Azure Point-to-Site VPN آپ کا عوامی IP کیوں نہیں بدلتا
پوائنٹ ٹو سائٹ ٹنل صرف ورچوئل نیٹ ورک کے راستے لے جاتی ہے، اس لیے جب تک جبری ٹنلنگ اور فائر وال کا SNAT اخراج کو Azure میں منتقل نہ کریں، آپ کا عوامی IP مقامی ہی رہتا ہے۔
میں Windows لیپ ٹاپ پر Azure VPN کلائنٹ جوڑتا ہوں، پتہ گونج صفحہ کھولتا ہوں اور وہی عوامی پتہ دیکھتا ہوں جو میرے گھر کے راؤٹر نے دیا تھا۔ اسی دوران 10.20.0.4 پر جمپ باکس جواب دیتا ہے اور نجی اینڈ پوائنٹ کا نام حل ہوتا ہے، یعنی ٹنل ٹوٹی نہیں ہے۔ پوائنٹ ٹو سائٹ گیٹ وے بالکل وہی کر رہا ہے جو اس کی طے شدہ ترتیب کہتی ہے: نجی سابقے لے جانا اور باقی سب مقامی لنک پر چھوڑ دینا۔ Azure کی ملکیت والا اخراجی پتہ حاصل کرنا روٹنگ ڈیزائن کی تبدیلی ہے، مرمت نہیں۔
گیٹ وے بطور طے شدہ کیا اعلان کرتا ہے
گیٹ وے ورچوئل نیٹ ورک کی پتہ جگہ کے لیے راستے دھکیلتا ہے، نیز وہ ہم مرتبہ نیٹ ورک جہاں گیٹ وے گزر کی اجازت ہے اور سائٹ ٹو سائٹ کنکشن یا BGP سے سیکھے گئے مقامی سابقے۔ اس مجموعے میں کوئی 0.0.0.0/0 نہیں ہے۔ آپ کا آپریٹنگ سسٹم اپنا طے شدہ راستہ Wi-Fi یا Ethernet پر رکھتا ہے، اس لیے عوامی API کی طرف جانے والا پیکٹ ٹنل میں داخل ہی نہیں ہوتا۔
کلائنٹ کو ٹنل کے اندر جو پتہ ملتا ہے وہ پوائنٹ ٹو سائٹ پول سے نجی لیز ہے۔ یہ VNet کے وسائل کے سامنے کلائنٹ کی شناخت کرتا ہے؛ یہ انٹرنیٹ کو نظر آنے والا پتہ نہیں ہے، اور کسی SaaS API کی طرف جانے والی بیرونی درخواست کے ماخذ کے طور پر کبھی ظاہر نہیں ہوگا۔ اس لیز کے گرد بنی اجازت فہرست کا اندراج کام نہیں کر سکتا، آپ فروشندہ کے لاگز میں اس کے ظاہر ہونے کا کتنا ہی انتظار کریں۔
منقسم ٹنل اور جبری ٹنلنگ ساتھ ساتھ
| Split tunnel, the default | Forced tunneling | |
|---|---|---|
| Internet traffic exits through | local ISP or office router | firewall or appliance inside Azure |
| Source address the API sees | your home or office IP | the firewall public IP |
| Inspection and logging in Azure | none | policy rules plus flow logs |
| Ongoing cost | gateway only | gateway, firewall hours, data processing |
| What usually breaks | nothing on the egress path | DNS, on-premises routes, overlapping local ranges |
صرف دوسری سطر وہ پتہ بدلتی ہے جو کوئی دور دراز سروس دیکھتی ہے۔ اس جدول میں باقی سب لاگت اور عملی سطح ہے جو آپ اس وقت قبول کرتے ہیں جب اخراج کو Azure کے اندر جانچنا یا ترجمہ کرنا ہو۔ اگر کوئی آپ سے عوامی IP بدلنے کو کہے تو وہ پورا دایاں کالم مانگ رہا ہے، کلائنٹ میں کوئی چھوٹی سی اصلاح نہیں۔
