Mae traffig dychwelyd Azure P2S VPN yn gweithio un ffordd yn unig

Mae eicon y tiwnel yn wyrdd, mae’r NSG yn edrych yn caniatáu, mae’r llwybrau effeithiol yn edrych yn iawn, ac eto ni all y VM agor cysylltiad yn ôl at y cleient cysylltiedig. Y rhagdybiaeth arferol yw bod tiwnel point-to-site sy’n gweithio yn gymesur: os gall y cleient gyrraedd y VM, gall y VM gyrraedd y cleient. Y rhagdybiaeth honno yw’r nam yn y rhesymu, nid yn y ffurfweddiad. Gall tiwnel gludo un cyfeiriad o lif heb ei ofyn a gollwng y llall, ac mae’r atgyweiriad yn dibynnu ar ba haen sy’n ei gollwng.

Chwedl: mae tiwnel cysylltiedig yn diwnel dwyffordd

Llwybr polisi yw tiwnel VPN, nid gwifren. Mae pob cyfeiriad yn cael ei gyfateb yn erbyn detholwyr, llwybrau a hidlwyr, a gall unrhyw un ohonynt ganiatáu un cyfeiriad wrth rwystro’r llall.

Yn ymarferol mae’r anghymesuredd yn ddigon cyffredin i’r cyfeiriad fod yn rhan o’r prawf cyntaf, nid yr olaf. Y cleient sy’n cychwyn, mae’r borth yn olrhain y llif, ac mae’r ateb yn dilyn y cyflwr a grëwyd. Nid oes gan VM sy’n cychwyn llif newydd gyflwr o’r fath, felly mae’n dibynnu ar i’r llwybr dychwelyd fod yn llwybrâdwy ac yn cael ei ganiatáu’n benodol. Pan fydd y llwybr hwnnw ar goll, mae’r ymgais i gysylltu yn marw cyn i unrhyw raglen ei gweld.

Profwch y cyfeiriad cyn profi cyraeddadwyedd

Dewiswch un cyfeiriad cleient, un cyfeiriad VM ac un protocol. Cysylltwch o’r cleient a chofnodi’r canlyniad; yna cychwynnwch yr un prawf o’r VM a chofnodi hwnnw hefyd. Os bydd y cyntaf yn llwyddo a’r ail yn methu, mae cronfa’r cleientiaid, cysylltiad y borth a’r llwybr o’r cleient i’r VNet i gyd yn gweithio.

Y cam nesaf yw tystiolaeth, nid mwy o reolau. Gwiriwch y NSG ar is-rwydwaith y VM yn y ddau gyfeiriad, darllenwch y llwybrau effeithiol ar NIC y VM, a chofnodwch becynnau ar y VM tra bo’r cleient yn anfon traffig. Mae cais sy’n cyrraedd heb ateb yn broblem hidlydd neu lwybr dychwelyd; mae cais nad yw byth yn cyrraedd yn broblem llwybr. Peidiwch â chymryd ping aflwyddiannus fel prawf bod y VM yn anghyraeddadwy, oherwydd gall polisi ICMP ollwng yr ateb tra bo TCP yn gweithio.

Llwybr dychwelyd IKEv2 point-to-site yw’r un a amheuir fel arfer

Yn adroddiad Azure y tu ôl i’r erthygl hon, roedd cleient yn gallu cyrraedd VMau dros IKEv2, ond roedd ICMP i mewn o’r VM at y cleient yn methu nes i fath tiwnel y borth gael ei newid i OpenVPN. Dywed yr adroddwr fod Microsoft wedi cadarnhau cyfyngiad yn llwybr IKEv2 point-to-site, lle nad yw traffig dychwelyd o’r VM at y cleient yn cael ei lwybro’n gymesur oni bai mai’r cleient a gychwynnodd y sesiwn. Mae IKEv2 yn dibynnu ar ddetholwyr traffig, ac ni wnaeth y borth anrhydeddu’r cyfeiriad dychwelyd yn yr achos hwnnw.

Nid yw hynny’n gwneud OpenVPN y math gorau o diwnel yn gyffredinol. Mae’n gwneud math tiwnel yn newidyn yn y matrics prawf ar gyfer y llwyth gwaith hwn.

Mae newid mathau tiwnel yn newid gwasanaeth, nid yn swits. Mae angen proffil cyfaddawd ar bob cleient, ac efallai y bydd angen tystysgrif neu osodiad dilysu gwahanol ar y borth. Ailadroddwch yr ymddygiad unffordd gydag un cleient prawf ac un VM prawf, newidiwch y math ar amserlen gymeradwy, ac yna ailadroddwch yr un profion cyfeiriad. Os bydd yr ymddygiad yn goroesi’r newid, nid math tiwnel oedd yr achos ac rydych wedi culhau’r broblem heb gyffwrdd â chynhyrchu.

Chwedl: mae darganfod darlledu yn croesi ymyl y VNet

Mae ail ragdybiaeth yn methu am reswm ansylweddol. Nid yw rhwydwaith rhithwir Azure yn cludo traffig darlledu, felly ni all VM dderbyn fframiau darlledu o rwydwaith lleol dros gysylltiad site-to-site neu point-to-site. Ni fydd rhaglenni sy’n dod o hyd i gymheiriaid trwy ddarlledu, fel pori ffeiliau hŷn neu rai protocolau darganfod dyfeisiau, byth yn gweld yr ochr bell, waeth sut y caiff y llwybrau eu hysgrifennu.

Disodlwch ddarganfod darlledu ag enwau DNS, gwasanaeth cyfeirlyfr, neu restr gymheiriaid benodol. Os nad oes gan y rhaglen unrhyw ddewis arall unicast, mae angen mecanwaith darganfod gwahanol ar y dyluniad, nid tiwnel ehangach.

Beth i’w newid, a sut i’w brofi

Os bydd y prawf cyfeiriad yn methu ar IKEv2 yn unig, cofnodwch fath tiwnel y borth, cronfa gyfeiriadau’r cleientiaid a’r prawf ICMP neu TCP union, yna gwerthuswch broffil OpenVPN cymeradwy ar gyfer y cleientiaid yr effeithiwyd arnynt. Os bydd yn methu ar bob math o diwnel, gweithiwch ar y llwybr dychwelyd: rhaid i gyfeiriad y cleient fod yn llwybrâdwy o is-rwydwaith y VM, rhaid i unrhyw lwybr a ddiffiniwyd gan ddefnyddiwr bwyntio at hop nesaf dilys, a rhaid i wal dân y cleient dderbyn y llif i mewn. Atodwch dystiolaeth y NSG a’r llwybrau i’r tocyn.

Gwiriwch gyda’r rhaglen, nid gyda ping. Nid yw cyfnewid ICMP llwyddiannus ar ôl newid yn dweud dim am borth y gwasanaeth, ei ddilysu na’i ddatrysiad enwau. Ailadroddwch y prawf ar ôl ailgysylltu, oherwydd gall cleient sy’n derbyn cyfeiriad cronfa gwahanol newid y canlyniad. Yna ei ailadrodd unwaith eto ar ôl i’r cleient gysgu a deffro, gan mai mewn sesiwn a ailddechreuwyd y mae ymddygiad unffordd yn aml yn ailymddangos.