NVA کے بغیر ExpressRoute پر Azure نجی IP VPN

افسانہ یہ ہے کہ ExpressRoute نجی peering پر ٹریفک کو خفیہ کرنے کے لیے نیٹ ورک ورچوئل آلات درکار ہوتا ہے۔ ایسا نہیں ہے۔ Azure ایک Site-to-Site VPN Gateway کی حمایت کرتا ہے جس کا ٹنل اینڈ پوائنٹ سرکٹ کے ذریعے لے جایا جانے والا نجی RFC1918 پتہ ہے، اور آلہ اختیاری ہے، ساختاتی نہیں۔ آلات کا افسانہ جو چھپاتا ہے وہ حصہ ہے جو واقعی تکلیف دیتا ہے: نجی اینڈ پوائنٹ کو دو اشیاء کے بجائے ایک پر فعال کرنا، اور براہ راست peering راستے کو خاموشی سے خفیہ راستے پر جیتنے دینا۔

افسانہ کہاں سے آیا

اس دعوے کی ایک معتبر اصل ہے۔ برسوں تک نجی peering پر IPsec کی عملی ترکیب NVA تھی، کیونکہ منظم گیٹ وے صرف عوامی اینڈ پوائنٹس ظاہر کرتا تھا۔ یہ بدل گیا، اور تبدیلی سے پہلے لکھے گئے جوابات آج بھی ایسے دھاگوں میں نقل کیے جاتے ہیں جہاں کوئی تاریخ نہیں جانچتا۔ اصلاح تنگ ہے: نجی پتے والا VPN گیٹ وے موجود ہے، اور یہ اینڈ پوائنٹ بدلتا ہے، اس کے گرد روٹنگ منطق نہیں۔

ان میں سے کوئی بھی NVA کو ریٹائر نہیں کرتا۔ یہ اس مفروضے کو ریٹائر کرتا ہے کہ آلہ ہی ضرورت کا واحد راستہ ہے۔

نجی اینڈ پوائنٹ دونوں سطحوں پر فعال کریں

VPN گیٹ وے والے VNet سے منسلک کام کرنے والے ExpressRoute نجی peering کنکشن سے شروع کریں۔ مقامی فریق کو پہلے ہی اس سرکٹ کے ذریعے متعلقہ نجی پتوں تک پہنچنا چاہیے، کیونکہ ٹنل ان پتوں کو نقل و حمل کے طور پر استعمال کرے گا۔ پھر گیٹ وے کی پیشگی شرط: نجی-IP VPN کے لیے Microsoft کا طریقہ کار Standard عوامی IP وسیلے پر بنایا گیا گیٹ وے درکار کرتا ہے۔ نجی ٹنل ایڈریسنگ اس شرط کو نہیں ہٹاتی، جو ان لوگوں کو حیران کرتی ہے جو سمجھتے ہیں کہ «نجی» کا مطلب «کہیں بھی عوامی IP نہیں» ہے۔

اب دونوں جگہوں پر جھنڈا فعال کریں۔ گیٹ وے کنفیگریشن کا نجی IP کے لیے اپنا سوئچ ہے، اور انفرادی Site-to-Site کنکشن کا دوسرا ہے جو اس کنکشن کو نجی پتہ استعمال کرنے پر مجبور کرتا ہے۔ ایک سیٹ کرنا اور دوسرا نہ کرنا سب سے عام نامکمل کنفیگریشن ہے؛ ٹنل یا قائم نہیں ہوتا یا غلط اینڈ پوائنٹ پر قائم ہوتا ہے۔

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

اپنے نصب شدہ CLI ورژن کے سامنے خصوصیات کے نام کی تصدیق کریں، کیونکہ پورٹل لیبل اور CLI خصوصیات ہمیشہ ایک جیسے الفاظ استعمال نہیں کرتے۔ فعال-فعال گیٹ وے دو نجی ٹنل پتے ظاہر کرتا ہے، اور اس فالتو پن کا کوئی مطلب ہونے کے لیے مقامی آلے میں دونوں ہم منصب کنفیگر ہونے چاہئیں۔ صرف اس نجی پتے والی ٹنل کو کھڑا کرنے کے لیے BGP ضروری نہیں، حالانکہ یہ عام طور پر سابقوں کی تقسیم کے طریقے کا حصہ ہوتا ہے۔

