Mae DNS Azure P2S yn methu pan fo'r datryswr mewn VNet peering

Gall cleient gyrraedd ei rwydwaith rhithwir ei hun a methu datrys enwau mewn rhwydwaith peering o hyd. Nid yw peering yn draffig porth nes bod y ddwy ochr yn cytuno.

Pingiwch y VM ac mae'n ateb; gofynnwch am ei enw ac mae'r cleient yn dweud bod y gwesteiwr yn anhysbys. Pan fo'r datryswr mewn rhwydwaith rhithwir peering yn hytrach nag yn yr un sy'n dal y porth VPN, mae'r pâr hwnnw o ganlyniadau i'w ddisgwyl, ac nid oes unrhyw faint o drafod datryswr yn newid hynny. Yr hyn sydd ar goll yw contract llwybro y mae peering yn ei atal yn ddiofyn. Mae dwy topoleg yn edrych bron yn unfath ar bapur, a'r bwlch rhwng gweithio a thorri yw pâr o switshis peering wedi'u gosod y ffordd gywir.

Dychmygwch liniadur yn tunelu i borth yn VNet2, gyda'r rheolydd parth sy'n gwasanaethu DNS yn eistedd yn VNet1.

Dwy dopoleg, un gwahaniaeth

Rhowch y datryswr y tu mewn i rwydwaith rhithwir y porth ei hun ac mae'r enw'n datrys yr eiliad y daw'r twnnel i fyny. Nid oes unrhyw osodiad peering yn cymryd rhan yn y chwiliad hwnnw.

Symudwch yr un datryswr ar draws peering ac mae'r cleient yn dal i gael ateb gan y VM tra bod yr enw'n aros yn anhysbys. Nid yw'r dystysgrif, y twnnel na'r cleient wedi newid. Yr unig beth a symudodd yw lle mae'r datryswr yn byw. Rhoddodd peering lwybr iddo i'r cyfeiriad hwnnw, nid awdurdod i'r porth gario traffig yno.

Ochr A: caniatáu tramwy'r porth ar berchennog y porth

Mae peering yn ymuno â dau rwydwaith rhithwir, ond nid yw'r cydiad yn drawsnewidiol ar gyfer traffig sy'n cyrraedd trwy borth, ac mae cais pwynt-i-safle yn cyrraedd yn union felly. Felly nid oes gan y porth yn VNet2 hawl i drosglwyddo'r chwiliad i VNet1 nes bod y dyluniad yn caniatáu hynny. Y caniatâd yw switsh ar y peering sy'n eiddo i'r rhwydwaith sy'n dal y porth.

Gosodwch Allow gateway transit ar peering VNet2 tuag at VNet1. Mae'r eiddo yn perthyn i wrthrych peering, nid i adnodd y porth, felly'r llafn peering yw'r lle i'w ddarllen a'i newid. Dyna'r cyfan o ochr A.

Ochr B: defnyddio porthau anghysbell ar y cymar

Yr hanner arall yw'r ddelwedd nythaid: ar peering VNet1 yn ôl i VNet2, galluogwch Use remote gateways. Mae troi'r un fflag ymlaen ar y ddau ben, neu ar un pen yn unig, yn gadael llwybr hanner-adeiladiedig a'r symptom gwreiddiol heb ei gyffwrdd. Dim ond y rhwydwaith sydd â'r porth VPN sy'n caniatáu tramwy, a'r cymar yw'r ochr sy'n ei ddefnyddio.

Darllenwch y ddau eiddo ar y ddau rwydwaith yn lle ymddiried yn llafn y porth yr agoroch chi ddiwethaf.

Get-AzVirtualNetworkPeering -ResourceGroupName rg-core -VirtualNetworkName vnet2 `
  | Format-List Name,AllowGatewayTransit,UseRemoteGateways
Get-AzVirtualNetworkPeering -ResourceGroupName rg-core -VirtualNetworkName vnet1 `
  | Format-List Name,AllowGatewayTransit,UseRemoteGateways

Gweld y pâr ochr yn ochr yw'r ffordd gyflymaf o ddal gosodiad wedi'i wrthdroi. Mae peering sy'n adrodd AllowGatewayTransit false ar ochr y porth yn esbonio'r methiant cyfan heb gipio pecyn.

Yr hyn y mae'n rhaid i'r cleient ei gael o hyd

Mae llwybro yn angenrheidiol ac nid yn ddigonol, oherwydd bod yn rhaid i'r proffil pwynt-i-safle hefyd roi cyfeiriad DNS i'r cleient sy'n ateb unwaith y bydd tramwy yn gweithio. Nid y datryswr platfform yw'r cyfeiriad hwnnw: mae'n ateb parthau Azure Private DNS sydd wedi'u cysylltu â'r rhwydwaith rhithwir, ond dim byd ar gyfer parth a gynhelir ar eich gweinyddwyr cyfeiriadur eich hun, a dyna'r hyn y mae'r defnydd hwn yn ei ddefnyddio. Pwyntiwch gleient ato ac mae enwau cyhoeddus yn datrys yn llawen tra bod y gwesteiwr mewnol yn aros yn anhysbys.

Holwch y datryswr o'r liniadur sydd wedi'i gysylltu cyn newid unrhyw beth arall.

nslookup dc01.corp.example 10.1.0.4

Mae goramser yn dweud bod y llwybr yn dal ar goll. Mae ateb awdurdodol yn gwthio'r broblem yn ôl at y cleient, fel arfer ôl-ddodiad na chaiff byth ei ychwanegu, felly mae enwau byr yn teithio i ddatryswr cyhoeddus sy'n eu methu'n llawen.

Cymharwch yr un contract ar ochr safle-i-safle

Nid yw dim o hyn yn perthyn yn arbennig i liniaduron. Cyfnewidiwch y cleient am gangen ar safle-i-safle ac mae'r gofyniad dwyochrog yn dychwelyd: mae'r gangen yn cyrraedd rhwydwaith y porth yn uniongyrchol, ac mae gwasanaeth dwy rwydwaith i ffwrdd yn dal y tu ôl i'r peering.

Rhaid caniatáu tramwy ar y ddau peering, ac mae'r switsh sy'n ei ganiatáu yn byw ar y peering yn hytrach nag ar y math o gleient.

Cyn i chi feio'r porth

Mae Windows yn cadw rhestr datryswr fesul addasydd, felly cadarnhewch beth a gafodd y rhyngwyneb twnnel mewn gwirionedd cyn beio'r porth.

ipconfig /all
Get-DnsClientServerAddress -AddressFamily IPv4
ipconfig /flushdns

Mae ateb negyddol yn goroesi'r trwsio llwybro yn y storfa, ac mae rhestr ôl-ddodiadau hen yn parhau i anfon ymholiadau i rywle na chynhaliodd y parth erioed. Fflusiwch, gofynnwch eto, a nodwch pa weinydd sy'n ateb.

Mae dau amod llai yn penderfynu a yw'r llwybr yn dal: ni chaiff y gofodau cyfeiriadau orgyffwrdd, ac mae'n rhaid i'r grŵp diogelwch rhwydwaith ar is-rwydwaith y datryswr dderbyn y pwll cleientiaid, sef dim ond ystod ffynhonnell arall. Profwch hyn gyda gwiriad llwybr effeithiol o ochr y VM ynghyd ag un ymholiad uniongyrchol o'r cleient, fel na chaiff problem parth, problem ôl-ddodiad na hidlydd byth eu camgymryd am dramwy ar goll.

Erthyglau cysylltiedig