په Azure P2S VPN کې ثابته IP: ولې د کلاینټ پته بدلېږي
Azure point-to-site په هره اړیکه کې له پول څخه بله ازاده پته ورکوي، نو د کلاینټ ثابته IP نشته. پرځای یې لاسرسی پر حدونو یا پر هویت ولاړ کړئ.
هر Azure point-to-site کلاینټ د تصدیق پر مهال له پول څخه پته ترلاسه کوي او یوازې د هغې اړیکې تر پای پورې یې ساتي. نه د رزرو جدول شته، نه د هر کاروونکي نقشه، او نه د دروازې هغه تنظیم چې معنا یې «تل دې کس ته 172.16.0.10 ورکړه» وي. همدا یو میکانیزم هغه دواړه نښې تشریح کوي چې خلک وروسته ورسره مخ کېږي: یو NSG قاعده چې له هغه کاروونکي سره نوره نه ځي چې مخکې ورسره ځېده، او یوه اجازهلړلیک چې په غلې تشه کې هغه ماشین ته د تلو اجازه ورکوي چې چا په قصد نه دی ورزیات کړی. د قاعدې بدلول په یوه ډېره هوښیاره IP قاعده هېڅ یو هم نه سمېږي، ځکه هغه څه چې قاعده یې نوم اخلي، د هغې مهالوېش له مخې بیا وېشل کېږي چې تاسو یې کنټرول نه لرئ.
پول ظرفیت دی، هویت نه. دا د دې لپاره دی چې هممهاله تونلونه ځانګړې پتې واخلي، او کله چې یوه اجاره پای ته ورسېږي، هغه بېرته کاروي. کله چې دا روښانه شي، ګټوره پوښتنه نوره «زه څنګه دا کلاینټ وټینګ کړم» نه وي او دا کېږي «زه د کوم شي پر ضد قاعده ولیکم چې دروازه یې بېرته نه کاروي».
کله چې کلاینټ ونښلي، دروازه په رښتیا څه کوي
دروازه د کلاینټ د پتو جوړ شوی پول ساتي او د اجارې جدول په توګه ورسره چلند کوي. پر نښلېدو بله ازاده پته، په عمل کې تر ټولو ټیټه شته، اخلي او تر هغه یې د تونل اډاپټر ته ورکوي چې کلاینټ ونښښل شي یا اجاره پای ته ورسېږي. ترتیب فیصله کوي، نه هویت: څوک چې له یوې ارامې مودې وروسته لومړی بېرته ونښلي، هغه تر ټولو ټیټه پته اخلي چې په هغه شېبه تصادفاً ازاده وي.
د پول اندازه چلند پټوي. ازموینهکوونکو له شمېر څخه یوه یا دوه پتې لوی لابراتواري پول ټاکونکی ښکاري، ځکه هماغه لپټاپ هره سهار په هماغه ترتیب بېرته نښلي. درېیم ماشین ورزیات کړئ، د پول اندازه بدله کړئ، یا د غرمې پر مهال غونډه نښلولې پرېږدئ — بڼه ماتېږي. پته هېڅکله ثابته نه وه؛ قطار ثابت و.
د point-to-site ترتیب هر بدلون د اجارې ځای هم بیا تنظیموي. بېل ډول تصدیق، بدلې شوې اندازې پول، نوی د پول حد، یا هغه دروازه چې ویجاړه او بیا جوړه شي — ټول کلاینټان هغه پول ته بېرته استوي چې نور د دوی له زړو پتو سره نه ځي. د هغه بدلون هېڅ شی ستاسو NSG ته نه رسېږي، ځکه خرابي خپله پیښه ښکاري.
تاسو کولی شئ دا په نږدې یوه دقیقه کې وګورئ. ونښلئ، د کلاینټ د اړیکې په تفصیلاتو کې د تونل پته ولیکئ، ونښښل شئ، دویم ماشین ونښلئ، بیا لومړی بېرته ونښلئ. هغه پته چې بېرته ترلاسه کوئ، په دې پورې اړه لري چې دویم ماشین څه نیولي، او هېڅ پورټل تنظیم به پخوانۍ پته پر غوښتنه بېرته نه راولي.
