IP tuli ya Azure P2S VPN: kwa nini anwani ya mteja hubadilika

Kila mteja wa Azure point-to-site hupokea anwani kutoka kwenye dimbwi anapojithibitisha, na huihifadhi tu kadiri muunganisho huo unadumu. Hakuna jedwali la kuhifadhi, hakuna ramani kwa kila mtumiaji, na hakuna mpangilio wa lango unaomaanisha “mpe mtu huyu 172.16.0.10 kila wakati”. Utaratibu huu mmoja unaeleza dalili zote mbili ambazo watu hukutana nazo baadaye: kanuni ya NSG inayoacha kuendana na mtumiaji ambaye hapo awali iliendana naye, na orodha ya ruhusa inayomruhusu kwa utulivu mashine ambayo hakuna aliyoiongeza kwa makusudi. Kubadilisha kanuni kwa kanuni ya IP yenye werevu zaidi hakutengenezi hata moja, kwa sababu kile kanuni inachotaja kinagawiwa upya kwa ratiba usiyoidhibiti.

Dimbwi ni uwezo, si utambulisho. Lipo ili vichuguu vya wakati mmoja vipate anwani za kipekee, na huzitumia tena wakati ukodishaji unapoisha. Hilo likiwa wazi, swali lenye manufaa huacha kuwa “ninawezaje kufunga mteja huyu” na huwa “ninaweza kuandika kanuni dhidi ya nini ambacho lango halitatumia tena”.

Lango hufanya nini hasa wakati mteja anajiunga

Lango huhifadhi dimbwi la anwani za wateja lililowekwa na kuliheshimu kama jedwali la ukodishaji. Wakati wa kujiunga huchukua anwani huru inayofuata, kwa vitendo ile ya chini kabisa inayopatikana, na kuipanga kwa adapta ya kichuguu hadi mteja atenganishe au ukodishaji uishe. Mpangilio unaamua, si utambulisho: yeyote anayejiunga tena kwanza baada ya kipindi tulivu hupata anwani ya chini kabisa ambayo kwa bahati inakuwa huru wakati huo.

Ukubwa wa dimbwi huficha tabia. Dimbwi la maabara lililo anwani moja au mbili kubwa kuliko idadi ya wapimaji huonekana kuwa la uhakika, kwa sababu kompyuta mpito ile ile huwa inajiunga tena kwa mpangilio ule ule kila asubuhi. Ongeza mashine ya tatu, badilisha ukubwa wa dimbwi, au acha kikao kimeunganishwa wakati wa chakula cha mchana, na muundo huvunjika. Anwani haikuwa imara kamwe; foleni ndiyo iliyokuwa imara.

Mabadiliko yoyote kwenye mpangilio wa point-to-site pia huweka upya nafasi ya ukodishaji. Aina tofauti ya uthibitishaji, dimbwi lililobadilishwa ukubwa, safu mpya ya dimbwi, au lango lililobomolewa na kujengwa upya — yote huwapeleka wateja kwenye dimbwi ambalo haliendani tena na anwani zao za zamani. Hakuna kitu katika mabadiliko hayo kinachogusa NSG yako, ndiyo sababu hitilafu inaonekana ya ghafla.

Unaweza kuona hilo likitokea kwa takriban dakika moja. Ungana, andika anwani ya kichuguu katika maelezo ya muunganisho wa mteja, tenganisha, unganisha mashine ya pili, kisha unganisha tena ya kwanza. Anwani unayopata tena inategemea kile mashine ya pili inashikilia, na hakuna mpangilio wa lango utakaorudisha ile ya awali kwa ombi.

NSG inayotegemea IP ya mteja kwa kweli ni kanuni kuhusu mpangilio wa kujiunga

Kanuni ambayo watu huandika kwanza ni ile iliyo wazi: kanuni ya kuingia kwenye NIC ya VM ya usimamizi au kwenye subnet yake, na anwani ya ndani ya mteja wa VPN kama chanzo. Ni fupi, hupita jaribio siku inapoandikwa, na hushindwa mara dimbwi linapokuwa na anwani huru zaidi ya moja.

Kutokana na hilo huja njia mbili za kushindwa, na moja tu inaonekana kama hitilafu. Mtumiaji halali hukataliwa kwa sababu mtu mwingine anashikilia anwani ambayo kanuni inaitaja wakati huo, na hilo huja kama tiketi ya msaada inayoudhi. Au mtumiaji asiyekusudiwa huruhusiwa kwa sababu alirithi anwani ambayo kanuni bado inaamini, na hilo haliji kama kitu chochote hadi mtu akagua ufikiaji.

Kwa kuwa kanuni inafuata ukodishaji, sera inayotumika inasomeka “mtu wa kwanza kujiunga hupata ufikiaji wa usimamizi”. Hiyo ni maelezo ya mpangilio wa kujiunga yaliyovikwa nia, na hakuna usafi wa kanuni unaoifanya kuwa kielelezo cha nia.

Ukodishaji wa mteja na anwani ya lango ni vitu tofauti

Mkanganyiko mwingi hutoka kwa neno moja. Lango lina IP ya umma iliyo imara kiasi; wateja wana anwani za kibinafsi kutoka kwenye dimbwi ambazo si imara. Kwa lango la VPN lisilo na urudufu wa kanda, IP ya umma hutolewa kwa njia inayobadilika, lakini hustahimili mabadiliko ya ukubwa, kuweka upya na matengenezo ya kawaida — hubadilika lango lenyewe linapofutwa na kuundwa upya. SKU za lango zenye urudufu wa kanda na za kanda hutumia IP ya umma ya SKU Standard, na ugawaji huo lazima uwe thabiti.

