Kwa nini VPN ya Point-to-Site ya Azure haibadilishi IP yako ya umma

Ninaunganisha mteja wa Azure VPN kwenye laptop ya Windows, nifungua ukurasa wa mwangwi wa anwani na nione anwani hiyo hiyo ya umma ambayo router ya nyumbani ilitoa. Wakati huo huo sanduku la kuruka lililo 10.20.0.4 linajibu na jina la kituo cha mwisho cha faragha linatatuliwa, kwa hivyo tuneli haijavunjika. Lango la point-to-site linafanya hasa kile usanidi wake chaguo-msingi unasema: hubeba viambishi vya faragha na kuacha kila kitu kingine kwenye kiungo cha ndani. Kupata anwani ya tokeo inayomilikiwa na Azure ni mabadiliko ya muundo wa uelekezaji, si ukarabati.

Lango linatangaza nini kwa chaguo-msingi

Lango linasukuma njia za nafasi ya anwani ya mtandao pepe, pamoja na mitandao ya rika ambapo usafiri wa lango unaruhusiwa na viambishi vya ndani vilivyojifunza kupitia muunganisho wa site-to-site au BGP. Hakuna 0.0.0.0/0 katika seti hiyo. Mfumo wako wa uendeshaji unabakiza njia yake chaguo-msingi kwenye Wi-Fi au Ethernet, kwa hivyo pakiti inayoelekea API ya umma haiingii kwenye tuneli hata kidogo.

Anwani ambayo mteja anapata ndani ya tuneli ni ukodishaji wa faragha kutoka kwenye dimbwi la point-to-site. Inamtambulisha mteja kwa rasilimali zilizo kwenye VNet; si anwani ambayo mtandao wa kimataifa unaweza kuiona, na haitawahi kuonekana kama chanzo cha ombi la tokeo kwenda API ya SaaS. Ingizo la orodha ya kuruhusiwa lililojengwa kuzunguka ukodishaji huo haliwezi kufanya kazi, hata ukisubiri kwa muda gani ili lionekane kwenye kumbukumbu za mtoa huduma.

Tuneli iliyogawanywa na tuneli ya kulazimishwa bega kwa bega

Ni mstari wa pili pekee unaobadilisha anwani ambayo huduma ya mbali inaona. Kila kitu kingine kwenye jedwali hilo ni gharama na uso wa uendeshaji unaokubali wakati tokeo linapaswa kukaguliwa au kutafsiriwa ndani ya Azure. Ikiwa mtu anakuomba ufanye IP ya umma ibadilike, anaomba safu nzima ya kulia, si marekebisho madogo kwenye mteja.

Kuna chaguo la kati linalostahili kutajwa kabla ya kujenga upya kitu chochote. VM ya wakala au lango ndani ya VNet inakupa anwani ya chanzo inayodhibitiwa kwa programu zinazoweza kuelekezwa hapo, bila kusogeza njia chaguo-msingi ya mteja. Hiyo inaweka uvinjari wa kawaida ndani na bado inaridhisha mshirika anayehitaji tu simu moja ya API kutoka Azure. Inashindwa wakati hitaji linahusu trafiki yote kweli, kwa sababu kitu chochote kinachopuuza mpangilio wa wakala bado kinatoka ndani.

Fanya tuneli ibebe njia chaguo-msingi

Kwenye lango la mtandao pepe, njia inayotumika kuelekeza trafiki yote ya intaneti ya mteja kwenye tuneli ni kuongeza njia maalum kwenye usanidi wa point-to-site. Nusu mbili hufunika nafasi yote ya IPv4, na kila moja ni mahususi zaidi kuliko njia chaguo-msingi ya ndani, kwa hivyo mteja anazipendelea bila kufuta chochote:

Set-AzVirtualNetworkGateway -VirtualNetworkGateway GWOBJ -CustomRoute 0.0.0.0/1,128.0.0.0/1

Mstari huo ni kielelezo na haujakamilika kunakili: kwanza pata kitu cha lango kwa Get-AzVirtualNetworkGateway na ubadilishe GWOBJ, na kabla ya kuiendesha thibitisha kwamba SKU na muundo wa uwekaji vinakubali njia maalum. Viambishi hivyo hivyo vinaonekana kwenye lango la mawasiliano kwenye ukurasa wa usanidi wa point-to-site, ambayo ni mahali salama zaidi pa kuviweka ikiwa bado huna hati ya lango.

