Azure P2S VPN இல் நிலையான IP: கிளையண்ட் முகவரி ஏன் மாறுகிறது
Azure point-to-site ஒவ்வொரு இணைப்பிலும் குளத்திலிருந்து அடுத்த காலி முகவரியை வழங்குகிறது, எனவே நிலையான கிளையண்ட் IP இல்லை. அதற்குப் பதிலாக வரம்புகள் அல்லது அடையாளத்தின் அடிப்படையில் அணுகலை வைக்கவும்.
ஒவ்வொரு Azure point-to-site கிளையண்டும் அங்கீகாரத்தின் போது குளத்திலிருந்து ஒரு முகவரியைப் பெறுகிறது, அந்த இணைப்பு நீடிக்கும் வரை மட்டுமே அதை வைத்திருக்கிறது. எந்த இருப்பு அட்டவணையும் இல்லை, பயனர் வாரியான வரைபடமும் இல்லை, “இந்த நபருக்கு எப்போதும் 172.16.0.10 கொடு” எனப் பொருள்படும் கேட்வே அமைப்பும் இல்லை. இந்த ஒரே பொறிமுறையே பின்னர் மக்கள் சந்திக்கும் இரண்டு அறிகுறிகளையும் விளக்குகிறது: முன்பு பொருந்திய பயனருடன் இப்போது பொருந்தாத NSG விதி, மற்றும் யாரும் வேண்டுமென்றே சேர்க்காத இயந்திரத்தை அமைதியாக உள்ளே அனுமதிக்கும் அனுமதிப் பட்டியல். விதியை மிகவும் புத்திசாலித்தனமான IP விதியால் மாற்றுவது இரண்டையும் சரிசெய்யாது, ஏனெனில் விதி பெயரிடுவது நீங்கள் கட்டுப்படுத்தாத அட்டவணையின்படி மீண்டும் ஒதுக்கப்படுகிறது.
குளம் திறன், அடையாளம் அல்ல. ஒரே நேரத்தில் இயங்கும் சுரங்கங்களுக்கு தனித்துவமான முகவரிகள் கிடைக்க வேண்டும் என்பதற்காக அது உள்ளது, மேலும் குத்தகை முடியும் தருணத்தில் அவற்றை மீண்டும் பயன்படுத்துகிறது. அது தெளிவாகும்போது, பயனுள்ள கேள்வி “இந்த கிளையண்டை எப்படி பொருத்துவது” என்பதிலிருந்து “கேட்வே மீண்டும் பயன்படுத்தாத எதற்கு எதிராக நான் விதி எழுதலாம்” என மாறுகிறது.
கிளையண்ட் இணைக்கப்படும்போது கேட்வே உண்மையில் என்ன செய்கிறது
கேட்வே கட்டமைக்கப்பட்ட கிளையண்ட் முகவரி குளத்தை வைத்திருக்கிறது, அதை குத்தகை அட்டவணையாகக் கருதுகிறது. இணைக்கும்போது அடுத்த காலி முகவரியை, நடைமுறையில் கிடைக்கும் மிகக் குறைந்ததை எடுத்து, கிளையண்ட் துண்டிக்கும் வரை அல்லது குத்தகை முடியும் வரை அதை சுரங்க தகவமைப்பிக்கு ஒதுக்குகிறது. வரிசையே தீர்மானிக்கிறது, அடையாளம் அல்ல: அமைதியான காலத்திற்குப் பிறகு முதலில் மீண்டும் இணைபவர் அந்தத் தருணத்தில் தற்செயலாகக் காலியாக உள்ள மிகக் குறைந்த முகவரியைப் பெறுகிறார்.
குளத்தின் அளவு நடத்தையை மறைக்கிறது. சோதனையாளர்களின் எண்ணிக்கையை விட ஒன்று அல்லது இரண்டு முகவரிகள் பெரிய ஆய்வகக் குளம் தீர்மானிக்கப்பட்டதாகத் தெரிகிறது, ஏனெனில் அதே மடிக்கணினி ஒவ்வொரு காலையிலும் அதே வரிசையில் மீண்டும் இணைகிறது. மூன்றாவது இயந்திரத்தைச் சேர்க்கவும், குளத்தின் அளவை மாற்றவும், அல்லது மதிய உணவின் போது அமர்வை இணைக்கப்பட்டிருக்கவிடவும் — முறை உடைகிறது. முகவரி ஒருபோதும் நிலையானதாக இல்லை; வரிசையே நிலையானது.
point-to-site கட்டமைப்பில் எந்த மாற்றமும் குத்தகை இடத்தையும் மீட்டமைக்கிறது. வேறு அங்கீகார வகை, அளவு மாற்றப்பட்ட குளம், புதிய குள வரம்பு, அல்லது இடித்து மீண்டும் கட்டப்பட்ட கேட்வே — அனைத்தும் கிளையண்டுகளை அவர்களின் பழைய முகவரிகளுடன் இப்போது பொருந்தாத குளத்திற்குத் திருப்பி அனுப்புகின்றன. அந்த மாற்றத்தில் எதுவும் உங்கள் NSG ஐத் தொடாது, அதனால்தான் பழுது தானாக நிகழ்ந்ததாகத் தெரிகிறது.
