Azure VPN prefiksinin əlavə edilməsi bağlantını niyə qoparır

Yanlış Azure obyektinə əlavə edilmiş prefiks Connected bildirən və heç nə ötürməyən bir bağlantı yaradır ki, bu da bu yığındakı ən bahalı səhv növüdür. Üç resurs iştirak edir və onlardan yalnız biri uzaq ünvan məkanına sahibdir: virtual şəbəkə şlüzü, uzaq tərəfi təsvir edən yerli şəbəkə şlüzü və onları birləşdirən bağlantı. Prefiks yerli şəbəkə şlüzünə aiddir, dəyişikliyin qüvvəyə minməsi üçün bağlantı yenidən qurulmalıdır, şlüzün özünə isə adətən toxunulmur. Sıra müzakirə olunmur və portal bunun yalnız bir hissəsini göstərir.

Üç obyekt, onlardan biri prefiksi saxlayır

Virtual şəbəkə ünvan məkanı başqa bir suala cavab verir: Azure-un içində nə yaşayır. Ora uzaq prefiks əlavə etmək trafiki ora yönləndirmir, sadəcə platformanın özünə aid bildiyi məkanı genişləndirir və bu, real uzaq diapazonla toqquşa bilər. Yerli şəbəkə şlüzü uzaq prefiksləri saxlayan obyektdir və bağlantı hər iki şlüzə üstəgəl əvvəlcədən paylaşılmış açara istinad edir.

Nəzərdə saxlanmalı üçüncü bir qeyd var. GatewaySubnet idarə olunan şlüz nüsxələrini yerləşdirir, məhz bu adı daşımalıdır və qeyri-Basic SKU-lar üçün ən azı /27 olması gözlənilir.

O alt şəbəkəyə başqa heç nə aid deyil və prefiks dəyişikliyinin ona toxunmağa heç bir səbəbi yoxdur. Yerli şəbəkə şlüzündə olmayan prefiksə bağlantı statusunun nə dediyindən asılı olmayaraq çatmaq mümkün deyil, çünki şlüz tuneli razılaşdırarkən yalnız ona bildirilmiş prefiksləri təklif edir. Simptomun asimmetrik olmasının səbəbi budur: tunel qalxıb, təhlükəsizlik assosiasiyası qaydasındadır və bir alt şəbəkə heç vaxt trafik seçicilərində görünmür. Qonşuları işləyərkən tək bir uzaq diapazon yoxdursa, tunelə baxmağı dayandırın və yerli şəbəkə şlüzünü oxuyun.

Bağlantı niyə silinən obyektdir

Bağlantı obyekti razılaşdırılmış konfiqurasiyanı ömrü boyu sabitləyir. Buna görə sənədləşdirilmiş prosedur əvvəlcə bağlantını silir, yerli şəbəkə şlüzünü yeniləyir, sonra bağlantını eyni paylaşılmış açarla yenidən yaradır. Şlüz nüsxələri yalnız prefiks dəyişikliyi üçün yenidən qurulmur və bu, fasiləni şlüzün yenidən yerləşdirilməsi əvəzinə bağlantının sökülməsi ilə məhdudlaşdırır.

Həmin silinmə fasilədir, ona görə də onu sürətli düzəliş deyil, başlanğıcı və gözlənilən sonu olan planlaşdırılmış dəyişiklik kimi qəbul edin. PowerShell-də ardıcıllıq qısadır: Remove-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 -Force, sonra Set-AzLocalNetworkGateway yeni -AddressPrefix massivi ilə, sonra New-AzVirtualNetworkGatewayConnection eyni -SharedKey və eyni şlüzlərlə. Açarı yenidən istifadə etmək vacibdir, çünki uzaq tərəf yenidən konfiqurasiya olunmur və yeni açar uzaq cihazın sahibi ilə koordinasiya tələb edir. Həmin cihazı başqa komanda idarə edirsə, hər hansı bir şeyi silməzdən əvvəl pəncərəni onlarla razılaşdırın.