Kubadilisha viambishi hivyo hufanya kifurushi cha mteja kuwa batili. Pakua tena kifurushi cha mteja wa VPN na usakinishe upya, kwa sababu njia zinasafiri ndani ya wasifu. Mteja anayeunganisha tena na wasifu wake wa zamani huhifadhi seti ya zamani ya njia, na unaweza kupoteza saa moja ukitatua hitilafu ya mabadiliko ambayo hayakumfikia kamwe.

Katika kitovu cha WAN pepe kilicholindwa, sawa na hiyo ni njia chaguo-msingi kwenye jedwali la njia la kitovu linalohusishwa na lango la point-to-site, huku Azure Firewall kwenye kitovu ikichukua trafiki. Firewall hutafsiri miunganisho inayoelekea intaneti kwenda anwani zake za IP za umma, na kutoka kwenye tafsiri hiyo ndipo anwani mpya ya tokeo inatoka. Wakati firewall ina IP kadhaa za umma, yoyote kati yao inaweza kuonekana kama chanzo, kwa hivyo orodha ya kuruhusiwa lazima iwe na zote.

Miundo yote miwili hapo juu ni IPv4. Viambishi viwili vya /1 havifanyi chochote kwa IPv6, na msaada wa IPv6 wa point-to-site ni mwembamba vya kutosha kwamba unapaswa kujaribu mchanganyiko kabla ya kuahidi usawa.

Angalia njia, kisha tokeo

Baada ya kusakinisha upya kifurushi na kuunganisha tena, thibitisha kwamba mteja alisakinisha nusu mbili kweli. Kwenye Windows, Get-NetRoute -DestinationPrefix 0.0.0.0/1 na swali lile lile kwa 128.0.0.0/1 zinapaswa kutaja kiolesura cha tuneli, na route print inaonyesha zote mbili kando ya njia yako ya asili chaguo-msingi. Kwenye Linux, ip route show lazima iorodheshe viambishi viwili; ikiwa haifanyi hivyo, wasifu haukuwahi kuibeba.

Kisha angalia tena anwani ya umma kutoka kwa mteja na usome kumbukumbu ya firewall kwa muunganisho huo huo. Chanzo kinapaswa kuwa IP ya umma ya firewall na bandari iliyotafsiriwa. Mteja anayetoka bado ndani wakati njia zote mbili zipo inamaanisha pakiti zilifika Azure na zikatoka kwa njia nyingine: njia iliyofafanuliwa na mtumiaji kwenye subneti ya lango, firewall ambayo yenyewe imelazimishwa kwenye tuneli kuelekea mtandao wa ndani, au sera inayotupa mtiririko kabla ya tafsiri.

Jaribu tena lengo moja la faragha katika kipindi hicho hicho. Mwenyeji wa kuruka anayeacha kujibu baada ya mabadiliko ni ishara ya kawaida kwamba viambishi vipya vimesukuma kitu, ama njia ya ndani nyembamba zaidi iliyotangazwa awali au utatuzi wa majina ambao sasa unaenda kwa kitatuzi kisicho na kipitishaji kwa kanda zako za faragha.

Wakati wa kuacha tuneli iliyogawanywa

Ikiwa lengo ni kufikia API ya faragha, kituo cha mwisho cha faragha au ukurasa wa usimamizi wa ndani pekee, tabia chaguo-msingi ni nafuu na tulivu zaidi. Tuneli ya kulazimishwa inaongeza saa za firewall na gharama za usindikaji wa data, njia ndefu, na mahali pengine pa kushindwa kwa mtiririko wowote wa mteja. Pia inakamata trafiki nyingi zaidi kuliko lengo moja ulilojali.

Itumie wakati hitaji limeelezwa kwa suala la tokeo: mshirika lazima aone anwani thabiti ya Azure, usalama unataka miunganisho irekodiwe na kukaguliwa, au data lazima itoke kupitia sehemu moja inayodhibitiwa. Hata hivyo muundo unampa kila mtumiaji tokeo la pamoja, kwa hivyo uwajibikaji kwa mtumiaji lazima utokee kutoka kwa utambulisho katika programu badala ya anwani ya chanzo.

Kabla ya kufunga mabadiliko, thibitisha mambo manne: kifurushi cha mteja kilichosakinishwa ni kipya, njia mbili za /1 ziko kwenye kiolesura cha tuneli, lengo la faragha bado linajibu, na kumbukumbu ya huduma ya mbali inaonyesha anwani ya firewall.