Sababta VPN Point-to-Site ee Azure uusan u beddelin IP-gaaga guud
Tunnel point-to-site waxa uu qaadaa oo kaliya dariiqyada shabakadda farsamada, sidaas darteed IP-gaaga guud wuu sii ahaanayaa maxalli ilaa tunnel-ka qasabka ah iyo SNAT-ka firewall ay u guuriyaan bixitaanka Azure.
Waxaan ku xiraa macmiilka Azure VPN laptop Windows ah, waxaan furaa bogga dhawaaqa ciwaanka oo waxaan arkaa isla ciwaanka guud ee router-keenna guriga bixiyay. Dhanka kale sanduuqa boodhka ee 10.20.0.4 wuu jawaabaa oo magaca barta-dhammaadka gaarka ah waa la xalliyaa, sidaas darteed tunnel-ku ma jabin. Albaabka point-to-site waxa uu sameynayaa si sax ah waxa ay sheegto qaabeyntiisa caadiga ah: waxa uu qaadaa horgalayaasha gaarka ah oo wax kale oo dhan ku reebaa xiriirka maxalliga ah. Helitaanka ciwaanka bixitaanka ee Azure la leh waa isbeddel ku yimaada naqshadeynta dariiqa, ma aha dayactir.
Waxa albaabku ku dhawaaqo si caadi ah
Albaabku waxa uu riixaa dariiqyo loogu talagalay booska ciwaanka shabakadda farsamada, iyo sidoo kale shabakadaha lammaanaha ah ee loo ogolaaday marinka albaabka iyo horgalayaasha maxalliga ah ee laga bartay xiriirka site-to-site ama BGP. Ma jiro 0.0.0.0/0 kooxdaas. Nidaamkaaga hawlgalku waxa uu hayaa dariiqiisa caadiga ah Wi-Fi ama Ethernet, sidaas darteed baakad u socota API guud weligeed ma gasho tunnel-ka.
Ciwaanka macmiilku ku helo tunnel-ka gudihiisa waa kiro gaar ah oo ka yimaada barkada point-to-site. Waxa uu macmiilka u aqoonsadaa kheyraadka VNet; ma aha ciwaan internetku arki karo, weligeedna uma soo bixi doono sida isha codsiga bixitaanka ee API SaaS. Diiwaangelinta liiska oggolaanshaha ee ku dhisan kirogaas ma shaqeyn karto, intaad sugto in ay ka soo muuqato diiwaannada iibsadaha.
Tunnel-ka kala go'an iyo tunnel-ka qasabka ah oo wada socda
| Split tunnel, the default | Forced tunneling | |
|---|---|---|
| Internet traffic exits through | local ISP or office router | firewall or appliance inside Azure |
| Source address the API sees | your home or office IP | the firewall public IP |
| Inspection and logging in Azure | none | policy rules plus flow logs |
| Ongoing cost | gateway only | gateway, firewall hours, data processing |
| What usually breaks | nothing on the egress path | DNS, on-premises routes, overlapping local ranges |
Kaliya safka labaad ayaa beddela ciwaanka ay arko adeeg fog. Wax kasta oo kale oo ku jira shaxdaas waa kharash iyo dushiisa hawleed oo aad aqbasho marka bixitaanka lagu khasbanaado in lagu baaro ama lagu turjumo gudaha Azure. Haddii qof kaa codsado in IP-ga guud isbeddelo, waxa uu codsanayaa tiirka midig oo dhan, ma aha hagaajin yar oo macmiilka ku yimaada.
Waxa jira xulasho dhexdhexaad ah oo mudan in la magacaabo ka hor inta aadan wax dib u dhisin. VM boroksee ama albaab ku jira VNet waxa uu ku siinayaa ciwaan isha la xakameeyay ee codsiyada la geyn karo dhinaciisa, iyada oo aan la dhaqaajin dariiqa caadiga ah ee macmiilka. Taasi waxa ay ilaalisaa baaritaanka caadiga ah maxalli waxayna wali qancisaa lammaane u baahan oo kaliya hal wicitaan API ah in uu ka yimaado Azure. Way fashilantaa marka shuruuddu runtii ku saabsan tahay dhammaan taraafikada, sababtoo ah wax kasta oo iska dhaafa dejinta boroksee weli maxalli ayuu u baxaa.
Ka dhig tunnel-ka in uu qaado dariiqa caadiga ah
Albaabka shabakadda farsamada, habka la taageeray ee lagu hagayo dhammaan taraafikada internetka ee macmiilka tunnel-ka waa in lagu daro dariiqyo gaar ah qaabeynta point-to-site. Laba qaybood ayaa daboolaya booska IPv4 oo dhan, mid kastaana wuu ka gaar yahay dariiqa caadiga ah ee maxalliga ah, sidaas darteed macmiilku wuu doorbidayaa iyaga isaga oo aan waxba tirtirin:
Set-AzVirtualNetworkGateway -VirtualNetworkGateway GWOBJ -CustomRoute 0.0.0.0/1,128.0.0.0/1Sadarkaas waa tusaale, ma aha mid dhamaystiran oo la koobi karo: marka hore soo qaado shayga albaabka adiga oo isticmaalaya Get-AzVirtualNetworkGateway oo ku beddel GWOBJ, oo ka hor inta aadan socodsiiin xaqiiji in SKU iyo qaabka geynta ay aqbalaan dariiqyo gaar ah. Isla horgalayaashaas waxa ay ka muuqdaan bogga qaabeynta point-to-site ee portal-ka, taas oo ah meesha ammaan badan ee lagu dejiyo haddii aadan weli albaabka qoraal ku maamulin.
