Azure Point-to-Site VPN ඔබේ පොදු IP වෙනස් නොකරන්නේ ඇයි
පොයින්ට්-ටු-සයිට් ටනලය වර්චුවල් ජාලයේ මාර්ග පමණක් ගෙන යයි, එබැවින් බලහත්කාර ටනලින් සහ ෆයර්වෝල් SNAT එග්‍රස් Azure වෙත ගෙන යන තෙක් ඔබේ පොදු IP ස්ථානීයව පවතී.
මම Windows ලැප්ටොප් එකක Azure VPN සේවාලාභියා සම්බන්ධ කර, ලිපින ප්‍රතිරාවය පිටුවක් විවෘත කර, මගේ ගෘහ රවුටරය ලබා දුන් එම පොදු ලිපිනයම දකිමි. එසේම 10.20.0.4 හි ජම්ප් බොක්ස් පිළිතුරු දෙන අතර පෞද්ගලික අන්ත ලක්ෂ්‍ය නාමයක් විසඳෙයි, එබැවින් ටනලය කැඩී නැත. පොයින්ට්-ටු-සයිට් ගේට්වේ කරන්නේ එහි පෙරනිමි වින්‍යාසය පවසන දේමය: පෞද්ගලික උපසර්ග ගෙන යයි, අනෙක් සියල්ල ස්ථානීය සබැඳියේ තබයි. Azure සතු එග්‍රස් ලිපිනයක් ලබා ගැනීම මාර්ගගත කිරීමේ නිර්මාණයේ වෙනසක් මිස අලුත්වැඩියාවක් නොවේ.
ගේට්වේ පෙරනිමියෙන් ප්‍රකාශ කරන්නේ කුමක්ද
ගේට්වේ වර්චුවල් ජාලයේ ලිපින අවකාශය සඳහා මාර්ග තල්ලු කරයි, එසේම ගේට්වේ සංක්‍රාන්තියට අවසර දී ඇති සමක ජාල සහ සයිට්-ටු-සයිට් සම්බන්ධතාවය හෝ BGP හරහා ඉගෙන ගත් ස්ථානීය උපසර්ගද තල්ලු කරයි. එම කුලකයේ 0.0.0.0/0 නොමැත. ඔබේ මෙහෙයුම් පද්ධතිය එහි පෙරනිමි මාර්ගය Wi-Fi හෝ Ethernet මත තබා ගනී, එබැවින් පොදු API වෙත යන පැකට්ටුව කිසිදා ටනලයට ඇතුළු නොවේ.
සේවාලාභියා ටනලය තුළ ලබා ගන්නා ලිපිනය පොයින්ට්-ටු-සයිට් තටාකයෙන් ලබාගත් පෞද්ගලික බද්දකි. එය VNet හි සම්පත් සඳහා සේවාලාභියා හඳුනා ගනී; එය අන්තර්ජාලයට දැකිය හැකි ලිපිනයක් නොවේ, සහ SaaS API වෙත යන පිටතට යන ඉල්ලීමක මූලාශ්‍රය ලෙස කිසිදා නොපෙනේ. එම බද්ද වටා ගොඩනගන ලද අනුමත ලැයිස්තු සටහන ක්‍රියා කළ නොහැක, එය සැපයුම්කරුගේ ලොගවල පෙනෙන තෙක් ඔබ කොපමණ කල් බලා සිටියත්.
බෙදුණු ටනලය සහ බලහත්කාර ටනලින් අසලින් අසල
| Split tunnel, the default | Forced tunneling | |
|---|---|---|
| Internet traffic exits through | local ISP or office router | firewall or appliance inside Azure |
| Source address the API sees | your home or office IP | the firewall public IP |
| Inspection and logging in Azure | none | policy rules plus flow logs |
| Ongoing cost | gateway only | gateway, firewall hours, data processing |
| What usually breaks | nothing on the egress path | DNS, on-premises routes, overlapping local ranges |
දුරස්ථ සේවාවක් දකින ලිපිනය වෙනස් කරන්නේ දෙවන පේළිය පමණි. එම වගුවේ අනෙක් සියල්ල යනු එග්‍රස් Azure තුළ පරීක්ෂා කිරීමට හෝ පරිවර්තනය කිරීමට සිදු වූ විට ඔබ පිළිගන්නා වියදම සහ මෙහෙයුම් මතුපිටයි. යමෙක් ඔබට පොදු IP වෙනස් කරන ලෙස කියයි නම්, ඔහු මුළු දකුණු තීරුවම ඉල්ලා සිටියි, සේවාලාභියා තුළ කුඩා සකස් කිරීමක් නොවේ.
