په Azure VPN کې NAT د VNet د همپوښو پتې نه حل کوي
دوه VNet چې یو شان شخصي ساحه لري یوازې د دې له کبله چې NAT شته، نه نښلېدلې. لومړی د اړیکې ډول وګورئ، بیا بیا نمبر کړئ یا د ژباړې لقب ولرئ.
دواړه VNet د 10.40.1.0/24 ساحه کاروي، تونلونه پورته کیږي او هېڅ نه کار کوي. دویم VPN ګېټوې اضافه کول دا بدلوي نه، او نه هم ټیټ رېوټ میټریک، ځکه چې ستونزه د لارې په ټاکلو کې نه ده. دوه کاري بارونه چې یو شان شخصي پتې ته ځواب وایي، هر پیکټ د ناڅرګند منزل او د تصدیق وړ نه وي د بېرته راستنېدو لارې سره پرېږدي. د هرې ژباړې له پلان جوړولو مخکې ومومئ چې تاسو په حقیقت کې کوم د اړیکې ډول جوړ کړی، ځکه چې همدا یوه ټاکنه فیصله کوي چې د Azure NAT ځانګړتیا په بشپړه توګه شته که نه.
دا نښه په حقیقت کې تاسو ته څه وایي
کله چې په VNet A کې یو مېلمه 10.40.1.10 ته ولېږي، د لارښوونې جدول یوازې کولای شي چې هغه یوې خوا ته اشاره کړي. که VNet B هم 10.40.1.10 ولري، هغه پته داسې منزل نه دی چې لاره یې توپیر کولای شي؛ دا یوه پته ده چې دوه مالکین لري.
دویم ګېټوې چې خلک یې معمولا ځای پرځای کوي مرسته نه کوي. دا بل تونل درکوي، نه بله پته، او تکرار شوې ساحه د تونل په داخل کې بې بدلونه سفر کوي. دا هغه ترتیبات هم دوه چنده کوي چې تاسو یې باید یو شان وساتئ. هغه څه چې نشي کولای دا دي چې یوه پته دوه مېلمنو معنا ولري.
د VPN همګرو عامه پتې بدلول هم هېڅ نه کوي. هغه پتې د تونل دواړه پایونه پېژني، خو ټکر په هغه شخصي ساحه کې دی چې د هغې په داخل کې وړل کیږي.
د اړیکې ډول فیصله کوي چې NAT شته که نه
Azure VPN Gateway په رېښتیني ډول د NAT وړتیا لري، او دا په ځانګړو ګېټوې SKU کې د لارې پر بنسټ IPsec د سایټونو ترمنځ اړیکو لپاره مستند شوې ده. همدغه سند VNet-to-VNet او point-to-site اړیکې استثنا کوي، نو دا ځانګړتیا هغه ټیک بکس نه دی چې په هر ګېټوې اړیکه کې ښکاري.
| Connection type | NAT support | Overlap workaround |
|---|---|---|
| Site-to-Site (route-based IPsec, documented SKUs) | Supported with configured NAT rules | Translate the range in the rules |
VNet-to-VNet (Vnet2Vnet) | Not supported | Renumber, or redesign as a site-to-site connection |
| Point-to-site | Not supported | Choose client address pools that do not collide |
اصلي VNet-to-VNet هم غواړي چې د VNet او سیمه ییزې شبکې ساحې له پیل څخه یو بل ته نه وراوړي، چې دا د استثنا سره سمون لري. د VNet جوړه کول هم د همدې دلیل له کبله د همپوښتوب حل نه دی.
یو ملاتړ شوی بدیل شته چې خلک یې له اصلي ډول سره ګډوي: بله VNet د سیمه ییزې شبکې په توګه ماډل کړئ او د سایټ-تر-سایټ اړیکې په توګه یې ونښلوئ. دا بله سرچینه او بل ډیزاین دی، نو د نوم بدل شوې اړیکې ته د یوازې نوم بدلون نه، بلکې د تصدیق وړ بدلون په سترګه وګورئ.