د کلاینټ IP ته تړلې NSG په رښتیا د نښلېدو ترتیب په اړه قاعده ده
هغه قاعده چې خلک لومړی لیکي ښکاره ده: د مدیریت VM د NIC یا د هغې د فرعي شبکې په سر راځونکې قاعده، چې سرچینه یې د VPN کلاینټ داخلي پته ده. لنډه ده، د لیکلو پر ورځ ازموینه بریالۍ کوي، او هر کله چې په پول کې له یوې زیاتې ازادې پتې وي، ناکامېږي.
له دې دوې ناکامۍ راپاڅېږي، او یوازې یوه یې د باګ په څېر ښکاري. قانوني کاروونکی ردېږي ځکه چې په هغه شېبه بله پته چې قاعده یې نوم اخلي بل څوک نیولې ده، او دا د یوې زحمتکړې ملاتړ ټکټ په توګه راځي. یا ناټاکلی کاروونکی پرېښودل کېږي ځکه چې هغه پته میراثي ترلاسه کړې چې قاعده لا هم پرې باور لري، او دا تر هغه څه نه راځي چې څوک د لاسرسي پلټنه وکړي.
ځکه قاعده د اجارې پسې ځي، اغېزناک سیاست داسې لوستل کېږي «لومړی څوک چې ونښلي، د مدیریت لاسرسی اخلي». دا د نښلېدو ترتیب بیان دی چې د نیت جامې اغوندي، او هېڅ قاعدهپاکوالی یې د نیت څرګندونه نه جوړوي.
د کلاینټ اجاره او د دروازې پته بېل شیان دي
ډېری ګډوډي له یوې کلمې راځي. دروازه یوه عمومي IP لري چې نسبتاً ثابته ده؛ کلاینټان له پول څخه شخصي پتې لري چې ثابتې نه دي. د زوني زیاتوالي نه لرونکې VPN دروازې لپاره عمومي IP په متحرک ډول ورکول کېږي، خو دا د اندازې بدلون، بیا تنظیم او عادي ساتنې نه تېرېږي — دا هغه وخت بدلېږي چې خود دروازه ړنګه او بیا جوړه شي. زوني زیاتوالي لرونکې او زوني د دروازې SKU ګانې د Standard SKU عمومي IP کاروي، او هغه ورکړه باید ثابته وي.
همدا ثبات د سیمهای سیال لپاره په خپل ترتیب کې اړین دی، او د یو فردي کلاینټ د پېژندنې په اړه هېڅ نه وایي. کله چې سیال وپوښتي چې کومه پته به ویني، ځواب په site-to-site کې د دروازې عمومي IP، یا یو شریکه NAT حد دی — هېڅکله د لپټاپ د تونل اجاره نه.
ګروپي پولونه تاسو ته هغه حد درکوي چې پر ضد یې قاعده لیکل ارزښت لري
Virtual WAN point-to-site د کاروونکو ګروپونه ملاتړ کوي، او هر ګروپ ته کولی شئ خپل د کلاینټ پتو پول ورکړئ. غړیتوب د هویت له مخې ټاکل کېږي، نو هغه حد چې کلاینټ پکې لویږي اټکلکېدونکی کېږي: عملیات په یو حد کې، قراردادي په بل کې، او حد هغه شی دی چې د فایر وال یا NSG قاعده یې پرته له اټکل کولو نومولی شي.
په پای کې جوړ شوی قاعدهټولګه داسې بڼه لري چې تاسو یې بیاکتنه کولی شئ:
- هر اورېدونکي لپاره یو پول، د هممهاله غونډو د اوج لپاره اندازه شوی نه د سرونو د شمېر؛
- د ګروپ غړیتوب د هویت له لارې سمبالېږي، نه هر کله چې څوک ورګډ شي قاعدې سمول؛
- د NSG یا Azure Firewall قاعدې د پول پر حدونو لیکل کېږي، هېڅکله پر فردي اجارو نه؛
- د هغو اورېدونکو لپاره بېل مرکز یا دروازه چې هېڅکله باید یو حد شریک نه کړي.
| Rule target | Survives a reconnect | What it still cannot express |
|---|---|---|
| Client tunnel address | No | Follows connection order and admits whoever holds the address next |
| Whole client pool | Yes | Grants every connected client identical access |
| Virtual WAN group pool | Yes | Only as reliable as group membership |
| Gateway public IP | Until the gateway is recreated | Identifies the site, not the person |
ټول پول په اجازهلړلیک کې ایښودل رښتیني دي خو چټي: په هغه حد کې هر نښلېدلی کلاینټ ورته لاسرسی اخلي. دا یو سیاستپرېکړه ده چې د بیاکتنې پر مهال د موندلو پرځای په لوړ غږ ویل یې ارزښت لري. هر څه چې لا هم د هر کس لپاره ځواب غواړي، د رول ورکړو له لارې سرچینې ته اړه لري، نه د پاکټ فلټر ته.