دوسرا افسانہ: قائم شدہ ٹنل آپ کی ٹریفک کو خفیہ کرتی ہے

اب ایپلیکیشن نیٹ ورک تک دو راستے پہنچتے ہیں: براہ راست نجی peering راستہ اور VPN کے ذریعے راستہ۔ دونوں کام کرتے ہیں۔ صرف ایک ہی یہ IPsec پرت لاگو کرتا ہے۔ Microsoft دستاویز کرتا ہے کہ جب ایک جیسے سابقے ExpressRoute اور VPN دونوں پر اعلان کیے جائیں تو Azure براہ راست ExpressRoute راستے کو ترجیح دیتا ہے، لہٰذا صحت مند ٹنل اور صحت مند شمار کنندگان اس بات کا کچھ ثابت نہیں کرتے کہ ایپلیکیشن پیکٹ کہاں گئے۔

دستاویز شدہ اسٹیئرنگ طریقے ExpressRoute پر محیط رینج اور VPN پر زیادہ مخصوص محفوظ رینج، یا دونوں راستوں پر الگ الگ سابقے ہیں۔ مثال کے طور پر، نجی peering 10.40.0.0/16 لے جا سکتا ہے جبکہ VPN 10.40.12.0/24 کا اعلان کرتا ہے۔ زیادہ مخصوص سابقہ جیت جاتا ہے اور رینج کا باقی حصہ براہ راست رہتا ہے۔

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

مقامی سمت میں بھی یہی جانچ کریں، کیونکہ آپ کے راؤٹر کی ترجیح طے کرتی ہے کہ باہر جانے والی ٹریفک کس طرف سے نکلے گی۔ اور ٹنل کی اپنی نقل و حمل ExpressRoute راستے پر رکھیں؛ جو راستہ گیٹ وے کے نجی اینڈ پوائنٹ کو ٹنل میں کھینچتا ہے وہ ٹنل کو خود پر منحصر بنا دیتا ہے۔

فیصلہ کریں کہ ٹنل گرنے پر کیا ہوگا

ٹنل گرنے پر زیادہ مخصوص VPN راستہ غائب ہو جاتا ہے، جبکہ زیادہ وسیع براہ راست راستہ رہتا ہے۔ پھر ٹریفک بغیر خفیہ کاری کے بہتا ہے اور سب کچھ صحت مند دکھتا ہے، جو ایسی ضرورت کے لیے بدترین ناکامی کی حالت ہے جو خفیہ کاری کی ضمانت کے لیے موجود ہے۔ اگر ضرورت اس فالبیک کو منع کرتی ہے تو روٹنگ اور رسائی پالیسی کو ٹنل کی دستیابی پر انحصار کرنے کے بجائے یہ صریحاً کہنا ہوگا۔

لکھیں کہ کون سے سابقے براہ راست قابل رسائی رہ سکتے ہیں اور کون سے خفیہ راستہ نہ ہونے پر رکنا چاہئیں۔ پھر اجازت شدہ صورت کو حقیقی ٹریفک کے ساتھ جانچیں اور کنکشن شمار کنندگان کا موازنہ کریں، کیونکہ صرف روٹ ٹیبل آپ کو نہیں بتائے گا کہ خفیہ کاری کی ضرورت اب بھی لاگو ہے یا نہیں۔

یہ ڈھانچہ آپ کو NVA کا اس کی حقیقی خصوصیات کی بنیاد پر جائزہ لینے کی بھی اجازت دیتا ہے، جیسے متعدد ٹنلیں، تھروپٹ یا وینڈر معائنہ، صرف اس لیے ایک خریدنے کے بجائے کہ اینڈ پوائنٹ نجی ہے۔