இது நடப்பதை ஏறக்குறைய ஒரு நிமிடத்தில் பார்க்கலாம். இணைக்கவும், கிளையண்டின் இணைப்பு விவரங்களில் சுரங்க முகவரியைக் குறிக்கவும், துண்டிக்கவும், இரண்டாவது இயந்திரத்தை இணைக்கவும், பின்னர் முதல் ஒன்றை மீண்டும் இணைக்கவும். திரும்பப் பெறும் முகவரி இரண்டாவது இயந்திரம் எதை வைத்திருக்கிறது என்பதைப் பொறுத்தது, மேலும் எந்த போர்ட்டல் அமைப்பும் முந்தையதைக் கோரிக்கையின் பேரில் மீட்டெடுக்காது.
கிளையண்ட் IP அடிப்படையிலான NSG உண்மையில் இணைப்பு வரிசையைப் பற்றிய ஒரு விதி
மக்கள் முதலில் எழுதும் விதி வெளிப்படையானது: நிர்வாக VM இன் NIC அல்லது அதன் துணை வலையமைப்பில் உள்வரும் விதி, மூலமாக VPN கிளையண்டின் உள் முகவரி. இது குறுகியது, எழுதப்பட்ட நாளில் சோதனையைக் கடக்கிறது, குளத்தில் ஒன்றுக்கு மேற்பட்ட காலி முகவரி இருந்தால் உடனே தோல்வியடைகிறது.
இதிலிருந்து இரண்டு தோல்வி முறைகள் வருகின்றன, அவற்றில் ஒன்று மட்டுமே பிழையாகத் தெரிகிறது. சட்டபூர்வமான பயனர் மறுக்கப்படுகிறார், ஏனெனில் விதி பெயரிடும் முகவரியை அந்த நேரத்தில் வேறு யாரோ வைத்திருக்கிறார், அது எரிச்சலூட்டும் ஆதரவு டிக்கெட்டாக வருகிறது. அல்லது எதிர்பாராத பயனர் அனுமதிக்கப்படுகிறார், ஏனெனில் விதி இன்னும் நம்பும் ஒரு முகவரியை அவர் மரபுரிமையாகப் பெற்றுள்ளார், மேலும் யாராவது அணுகலைத் தணிக்கை செய்யும் வரை அது எதுவுமாக வராது.
விதி குத்தகையைப் பின்பற்றுவதால், பயனுள்ள கொள்கை “முதலில் இணைபவர் நிர்வாக அணுகலைப் பெறுகிறார்” என்று படிக்கிறது. இது நோக்கத்தின் உடையணிந்த இணைப்பு வரிசையின் விளக்கம், எந்த விதி சுத்தமும் அதை நோக்கத்தின் வெளிப்பாடாக ஆக்காது.
கிளையண்ட் குத்தகை மற்றும் கேட்வே முகவரி வெவ்வேறு பொருட்கள்
பெரும்பாலான குழப்பம் ஒரு சொல்லிலிருந்து வருகிறது. கேட்வேக்கு ஒப்பீட்டளவில் நிலையான பொது IP உள்ளது; கிளையண்டுகளுக்கு குளத்திலிருந்து தனிப்பட்ட முகவரிகள் உள்ளன, அவை நிலையானவை அல்ல. மண்டல-மீளுருவாக்கம் இல்லாத VPN கேட்வேக்கு பொது IP மாறும் முறையில் ஒதுக்கப்படுகிறது, ஆனால் அது அளவு மாற்றம், மீட்டமைப்பு மற்றும் வழக்கமான பராமரிப்பைத் தாண்டி நீடிக்கிறது — கேட்வேயே நீக்கப்பட்டு மீண்டும் உருவாக்கப்படும்போது மாறுகிறது. மண்டல-மீளுருவாக்கம் கொண்ட மற்றும் மண்டல கேட்வே SKU கள் Standard SKU இன் பொது IP ஐப் பயன்படுத்துகின்றன, அந்த ஒதுக்கீடு நிலையானதாக இருக்க வேண்டும்.
