Azure P2S VPN da statik IP: mijoz manzili nima uchun o‘zgaradi

Har bir Azure point-to-site mijozi autentifikatsiya paytida puldan manzil oladi va uni faqat shu ulanish davom etguncha saqlaydi. Zaxira jadvali ham, foydalanuvchi bo‘yicha xaritalash ham, «bu odamga doim 172.16.0.10 ber» ma’nosini bildiruvchi shlyuz sozlamasi ham yo‘q. Aynan shu yagona mexanizm odamlar keyinchalik duch keladigan ikkita belgini tushuntiradi: ilgari mos kelgan foydalanuvchiga endi mos kelmaydigan NSG qoidasi va hech kim ataylab qo‘shmagan mashinani jimgina ichkariga o‘tkazadigan ruxsat ro‘yxati. Qoidani aqlliroq IP qoidasi bilan almashtirish ikkalasini ham tuzatmaydi, chunki qoida nomlaydigan narsa siz nazorat qilmaydigan jadval bo‘yicha qayta taqsimlanadi.

Pul bu sig‘im, identifikatsiya emas. U bir vaqtda ishlaydigan tunnellarga noyob manzillar berilishi uchun mavjud va ijara tugagan paytda ularni qayta ishlatadi. Bu aniq bo‘lgach, foydali savol «bu mijozni qanday qadab qo‘yaman» bo‘lishdan to‘xtaydi va «shlyuz qayta ishlatmaydigan narsaga qarshi qanday qoida yozsam bo‘ladi» ga aylanadi.

Mijoz ulanganda shlyuz aslida nima qiladi

Shlyuz sozlangan mijoz manzillari pulini saqlaydi va unga ijara jadvali sifatida munosabatda bo‘ladi. Ulanish paytida navbatdagi bo‘sh manzilni, amalda eng past mavjudini oladi va mijoz uzilguncha yoki ijara tugaguncha uni tunnel adapteriga tayinlaydi. Tartib hal qiladi, identifikatsiya emas: xotirjam davrdan keyin birinchi bo‘lib qayta ulanuvchi o‘sha paytda tasodifan bo‘sh bo‘lgan eng past manzilni oladi.

Pul hajmi xatti-harakatni yashiradi. Sinovchilar sonidan bir-ikki manzil katta laboratoriya puli deterministik ko‘rinadi, chunki o‘sha noutbuk har kuni ertalab o‘sha tartibda qayta ulanadi. Uchinchi mashinani qo‘shing, pul hajmini o‘zgartiring yoki tushlik paytida sessiyani ulangan holda qoldiring — naqsh buziladi. Manzil hech qachon barqaror bo‘lmagan; navbat barqaror edi.

point-to-site konfiguratsiyasidagi har qanday o‘zgarish ijara maydonini ham qayta o‘rnatadi. Boshqa autentifikatsiya turi, hajmi o‘zgargan pul, yangi pul diapazoni yoki buzib qayta qurilgan shlyuz — barchasi mijozlarni eski manzillariga endi mos kelmaydigan pulga qaytaradi. Bu o‘zgarishning hech bir qismi sizning NSG ga tegmaydi, shuning uchun nosozlik o‘z-o‘zidan yuz bergandek ko‘rinadi.

Buni taxminan bir daqiqada ko‘rish mumkin. Ulaning, mijozning ulanish tafsilotlarida tunnel manzilini yozib oling, uziling, ikkinchi mashinani ulang, so‘ng birinchisini qayta ulang. Qaytarib olgan manzil ikkinchi mashina nima ushlab turganiga bog‘liq va hech bir portal sozlamasi avvalgisini so‘rov bo‘yicha tiklamaydi.

Mijoz IP siga asoslangan NSG aslida ulanish tartibi haqidagi qoidadir

Odamlar birinchi yozadigan qoida ayon: boshqaruv VM ning NIC ida yoki uning quyi tarmog‘ida kiruvchi qoida, manba sifatida VPN mijozining ichki manzili. U qisqa, yozilgan kuni sinovdan o‘tadi va pulda birdan ortiq bo‘sh manzil bo‘lishi bilan ishlamay qoladi.

