Azure Point-to-Site VPN మీ పబ్లిక్ IPని ఎందుకు మార్చదు
పాయింట్-టు-సైట్ టన్నెల్ వర్చువల్ నెట్వర్క్ యొక్క మార్గాలను మాత్రమే తీసుకువెళుతుంది, కాబట్టి బలవంతపు టన్నెలింగ్ మరియు ఫైర్వాల్ SNAT ఎగ్రెస్ను Azureకి తరలించే వరకు మీ పబ్లిక్ IP స్థానికంగానే ఉంటుంది.
నేను Windows ల్యాప్టాప్లో Azure VPN క్లయింట్ను కనెక్ట్ చేసి, చిరునామా-ప్రతిధ్వని పేజీని తెరిచి, నా ఇంటి రౌటర్ ఇచ్చిన అదే పబ్లిక్ చిరునామాను చూస్తాను. అదే సమయంలో 10.20.0.4లోని జంప్ బాక్స్ ప్రతిస్పందిస్తుంది మరియు ప్రైవేట్ ఎండ్పాయింట్ పేరు పరిష్కరించబడుతుంది, కాబట్టి టన్నెల్ విరిగిపోలేదు. పాయింట్-టు-సైట్ గేట్వే తన డిఫాల్ట్ కాన్ఫిగరేషన్ చెప్పినట్లే సరిగ్గా చేస్తోంది: ప్రైవేట్ ప్రిఫిక్స్లను తీసుకువెళుతుంది మరియు మిగతావన్నీ స్థానిక లింక్పై వదిలివేస్తుంది. Azure యాజమాన్యంలోని ఎగ్రెస్ చిరునామాను పొందడం రూటింగ్ డిజైన్ మార్పు, మరమ్మతు కాదు.
గేట్వే డిఫాల్ట్గా ఏమి ప్రకటిస్తుంది
గేట్వే వర్చువల్ నెట్వర్క్ చిరునామా స్థలానికి మార్గాలను పుష్ చేస్తుంది, అలాగే గేట్వే ట్రాన్సిట్ అనుమతించబడిన పీర్ నెట్వర్క్లు మరియు సైట్-టు-సైట్ కనెక్షన్ లేదా BGP ద్వారా నేర్చుకున్న స్థానిక ప్రిఫిక్స్లను కూడా. ఆ సెట్లో 0.0.0.0/0 లేదు. మీ ఆపరేటింగ్ సిస్టమ్ తన డిఫాల్ట్ మార్గాన్ని Wi-Fi లేదా Ethernetపై ఉంచుతుంది, కాబట్టి పబ్లిక్ APIకి వెళ్లే ప్యాకెట్ టన్నెల్లోకి ప్రవేశించదు.
క్లయింట్ టన్నెల్ లోపల పొందే చిరునామా పాయింట్-టు-సైట్ పూల్ నుండి ప్రైవేట్ లీజ్. ఇది VNetలోని వనరులకు క్లయింట్ను గుర్తిస్తుంది; ఇది ఇంటర్నెట్ చూడగలిగే చిరునామా కాదు, మరియు SaaS APIకి వెళ్లే అవుట్బౌండ్ అభ్యర్థనకు మూలంగా ఎప్పుడూ కనిపించదు. ఆ లీజ్ చుట్టూ నిర్మించిన అనుమతి జాబితా నమోదు పనిచేయదు, అది విక్రేత లాగ్లలో కనిపించడానికి మీరు ఎంత కాలం వేచి ఉన్నా.
విభజించిన టన్నెల్ మరియు బలవంతపు టన్నెలింగ్ పక్కపక్కనే
| Split tunnel, the default | Forced tunneling | |
|---|---|---|
| Internet traffic exits through | local ISP or office router | firewall or appliance inside Azure |
| Source address the API sees | your home or office IP | the firewall public IP |
| Inspection and logging in Azure | none | policy rules plus flow logs |
| Ongoing cost | gateway only | gateway, firewall hours, data processing |
| What usually breaks | nothing on the egress path | DNS, on-premises routes, overlapping local ranges |
రెండవ వరుస మాత్రమే రిమోట్ సేవ చూసే చిరునామాను మారుస్తుంది. ఆ పట్టికలో మిగతావన్నీ ఎగ్రెస్ను Azure లోపల తనిఖీ చేయాల్సి వచ్చినప్పుడు లేదా అనువదించాల్సి వచ్చినప్పుడు మీరు అంగీకరించే ఖర్చు మరియు కార్యాచరణ ఉపరితలం. ఎవరైనా పబ్లిక్ IP మారాలని అడిగితే, వారు మొత్తం కుడి నిలువు వరుసను అడుగుతున్నారు, క్లయింట్లో చిన్న సర్దుబాటు కాదు.
