IP statike në Azure P2S VPN: pse ndryshon adresa e klientit

Çdo klient Azure point-to-site merr një adresë nga grupi kur vërteton identitetin dhe e mban vetëm sa zgjat ajo lidhje. Nuk ka tabelë rezervimesh, as hartëzim për përdorues, as një rregullim i portës që do të thotë „jepi gjithmonë këtij personi 172.16.0.10“. Pikërisht ky mekanizëm i vetëm shpjegon të dy simptomat që njerëzit hasin më vonë: një rregull NSG që nuk përputhet më me një përdorues me të cilin përputhej më parë, dhe një listë lejimesh që pranon në heshtje një makinë që askush nuk e ka shtuar me qëllim. Zëvendësimi i rregullit me një rregull IP më të zgjuar nuk rregullon asnjërën, sepse ajo që rregulli emërton rishpërndahet sipas një orari që ju nuk e kontrolloni.

Grupi është kapacitet, jo identitet. Ekziston që tunelet e njëkohshme të marrin adresa unike, dhe i riciklon ato në momentin që mbaron një qira. Kur kjo është e qartë, pyetja e dobishme nuk është më „si ta fiksoj këtë klient“ dhe bëhet „kundër çfarë mund të shkruaj një rregull që porta nuk do ta riciklojë“.

Çfarë bën në të vërtetë porta kur një klient lidhet

Porta mban grupin e konfiguruar të adresave të klientëve dhe e trajton atë si tabelë qirash. Në lidhje merr adresën tjetër të lirë, në praktikë më të ulëtën në dispozicion, dhe ia cakton përshtatësit të tunelit derisa klienti të shkëputet ose qiraja të skadojë. Vendos radha, jo identiteti: kush rilidhet i pari pas një periudhe të qetë merr adresën më të ulët që në atë moment ndodh të jetë e lirë.

Madhësia e grupit fsheh sjelljen. Një grup laboratori një ose dy adresa më i madh se numri i testuesve duket determinist, sepse i njëjti laptop zakonisht rilidhet në të njëjtën radhë çdo mëngjes. Shtoni një makinë të tretë, ndryshoni madhësinë e grupit ose lini një sesion të lidhur gjatë drekës, dhe modeli prishet. Adresa nuk ishte kurrë e qëndrueshme; radha ishte.

Çdo ndryshim në konfigurimin point-to-site rivendos edhe hapësirën e qirave. Një lloj tjetër vërtetimi, një grup i ndryshuar në madhësi, një interval i ri grupi ose një portë që rrëzohet dhe rindërtohet i dërgojnë të gjithë klientët përsëri në një grup që nuk përputhet më me adresat e tyre të vjetra. Asgjë në atë ndryshim nuk prek NSG-në tuaj, prandaj prishja duket spontane.

Mund ta shihni duke ndodhur për rreth një minutë. Lidhuni, shënoni adresën e tunelit në detajet e lidhjes së klientit, shkëputuni, lidhni një makinë të dytë dhe më pas rilidhni të parën. Adresa që merrni mbrapsht varet nga ajo që mban makina e dytë, dhe asnjë rregullim i portalit nuk do ta rikthejë atë të mëparshme sipas kërkesës.

Një NSG i bazuar në IP-në e klientit është në të vërtetë një rregull për radhën e lidhjeve

Rregulli që njerëzit shkruajnë i pari është ai i dukshëm: një rregull hyrës në NIC-in e VM-së së administrimit ose në nënrrjetin e tij, me adresën e brendshme të klientit VPN si burim. Është i shkurtër, e kalon testin ditën që shkruhet dhe dështon sapo grupi ka më shumë se një adresë të lirë.

Nga kjo rrjedhin dy mënyra dështimi, dhe vetëm njëra duket si gabim. Një përdorues legjitim refuzohet sepse dikush tjetër mban në atë moment adresën që emërton rregulli, dhe kjo vjen si një kërkesë e bezdisshme ndihme. Ose një përdorues i padeshiruar lejohet sepse trashëgoi një adresë të cilës rregulli ende i beson, dhe kjo nuk vjen si asgjë derisa dikush të auditojë aksesin.

Meqenëse rregulli ndjek qiranë, politika efektive lexon „personi i parë që lidhet merr akses administrimi“. Ky është një përshkrim i radhës së lidhjeve i veshur si qëllim, dhe asnjë higjienë rregullash nuk e bën shprehje qëllimi.

Qiraja e klientit dhe adresa e portës janë objekte të ndryshme

Pjesa më e madhe e konfuzionit vjen nga një fjalë. Porta ka një IP publike relativisht të qëndrueshme; klientët kanë adresa private nga grupi që nuk janë të tilla. Për një portë VPN jo e tepërt në zona, IP-ja publike caktohet në mënyrë dinamike, por i mbijeton një ndryshimi madhësie, një rivendosjeje dhe mirëmbajtjes rutinë — ndryshon kur vetë porta fshihet dhe rikrijohet. SKU-të e portës me tepricë zonale dhe zonale përdorin një IP publike të SKU Standard, dhe ai caktim duhet të jetë statik.