Bundan ikki xil nosozlik kelib chiqadi va faqat bittasi xatoga o‘xshaydi. Qonuniy foydalanuvchi rad etiladi, chunki qoida nomlaydigan manzilni o‘sha paytda boshqa birov ushlab turibdi va bu bezovta qiluvchi qo‘llab-quvvatlash murojaati sifatida keladi. Yoki istalmagan foydalanuvchi o‘tkaziladi, chunki u qoida hali ishonadigan manzilni meros qilib olgan va bu hech kim kirishni tekshirmaguncha hech narsa sifatida kelmaydi.

Qoida ijaraga ergashgani uchun amaldagi siyosat «birinchi ulangan kishi boshqaruv kirishini oladi» deb o‘qiladi. Bu niyat kiyimini kiygan ulanish tartibi tavsifi va hech qanday qoida ozodaligi uni niyat ifodasiga aylantirmaydi.

Mijoz ijarasi va shlyuz manzili boshqa-boshqa obyektlar

Chalkashlikning ko‘p qismi bitta so‘zdan kelib chiqadi. Shlyuzning nisbatan barqaror ommaviy IP si bor; mijozlarning puldan olingan xususiy manzillari esa barqaror emas. Zona zaxirasiz VPN shlyuzi uchun ommaviy IP dinamik tarzda ajratiladi, lekin u hajm o‘zgarishi, qayta o‘rnatish va muntazam xizmat ko‘rsatishdan omon qoladi — shlyuzning o‘zi o‘chirilib qayta yaratilganda o‘zgaradi. Zona zaxirali va zonal shlyuz SKU lari Standard SKU ommaviy IP sidan foydalanadi va bu ajratish statik bo‘lishi kerak.

Mahalliy hamkor o‘z konfiguratsiyasida aynan shu barqarorlikka muhtoj va bu bitta mijozni aniqlash haqida hech narsa demaydi. Hamkor qaysi manzilni ko‘rishini so‘raganda, javob site-to-site ostida shlyuzning ommaviy IP si yoki umumiy NAT diapazoni — hech qachon noutbukning tunnel ijarasi emas.

Guruh pullari sizga qoida yozishga arziydigan diapazon beradi

Virtual WAN point-to-site foydalanuvchi guruhlarini qo‘llab-quvvatlaydi va har bir guruhga o‘zining mijoz manzillari pulini tayinlash mumkin. A’zolik identifikatsiya bilan belgilanadi, shuning uchun mijoz tushadigan diapazon oldindan aytiladigan bo‘ladi: operatsiyalar bir diapazonda, pudratchilar boshqasida va diapazon — bu xavfsizlik devori yoki NSG qoidasi taxmin qilmasdan nomlashi mumkin bo‘lgan narsa.

Natijaviy qoidalar to‘plami siz ko‘rib chiqishingiz mumkin bo‘lgan shaklga ega:

• har bir auditoriya uchun bitta pul, odamlar soniga emas, bir vaqtdagi sessiyalar cho‘qqisiga qarab o‘lchangan;
• guruh a’zoligi identifikatsiya orqali boshqariladi, har safar kimdir qo‘shilganda qoidalarni tahrirlash bilan emas;
• NSG yoki Azure Firewall qoidalari pul diapazonlariga qarshi yoziladi, hech qachon alohida ijaralarga qarshi emas;
• diapazonni hech qachon bo‘lishmasligi kerak bo‘lgan auditoriyalar uchun alohida markaz yoki shlyuz.

Butun pulni ruxsat ro‘yxatiga kiritish halol, ammo qo‘pol: o‘sha diapazondagi har bir ulangan mijoz bir xil kirishni oladi. Bu ko‘rik paytida topish o‘rniga ovoz chiqarib aytishga arziydigan siyosat qarori. Hali ham har bir shaxsga javob kerak bo‘lgan narsa rol tayinlashlari orqali resursga tegishli, paket filtiriga emas.

