Azure পয়েন্ট-টু-সাইট সংযুক্ত হয় কিন্তু কোনো প্রাইভেট রিসোর্স সাড়া দেয় না
সংযুক্ত হওয়া মানে কেবল টানেল উঠেছে। গেটওয়ে কী বহন করতে পারে তা দেখুন, ঠিকানা স্পেস তুলনা করুন, তারপর একটি নাম সমাধান করুন এবং পরিষেবাটি নিজেই পরীক্ষা করুন।
সংযুক্ত হওয়া টানেলের একটি অবস্থা, পৌঁছানোর বিষয়ে কোনো বিবৃতি নয়। একটি পয়েন্ট-টু-সাইট ক্লায়েন্ট IKE শেষ করতে পারে, ঠিকানা পেতে পারে এবং তবুও কিছুই পৌঁছাতে পারে না, কারণ গেটওয়ে কেবল সেই নেটওয়ার্কগুলোর ট্রাফিক ফরোয়ার্ড করে যা VNet আগেই জানে। এই পাঁচটি পরীক্ষা ক্রমে করুন এবং প্রথম ব্যর্থতায় থামুন। এগিয়ে লাফ দেওয়া মানে এক ঘণ্টা ধরে DNS সমস্যাকেই ফায়ারওয়াল সমস্যা হিসেবে দেখা।
ক্রম তালিকার চেয়ে বেশি গুরুত্বপূর্ণ।
পরীক্ষা 1: টানেল কী বহন করবে তা ঠিক করুন
Azure VPN Gateway টানেল শেষ করে এবং VNet-এর অন্তর্গত ট্রাফিক ফরোয়ার্ড করে; এটিসাধারণ ইন্টারনেট এক্সিট নয়. ব্যবহারকারীরা যদি আশা করেন তাদের ব্রাউজিং Azure দিয়ে বের হবে, তাহলে কোনো ক্লায়েন্ট সেটিং আসার আগেই ডিজাইন ভুল। split tunneling চালু করুন যাতে স্থানীয় ইন্টারনেট স্থানীয় পথই ব্যবহার করে, এবং সত্যিই নির্দিষ্ট এগ্রেস ঠিকানা দরকার হলে NAT ইনস্ট্যান্স বা সাইট-টু-সাইট টানেল ব্যবহার করুন।
কিছু পরীক্ষা করার আগে ক্লায়েন্টের কোথায় পৌঁছানো উচিত তা লিখে রাখুন। সেই তালিকা ছাড়া প্রতিটি আংশিক ফলাফলই অগ্রগতির মতো দেখায়।
পরীক্ষা 2: সার্টিফিকেটের আগে ঠিকানা স্পেস তুলনা করুন
ওভারল্যাপ বিচার হয় বড় রেঞ্জের ভিত্তিতে, তাই সাবনেট স্তরে আলাদা দেখানো দুই নেটওয়ার্কও তাদের মূল ব্লক ওভারল্যাপ করলে সংঘর্ষে পড়ে। গেটওয়ে সাবনেট অবশ্যই ডেডিকেটেড এবং SKU-এর জন্য যথেষ্ট বড় হতে হবে, এবং ক্লায়েন্ট ঠিকানা পুল VNet বা peering জুড়ে পৌঁছানো কোনো কিছুর সঙ্গে সংঘর্ষ করা চলবে না। প্ল্যান বদলে আবার ডিপ্লয় করুন, কারণ ক্ষতিপূরণের জন্য রুট যোগ করলে এমন টানেল তৈরি হয় যা কিছু গন্তব্যে কাজ করে আর অন্যগুলোতে ব্যাখ্যাতীতভাবে করে না। এখানে প্রভিশনিং জোরে ব্যর্থ হয়, আর সেটাই ভালো দিক।
প্রমাণীকরণ পরের দরজা। সার্টিফিকেট, RADIUS ও Entra ID প্রোফাইল পরস্পর বিনিময়যোগ্য নয়, এবং প্রতিটির ক্লায়েন্ট প্যাকেজ আলাদা।
পরীক্ষা 3: ভেতর থেকে একটি প্রাইভেট নাম সমাধান করুন
