunnel lejn in-netwerk lokali, jew politika li twaqqa' l-fluss qabel it-traduzzjoni.
Erġa' ttestja destinazzjoni privata waħda fl-istess sessjoni. Host tal-qbiż li jieqaf iwieġeb wara l-bidla huwa s-sinjal tas-soltu li l-prefissi l-ġodda ċaqalqu xi ħaġa, jew rotta lokali aktar dejqa li qabel kienet imħabbra jew riżoluzzjoni tal-ismijiet li issa tmur għand resolver mingħajr forwarder għaż-żoni privati tiegħek.
Meta tħalli t-tunnel maqsum fi kwietu
Jekk l-għan huwa biss li tasal għal API privata, endpoint privat jew paġna tal-amministrazzjoni interna, l-imġiba default hija irħas u aktar kwieta. It-tunnelling furzat iżid sigħat ta' firewall u spejjeż tal-ipproċessar tad-data, triq itwal, u post ieħor fejn kull fluss tal-klijent jista' jonqos. Jaqbad ukoll ħafna aktar traffiku mid-destinazzjoni waħda li kienet tinteressak.
Irrikorri għalih meta l-ħtieġa tkun espressa f'termini tal-ħruġ: sieħeb irid jara indirizz Azure fiss, is-sigurtà trid li l-konnessjonijiet jiġu rreġistrati u spezzjonati, jew id-data trid toħroġ minn punt ikkontrollat wieħed. Anke hekk id-disinn jagħti lil kull utent ħruġ maqsum, għalhekk ir-responsabbiltà għal kull utent trid tiġi mill-identità fl-applikazzjoni mhux mill-indirizz tas-sors.
Qabel tagħlaq il-bidla, ikkonferma erba' affarijiet: il-pakkett tal-klijent installat huwa l-ġdid, iż-żewġ rotot /1 jinsabu fuq l-interface tat-tunnel, destinazzjoni privata għadha twieġeb, u l-log tas-servizz remot juri l-indirizz tal-firewall.