Joylashtirish Virtual WAN ga o‘ta olmasa

Ko‘p shlyuzlar oddiy VPN shlyuzi bo‘lib qoladi va Virtual WAN ga o‘tish ahamiyatsiz o‘zgarish emas. Amaliy javob — har bir foydalanuvchi bo‘yicha qarorni paket filtiridan foydalanuvchi kimligini allaqachon biladigan narsaga ko‘chirish.

Resurs darajasidagi identifikatsiya eng arzon variant. Storage, SQL va Key Vault barchasi foydalanuvchi yoki guruh bo‘yicha rol tayinlashlari bilan Entra ID autentifikatsiyasini qo‘llab-quvvatlaydi, shuning uchun VPN faqat tarmoq yetib borishini isbotlashi kerak. Nomlangan hisob qaydnomalari bilan sakrash xosti boshqaruv ishi uchun xuddi shu ishni qiladi, chunki xost odamni qayd etadi, tunnel esa faqat paketlarni tashiydi. Mijozlarni DNS da ro‘yxatga olish va raqam o‘rniga nomga ruxsat berish qoidani bir qatlam yuqoriga ko‘taradi. Ilova darajasidagi identifikatsiya — sertifikat subyekti, token da’vosi, guruh a’zoligi — qaror qabul qilishni tarmoqdan emas, ilovadan so‘raganda ishlaydi.

Statik manba manzilida qat’iy turib oladigan hamkor uchun javob — aniqlangan peer prefiksi bilan site-to-site yoki ExpressRoute. Ular peer prefiksiga ruxsat beradi, ularning tomonida ko‘rinadigan manzil shlyuzga tegishli va kimdir noutbukni qayta ishga tushirganda u o‘zgarmaydi.

Yana bir ruxsat ro‘yxatini tahrirlashdan oldin pulni tekshiring

Pulning ikkita xususiyati odamlar mijozga yuklaydigan xatti-harakatning ko‘p qismini keltirib chiqaradi. Juda kichik pul ijaralarni tez qayta ishlatadi, shuning uchun manzillar doim ko‘chib yurgandek ko‘rinadi va manzilga asoslangan har qanday qoida dizayni bo‘yicha ishonchsiz ko‘rinadi. Mahalliy diapazonlar yoki virtual tarmoq manzil maydoni bilan ustma-ust tushadigan pul hech bir xavfsizlik devori qoidasi tuzatmaydigan marshrutlash noaniqligini keltirib chiqaradi.

Qoidaga tegishdan oldin uchta narsani bitta sahifaga qo‘ying: point-to-site puli, virtual tarmoq manzil maydoni va mahalliy diapazonlar. Ular ustma-ust tushmasligi kerak va pulga har bir bir vaqtdagi mijoz uchun joy hamda qayta ulanishlar uchun zaxira kerak.

So‘ng aylanani shu tartibda yoping:

• Ikki mashinadan ikkala tartibda ulanib manzillarni solishtiring; agar ular almashishi mumkin bo‘lsa, manzilga asoslangan hech bir qoida xavfsiz emas.
• Shlyuz Virtual WAN ekanini tekshiring; agar shunday bo‘lsa, har bir manzil bo‘yicha qoidalar o‘rniga guruh pullaridan foydalaning.
• Qoida noto‘g‘ri odamga tegib ketsa nima bo‘lishini so‘rang; javob kirish hodisasi bo‘lsa, nazoratni identifikatsiyaga ko‘chiring.
• Qaysi diapazon qaysi guruhga tegishli ekanini NSG ta’riflari bilan bir omborda yozib qo‘ying.
• Pul, autentifikatsiya yoki shlyuz o‘zgarishidan keyin qayta sinab ko‘ring, chunki bu o‘zgarishlar xaritalashni e’lon qilmasdan qayta yozadi.