Azure «Праверка IP-патоку» кажа «дазволена», але VPN усё роўна не працуе

Тунель «сайт—сайт» злучаны, ВМ здаровая, але лакальны кліент нічога не атрымлівае. Вы адкрываеце Network Watcher, запускаеце праверку IP-патоку, і яна кажа Access allowed, таму заяўку зачыняюць як праблему VPN. Гэты вынік азначае не тое, чым здаецца, бо праверка IP-патоку ацэньвае правілы бяспекі для апісанага вамі патоку і ніколі не правярае, ці ёсць у Azure маршрут да вашага лакальнага прэфікса.

Пытанне фільтрацыі і пытанне маршрутызацыі — розныя, і Network Watcher адказвае на іх рознымі інструментамі. Разуменне таго, якое менавіта пытанне вы задалі, — гэта большая частка дыягностыкі.

Што насамрэч вырашае праверка IP-патоку

Праверка IP-патоку бярэ ВМ, сеткавы інтэрфейс, кірунак, значэнні пяцёркі і пратакол, а затым паведамляе рашэнне правілаў NSG і адміністратара бяспекі для гэтага патоку. Яна працуе з TCP і UDP, таму не з’яўляецца тэстарам правілаў ICMP, і заблакаваны ping нічога не даказвае пра вашу службу. Дайце ёй рэальны паток, а не здагадку. Уваходнае злучэнне з лакальнай сеткі да порта базы даных — гэта іншае апісанне, чым зыходнае злучэнне, якое ініцыюе ВМ.

Калі шлюз транслюе адрасы, выкарыстоўвайце адрас крыніцы, які дасягае мяжы, якую вы ацэньваеце, а не той, што ў канфігурацыі кліента. Чытайце вынік і такім, якім ён ёсць. Access allowed азначае, што фільтр прапусціў бы пакет, калі б ён прыйшоў, і не больш.

Што яна не можа сказаць, дык гэта які маршрут выбраў Azure, ці дазваляе гоставы файрвол порт і ці нехта слухае. Гэта жыве на іншых узроўнях.

Што дадаюць наступны хоп і эфектыўныя маршруты

Наступны хоп адказвае на пытанне перасылкі: для гэтага пункта прызначэння які тып наступнага хопа выбірае Azure, па якім адрасе, з якой табліцы маршрутаў. Эфектыўныя маршруты пералічваюць тое, што NIC мае насамрэч. Запусціце абодва — і атрымаеце шлях на баку Azure, які зялёная праверка IP-патоку пакідае пустым.

Агляд «Агляд праверкі IP-патоку» ад Microsoft прама паказвае межы фільтрацыі, а старонкі пра наступны хоп і дыягностыку маршрутаў апісваюць бок перасылкі. Цытуйце правільную старонку, калі запісваеце выснову.

Каманды дастаткова кароткія, каб запусціць іх з абалонкі. az network nic show-effective-route-table пералічвае маршруты, ужытыя да інтэрфейса. az network watcher show-next-hop з крыніцай і прызначэннем вяртае выбраны хоп. Параўнайце патрэбны вам прэфікс з гэтай табліцай, затым пацвердзіце, які запіс перамагае.

Прайдзіце зваротны шлях ад NIC ВМ

Рабіце гэта з NIC мэтавай ВМ, для прэфікса лакальнага кліента, а не для інтэрнэту. Зваротны шлях — гэта месца, дзе хаваюцца збоі «сайт—сайт», бо праверка стану тунеля паведамляе толькі пра тое, што асацыяцыі бяспекі ўзнятыя.

Калі чаканага маршруту няма, праверце аддаленыя прэфіксы, якія дае канфігурацыя шлюза, дызайн падключэння VNet і любыя налады распаўсюджвання маршрутаў. Аб’ект лакальнага сеткавага шлюза апісвае лакальны бок; яго наяўнасць не даказвае, што кожны патрэбны прэфікс прысутнічае і мае прыярытэт на NIC. Гэта розныя факты, і толькі адзін з іх паказваецца ў зводцы партала.

Чытайце тып наступнага хопа, а не капіюйце прыклад

Шлях кіраванага VPN-шлюза звычайна паказвае VirtualNetworkGateway як тып наступнага хопа. VirtualAppliance апісвае іншую схему перасылкі, звычайна файрвол або сеткавую віртуальную прыладу.

Не стварайце маршрут прылады, накіраваны на меркаваны канец VPN, толькі таму што стары адказ на форуме выкарыстаў гэты тып. Калі маршрут, вызначаны карыстальнікам, перакрывае патрэбны шлях, знайдзіце яго ўладальніка і мэту, перш чым змяняць. Другі NIC таксама можа змяніць інтэрфейс, які выкарыстоўвае госць, і яго выдаленне можа зламаць іншую службу замест таго, каб выправіць гэты маршрут.

Перайдзіце да мяжы, якая ўсё яшчэ не працуе

Калі фільтрацыя і маршрутызацыя адпавядаюць дызайну, збой у іншым месцы. Праверце ўласную табліцу маршрутаў госця, яго файрвол і тое, ці прывязаны слухач да чаканага адраса. Затым праверце абароненыя селектары трафіку VPN і лакальны шлях адказу. Кожная з гэтых праверак — асобны тэст з асобным вынікам.

Завяршыце дазволеным запытам прыкладання і назіраннямі з абодвух бакоў. Вынік «дазволена» і правільны наступны хоп — гэта два кавалкі доказаў, а не доказ таго, што злучэнне ўдалося.