کچھ بھی دوبارہ بنانے سے پہلے ایک درمیانی آپشن کا نام لینا مناسب ہے۔ VNet کے اندر پراکسی یا گیٹ وے VM آپ کو ان ایپلیکیشنز کے لیے قابو شدہ ماخذ پتہ دیتا ہے جنہیں اس کی طرف بھیجا جا سکتا ہے، کلائنٹ کا طے شدہ راستہ ہٹائے بغیر۔ یہ عام براؤزنگ کو مقامی رکھتا ہے اور ایسے پارٹنر کو بھی مطمئن کرتا ہے جسے صرف ایک API کال Azure سے آنے کی ضرورت ہے۔ یہ اس وقت ناکام ہوتا ہے جب ضرورت واقعی تمام ٹریفک کے بارے میں ہو، کیونکہ پراکسی کی ترتیب نظر انداز کرنے والا ہر چیز پھر بھی مقامی طور پر باہر جاتا ہے۔
ٹنل کو طے شدہ راستہ لے جانے دیں
ورچوئل نیٹ ورک گیٹ وے پر، کلائنٹ کی تمام انٹرنیٹ ٹریفک ٹنل میں لے جانے کا تعاون یافتہ طریقہ پوائنٹ ٹو سائٹ ترتیب میں حسب ضرورت راستے شامل کرنا ہے۔ دو نصف پورے IPv4 میدان کو ڈھانپتے ہیں، اور ہر ایک مقامی طے شدہ راستے سے زیادہ مخصوص ہے، اس لیے کلائنٹ کچھ بھی مٹائے بغیر انہیں ترجیح دیتا ہے:
Set-AzVirtualNetworkGateway -VirtualNetworkGateway GWOBJ -CustomRoute 0.0.0.0/1,128.0.0.0/1وہ سطر مثال ہے، نقل کرنے کے لیے مکمل نہیں: پہلے Get-AzVirtualNetworkGateway سے گیٹ وے آبجیکٹ لیں اور GWOBJ کی جگہ اسے رکھیں، اور چلانے سے پہلے یقینی بنائیں کہ SKU اور تعیناتی ماڈل حسب ضرورت راستے قبول کرتے ہیں۔ وہی سابقے پورٹل میں پوائنٹ ٹو سائٹ ترتیب کے صفحے پر بھی نظر آتے ہیں، اور اگر آپ پہلے سے گیٹ وے کو اسکرپٹ نہیں کر رہے تو انہیں ترتیب دینے کی زیادہ محفوظ جگہ وہی ہے۔
ان سابقوں کو بدلنے سے کلائنٹ پیکیج باطل ہو جاتا ہے۔ VPN کلائنٹ پیکیج دوبارہ ڈاؤن لوڈ کریں اور دوبارہ نصب کریں، کیونکہ راستے پروفائل کے اندر سفر کرتے ہیں۔ پرانے پروفائل کے ساتھ دوبارہ جڑنے والا کلائنٹ پرانا راستہ مجموعہ رکھتا ہے، اور آپ ایسی تبدیلی کو ڈیبگ کرنے میں ایک گھنٹہ گنوا سکتے ہیں جو اس تک کبھی نہیں پہنچی۔
محفوظ ورچوئل WAN ہب میں اس کا متبادل پوائنٹ ٹو سائٹ گیٹ وے سے منسلک ہب روٹ جدول میں طے شدہ راستہ ہے، اور ٹریفک ہب میں Azure Firewall لیتا ہے۔ فائر وال انٹرنیٹ کی طرف جانے والے کنکشنز کو اپنے عوامی IP پتوں میں ترجمہ کرتا ہے، اور نیا اخراجی پتہ اسی ترجمے سے آتا ہے۔ جب فائر وال کے پاس کئی عوامی IP ہوں، ان میں سے کوئی بھی ماخذ کے طور پر ظاہر ہو سکتا ہے، اس لیے اجازت فہرست میں سب ہونے چاہئیں۔
