Azure Point-to-Site VPN உங்கள் பொது IP-ஐ ஏன் மாற்றவில்லை
பாயிண்ட்-டு-சைட் டன்னல் மெய்நிகர் நெட்வொர்க்கின் வழிகளை மட்டுமே எடுத்துச் செல்கிறது, எனவே கட்டாய டன்னலிங் மற்றும் ஃபயர்வால் SNAT எக்ரஸை Azure-க்கு நகர்த்தும் வரை உங்கள் பொது IP உள்ளூரிலேயே இருக்கும்.
Windows மடிக்கணினியில் Azure VPN கிளையண்டை இணைத்து, முகவரி-எதிரொலிப் பக்கத்தைத் திறந்து, என் வீட்டு ரவுட்டர் வழங்கிய அதே பொது முகவரியைப் பார்க்கிறேன். அதே நேரத்தில் 10.20.0.4 இல் உள்ள ஜம்ப் பாக்ஸ் பதிலளிக்கிறது, தனிப்பட்ட எண்ட்பாயிண்ட் பெயர் தீர்க்கப்படுகிறது, எனவே டன்னல் உடைந்துவிடவில்லை. பாயிண்ட்-டு-சைட் கேட்வே அதன் இயல்புநிலை உள்ளமைவு சொல்வதைச் சரியாகச் செய்கிறது: தனிப்பட்ட முன்னொட்டுகளை எடுத்துச் சென்று மற்ற அனைத்தையும் உள்ளூர் இணைப்பில் விடுகிறது. Azure-க்குச் சொந்தமான எக்ரஸ் முகவரியைப் பெறுவது ரூட்டிங் வடிவமைப்பின் மாற்றம், பழுது அல்ல.
கேட்வே இயல்பாக என்ன அறிவிக்கிறது
கேட்வே மெய்நிகர் நெட்வொர்க்கின் முகவரி இடத்திற்கான வழிகளைத் தள்ளுகிறது, மேலும் கேட்வே டிரான்சிட் அனுமதிக்கப்படும் சக நெட்வொர்க்குகள் மற்றும் சைட்-டு-சைட் இணைப்பு அல்லது BGP மூலம் கற்ற உள்ளூர் முன்னொட்டுகளையும் தள்ளுகிறது. அந்தத் தொகுப்பில் 0.0.0.0/0 இல்லை. உங்கள் இயக்க முறைமை அதன் இயல்புநிலை வழியை Wi-Fi அல்லது Ethernet-இல் வைத்திருக்கிறது, எனவே பொது API-க்குச் செல்லும் பாக்கெட் டன்னலுக்குள் நுழையவே செய்யாது.
கிளையண்ட் டன்னலுக்குள் பெறும் முகவரி பாயிண்ட்-டு-சைட் குளத்திலிருந்து ஒரு தனிப்பட்ட குத்தகை. அது VNet-இல் உள்ள வளங்களுக்கு கிளையண்டை அடையாளப்படுத்துகிறது; இது இணையம் பார்க்கக்கூடிய முகவரி அல்ல, மேலும் SaaS API-க்குச் செல்லும் வெளியேறும் கோரிக்கையின் மூலமாக ஒருபோதும் தோன்றாது. அந்தக் குத்தகையைச் சுற்றி கட்டப்பட்ட அனுமதிப்பட்டியல் உள்ளீடு செயல்பட முடியாது, விற்பனையாளர் பதிவுகளில் அது தோன்ற எவ்வளவு காத்திருந்தாலும்.
பிரிந்த டன்னல் மற்றும் கட்டாய டன்னலிங் பக்கத்துக்குப் பக்கம்
| Split tunnel, the default | Forced tunneling | |
|---|---|---|
| Internet traffic exits through | local ISP or office router | firewall or appliance inside Azure |
| Source address the API sees | your home or office IP | the firewall public IP |
| Inspection and logging in Azure | none | policy rules plus flow logs |
| Ongoing cost | gateway only | gateway, firewall hours, data processing |
| What usually breaks | nothing on the egress path | DNS, on-premises routes, overlapping local ranges |
இரண்டாவது வரிசை மட்டுமே தொலை சேவை பார்க்கும் முகவரியை மாற்றுகிறது. அந்த அட்டவணையில் மற்ற அனைத்தும் எக்ரஸை Azure-க்குள் ஆய்வு செய்ய அல்லது மொழிபெயர்க்க வேண்டியிருக்கும் போது நீங்கள் ஏற்கும் செலவு மற்றும் இயக்க மேற்பரப்பு. யாராவது பொது IP மாற வேண்டும் என்று கேட்டால், முழு வலது நிரலையும் கேட்கிறார்கள், கிளையண்டில் ஒரு சிறிய சரிசெய்தலை அல்ல.