Uimara huo ndio ambao mwenza wa ndani anauhitaji katika mpangilio wake, na hausemi chochote kuhusu kumtambua mteja mmoja. Mwenza anapouliza ni anwani gani atakayoona, jibu ni IP ya umma ya lango chini ya site-to-site, au safu ya NAT inayoshirikiwa — kamwe si ukodishaji wa kichuguu cha kompyuta mpito.

Madimbwi ya kikundi hukupa safu inayostahili kuandikwa kanuni dhidi yake

Virtual WAN point-to-site inaunga mkono vikundi vya watumiaji, na kila kikundi kinaweza kupewa dimbwi lake la anwani za wateja. Uanachama huamuliwa na utambulisho, kwa hivyo safu ambayo mteja anaanguka huwa inatabirika: shughuli katika safu moja, wakandarasi katika nyingine, na safu ni kitu ambacho kanuni ya firewall au NSG inaweza kukitaja bila kubahatisha.

Seti ya kanuni inayotokana ina umbo ambalo unaweza kulipitia:

• dimbwi moja kwa kila hadhira, lililopimwa kwa kilele cha vikao vya wakati mmoja na si idadi ya watu;
• uanachama wa kikundi unashughulikiwa kwa utambulisho, si kwa kuhariri kanuni kila mtu anapojiunga;
• kanuni za NSG au Azure Firewall zinaandikwa dhidi ya safu za dimbwi, kamwe si dhidi ya ukodishaji wa mtu mmoja;
• kitovu au lango tofauti kwa hadhira ambazo hazipaswi kamwe kushiriki safu.

Kuweka dimbwi lote kwenye orodha ya ruhusa ni wazi lakini ni mbaya: kila mteja aliyeunganishwa katika safu hiyo hupata ufikiaji sawa. Hilo ni uamuzi wa sera unaostahili kusemwa kwa sauti badala ya kugunduliwa wakati wa mapitio. Kitu chochote kinachohitaji jibu kwa kila mtu bado ni mali ya rasilimali kupitia ugawaji wa majukumu, si kwa kichujio cha pakiti.

Wakati usambazaji hauwezi kuhamia Virtual WAN

Malango mengi hubaki kuwa malango ya kawaida ya VPN, na kuhamia Virtual WAN si mabadiliko ya kawaida. Jibu la kiutendaji ni kuhamisha uamuzi kwa kila mtumiaji kutoka kwenye kichujio cha pakiti kwenda kwenye kitu ambacho tayari kinajua mtumiaji ni nani.

Utambulisho wa ngazi ya rasilimali ni toleo la bei nafuu zaidi. Storage, SQL na Key Vault zote zinaunga mkono uthibitishaji wa Entra ID na ugawaji wa majukumu kwa kila mtumiaji au kikundi, kwa hivyo VPN inapaswa tu kuthibitisha upatikanaji wa mtandao. Mwenyeji wa kuruka mwenye akaunti zilizotajwa hufanya kazi hiyo hiyo kwa kazi za usimamizi, kwa sababu mwenyeji hurekodi mtu na kichuguu hubeba pakiti tu. Kusajili wateja katika DNS na kuruhusu jina badala ya namba hupandisha kanuni tabaka moja juu. Utambulisho wa tabaka la programu — somo la cheti, dai la tokeni, uanachama wa kikundi — hufanya kazi wakati kinachoulizwa kuamua ni programu, si mtandao.

Kwa mwenza anayesisitiza anwani isiyobadilika ya chanzo, jibu ni site-to-site au ExpressRoute yenye kiambishi awali cha mwenza kilichobainishwa. Wanaruhusu kiambishi awali cha mwenza, anwani inayoonekana upande wao ni ya lango, na haibadiliki mtu anapowasha upya kompyuta mpito.

Angalia dimbwi kabla ya kuhariri orodha nyingine ya ruhusa

Sifa mbili za dimbwi husababisha tabia nyingi ambazo watu wanailaumu mteja. Dimbwi dogo sana hurejesha ukodishaji haraka, kwa hivyo anwani zinaonekana kusonga kila wakati na kanuni yoyote inayotegemea anwani inaonekana isiyo imara kimaumbile. Dimbwi linaloingiliana na safu za ndani au nafasi ya anwani ya mtandao pepe huunda utata wa uelekezaji ambao hakuna kanuni ya firewall inayotengeneza.

Weka vitu vitatu kwenye ukurasa mmoja kabla ya kugusa kanuni: dimbwi la point-to-site, nafasi ya anwani ya mtandao pepe na safu za ndani. Hazipaswi kuingiliana, na dimbwi linahitaji nafasi kwa kila mteja wa wakati mmoja pamoja na ukingo wa kujiunga tena.

Kisha funga mzunguko kwa mpangilio huu:

• Ungana kutoka mashine mbili kwa mpangilio wote wawili na linganisha anwani; ikiwa zinaweza kubadilishana, hakuna kanuni inayotegemea anwani iliyo salama.
• Angalia kama lango ni Virtual WAN; ikiwa ni hivyo, tumia madimbwi ya kikundi badala ya kanuni kwa kila anwani.
• Uliza nini hutokea kanuni inapompata mtu asiyefaa; ikiwa jibu ni tukio la ufikiaji, hamisha udhibiti kwenye utambulisho.
• Andika safu ipi ni ya kikundi kipi katika hifadhi ile ile iliyo na fasili za NSG.
• Jaribu tena baada ya mabadiliko yoyote ya dimbwi, uthibitishaji au lango, kwa sababu mabadiliko hayo huandika upya ramani bila kutangaza.