اوپر کے دونوں ڈیزائن IPv4 ہیں۔ دو /1 سابقے IPv6 کے لیے کچھ نہیں کرتے، اور پوائنٹ ٹو سائٹ کا IPv6 تعاون اتنا محدود ہے کہ برابری کا وعدہ کرنے سے پہلے امتزاج جانچنا چاہیے۔
پہلے راستہ دیکھیں، پھر اخراج
پیکیج دوبارہ نصب کرنے اور دوبارہ جڑنے کے بعد یقینی بنائیں کہ کلائنٹ نے واقعی دونوں نصف نصب کیے۔ Windows پر Get-NetRoute -DestinationPrefix 0.0.0.0/1 اور 128.0.0.0/1 کے لیے وہی استفسار ٹنل انٹرفیس کا نام بتانا چاہیے، اور route print آپ کے اصل طے شدہ راستے کے ساتھ دونوں دکھاتا ہے۔ Linux پر ip route show کو دونوں سابقے درج کرنے چاہئیں؛ اگر نہ کرے تو پروفائل نے انہیں کبھی نہیں لے جایا۔
پھر کلائنٹ سے عوامی پتہ دوبارہ دیکھیں اور اسی کنکشن کے لیے فائر وال لاگ پڑھیں۔ ماخذ ترجمہ شدہ پورٹ کے ساتھ فائر وال کا عوامی IP ہونا چاہیے۔ دونوں راستے ہونے کے باوجود جو کلائنٹ مقامی طور پر باہر جاتا ہے اس کا مطلب ہے کہ پیکٹ Azure تک پہنچے اور کسی دوسرے راستے سے نکلے: گیٹ وے سب نیٹ پر صارف کی متعین کردہ روٹ، ایسا فائر وال جو خود مقامی نیٹ ورک کی طرف جبری ٹنل میں ہو، یا ایسی پالیسی جو ترجمے سے پہلے بہاؤ گرائے۔
اسی سیشن میں ایک نجی منزل دوبارہ آزمائیں۔ تبدیلی کے بعد جواب دینا بند کر دینے والا جمپ ہوسٹ عام نشانی ہے کہ نئے سابقوں نے کچھ ہٹا دیا ہے، یا پہلے اعلان کردہ تنگ مقامی راستہ، یا نام کا حل جو اب آپ کے نجی زونز کے لیے فارورڈر کے بغیر حل کرنے والے کی طرف جاتا ہے۔
منقسم ٹنل کو کب تنہا چھوڑیں
اگر مقصد صرف کسی نجی API، نجی اینڈ پوائنٹ یا داخلی منتظم صفحے تک پہنچنا ہے، تو طے شدہ رویہ سستا اور خاموش ہے۔ جبری ٹنلنگ فائر وال کے گھنٹے اور ڈیٹا پروسیسنگ کے اخراجات، طویل راستہ، اور ایک اور جگہ شامل کرتی ہے جہاں ہر کلائنٹ بہاؤ ناکام ہو سکتا ہے۔ یہ اس ایک منزل سے کہیں زیادہ ٹریفک بھی پکڑتی ہے جس کی آپ کو فکر تھی۔
اس کا سہارا اس وقت لیں جب ضرورت اخراج کے لحاظ سے بیان ہو: پارٹنر کو مقررہ Azure پتہ نظر آنا چاہیے، سیکیورٹی کنکشنز کے لاگ ہونے اور جانچے جانے کی خواہاں ہو، یا ڈیٹا ایک قابو شدہ مقام سے باہر جانا چاہیے۔ تب بھی ڈیزائن ہر صارف کو مشترکہ اخراج دیتا ہے، اس لیے فی صارف جوابدہی ماخذ پتے سے نہیں بلکہ ایپلیکیشن میں شناخت سے آنی چاہیے۔
تبدیلی بند کرنے سے پہلے چار باتیں یقینی بنائیں: نصب شدہ کلائنٹ پیکیج نیا ہے، دونوں /1 راستے ٹنل انٹرفیس پر ہیں، ایک نجی منزل اب بھی جواب دیتی ہے، اور دور دراز سروس کا لاگ فائر وال کا پتہ دکھاتا ہے۔