Şlüzün özü nə vaxt yenidən qurulmalıdır

Bu problemin ətrafında dolaşan ikinci cavab şlüzün yenidən yaradılmalı və açarın yenidən mübadilə edilməli olduğunu deyir. Bu, fərqli əməliyyatlar dəsti üçün doğrudur: şlüz növünün və ya SKU-nun dəyişdirilməsi, nöqtədən nöqtəyə ilə saytdan sayta arasında keçid, ya da öz konfiqurasiyası səhv olan şlüzün təmiri. Belə dəyişikliklər həqiqətən şlüz resursunu dəyişir, ona görə yenidən qurma həqiqətən tələb olunur.

Nöqtədən nöqtəyə üçün yaradılmış şlüzə sadəcə saytdan sayta bağlantı vermək olmaz. Nöqtədən nöqtəyə konfiqurasiyası silinməli və şlüz yenidən yaradılmalıdır ki, bu da yeni paylaşılmış açar və yeni müştəri paketi yaradır.

Nöqtədən nöqtəyə paketi ayrıca qeydə layiqdir, çünki vaxtı bitir. Portal qısa ömürlü fayl yaradır, ona görə praktik yanaşma onu bir dəfə yükləyib müştəri sertifikatı ilə birlikdə paylamaqdır; istifadəçilərə klik edənə qədər öləcək portal linki göndərmək deyil. Prefiks məsələsinə bunların heç biri aid deyil. İki proseduru ayrı saxlamaq bütün intizamdır: prefikslər bağlantı səviyyəsində dəyişiklikdir, şlüz xassələri isə şlüz səviyyəsində dəyişiklikdir.

Portal nişanını deyil, vəziyyəti oxuyun

Vəziyyəti portaldakı nişandan deyil, resursdan oxuyun. Get-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 qaytarır ConnectionStatus giriş və çıxış bayt sayğacları ilə birlikdə, və sayğaclar bağlı olub heç nə daşımayan tuneli heç vaxt qurulmamış tuneldən ayıran şeydir.

Ötürmənin ortasında artımı dayandıran sayğaclar autentifikasiyaya deyil, yola işarə edir. Heç tərpənməyən sayğaclar isə prefiks dəstinə və ya paylaşılmış açara işarə edir.

Taymerlər VPN-ə səhvən aid edilən bir qrup əlaqə kəsilməsini izah edir. Azure-un yük balanslaşdırıcısı boş axınları konfiqurasiya edilmiş fasilədən sonra bağlayır, bu qeydlər yazılarkən standart olaraq dörd dəqiqə və yuxarı doğru tənzimlənə bilər, ona görə keepalive olmayan VM-də OpenVPN serveri hər neçə dəqiqədən bir düşə bilər, halbuki hər şey başqa cəhətdən sağlam görünür. Platformanın dövriyyəyə saldığı şlüz də VNet bağlantısını Web App-ə kəsə bilər, və bu uğursuzluq müştəri konfiqurasiyasında deyil, platforma tərəfindədir. Əlamət əlaqə kəsilməsinin sabit intervala yoxsa etdiyiniz dəyişikliyə uyğun olmasıdır.

Üç obyekti və dəyərlərini bir qeyddə saxlayın: virtual şəbəkə ünvan məkanı, yerli şəbəkə şlüzünün prefiks siyahısı və bağlantının paylaşılmış açar istinadı. saytdan sayta PowerShell məqaləsi yerli şəbəkə şlüzü əmrlərini və onların aid olduğu sıranı sənədləşdirir. Prefiks dəyişikliyini yaddaşla müqayisə etmək işlək tunelin iki dəfə yenidən qurulmasının yoludur.

Sonra dəyişdiyiniz sıra ilə yoxlayın: yerli şəbəkə şlüzü yeni prefiks siyahısını göstərir, bağlantı yenidən Connected vəziyyətinə qayıdır və yeni diapazondakı hosta trafik göndərdikdə sayğaclar hərəkət edir. Üçüncü addım uğursuz olub ilk ikisi keçərsə, uzaq tərəf yeni trafik seçicisini qəbul etməyib və uzaq cihaza uyğun mərhələ 2 qeydi lazımdır. Bu, tunelin o biri ucu ilə söhbətdir, Azure-da daha bir dəyişiklik deyil.