அந்த நிலைத்தன்மையே உள்ளமைவில் ஒரு உள்ளூர் துணைக்குத் தேவை, அது தனிப்பட்ட கிளையண்டை அடையாளம் காண்பது பற்றி எதுவும் சொல்லாது. கூட்டாளி எந்த முகவரியைப் பார்ப்பார் என்று கேட்கும்போது, பதில் site-to-site இல் கேட்வேயின் பொது IP, அல்லது பகிரப்பட்ட NAT வரம்பு — ஒருபோதும் மடிக்கணினியின் சுரங்க குத்தகை அல்ல.
குழு குளங்கள் விதிகள் எழுதத் தகுந்த வரம்பை உங்களுக்குத் தருகின்றன
Virtual WAN point-to-site பயனர் குழுக்களை ஆதரிக்கிறது, ஒவ்வொரு குழுவுக்கும் அதன் சொந்த கிளையண்ட் முகவரி குளத்தை ஒதுக்கலாம். உறுப்பினர் அடையாளத்தால் தீர்மானிக்கப்படுகிறது, எனவே கிளையண்ட் விழும் வரம்பு முன்னறிவிக்கக்கூடியதாகிறது: செயல்பாடுகள் ஒரு வரம்பில், ஒப்பந்ததாரர்கள் மற்றொன்றில், மேலும் வரம்பு என்பது ஃபயர்வால் அல்லது NSG விதி ஊகிக்காமல் பெயரிடக்கூடிய ஒன்று.
விளைவாகும் விதித் தொகுப்புக்கு நீங்கள் மதிப்பாய்வு செய்யக்கூடிய வடிவம் உள்ளது:
- ஒவ்வொரு பார்வையாளருக்கும் ஒரு குளம், தலைகளின் எண்ணிக்கையை விட உச்ச ஒரே நேர அமர்வுகளுக்கு அளவிடப்பட்டது;
- குழு உறுப்பினர் அடையாளத்தால் கையாளப்படுகிறது, யாராவது சேரும் ஒவ்வொரு முறையும் விதிகளைத் திருத்துவதால் அல்ல;
- NSG அல்லது Azure Firewall விதிகள் குள வரம்புகளுக்கு எதிராக எழுதப்படுகின்றன, ஒருபோதும் தனிப்பட்ட குத்தகைகளுக்கு எதிராக அல்ல;
- ஒருபோதும் வரம்பைப் பகிரக் கூடாத பார்வையாளர்களுக்கு தனி மையம் அல்லது கேட்வே.
| Rule target | Survives a reconnect | What it still cannot express |
|---|---|---|
| Client tunnel address | No | Follows connection order and admits whoever holds the address next |
| Whole client pool | Yes | Grants every connected client identical access |
| Virtual WAN group pool | Yes | Only as reliable as group membership |
| Gateway public IP | Until the gateway is recreated | Identifies the site, not the person |
முழு குளத்தையும் அனுமதிப் பட்டியலில் வைப்பது நேர்மையானது ஆனால் முரட்டுத்தனமானது: அந்த வரம்பில் இணைக்கப்பட்ட ஒவ்வொரு கிளையண்டும் ஒரே அணுகலைப் பெறுகிறது. அது மதிப்பாய்வின் போது கண்டறிவதை விட சத்தமாகச் சொல்லத் தகுந்த கொள்கை முடிவு. இன்னும் ஒவ்வொரு நபருக்கும் பதில் தேவைப்படுவது பங்கு ஒதுக்கீடுகள் வழியாக வளத்திற்குச் சொந்தமானது, பாக்கெட் வடிகட்டிக்கு அல்ல.
பயன்படுத்தல் Virtual WAN க்குச் செல்ல முடியாதபோது
பல கேட்வேகள் சாதாரண VPN கேட்வேகளாகவே இருக்கும், Virtual WAN க்குச் செல்வது சாதாரண மாற்றம் அல்ல. நடைமுறை பதில், ஒவ்வொரு பயனருக்கான முடிவை பாக்கெட் வடிகட்டியிலிருந்து பயனர் யார் என்பதை ஏற்கனவே அறிந்த ஒன்றுக்கு நகர்த்துவது.