යමක් නැවත ගොඩනැගීමට පෙර නම් කිරීමට වටිනා අතරමැදි විකල්පයක් ඇත. VNet තුළ ඇති ප්‍රොක්සි හෝ ගේට්වේ VM එකක් එය වෙත යොමු කළ හැකි යෙදුම් සඳහා පාලිත මූලාශ්‍ර ලිපිනයක් ලබා දෙයි, සේවාලාභියාගේ පෙරනිමි මාර්ගය චලනය නොකර. එය සාමාන්‍ය පිරික්සීම ස්ථානීයව තබා ගනී, Azure වෙතින් එක් API ඇමතුමක් පැමිණීම පමණක් අවශ්‍ය වන හවුල්කරුවෙකුද තෘප්තිමත් කරයි. අවශ්‍යතාව සැබවින්ම සියලු රථවාහන ගැන වූ විට එය අසාර්ථක වේ, මන්ද ප්‍රොක්සි සැකසුම නොසලකා හරින ඕනෑම දෙයක් තවමත් ස්ථානීයව පිටව යන බැවිනි.
ටනලය පෙරනිමි මාර්ගය දරන ලෙස කරන්න
වර්චුවල් ජාල ගේට්වේ එකක, සේවාලාභියාගේ සියලු අන්තර්ජාල රථවාහන ටනලයට හරවා යැවීමට ආධාරක වන ක්‍රමය පොයින්ට්-ටු-සයිට් වින්‍යාසයට අභිරුචි මාර්ග එකතු කිරීමයි. පැති දෙකක් මුළු IPv4 අවකාශයම ආවරණය කරයි, සහ එක් එක් පැත්ත ස්ථානීය පෙරනිමි මාර්ගයට වඩා විශේෂිත බැවින් සේවාලාභියා කිසිවක් මකා නොදමා ඒවාට මුල් තැන දෙයි:
Set-AzVirtualNetworkGateway -VirtualNetworkGateway GWOBJ -CustomRoute 0.0.0.0/1,128.0.0.0/1එම පේළිය උදාහරණයකි, පිටපත් කිරීමට සම්පූර්ණ නොවේ: පළමුව Get-AzVirtualNetworkGateway සමඟ ගේට්වේ වස්තුව ලබාගෙන GWOBJ වෙනුවට එය තබන්න, සහ ධාවනය කිරීමට පෙර SKU සහ යෙදවීමේ ආකෘතිය අභිරුචි මාර්ග පිළිගන්නා බව තහවුරු කරන්න. එම උපසර්ග පෝර්ටලයේ පොයින්ට්-ටු-සයිට් වින්‍යාස පිටුවේ ද පෙනේ, ඔබ තවමත් ගේට්වේ ස්ක්‍රිප්ට් නොකරන්නේ නම් ඒවා සැකසීමට වඩා ආරක්ෂිත ස්ථානය එයයි.
එම උපසර්ග වෙනස් කිරීම සේවාලාභී පැකේජය අවලංගු කරයි. VPN සේවාලාභී පැකේජය නැවත බාගත කර නැවත ස්ථාපනය කරන්න, මන්ද මාර්ග පැතිකඩ තුළ ගමන් කරයි. පැරණි පැතිකඩ සමඟ නැවත සම්බන්ධ වන සේවාලාභියා පැරණි මාර්ග කුලකය රඳවා ගනී, සහ එයට කිසිදා නොපැමිණි වෙනසක් නිරාකරණය කිරීමට ඔබට පැයක් අහිමි විය හැක.
ආරක්ෂිත වර්චුවල් WAN කේන්ද්‍රයක, සමාන දෙය වන්නේ පොයින්ට්-ටු-සයිට් ගේට්වේ සමඟ සම්බන්ධ වූ කේන්ද්‍ර මාර්ග වගුවේ පෙරනිමි මාර්ගයයි, රථවාහන කේන්ද්‍රයේ ඇති Azure Firewall එක ගනී. ෆයර්වෝලය අන්තර්ජාලයට යන සම්බන්ධතා එහිම පොදු IP ලිපිනවලට පරිවර්තනය කරයි, නව එග්‍රස් ලිපිනය පැමිණෙන්නේ එම පරිවර්තනයෙනි. ෆයර්වෝලයකට පොදු IP කිහිපයක් ඇත්නම්, ඒවායින් ඕනෑම එකක් මූලාශ්‍රය ලෙස පෙනිය හැක, එබැවින් අනුමත ලැයිස්තුවේ සියල්ල තිබිය යුතුය.
ඉහත සැලසුම් දෙකම IPv4 වේ. /1 උපසර්ග දෙක IPv6 සඳහා කිසිවක් නොකරයි, පොයින්ට්-ටු-සයිට් හි IPv6 ආධාරකය ඉතා පටු බැවින් සමානාත්මතාවය පොරොන්දු වීමට පෙර සංයෝජනය පරීක්ෂා කළ යුතුය.