எதையும் மீண்டும் கட்டுவதற்கு முன் பெயரிடத் தகுந்த ஒரு இடைநிலை விருப்பம் உள்ளது. VNet-க்குள் உள்ள ப்ராக்ஸி அல்லது கேட்வே VM, அதை நோக்கித் திருப்பக்கூடிய பயன்பாடுகளுக்கு கட்டுப்படுத்தப்பட்ட மூல முகவரியைத் தருகிறது, கிளையண்டின் இயல்புநிலை வழியை நகர்த்தாமல். இது சாதாரண உலாவலை உள்ளூரில் வைத்திருக்கிறது, Azure-இலிருந்து ஒரே ஒரு API அழைப்பு வர வேண்டிய கூட்டாளரையும் திருப்திப்படுத்துகிறது. தேவை உண்மையில் அனைத்து போக்குவரத்தையும் பற்றியதாக இருக்கும்போது இது தோல்வியடைகிறது, ஏனெனில் ப்ராக்ஸி அமைப்பைப் புறக்கணிக்கும் எதுவும் இன்னும் உள்ளூரிலேயே வெளியேறுகிறது.
டன்னல் இயல்புநிலை வழியைச் சுமக்கச் செய்யுங்கள்
மெய்நிகர் நெட்வொர்க் கேட்வேயில், கிளையண்டின் அனைத்து இணைய போக்குவரத்தையும் டன்னலுக்குத் திருப்புவதற்கான ஆதரவு பெற்ற வழி பாயிண்ட்-டு-சைட் உள்ளமைவில் தனிப்பயன் வழிகளைச் சேர்ப்பதாகும். இரண்டு பாதிகள் முழு IPv4 இடத்தையும் உள்ளடக்குகின்றன, ஒவ்வொன்றும் உள்ளூர் இயல்புநிலை வழியை விட குறிப்பிட்டதாக உள்ளது, எனவே கிளையண்ட் எதையும் நீக்காமல் அவற்றுக்கு முன்னுரிமை அளிக்கிறது:
Set-AzVirtualNetworkGateway -VirtualNetworkGateway GWOBJ -CustomRoute 0.0.0.0/1,128.0.0.0/1அந்த வரி எடுத்துக்காட்டுக்கானது, நகலெடுக்க முழுமையானது அல்ல: முதலில் Get-AzVirtualNetworkGateway மூலம் கேட்வே பொருளைப் பெற்று GWOBJ-க்கு பதிலாக அதை இடுங்கள், இயக்குவதற்கு முன் SKU மற்றும் வரிசைப்படுத்தல் மாதிரி தனிப்பயன் வழிகளை ஏற்கின்றன என்பதை உறுதிப்படுத்துங்கள். அதே முன்னொட்டுகள் போர்ட்டலில் பாயிண்ட்-டு-சைட் உள்ளமைவுப் பக்கத்தில் தோன்றும், கேட்வேயை இன்னும் ஸ்கிரிப்ட் செய்யவில்லை என்றால் அவற்றை அமைக்க மிகவும் பாதுகாப்பான இடம் அதுவே.
அந்த முன்னொட்டுகளை மாற்றுவது கிளையண்ட் தொகுப்பைச் செல்லாததாக்கும். VPN கிளையண்ட் தொகுப்பை மீண்டும் பதிவிறக்கி மீண்டும் நிறுவுங்கள், ஏனெனில் வழிகள் சுயவிவரத்திற்குள் பயணிக்கின்றன. பழைய சுயவிவரத்துடன் மீண்டும் இணையும் கிளையண்ட் பழைய வழித் தொகுப்பைத் தக்க வைத்துக்கொள்ளும், அதை ஒருபோதும் அடையாத மாற்றத்தை பிழைத்திருத்துவதில் ஒரு மணிநேரம் இழக்கலாம்.
பாதுகாக்கப்பட்ட மெய்நிகர் WAN மையத்தில், சமமானது பாயிண்ட்-டு-சைட் கேட்வேயுடன் இணைக்கப்பட்ட மைய வழி அட்டவணையில் உள்ள இயல்புநிலை வழி, போக்குவரத்தை மையத்தில் உள்ள Azure Firewall எடுத்துக்கொள்கிறது. ஃபயர்வால் இணையம் நோக்கிய இணைப்புகளை அதன் சொந்த பொது IP முகவரிகளுக்கு மொழிபெயர்க்கிறது, அந்த மொழிபெயர்ப்பிலிருந்தே புதிய எக்ரஸ் முகவரி வருகிறது. ஒரு ஃபயர்வாலுக்கு பல பொது IP இருந்தால், அவற்றில் எதுவும் மூலமாகத் தோன்றலாம், எனவே அனுமதிப்பட்டியலில் அனைத்தும் இருக்க வேண்டும்.
மேலே உள்ள இரண்டு வடிவமைப்புகளும் IPv4. இரண்டு /1 முன்னொட்டுகளும் IPv6-க்கு எதையும் செய்யாது, பாயிண்ட்-டு-சைட்டின் IPv6 ஆதரவு மிகக் குறுகியது, எனவே சமநிலையை உறுதியளிக்கும் முன் கலவையைச் சோதிக்க வேண்டும்.