کله چې ځایپرځای کول Virtual WAN ته نه شي تللی
ډېرې دروازې عادي VPN دروازې پاتې کېږي، او Virtual WAN ته تلل تصادفي بدلون نه دی. عملي ځواب دا دی چې د هر کاروونکي پرېکړه له پاکټ فلټر څخه هغه شي ته واړوئ چې دمخه پوهېږي کاروونکی څوک دی.
د سرچینې کچې هویت تر ټولو ارزانه بڼه ده. Storage، SQL او Key Vault ټول د Entra ID تصدیق د هر کاروونکي یا هر ګروپ د رول ورکړو سره ملاتړ کوي، نو VPN یوازې د شبکې رسېدنه ثابتول غواړي. د نوملرونکو حسابونو سره د ټوپ وهنې کوربه د اداري کار لپاره هماغه کار کوي، ځکه کوربه سړی ثبتوي او تونل یوازې پاکټونه وړي. کلاینټان په DNS کې ثبتول او د شمېرې پرځای نوم ته اجازه ورکول قاعده یوه طبقه پورته وړي. د اپلیکیشن کچې هویت — د سند موضوع، د ټوکن ادعا، د ګروپ غړیتوب — هغه وخت کار کوي چې د پرېکړې لپاره شبکه نه، اپلیکیشن وپوښتل شي.
هغه سیال چې پر ثابته سرچینه پته ټینګار کوي، ځواب یې د ټاکل شوي سیال مختګ سره site-to-site یا ExpressRoute دی. دوی سیال مختګ ته اجازه ورکوي، هغه پته چې د دوی په خوا کې ښکاري د دروازې ده، او کله چې څوک لپټاپ بیا پیل کړي نه بدلېږي.
له بل اجازهلړلیک د سمولو دمخه پول وګورئ
د پول دوه ځانګړنې هغه چلند رامنځته کوي چې خلک یې کلاینټ ته منسوبوي. ډېر کوچنی پول اجارې ژر بېرته کاروي، نو پتې تل خوځېدونکې ښکاري او هر د پتې پر بنسټ قاعده له بنسټه بېثباته ښکاري. هغه پول چې له سیمهای حدونو یا د مجازي شبکې له پتې ځای سره یو ځای شي، د لارښوونې ابهام جوړوي چې هېڅ د فایر وال قاعده یې نه سمېږي.
له دې دمخه چې قاعدې ته لاس ووړئ، درې شیان په یوه پاڼه کې کېږدئ: د point-to-site پول، د مجازي شبکې د پتو ځای او سیمهای حدونه. دوی باید یو پر بل نه راشي، او پول باید د هر هممهاله کلاینټ لپاره ځای او د بیا نښلېدو لپاره یو حاشیه ولري.
بیا دایره په دې ترتیب سره بنده کړئ:
- له دوو ماشینونو په دواړو ترتیبونو ونښلئ او پتې پرتله کړئ؛ که بدلېدلی شي، نو د پتې پر بنسټ هېڅ قاعده خوندي نه ده.
- وګورئ چې دروازه Virtual WAN ده که نه؛ که ده، د هرې پتې پر ځای د ګروپ پولونه وکاروئ.
- وپوښتئ چې کله قاعده غلط کس ته ورسیږي څه پېښېږي؛ که ځواب د لاسرسي پېښه وي، کنټرول هویت ته واړوئ.
- کوم حد د کوم ګروپ دی، په هماغه زېرمه کې چې د NSG تعریفونه پکې دي ولیکئ.
- له هر بدلون وروسته چې په پول، تصدیق یا دروازه کې وي بیا ازموینه وکړئ، ځکه هغه بدلونونه نقشه بې له اعلانه بیا لیکي.