Beddelka horgalayaashaas waxa uu buug-gacmeedka macmiilka ka dhigayaa mid aan ansax ahayn. Soo dejiso mar kale xirmada macmiilka VPN oo dib u rakib, sababtoo ah dariiqyadu waxa ay ku socdaan gudaha profile-ka. Macmiil ku dib u xirmaya profile-kiisii hore waxa uu hayaa kooxdii dariiqyada hore, oo waxa laga yaabaa in aad lumiso saacad aad ku hagaajinayso isbeddel aan waligiis gaarin isaga.
Xarunta WAN farsamada ee la ilaaliyay, waxa u dhiganta dariiqa caadiga ah ee shaxda dariiqyada xarunta ee ku xiran albaabka point-to-site, iyada oo taraafikada uu qaato Azure Firewall ee xarunta. Firewall-ku waxa uu u tarjumaa xiriirada internetka u socda ciwaannadiisa IP guud, oo isla tarjumaaddaas ayaa ka yimaada ciwaanka bixitaanka cusub. Marka firewall-ku leeyahay dhowr IP guud, mid kasta oo iyaga ka mid ah ayaa u soo bixi kara isha, sidaas darteed liiska oggolaanshaha waa in uu ka koobnaadaa dhammaantood.
Laba naqshadood ee kore waa IPv4. Labada horgale ee /1 waxba ma qabtaan IPv6, taageerada IPv6 ee point-to-site-na aad bay u cidhiidhi tahay oo waa in aad tijaabiso isku darka ka hor inta aadan ballanqaadin isle'eg.
Hubi dariiqa, ka dibna bixitaanka
Ka dib markaad dib u rakibto xirmada oo aad dib u xiranto, xaqiiji in macmiilku runtii rakibay labada qaybood. Windows, Get-NetRoute -DestinationPrefix 0.0.0.0/1 iyo isla weydiinta 128.0.0.0/1 waa in ay magacaabaan interface-ka tunnel-ka, route print-na waxa uu labadaba muujinayaa dariiqaaga caadiga ah ee asalka ah agtiisa. Linux, ip route show waa in uu liis galiyo labada horgale; haddii uusan sidaas yeelin, profile-ku waligiis ma qaadin iyaga.
Ka dib mar kale hubi ciwaanka guud ee macmiilka oo akhri diiwaanka firewall-ka isla xiriirkaas. Ishu waa in ay noqotaa IP-ga guud ee firewall-ka oo leh port la tarjumay. Macmiil weli maxalli u baxaya iyada oo labada dariiqo ay jiraan waxa ay ka dhigan tahay in baakadaha gaareen Azure oo ay ka baxeen dariiq kale: dariiq isticmaaluhu qeexay oo ku yaal subnet-ka albaabka, firewall isaga laftiisa oo si qasab ah loo tunnel-galiyay shabakadda maxalliga ah, ama siyaasad tuurta qulqulka ka hor tarjumaadda.
Mar kale tijaabi hal yool gaar ah isla fadhiiska. Martigeliyaha boodhka ee joojiya jawaabta ka dib isbeddelka waa calaamadda caadiga ah ee ah in horgalayaasha cusub ay riixeen wax, ama dariiq maxalli ah oo cidhiidhi ah oo hore loo dhawaaqay ama xallinta magacyada oo hadda u socota xallin leh aan lahayn gudbineeye aagaggaaga gaarka ah.
Goorma looga tago tunnel-ka kala go'an
Haddii yoolku yahay oo kaliya in la gaaro API gaar ah, barta-dhammaadka gaarka ah ama bogga maamulka gudaha, habdhaqanka caadiga ah wuu ka jaban yahay oo ka aamusnaan badan yahay. Tunnel-ka qasabka ah waxa uu ku darayaa saacadaha firewall-ka iyo kharashka habaynta xogta, dariiq dheer, iyo meel kale oo qulqul kasta oo macmiilku ku fashilmi karo. Waxa kale oo uu qabtaa taraafik aad uga badan hal yoolka aad ka welweshay.
U isticmaal marka shuruudda lagu sheegay bixitaan ahaan: lammaane waa in uu arko ciwaan Azure go'an, ammaanku waxa uu rabaa in xiriirada la diiwaangeliyo oo la baaro, ama xogtu waa in ay ka baxdo hal meel oo la xakameeyay. Xitaa markaas naqshaddu waxa ay siinaysaa isticmaal kasta bixitaan la wadaago, sidaas darteed xisaabtanka isticmaale kastu waa in uu ka yimaado aqoonsiga barnaamijka ee aan ahayn ciwaanka isha.
Ka hor inta aadan xirto isbeddelka, xaqiiji afar wax: xirmada macmiilka ee rakiban waa tan cusub, labada dariiqo ee /1 waxa ay ku yaalliin interface-ka tunnel-ka, yool gaar ah weli wuu jawaabaa, iyo diiwaanka adeegga fog waxa uu muujinayaa ciwaanka firewall-ka.