د Azure P2S VPN بیرته راستنېدونکې ترافیک یوازې په یوه لوري کار کوي

د ټنل آیکون شنه دی، NSG اجازه ورکوونکی ښکاري، اغېزمن مسیرونه سم ښکاري، او بیا هم VM نشي کولی اړوند کلاینټ ته بیرته اړیکه پرانیزي. معمول انګېرنه دا ده چې کارکوونکی point-to-site ټنل سمیټریک دی: که کلاینټ VM ته ورسیږي، VM هم کلاینټ ته رسیږي. دا انګېرنه د استدلال غلطي ده، نه د ترتیباتو. ټنل کولی شي د نه غوښتل شوي بهیر یو لوري انتقال کړي او بل یې پرېږدي، او سمون په دې پورې اړه لري چې کومه طبقه یې پرېږدي.

افسانه: نښلول شوی ټنل دوه اړخیز ټنل دی

VPN ټنل د پالیسۍ لاره ده، نه تار. هر لوری د ټاکونکو، مسیرونو او فلټرونو سره پرتله کیږي، او هر یو یې کولی شي یو لوري ته اجازه ورکړي او بل بند کړي.

په عمل کې نامساوي دومره عامه ده چې لوری باید په لومړي ازموینه کې وي، نه په وروستي. کلاینټ پیل کوي، ګیټوې بهیر تعقیبوي، او ځواب هغه حالت ته چې رامنځته شوی دی غاړه وهي. هغه VM چې نوی بهیر پیلوي داسې حالت نه لري، نو د دې پورې تړلی دی چې د بیرته راستنېدو لار په روښانه توګه د مسیر وړ او اجازه لرونکې وي. کله چې هغه لار نه وي، د اړیکې هڅه هغه مهال مړه کیږي چې لا هیڅ اپلیکیشن نه وي لیدلی.

د لاسرسي ازموینې دمخه لوري ته وګورئ

یو کلاینټ پته، یوه VM پته او یو پروتوکول وټاکئ. له کلاینټ څخه وصل شئ او پایله ثبت کړئ؛ بیا هماغه ازموینه له VM څخه پیل کړئ او هغه هم ثبت کړئ. که لومړی بریالی او دوهم ناکام وي، کلاینټ حوض، د ګیټوې اړیکه او له کلاینټ څخه VNet ته لار ټول کار کوي.

بل ګام شواهد دي، نه نور قوانین. په VM subnet کې NSG دواړه لوري وګورئ، په VM NIC کې اغېزمن مسیرونه ولولئ، او کله چې کلاینټ ترافیک لیږي په VM کې پاکټونه ونیسئ. هغه غوښتنه چې پرته له ځواب رسیږي د فلټر یا بیرته لار ستونزه ده؛ هغه غوښتنه چې هېڅکله نه رسیږي د لار ستونزه ده. ناکام ping د VM د نه لاسرسي ثبوت مه ګڼئ، ځکه ICMP پالیسي کولی شي ځواب پرېږدي په داسې حال کې چې TCP کار کوي.

د IKEv2 point-to-site بیرته لار معمول شکمن دی

په هغه Azure راپور کې چې دا مقاله پر بنسټ ده، کلاینټ کولی شو د IKEv2 له لارې VM ته ورسیږي، خو له VM څخه کلاینټ ته راتلونکی ICMP ناکام و تر هغه چې د ګیټوې د ټنل ډول OpenVPN ته ونه بدل شو. راپور لیکونکی وایي چې Microsoft د IKEv2 point-to-site لار کې یو محدودیت تایید کړ، چېرې چې له VM څخه کلاینټ ته بیرته ترافیک په سمیټریک ډول نه مسیریږي پرته له دې چې کلاینټ ناسته پیل کړې وي. IKEv2 د ترافیک ټاکونکو پورې تړلی دی، او ګیټوې په هغه حالت کې د بیرته لوري درناوی ونه کړ.

دا OpenVPN په عمومي ډول غوره ټنل ډول نه جوړوي. دا د دې کاري بار لپاره په ازموینې میټریکس کې ټنل ډول یو بدلونکی جوړوي.

د ټنل ډول بدلول د خدماتو بدلون دی، نه بدلول. هر کلاینټ ته مطابق پروفایل ته اړتیا ده، او ګیټوې ته کېدای شي بل سند یا د تصدیق ترتیب ته اړتیا وي. یو اړخیز چلند د یو ازموینې کلاینټ او یوې ازموینې VM سره بیا تولید کړئ، ډول د تصویب شوې مهال ویش له مخې بدل کړئ، او بیا هماغه لوري ازموینې تکرار کړئ. که چلند له بدلون وروسته هم پاتې شي، ټنل ډول لامل نه و او تاسو پرته له تولید ته لاس وهلو ستونزه محدوده کړه.

افسانه: د broadcast له لارې کشف د VNet حد تیریږي

دوهمه انګېرنه د یوې بې اړیکې دلیل له امله ناکامه کیږي. د Azure مجازي شبکه د broadcast ترافیک نه انتقالوي، نو VM نشي کولی د site-to-site یا point-to-site اړیکې له لارې له سیمه ییزې شبکې څخه broadcast چوکاټونه ترلاسه کړي. هغه اپلیکیشنونه چې ملګري د broadcast له لارې مومي، لکه زوړ د فایلونو لټون یا ځینې د وسیلې کشف پروتوکولونه، به هېڅکله لرې اړخ ونه ګوري، هر څنګه چې مسیرونه لیکل شوي وي.

د broadcast له لارې کشف په DNS نومونو، د لارښود خدمت یا روښانه ملګرو لیست بدل کړئ. که اپلیکیشن unicast بدیل نه لري، ډیزاین ته پراخ ټنل نه، بل کشف میکانیزم ته اړتیا ده.

څه بدل کړو، او څنګه یې ثبوت وکړو

که د لوري ازموینه یوازې په IKEv2 کې ناکامه شي، د ګیټوې ټنل ډول، د کلاینټ پتو حوض او دقیق ICMP یا TCP ازموینه ثبت کړئ، بیا د اغېزمن کلاینټونو لپاره تصویب شوی OpenVPN پروفایل ارزښت وکړئ. که په هر ټنل ډول کې ناکامه شي، د بیرته لارې کار وکړئ: د کلاینټ پته باید د VM subnet څخه د مسیر وړ وي، هر هغه مسیر چې کارونکي تعریف کړی باید سم بل ګام ته اشاره وکړي، او د کلاینټ فایر وال باید راتلونکی بهیر ومني. د NSG او مسیرونو شواهد ټیکټ ته ضمیمه کړئ.

د اپلیکیشن سره تایید کړئ، نه د ping سره. له بدلون وروسته بریالۍ ICMP تبادله د خدمت پورټ، د هغه تصدیق یا د نومونو حل په اړه هېڅ نه وایي. له بیا نښلولو وروسته ازموینه تکرار کړئ، ځکه هغه کلاینټ چې له حوض څخه بله پته اخلي کولی شي پایله بدله کړي. بیا یې یو ځل بل هم تکرار کړئ کله چې کلاینټ ویده او ویښ شي، ځکه په بیا پیل شوې ناسته کې یو اړخیز چلند ډېری وخت بیا ښکاري.