வள நிலை அடையாளம் மலிவான பதிப்பு. Storage, SQL மற்றும் Key Vault அனைத்தும் ஒவ்வொரு பயனர் அல்லது குழுவுக்கான பங்கு ஒதுக்கீடுகளுடன் Entra ID அங்கீகாரத்தை ஆதரிக்கின்றன, எனவே VPN வலைய அணுகலை மட்டும் நிரூபிக்க வேண்டும். பெயரிடப்பட்ட கணக்குகளுடன் கூடிய தாவல் ஹோஸ்ட் நிர்வாகப் பணிக்கு அதே வேலையைச் செய்கிறது, ஏனெனில் ஹோஸ்ட் நபரைப் பதிவு செய்கிறது, சுரங்கம் பாக்கெட்டுகளை மட்டும் எடுத்துச் செல்கிறது. கிளையண்டுகளை DNS இல் பதிவு செய்து எண்ணுக்குப் பதிலாக பெயரை அனுமதிப்பது விதியை ஒரு அடுக்கு மேலே உயர்த்துகிறது. பயன்பாட்டு அடுக்கு அடையாளம் — சான்றிதழ் பொருள், டோக்கன் உரிமைகோரல், குழு உறுப்பினர் — முடிவெடுக்க வலையமைப்பை அல்ல, பயன்பாட்டைக் கேட்கும்போது செயல்படுகிறது.
நிலையான மூல முகவரியில் வலியுறுத்தும் கூட்டாளிக்கு, வரையறுக்கப்பட்ட சக முன்னொட்டுடன் site-to-site அல்லது ExpressRoute ஆகும் பதில். அவர்கள் சக முன்னொட்டை அனுமதிக்கிறார்கள், அவர்கள் பக்கத்தில் தோன்றும் முகவரி கேட்வேக்கு உரியது, யாராவது மடிக்கணினியை மீண்டும் தொடங்கும்போது அது மாறாது.
மற்றொரு அனுமதிப் பட்டியலைத் திருத்தும் முன் குளத்தைச் சரிபார்க்கவும்
குளத்தின் இரண்டு பண்புகள் மக்கள் கிளையண்ட் மீது சுமத்தும் நடத்தையின் பெரும்பாலானதை உருவாக்குகின்றன. மிகச் சிறிய குளம் குத்தகைகளை விரைவாக மீண்டும் பயன்படுத்துகிறது, எனவே முகவரிகள் தொடர்ந்து நகர்வதாகத் தெரிகிறது, மேலும் முகவரி அடிப்படையிலான எந்த விதியும் வடிவமைப்பிலேயே நிலையற்றதாகத் தெரிகிறது. உள்ளூர் வரம்புகள் அல்லது மெய்நிகர் வலையமைப்பு முகவரி இடத்துடன் ஒன்றிணையும் குளம் எந்த ஃபயர்வால் விதியும் சரிசெய்யாத வழிப்பாதை தெளிவின்மையை உருவாக்குகிறது.
ஒரு விதியைத் தொடும் முன் மூன்று விஷயங்களை ஒரு பக்கத்தில் வைக்கவும்: point-to-site குளம், மெய்நிகர் வலையமைப்பு முகவரி இடம் மற்றும் உள்ளூர் வரம்புகள். அவை ஒன்றிணையக்கூடாது, குளத்திற்கு ஒவ்வொரு ஒரே நேர கிளையண்டிற்கும் இடமும் மீண்டும் இணைவதற்கு சிறிது விளிம்பும் தேவை.
பின்னர் இந்த வரிசையில் சுழற்சியை மூடவும்:
- இரண்டு இயந்திரங்களிலிருந்து இரு வரிசைகளிலும் இணைத்து முகவரிகளை ஒப்பிடவும்; அவை மாறிக்கொள்ள முடிந்தால், முகவரி அடிப்படையிலான எந்த விதியும் பாதுகாப்பானது அல்ல.
- கேட்வே Virtual WAN ஆக உள்ளதா எனச் சரிபார்க்கவும்; ஆம் எனில், முகவரி வாரியான விதிகளுக்குப் பதிலாக குழு குளங்களைப் பயன்படுத்தவும்.
- ஒரு விதி தவறான நபரைத் தொடும்போது என்ன நடக்கிறது என்று கேட்கவும்; பதில் அணுகல் சம்பவமாக இருந்தால், கட்டுப்பாட்டை அடையாளத்திற்கு நகர்த்தவும்.
- எந்த வரம்பு எந்தக் குழுவுக்குச் சொந்தம் என்பதை NSG வரையறைகளுடன் அதே களஞ்சியத்தில் பதிவு செய்யவும்.
- குளம், அங்கீகாரம் அல்லது கேட்வே மாற்றத்திற்குப் பிறகு மீண்டும் சோதிக்கவும், ஏனெனில் அந்த மாற்றங்கள் அறிவிக்காமல் வரைபடத்தை மீண்டும் எழுதுகின்றன.