ఏదైనా పునర్నిర్మించే ముందు పేరు పెట్టదగిన మధ్యస్థ ఎంపిక ఒకటి ఉంది. VNet లోపల ప్రాక్సీ లేదా గేట్వే VM, దాని వైపు మళ్లించగల అప్లికేషన్లకు నియంత్రిత మూల చిరునామాను ఇస్తుంది, క్లయింట్ డిఫాల్ట్ మార్గాన్ని కదిలించకుండా. ఇది సాధారణ బ్రౌజింగ్ను స్థానికంగా ఉంచుతుంది మరియు Azure నుండి ఒకే API కాల్ రావాలని కోరుకునే భాగస్వామిని కూడా సంతృప్తిపరుస్తుంది. అవసరం నిజంగా మొత్తం ట్రాఫిక్ గురించి అయినప్పుడు ఇది విఫలమవుతుంది, ఎందుకంటే ప్రాక్సీ సెట్టింగ్ను పట్టించుకోని ఏదైనా ఇప్పటికీ స్థానికంగానే బయటకు వెళుతుంది.
టన్నెల్ డిఫాల్ట్ మార్గాన్ని మోయనివ్వండి
వర్చువల్ నెట్వర్క్ గేట్వేపై, క్లయింట్ యొక్క మొత్తం ఇంటర్నెట్ ట్రాఫిక్ను టన్నెల్లోకి నడిపించే మద్దతు ఉన్న మార్గం పాయింట్-టు-సైట్ కాన్ఫిగరేషన్కు అనుకూల మార్గాలను జోడించడం. రెండు సగాలు మొత్తం IPv4 స్థలాన్ని కవర్ చేస్తాయి, మరియు ప్రతి ఒక్కటి స్థానిక డిఫాల్ట్ మార్గం కంటే నిర్దిష్టంగా ఉంటుంది, కాబట్టి క్లయింట్ ఏమీ తొలగించకుండా వాటికి ప్రాధాన్యం ఇస్తుంది:
Set-AzVirtualNetworkGateway -VirtualNetworkGateway GWOBJ -CustomRoute 0.0.0.0/1,128.0.0.0/1ఆ వరుస ఉదాహరణ మాత్రమే, కాపీ-పేస్ట్కు పూర్తి కాదు: మొదట Get-AzVirtualNetworkGatewayతో గేట్వే ఆబ్జెక్ట్ను తీసుకుని GWOBJ స్థానంలో దాన్ని పెట్టండి, మరియు అమలు చేయడానికి ముందు SKU మరియు డిప్లాయ్మెంట్ మోడల్ అనుకూల మార్గాలను అంగీకరిస్తాయని నిర్ధారించుకోండి. అదే ప్రిఫిక్స్లు పోర్టల్లో పాయింట్-టు-సైట్ కాన్ఫిగరేషన్ పేజీలో కనిపిస్తాయి, మరియు మీరు ఇప్పటికే గేట్వేను స్క్రిప్ట్ చేయకపోతే వాటిని సెట్ చేయడానికి సురక్షితమైన స్థలం అదే.
ఆ ప్రిఫిక్స్లను మార్చడం క్లయింట్ ప్యాకేజీని చెల్లనిదిగా చేస్తుంది. VPN క్లయింట్ ప్యాకేజీని మళ్లీ డౌన్లోడ్ చేసి మళ్లీ ఇన్స్టాల్ చేయండి, ఎందుకంటే మార్గాలు ప్రొఫైల్ లోపల ప్రయాణిస్తాయి. పాత ప్రొఫైల్తో మళ్లీ కనెక్ట్ అయ్యే క్లయింట్ పాత మార్గాల సెట్ను ఉంచుకుంటుంది, మరియు దానికి ఎప్పుడూ చేరని మార్పును డీబగ్ చేయడంలో మీరు ఒక గంట కోల్పోవచ్చు.
సురక్షిత వర్చువల్ WAN హబ్లో సమానమైనది పాయింట్-టు-సైట్ గేట్వేతో అనుబంధించిన హబ్ మార్గాల పట్టికలోని డిఫాల్ట్ మార్గం, ట్రాఫిక్ను హబ్లోని Azure Firewall తీసుకుంటుంది. ఫైర్వాల్ ఇంటర్నెట్ వైపు వెళ్లే కనెక్షన్లను తన స్వంత పబ్లిక్ IP చిరునామాలకు అనువదిస్తుంది, మరియు ఆ అనువాదం నుండే కొత్త ఎగ్రెస్ చిరునామా వస్తుంది. ఫైర్వాల్కు అనేక పబ్లిక్ IPలు ఉన్నప్పుడు, వాటిలో ఏదైనా మూలంగా కనిపించవచ్చు, కాబట్టి అనుమతి జాబితాలో అన్నీ ఉండాలి.
పైన ఉన్న రెండు డిజైన్లు IPv4. రెండు /1 ప్రిఫిక్స్లు IPv6కి ఏమీ చేయవు, మరియు పాయింట్-టు-సైట్ IPv6 మద్దతు చాలా సన్నగా ఉంది, కాబట్టి సమానత్వం వాగ్దానం చేసే ముందు కలయికను పరీక్షించాలి.