بیا نمبر کړئ، یا په هغه څه ژباړه وکړئ چې د لقب مالک وي
که دواړه VNet ستاسو وي، پلان شوې بیا نمبر کول د ژباړې د دوامداره لګښت سره پرتله کړئ. بیا نمبر کول د اپلیکیشن ترتیباتو، DNS ریکارډونو، امنیتي قواعدو او هر موجوده اړیکې ته لاس ورکوي، خو بیا نورمال لوستل کېدونکې شبکه پرېږدي. دا یو وخت یو سبنیټ وکړئ، د DNS بدلون په پای کې. نیمګړې بیا نمبر شوې ساحه له دواړو انتخابونو څخه بدتره ده، ځکه چې بیا دواړه مخکښان بل ځل جدول لوستونکي ته باوري ښکاري.
چېرې چې بیا نمبر کول عملي نه وي، د لقب د ریښتیني مالک سره ژباړل شوی ډیزاین وکاروئ. په VNet A کې زنګ وهونکي کولای شي VNet B د 10.40.1.10 ته د 10.140.1.10 په توګه ورسېږي، خو هغه لقب ته د ژباړونکي وسیلې، هغې ته د لارې او ځواب لپاره د سمون وړ چلند اړتیا ده. یوازې په DNS کې اضافه شوې پته ژباړه نه ده.
دواړه ساحې په دواړو لورو ثبت کړئ: زنګ وهونکی څه ډایل کوي، منزل د سرچینې په توګه څه ویني، او کوم لوری کولای شي پیل وکړي. د Azure خپل NAT قواعد د خپلو SNAT نقشو لپاره معکوسه ژباړه لري، نو تاسو په لاس سره سمون لرونکی DNAT قاعده نه لیکئ، خو هغه آسانه د هغو اړیکو ډولونو کې پای ته رسیږي چې دا ځانګړتیا ورته ملاتړ کوي.
څه به کار ونه کړي
د کارونکي ټاکلې لاره یا رېوټ میټریک نشي کولای چې ورکه پته توپیر رامنځته کړي. دواړه لا هم په ناڅرګند منزل کار کوي، او پیکټ هغه بل ګام ته رسیږي چې جدول یې غوره ګڼي.
تکرار شوې ساحه د روټ جدول ته د ډېر ځانګړي مخکښ په توګه اضافه کول یوازې ناڅرګندتیا یو ګام ښویه کوي. دا هم د بل لوري د ماتولو تمایل لري، چېرې چې ځواب اوس دوه احتمالي سرچینې لري.
ډیزاین په دواړو لورو کې د ترافیک سره ومنئ
ډیزاین د تونل حالت نه، بلکې له هر لوري څخه د نوي اجازه شوې عملیې سره ثابت کړئ. نښلول شوی IPsec تونل وایي چې همګرې د کریپټوګرافي په اړه سره یو دي؛ د دې په اړه هېڅ نه وایي چې منزلونه توپیر وړ شول که نه.
بیا رد شوي لارې وچلوئ: هغه پته چې باید نه رسېدونکې پاتې شي، او هغه خدمت چې پالیسي یې باید بند کړي. که دواړه لا هم بریالي شي، ژباړه د ډیزاین له ارادې څخه پراخه ده.
د هغو حقایقو سره پای ته ورسئ چې وروسته دا ترتیب تشریح کوي: اصلي ساحه، وړاندې شوې ساحه، ژباړونکې وسیله، او هغه لوری چې هر اړخ کولای شي پیل وکړي. که له دې څخه یو هم ورک وي، بل انجنیر داسې شبکه په میراث اخلي چې دوه مېلمانه یو شان نوم شریکوي او هېڅوک نه یادېږي چې له دوی څخه یو ولې ځواب وایي.