Azure punt-na-site verbind, maar geen private hulpbron reageer nie
Verbinding beteken net die tonnel is op. Kyk wat die gateway kan dra, vergelyk adresruimtes en los dan 'n naam op en toets die diens self.
Verbinding is 'n toestand van die tonnel, nie 'n bewering oor bereikbaarheid nie. 'n Punt-na-site-kliënt kan IKE voltooi, 'n adres ontvang en steeds niks bereik, want die gateway stuur net verkeer vir netwerke wat die VNet reeds ken. Werk hierdie vyf kontroles in volgorde deur en stop by die eerste fout. Om vooruit te spring is hoe 'n DNS-probleem vir 'n uur as 'n firewall-probleem behandel word.
Die volgorde maak meer saak as die lys.
Kontrole 1: besluit wat die tonnel moet dra
Azure VPN Gateway beëindig die tonnel en stuur verkeer wat aan die VNet behoort; dit isnie 'n algemene internetuitgang nie. As gebruikers verwag dat hul blaai deur Azure moet verlaat, is die ontwerp verkeerd voordat enige kliëntinstelling ter sprake kom. Aktiveer split tunneling sodat plaaslike internet die plaaslike pad bly gebruik, en gebruik 'n NAT-instansie of 'n site-na-site-tonnel wanneer 'n vaste uitgangsadres werklik nodig is.
Skryf neer wat die kliënt moet bereik voordat jy iets toets. Sonder daardie lys lyk elke gedeeltelike resultaat soos vordering.
Kontrole 2: vergelyk adresruimtes voor sertifikate
Oorvleueling word op die wyer reekse beoordeel, so twee netwerke wat op subnetvlak verskil, bots steeds as hul ouerblokke oorvleuel. Die gateway-subnet moet toegewy en groot genoeg vir die SKU wees, en die kliëntadrespoel mag nie bots met die VNet of met enigiets wat oor 'n peering bereikbaar is nie. Verander die plan en herontplooi, want om roetes by te voeg om te kompenseer lewer 'n tonnel wat vir sommige bestemmings werk en onverklaarbaar nie vir ander nie. Provisienering misluk hier hard, wat die goeie geval is.
Verifikasie is die volgende hek. Sertifikaat-, RADIUS- en Entra ID-profiele is nie uitruilbaar nie, en die kliëntpakket verskil vir elkeen.
Kontrole 3: los 'n private naam van binne op
Die kliënt hou sy eie oplosser tensy die afgelaaide profiel die VNet-DNS-bedieners bevat, en daardie lys word tydens aflaai ingebed. Voeg 'n forwarder binne die VNet by, stel dit as die VNet-DNS-bedieners, en laai en voer die kliëntpakket weer in. Om die ou pakket te hergebruik toets net die ou oplosserlys.
Toets eers 'n adres, want dit skei roetering van naamgewing in een stap: Test-NetConnection 10.20.1.4 -Port 3389.
As die adres antwoord en die naam nie, vra die oplosser direk met Resolve-DnsName files.corp.example -Server 10.20.0.4. As albei misluk, is die fout nie DNS nie en moet jy ophou om DNS-instellings te wysig. Azure-platform-DNS by 168.63.129.16 antwoord net van binne die VNet, so 'n kliënt buite dit kan daardie adres nie as oplosser gebruik nie.
Kontrole 4: toets die diens agter die tonnel
'n Gesonde tonnel en 'n geslote poort lyk van die kliënt af identies. Kontroleer die gas-firewall, dan die netwerksekuriteitsgroep op die subnet of NIC, dan of die diens op die private adres luister eerder as net op loopback. Laat die kliëntpoel as bron toe in plaas daarvan om 'n reël na die internet oop te maak, en onthou dat SMB na Azure Files die private eindpunt-pad deur die tonnel nodig het. Wanneer 'n hulpbron per IP antwoord maar nie per naam nie, gaan terug na kontrole 3 eerder as om aan die gateway te raak.
Een tabel hou die lae uitmekaar terwyl jy werk:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Kontrole 5: dokumenteer die profiel voordat jy escaleer
Sit die gatewaytipe, tonneltipe, verifikasiemetode en kliëntbedryfstelsel in die kaartjie. 'n Sertifikaat-IKEv2-profiel en 'n RADIUS-profiel misluk om verskillende redes, en 'n kliënt wat vir 'n ander tonneltipe gebou is, verbind net wanneer die gateway 'n versoenbare protokol bied.
Vir 'n klein span is die duursame ontwerp een VNet, een DNS-forwarder en 'n gedokumenteerde split-tunnel-kliënt. As die vereiste 'n vaste openbare uitgang is, beëindig 'n site-na-site-tonnel op 'n firewall wat jy beheer en stuur internetverkeer daarheen in plaas daarvan om die punt-na-site-gateway te vra om iets te doen waarvoor dit nooit gebou is nie.