Pikërisht ajo qëndrueshmëri i nevojitet një partneri lokal në konfigurimin e tij, dhe nuk thotë asgjë për identifikimin e një klienti individual. Kur një partner pyet se cilën adresë do të shohë, përgjigjja është IP-ja publike e portës në site-to-site, ose një interval NAT i përbashkët — kurrë qiraja e tunelit të një laptopi.

Grupet e grupeve ju japin një interval që ia vlen të shkruani rregulla kundër tij

Virtual WAN point-to-site mbështet grupe përdoruesish, dhe secilit grup mund t'i caktohet grupi i vet i adresave të klientëve. Anëtarësimi vendoset nga identiteti, kështu që intervali ku bie një klient bëhet i parashikueshëm: operacionet në një interval, kontraktorët në një tjetër, dhe intervali është diçka që një rregull muri zjarri ose NSG mund ta emërtojë pa hamendësuar.

Grupi i rregullave që rezulton ka një formë që mund ta rishikoni:

• një grup për çdo audiencë, i dimensionuar për majat e sesioneve të njëkohshme e jo për numrin e njerëzve;
• anëtarësimi në grup trajtohet përmes identitetit, jo duke redaktuar rregulla sa herë që dikush bashkohet;
• rregulla NSG ose Azure Firewall të shkruara kundër intervaleve të grupit, kurrë kundër qirave individuale;
• një hub ose portë e veçantë për audiencat që nuk duhet të ndajnë kurrë një interval.

Vendosja e të gjithë grupit në listën e lejimeve është e sinqertë por e trashë: çdo klient i lidhur në atë interval merr të njëjtin akses. Ky është një vendim politike që ia vlen të thuhet me zë të lartë në vend që të zbulohet gjatë një rishikimi. Çdo gjë që ende kërkon një përgjigje për person i përket burimit, përmes caktimit të roleve, jo filtrit të paketave.

Kur vendosja nuk mund të kalojë në Virtual WAN

Shumë porta mbeten porta VPN të thjeshta, dhe kalimi në Virtual WAN nuk është një ndryshim i rastësishëm. Përgjigjja praktike është të zhvendoset vendimi për përdorues nga filtri i paketave në diçka që tashmë e di kush është përdoruesi.

Identiteti në nivel burimi është versioni më i lirë. Storage, SQL dhe Key Vault të gjitha mbështesin vërtetim Entra ID me caktim rolesh për përdorues ose për grup, kështu që VPN-ja duhet vetëm të provojë arritshmërinë e rrjetit. Një host kërcimi me llogari të emërtuara bën të njëjtën punë për punën administrative, sepse hosti regjistron personin dhe tuneli thjesht transporton paketa. Regjistrimi i klientëve në DNS dhe lejimi i emrit në vend të numrit e ngre rregullin një shtresë më lart. Identiteti në nivel aplikacioni — një subjekt certifikate, një pretendim tokeni, një anëtarësim grupi — funksionon kur ajo që kërkohet të vendosë është aplikacioni, jo rrjeti.

Për një partner që këmbëngul në një adresë burimi fikse, përgjigjja është site-to-site ose ExpressRoute me një prefiks homologu të përcaktuar. Ata lejojnë prefiksin e homologut, adresa që shfaqet në anën e tyre i përket portës dhe nuk ndryshon kur dikush rinis një laptop.

Kontrolloni grupin përpara se të redaktoni një listë tjetër lejimesh

Dy veti të grupit shkaktojnë pjesën më të madhe të sjelljes që njerëzit ia atribuojnë klientit. Një grup shumë i vogël i riciklon qiratë shpejt, kështu që adresat duken se lëvizin vazhdimisht dhe çdo rregull i bazuar në adresë duket i paqëndrueshëm nga ndërtimi. Një grup që mbivendoset me intervalet lokale ose me hapësirën e adresave të rrjetit virtual krijon paqartësi rrugëtimi që asnjë rregull muri zjarri nuk e rregullon.

Vendosni tre gjëra në një faqe përpara se të prekni një rregull: grupin point-to-site, hapësirën e adresave të rrjetit virtual dhe intervalet lokale. Nuk duhet të mbivendosen, dhe grupit i duhet hapësirë për çdo klient të njëkohshëm plus një margjinë për rilidhjet.

Pastaj mbyllni ciklin në këtë radhë:

• Lidhuni nga dy makina në të dyja radhët dhe krahasoni adresat; nëse mund të shkëmbehen, asnjë rregull i bazuar në adresë nuk është i sigurt.
• Kontrolloni nëse porta është Virtual WAN; nëse është, përdorni grupe grupesh në vend të rregullave për çdo adresë.
• Pyetni çfarë ndodh kur një rregull godet personin e gabuar; nëse përgjigjja është një incident aksesi, zhvendosni kontrollin te identiteti.
• Regjistroni cili interval i përket cilit grup në të njëjtin depo si përkufizimet e NSG-së.
• Ritestoni pas çdo ndryshimi të grupit, vërtetimit ose portës, sepse ato ndryshime e rishkruajnë hartëzimin pa e njoftuar.