முதலில் வழியைப் பாருங்கள், பிறகு வெளியேற்றத்தை
தொகுப்பை மீண்டும் நிறுவி மீண்டும் இணைந்த பிறகு, கிளையண்ட் உண்மையில் இரண்டு பாதிகளையும் நிறுவியதா என்பதை உறுதிப்படுத்துங்கள். Windows-இல் Get-NetRoute -DestinationPrefix 0.0.0.0/1 மற்றும் 128.0.0.0/1-க்கான அதே வினவல் டன்னல் இடைமுகத்தைக் குறிப்பிட வேண்டும், route print உங்கள் அசல் இயல்புநிலை வழிக்கு அடுத்ததாக இரண்டையும் காட்டுகிறது. Linux-இல் ip route show இரண்டு முன்னொட்டுகளையும் பட்டியலிட வேண்டும்; இல்லையெனில் சுயவிவரம் அவற்றை ஒருபோதும் சுமக்கவில்லை.
பின்னர் கிளையண்டிலிருந்து பொது முகவரியை மீண்டும் சரிபார்த்து அதே இணைப்புக்கான ஃபயர்வால் பதிவைப் படியுங்கள். மூலம் மொழிபெயர்க்கப்பட்ட துறையுடன் ஃபயர்வாலின் பொது IP ஆக இருக்க வேண்டும். இரண்டு வழிகளும் இருக்கும் நிலையில் இன்னும் உள்ளூரிலேயே வெளியேறும் கிளையண்ட் என்பது பாக்கெட்டுகள் Azure-ஐ அடைந்து வேறு வழியில் வெளியேறின என்பதாகும்: கேட்வே சப்நெட்டில் பயனர் வரையறுத்த வழி, தானே உள்ளூர் நெட்வொர்க்குக்கு கட்டாய டன்னலில் உள்ள ஃபயர்வால், அல்லது மொழிபெயர்ப்புக்கு முன் ஓட்டத்தை வீழ்த்தும் கொள்கை.
அதே அமர்வில் ஒரு தனிப்பட்ட இலக்கை மீண்டும் சோதியுங்கள். மாற்றத்திற்குப் பிறகு பதிலளிப்பதை நிறுத்தும் ஜம்ப் ஹோஸ்ட் என்பது புதிய முன்னொட்டுகள் ஏதோ ஒன்றை நகர்த்திவிட்டதன் வழக்கமான அறிகுறி, முன்பு அறிவிக்கப்பட்ட குறுகிய உள்ளூர் வழியாகவோ அல்லது இப்போது உங்கள் தனிப்பட்ட மண்டலங்களுக்கு ஃபார்வேர்டர் இல்லாத தீர்வியை நோக்கிச் செல்லும் பெயர் தீர்வாகவோ.
எப்போது பிரிந்த டன்னலை அமைதியாக விட வேண்டும்
இலக்கு ஒரு தனிப்பட்ட API, தனிப்பட்ட எண்ட்பாயிண்ட் அல்லது உள் நிர்வாகப் பக்கம் அடைவது மட்டுமே என்றால், இயல்புநிலை நடத்தை மலிவானது மற்றும் அமைதியானது. கட்டாய டன்னலிங் ஃபயர்வால் மணிநேரங்கள் மற்றும் தரவு செயலாக்கக் கட்டணங்கள், நீண்ட பாதை, மேலும் ஒவ்வொரு கிளையண்ட் ஓட்டமும் தோல்வியடையக்கூடிய இன்னொரு இடத்தைச் சேர்க்கிறது. நீங்கள் கவலைப்பட்ட ஒரே இலக்கை விட மிக அதிக போக்குவரத்தையும் இது பிடிக்கிறது.
தேவை எக்ரஸின் அடிப்படையில் சொல்லப்படும்போது இதைப் பயன்படுத்துங்கள்: கூட்டாளர் ஒரு நிலையான Azure முகவரியைப் பார்க்க வேண்டும், பாதுகாப்பு இணைப்புகள் பதிவு செய்யப்பட்டு ஆய்வு செய்யப்பட வேண்டும் என விரும்புகிறது, அல்லது தரவு ஒரு கட்டுப்படுத்தப்பட்ட புள்ளி வழியாக வெளியேற வேண்டும். அப்போதும் வடிவமைப்பு ஒவ்வொரு பயனருக்கும் பகிரப்பட்ட வெளியேற்றத்தைத் தருகிறது, எனவே பயனர் வாரியான பொறுப்பு மூல முகவரியிலிருந்து அல்ல, பயன்பாட்டில் உள்ள அடையாளத்திலிருந்து வர வேண்டும்.
மாற்றத்தை மூடும் முன் நான்கு விஷயங்களை உறுதிப்படுத்துங்கள்: நிறுவப்பட்ட கிளையண்ட் தொகுப்பு புதியது, இரண்டு /1 வழிகளும் டன்னல் இடைமுகத்தில் உள்ளன, ஒரு தனிப்பட்ட இலக்கு இன்னும் பதிலளிக்கிறது, மற்றும் தொலை சேவையின் பதிவு ஃபயர்வால் முகவரியைக் காட்டுகிறது.