ক্লায়েন্ট নিজের রিজলভার রাখে, যদি না ডাউনলোড করা প্রোফাইল VNet DNS সার্ভার বহন করে, এবং সেই তালিকা ডাউনলোডের সময়েই এমবেড হয়। VNet-এর ভেতরে একটি ফরওয়ার্ডার যোগ করুন, এটিকে VNet DNS সার্ভার হিসেবে সেট করুন, তারপর ক্লায়েন্ট প্যাকেজ আবার ডাউনলোড করে ইমপোর্ট করুন। পুরোনো প্যাকেজ পুনরায় ব্যবহার করলে কেবল পুরোনো রিজলভার তালিকাই পরীক্ষা হয়।
আগে একটি ঠিকানা পরীক্ষা করুন, কারণ এটি এক ধাপেই রাউটিং ও নামকরণ আলাদা করে: Test-NetConnection 10.20.1.4 -Port 3389।
যদি ঠিকানা উত্তর দেয় কিন্তু নাম না দেয়, তাহলে রিজলভারকে সরাসরি জিজ্ঞাসা করুন Resolve-DnsName files.corp.example -Server 10.20.0.4। যদি দুটোই ব্যর্থ হয়, ত্রুটি DNS-এ নয় এবং আপনার DNS সেটিং এডিট করা বন্ধ করা উচিত। 168.63.129.16-এ Azure প্ল্যাটফর্ম DNS কেবল VNet-এর ভেতর থেকেই উত্তর দেয়, তাই এর বাইরের ক্লায়েন্ট সেই ঠিকানাকে রিজলভার হিসেবে ব্যবহার করতে পারে না।
পরীক্ষা 4: টানেলের পেছনের পরিষেবা পরীক্ষা করুন
সুস্থ টানেল আর বন্ধ পোর্ট ক্লায়েন্টের দিক থেকে একই দেখায়। অতিথি ফায়ারওয়াল দেখুন, তারপর সাবনেট বা NIC-এর নেটওয়ার্ক সিকিউরিটি গ্রুপ, তারপর পরিষেবাটি কি প্রাইভেট ঠিকানায় শোনে নাকি কেবল loopback-এ। ইন্টারনেটে নিয়ম খোলার বদলে ক্লায়েন্ট পুলকে সোর্স হিসেবে অনুমতি দিন, এবং মনে রাখুন Azure Files-এ SMB-এর জন্য প্রাইভেট এন্ডপয়েন্ট পথ টানেল দিয়ে রাউট হওয়া দরকার। কোনো রিসোর্স IP দিয়ে উত্তর দিলে কিন্তু নাম দিয়ে না দিলে, গেটওয়ে স্পর্শ না করে পরীক্ষা 3-এ ফিরে যান।
কাজ করার সময় একটি টেবিল স্তরগুলো আলাদা রাখে:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
পরীক্ষা 5: এস্কেলেট করার আগে প্রোফাইল লিখে রাখুন
টিকেটে গেটওয়ে ধরন, টানেল ধরন, প্রমাণীকরণ পদ্ধতি ও ক্লায়েন্ট অপারেটিং সিস্টেম লিখুন। সার্টিফিকেট IKEv2 প্রোফাইল ও RADIUS প্রোফাইল ভিন্ন কারণে ব্যর্থ হয়, এবং অন্য টানেল ধরনের জন্য তৈরি ক্লায়েন্ট কেবল তখনই সংযুক্ত হয় যখন গেটওয়ে সামঞ্জস্যপূর্ণ প্রোটোকল দেয়।
ছোট দলের জন্য টেকসই ডিজাইন হলো একটি VNet, একটি DNS ফরওয়ার্ডার এবং নথিভুক্ত split-tunnel ক্লায়েন্ট। প্রয়োজন যদি নির্দিষ্ট পাবলিক এগ্রেস হয়, তাহলে আপনার নিয়ন্ত্রণাধীন ফায়ারওয়ালে সাইট-টু-সাইট টানেল শেষ করুন এবং ইন্টারনেট ট্রাফিক সেখানে রাউট করুন, পয়েন্ট-টু-সাইট গেটওয়েকে এমন কিছু করতে বলার বদলে যার জন্য এটি কখনো তৈরি হয়নি।