Azure punt a lloc es connecta però cap recurs privat respon
Connectat només vol dir que el túnel s'ha aixecat. Reviseu què pot transportar la passarel·la, compareu els espais d'adreces, després resoleu un nom i proveu el servei mateix.
Connectat és un estat del túnel, no una afirmació sobre l'abastabilitat. Un client punt a lloc pot acabar IKE, rebre una adreça i tot i així no arribar enlloc, perquè la passarel·la només reenvia trànsit per a les xarxes que la VNet ja coneix. Feu aquestes cinc comprovacions en ordre i atureu-vos al primer fracàs. Saltar-se passos és com un problema de DNS es tracta com un problema de tallafoc durant una hora.
L'ordre importa més que la llista.
Comprovació 1: decidiu què ha de transportar el túnel
Azure VPN Gateway acaba el túnel i reenvia el trànsit que pertany a la VNet; no ésuna sortida general a Internet. Si els usuaris esperen que la seva navegació surti per Azure, el disseny és incorrecte abans que hi intervingui cap paràmetre del client. Activeu el split tunneling perquè Internet local continuï usant el camí local, i useu una instància NAT o un túnel lloc a lloc quan calgui realment una adreça de sortida fixa.
Anoteu a què ha d'arribar el client abans de provar res. Sense aquesta llista, cada resultat parcial sembla un progrés.
Comprovació 2: compareu els espais d'adreces abans dels certificats
El solapament es jutja pels rangs més amplis, així que dues xarxes que semblen diferents a nivell de subxarxa encara xoquen si els seus blocs pares se solapen. La subxarxa de la passarel·la ha de ser dedicada i prou gran per a l'SKU, i el conjunt d'adreces del client no pot xocar amb la VNet ni amb res abastable a través d'un peering. Canvieu el pla i torneu a desplegar, perquè afegir rutes per compensar produeix un túnel que funciona per a algunes destinacions i inexplicablement no per a d'altres. L'aprovisionament falla sorollosament aquí, que és el bon cas.
L'autenticació és la porta següent. Els perfils de certificat, RADIUS i Entra ID no són intercanviables, i el paquet de client difereix per a cadascun.
Comprovació 3: resoleu un nom privat des de dins
El client manté el seu propi resolutor tret que el perfil baixat porti els servidors DNS de la VNet, i aquesta llista s'incrusta en el moment de la baixada. Afegiu un forwarder dins de la VNet, configureu-lo com a servidor DNS de la VNet i després torneu a baixar i importar el paquet de client. Reutilitzar el paquet antic només prova la llista antiga de resolutors.
Proveu primer una adreça, perquè separa l'encaminament de l'anomenament en un sol pas: Test-NetConnection 10.20.1.4 -Port 3389.
Si l'adreça respon i el nom no, consulteu el resolutor directament amb Resolve-DnsName files.corp.example -Server 10.20.0.4. Si tots dos fallen, la fallada no és de DNS i hauríeu de deixar d'editar paràmetres de DNS. El DNS de la plataforma Azure a 168.63.129.16 només respon des de dins de la VNet, així que un client fora no pot fer servir aquesta adreça com a resolutor.
Comprovació 4: proveu el servei darrere del túnel
Un túnel sa i un port tancat semblen idèntics des del client. Reviseu el tallafoc del convidat, després el grup de seguretat de xarxa de la subxarxa o la NIC, i després si el servei escolta a l'adreça privada en lloc de només a loopback. Permeteu el conjunt de clients com a origen en comptes d'obrir una regla a Internet, i recordeu que SMB a Azure Files necessita el camí del punt de connexió privat encaminat pel túnel. Quan un recurs respon per IP però no per nom, torneu a la comprovació 3 en lloc de tocar la passarel·la.
Una taula manté les capes separades mentre treballeu:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Comprovació 5: registreu el perfil abans d'escalar
Poseu el tipus de passarel·la, el tipus de túnel, el mètode d'autenticació i el sistema operatiu del client al tiquet. Un perfil IKEv2 amb certificat i un perfil RADIUS fallen per motius diferents, i un client fet per a un altre tipus de túnel només es connecta quan la passarel·la ofereix un protocol compatible.
Per a un equip petit, el disseny durador és una VNet, un forwarder DNS i un client split-tunnel documentat. Si el requisit és una sortida pública fixa, acabeu un túnel lloc a lloc en un tallafoc que controleu i encamineu-hi el trànsit d'Internet, en lloc de demanar a la passarel·la punt a lloc una cosa per a la qual mai no es va construir.