మొదట మార్గాన్ని తనిఖీ చేయండి, ఆపై నిష్క్రమణను
ప్యాకేజీని మళ్లీ ఇన్స్టాల్ చేసి మళ్లీ కనెక్ట్ అయిన తర్వాత, క్లయింట్ నిజంగా రెండు సగాలను ఇన్స్టాల్ చేసిందని నిర్ధారించుకోండి. Windowsలో Get-NetRoute -DestinationPrefix 0.0.0.0/1 మరియు 128.0.0.0/1 కోసం అదే ప్రశ్న టన్నెల్ ఇంటర్ఫేస్ను పేర్కొనాలి, route print మీ అసలు డిఫాల్ట్ పక్కన రెండింటినీ చూపిస్తుంది. Linuxలో ip route show రెండు ప్రిఫిక్స్లను జాబితా చేయాలి; చేయకపోతే ప్రొఫైల్ వాటిని ఎప్పుడూ మోయలేదు.
తర్వాత క్లయింట్ నుండి పబ్లిక్ చిరునామాను మళ్లీ తనిఖీ చేసి అదే కనెక్షన్ కోసం ఫైర్వాల్ లాగ్ను చదవండి. మూలం అనువదించిన పోర్ట్తో ఫైర్వాల్ పబ్లిక్ IP అయి ఉండాలి. రెండు మార్గాలు ఉన్నప్పటికీ ఇప్పటికీ స్థానికంగా బయటకు వెళ్లే క్లయింట్ అంటే ప్యాకెట్లు Azureకి చేరి మరో మార్గంలో బయటకు వెళ్లాయి: గేట్వే సబ్నెట్లో వినియోగదారు నిర్వచించిన మార్గం, తానే స్థానిక నెట్వర్క్ వైపు బలవంతపు టన్నెల్లో ఉన్న ఫైర్వాల్, లేదా అనువాదానికి ముందు ప్రవాహాన్ని పడేసే విధానం.
అదే సెషన్లో ఒక ప్రైవేట్ గమ్యాన్ని మళ్లీ పరీక్షించండి. మార్పు తర్వాత సమాధానం ఇవ్వడం ఆపే జంప్ హోస్ట్ కొత్త ప్రిఫిక్స్లు ఏదో తొలగించాయని సాధారణ సంకేతం, ముందుగా ప్రకటించిన సన్నని స్థానిక మార్గం లేదా ఇప్పుడు మీ ప్రైవేట్ జోన్లకు ఫార్వర్డర్ లేని రిజాల్వర్కు వెళ్లే పేరు పరిష్కారం.
ఎప్పుడు విభజించిన టన్నెల్ను ప్రశాంతంగా వదిలేయాలి
లక్ష్యం ప్రైవేట్ API, ప్రైవేట్ ఎండ్పాయింట్ లేదా అంతర్గత నిర్వాహక పేజీని చేరుకోవడం మాత్రమే అయితే, డిఫాల్ట్ ప్రవర్తన చవకైనది మరియు ప్రశాంతమైనది. బలవంతపు టన్నెలింగ్ ఫైర్వాల్ గంటలు మరియు డేటా ప్రాసెసింగ్ ఛార్జీలు, పొడవైన మార్గం, మరియు ప్రతి క్లయింట్ ప్రవాహం విఫలమయ్యే మరో స్థలాన్ని జోడిస్తుంది. మీరు పట్టించుకున్న ఒకే గమ్యం కంటే చాలా ఎక్కువ ట్రాఫిక్ను కూడా ఇది పట్టుకుంటుంది.
అవసరం ఎగ్రెస్ పరంగా చెప్పబడినప్పుడు దీన్ని ఉపయోగించండి: భాగస్వామి స్థిరమైన Azure చిరునామాను చూడాలి, భద్రత కనెక్షన్లు లాగ్ చేయబడి తనిఖీ చేయబడాలని కోరుతుంది, లేదా డేటా ఒక నియంత్రిత బిందువు ద్వారా బయటకు వెళ్లాలి. అప్పుడు కూడా డిజైన్ ప్రతి వినియోగదారుకు పంచుకున్న నిష్క్రమణను ఇస్తుంది, కాబట్టి వినియోగదారు వారీగా జవాబుదారీతనం మూల చిరునామా నుండి కాకుండా అప్లికేషన్లోని గుర్తింపు నుండి రావాలి.
మార్పును ముగించే ముందు నాలుగు విషయాలను నిర్ధారించుకోండి: ఇన్స్టాల్ చేసిన క్లయింట్ ప్యాకేజీ కొత్తది, రెండు /1 మార్గాలు టన్నెల్ ఇంటర్ఫేస్పై ఉన్నాయి, ఒక ప్రైవేట్ గమ్యం ఇంకా సమాధానం ఇస్తోంది, మరియు రిమోట్ సేవ లాగ్ ఫైర్వాల్ చిరునామాను చూపిస్తుంది.