මුලින්ම මාර්ගය, පසුව පිටවීම පරීක්ෂා කරන්න
පැකේජය නැවත ස්ථාපනය කර නැවත සම්බන්ධ වූ පසු, සේවාලාභියා ඇත්තටම පැති දෙක ස්ථාපනය කළ බව තහවුරු කරන්න. Windows හි Get-NetRoute -DestinationPrefix 0.0.0.0/1 සහ 128.0.0.0/1 සඳහා එම විමසුම ටනල් අතුරුමුහුණත නම් කළ යුතුය, route print ඔබේ මුල් පෙරනිමිය අසල දෙකම පෙන්වයි. Linux හි ip route show උපසර්ග දෙක ලැයිස්තුගත කළ යුතුය; නොකළහොත් පැතිකඩ ඒවා කිසිදා ගෙන ගොස් නැත.
පසුව සේවාලාභියාගෙන් පොදු ලිපිනය නැවත පරීක්ෂා කර එම සම්බන්ධතාවය සඳහා ෆයර්වෝල් ලොගය කියවන්න. මූලාශ්‍රය පරිවර්තිත වරායක් සහිත ෆයර්වෝලයේ පොදු IP විය යුතුය. මාර්ග දෙකම තිබියදීත් තවමත් ස්ථානීයව පිටව යන සේවාලාභියා යනු පැකට්ටු Azure වෙත ළඟා වී වෙනත් මාර්ගයකින් පිටව ගිය බවයි: ගේට්වේ උපජාලයේ පරිශීලක-නිර්වචිත මාර්ගයක්, තමන්ම ස්ථානීය ජාලයට බලහත්කාර ටනලයක ඇති ෆයර්වෝලයක්, හෝ පරිවර්තනයට පෙර ප්‍රවාහය හලන ප්‍රතිපත්තියක්.
එම සැසියේම එක් පෞද්ගලික ගමනාන්තයක් නැවත පරීක්ෂා කරන්න. වෙනසට පසු පිළිතුරු දීම නවත්වන ජම්ප් සත්කාරකය යනු නව උපසර්ග යමක් ඉවත් කළ බවට පොදු සංඥාවකි, කලින් ප්‍රකාශ කළ පටු ස්ථානීය මාර්ගයක් හෝ දැන් ඔබේ පෞද්ගලික කලාප සඳහා යොමුකරන්නෙකු නොමැති විසඳන්නෙකු වෙත යන නාම විසඳුම.
කවදාද බෙදුණු ටනලය නිශ්ශබ්දව තැබිය යුත්තේ
ඉලක්කය පෞද්ගලික API, පෞද්ගලික අන්ත ලක්ෂ්‍යයක් හෝ අභ්‍යන්තර පරිපාලන පිටුවක් වෙත ළඟා වීම පමණක් නම්, පෙරනිමි හැසිරීම ලාභදායී සහ නිශ්ශබ්දය. බලහත්කාර ටනලින් ෆයර්වෝල් පැය සහ දත්ත සැකසීමේ ගාස්තු, දිගු මාර්ගයක්, සහ සෑම සේවාලාභී ප්‍රවාහයක්ම අසාර්ථක විය හැකි තවත් ස්ථානයක් එකතු කරයි. ඔබ ගැන හිතූ එකම ගමනාන්තයට වඩා බොහෝ වැඩි රථවාහන ද එය අල්ලා ගනී.
අවශ්‍යතාව එග්‍රස් අනුව ප්‍රකාශ කරන විට එය භාවිතා කරන්න: හවුල්කරුවෙකු ස්ථාවර Azure ලිපිනයක් දැකිය යුතුය, ආරක්ෂාව සම්බන්ධතා ලොග් වී පරීක්ෂා විය යුතුයැයි අවශ්‍ය වේ, නැතහොත් දත්ත එක් පාලිත ලක්ෂ්‍යයකින් පිටවිය යුතුය. එවිට පවා සැලසුම සෑම පරිශීලකයෙකුටම හවුල් පිටවීමක් ලබා දෙයි, එබැවින් පරිශීලකයා අනුව වගකීම මූලාශ්‍ර ලිපිනයෙන් නොව යෙදුමේ අනන්‍යතාවයෙන් පැමිණිය යුතුය.
වෙනස වසා දැමීමට පෙර කරුණු හතරක් තහවුරු කරන්න: ස්ථාපිත සේවාලාභී පැකේජය නව එකය, /1 මාර්ග දෙකම ටනල් අතුරුමුහුණතේ ඇත, පෞද්ගලික ගමනාන්තයක් තවමත් පිළිතුරු දෙයි, සහ දුරස්ථ සේවාවේ ලොගය ෆයර්වෝල් ලිපිනය පෙන්වයි.