Azure se IP-vloei-verifikasie sê toegelaat, maar die VPN faal steeds

Werf-tot-werf-tonnel is verbind, die VM is gesond, maar die plaaslike kliënt kry niks. Jy maak Network Watcher oop, hardloop IP-vloei-verifikasie, en dit sê Access allowed, so die kaartjie word as ’n VPN-probleem gesluit. Daardie uitslag beteken nie wat dit lyk nie, want IP-vloei-verifikasie evalueer die sekuriteitsreëls vir die vloei wat jy beskryf het en toets nooit of Azure ’n roete na jou plaaslike voorvoegsel het nie.

Die filtervraag en die roetevraag is apart, en Network Watcher antwoord hulle met verskillende gereedskap. Om te weet watter een jy gevra het, is die grootste deel van die diagnose.

Wat IP-vloei-verifikasie werklik besluit

IP-vloei-verifikasie neem ’n VM, ’n netwerkkoppelvlak, ’n rigting, vyfvoudige waardes en ’n protokol, en rapporteer dan die NSG- en sekuriteitsadmin-reëlbesluit vir daardie vloei. Dit werk op TCP en UDP, so dit is nie ’n ICMP-reëltoetser nie en ’n geblokkeerde ping bewys niks oor jou diens nie. Gee dit die werklike vloei eerder as ’n raaiskoot. ’n Inkomende verbinding van plaaslik na ’n databasispoort is ’n ander beskrywing as ’n uitgaande verbinding wat die VM begin.

As die gateway adresse vertaal, gebruik die bronadres wat die grens bereik wat jy evalueer, nie die een in die kliëntkonfigurasie nie. Lees die uitslag ook vir wat dit is. Access allowed beteken die filterlaag sou die pakkie toelaat as dit aankom, en niks meer nie.

Wat dit nie vir jou kan sê nie, is die roete wat Azure gekies het, of die gasvuurmuur die poort toelaat, of enigiets luister. Daardie dinge woon op ander lae.

Wat die volgende sprong en effektiewe roetes byvoeg

Volgende sprong beantwoord ’n aanstuurvraag: vir hierdie bestemming, watter volgende-sprong-tipe Azure kies, by watter adres, uit watter roetetabel. Effektiewe roetes lys wat die NIC werklik het. Hardloop albei en jy kry die Azure-kant-pad wat ’n groen IP-vloei-verifikasie leeg laat.

Microsoft se oorsig oor IP-vloei-verifikasie noem die filteromvang direk, terwyl die bladsye oor volgende sprong en roetediagnose die aansturkant dek. Haal die regte bladsy aan wanneer jy die bevinding neerskryf.

Die opdragte is kort genoeg om uit ’n skulp te hardloop. az network nic show-effective-route-table lys die roetes wat op die koppelvlak toegepas word. az network watcher show-next-hop met ’n bron en bestemming gee die gekose sprong terug. Vergelyk die voorvoegsel wat jou aangaan met daardie tabel en bevestig dan watter inskrywing wen.

Stap die terugpad vanaf die VM se NIC

Doen dit vanaf die teiken-VM se NIC, vir die plaaslike kliëntvoorvoegsel, nie vir die internet nie. Die terugpad is waar werf-tot-werf-foute wegkruip, want ’n tonnelstatus-toets rapporteer net dat die sekuriteitsassosiasies op is.

As die verwagte roete ontbreek, kyk na die afgeleë voorvoegsels wat die gateway-konfigurasie verskaf, die VNet-konnektiwiteitsontwerp en enige roetepropageringsinstelling. ’n Plaaslike netwerk-gateway-objek beskryf die plaaslike kant; die bestaan daarvan bewys nie dat elke vereiste voorvoegsel by die NIC teenwoordig en verkies word nie. Dit is verskillende feite, en net een daarvan verskyn in ’n portaalopsomming.

Lees die volgende-sprong-tipe eerder as om ’n voorbeeld te kopieer

’n Bestuurde VPN-gateway-pad wys gewoonlik VirtualNetworkGateway as die volgende-sprong-tipe. VirtualAppliance beskryf ’n ander aanstuurontwerp, gewoonlik ’n vuurmuur of netwerk-virtuale toestel.

Moenie ’n toestelroete skep wat na ’n geraaide VPN-eindpunt wys omdat ’n ou forumantwoord daardie tipe gebruik het nie. As ’n gebruikergedefinieerde roete die beoogde pad oorheers, vind die eienaar en doel daarvan voordat jy dit verander. ’n Tweede NIC kan ook verander watter koppelvlak die gas gebruik, en om dit te verwyder kan ’n ander diens breek in plaas daarvan om hierdie roete reg te maak.

Beweeg na die grens wat steeds faal

Wanneer filtering en roetering albei by die ontwerp pas, is die fout elders. Kyk na die gas se eie roetetabel, sy vuurmuur en of die luisteraar aan die verwagte adres gebind is. Kyk dan na die VPN se beskermde verkeerskeurders en die plaaslike antwoordpad. Elkeen daarvan is ’n aparte toets met ’n aparte uitslag.

Sluit af met ’n toegelate toepassingsversoek en waarnemings van beide kante. ’n Toelaat-uitslag en ’n korrekte volgende sprong is twee stukke bewyse, nie ’n bewys dat die verbinding geslaag het nie.