Ni all Azure P2S VPN ddatrys enw pwynt terfyn preifat

Rydych yn cysylltu'r twnnel point-to-site, yn pingio'r cyfeiriad preifat, yn agor yr ap, ac yn cael 403 neu wall tystysgrif yn lle hynny. Mae'r ddau symptom yn pwyntio at DNS, ond maen nhw'n ddiffygion gwahanol: mae'r naill yn golygu bod y cleient wedi datrys y cyfeiriad cyhoeddus, a'r llall yn golygu ei fod wedi datrys y cyfeiriad preifat ac yna wedi cynnig enw nad yw'r dystysgrif yn ei gwmpasu. Ewch trwy'r gwiriadau isod yn eu trefn ac arhoswch ar y methiant cyntaf, oherwydd gall cofnod hosts neu ateb wedi'i storio wneud i bob gwiriad diweddarach lwyddo am y rheswm anghywir. Rwy'n cadw'r drefn hon mewn ffeil destun wrth fy mhroffiliau VPN, oherwydd nid yw'r atgyweiriad yn newid dim am y twnnel ac yn newid popeth am yr hyn y mae'r cleient yn ei wybod.

Dechreuwch gyda'r cyfeiriad y mae'r cleient yn ei gael mewn gwirionedd

Gofynnwch i'r datryswr yn uniongyrchol yn lle trystio'r ap. Ar Windows, mae nslookup adminuidev-fedqcubyd9bfb2bq.canadacentral-01.azurewebsites.net yn dangos pa olygfa a gafodd y cleient. Mae ateb cyhoeddus yn golygu na fydd dim i lawr yr afon yn cyrraedd y pwynt terfyn; mae cyfeiriad preifat y pwynt terfyn yn golygu bod DNS wedi gorffen a mai'r cysylltiad ei hun yw'r gwiriad nesaf.

Nid yw pwynt terfyn preifat yn ailenwi'r gwasanaeth. Mae'r cyfrif neu'r ap yn cadw ei enw llawn arferol, ac mae'r pwynt terfyn ond yn newid y cyfeiriad y mae'r enw hwnnw'n datrys iddo ar gyfer cleientiaid y tu mewn i'r rhwydwaith rhithwir. Dyna pam mae'r un enw gwesteiwr yn datrys yn breifat o VM yn y rhwydwaith ac yn gyhoeddus o liniadur na chafodd y olygfa breifat erioed.

Gwiriwch y parth, ei ddolen a'r cofnod cyn y twnnel

Rhaid i dri amod ddal gyda'i gilydd: bod y parth preifat yn bodoli, ei fod wedi'i gysylltu â'r rhwydwaith rhithwir lle mae'r giât VPN a'r cleientiaid yn mynd i mewn i Azure, a bod ganddo gofnod A ar gyfer y pwynt terfyn sy'n pwyntio at y cyfeiriad preifat. Cysylltwch y parth â rhwydwaith digyswllt a bydd y giât yn parhau i ddatrys y cofnod cyhoeddus tra bo popeth am y twnnel yn edrych yn iach.

Mae enwau parth yn perthyn i wasanaethau, nid i ddolenni preifat yn gyffredinol. Mae App Service fel arfer yn defnyddio privatelink.azurewebsites.net, mae gan storfa a SQL eu gofodau enwau eu hunain, ac mae benthyca parth gwasanaeth arall yn cynhyrchu parth sy'n bodoli ac nad yw'n ateb unrhyw beth defnyddiol.

Rhowch ddatryswr y gall y cleient ei gyrraedd mewn gwirionedd

Mae 168.63.129.16 yn ateb o beiriannau rhithwir Azure ac nid yw'n weinydd DNS ar gyfer liniadur ar ochr arall twnnel point-to-site. Mae angen datryswr ar y cleient sy'n cyrraedd trwy'r twnnel: pwynt terfyn mewnol Azure DNS Private Resolver, anfonydd y tu mewn i'r rhwydwaith rhithwir, neu gofnodion gweinydd DNS a gludir ym mhroffil cleient VPN fel bod y cleient yn gofyn i'r rhwydwaith rhithwir yn uniongyrchol.

Mae datryswr wedi'i ffurfweddu ond yn anghyrraeddadwy yn ymddwyn yn union fel dim datryswr, a'r symptom yw terfyn amser yn hytrach nag ateb anghywir, a dyna pam y caiff ei ddarllen ar gam fel problem fur wal. Profwch ef gydag ymholiad y dylai'r twnnel ei gludo, nid ag enw cyhoeddus a fyddai wedi llwyddo trwy'r ddolen leol beth bynnag.

Os ydych yn anfon ymlaen yn hytrach na gwthio gosodiadau, anfonwch yr gofod enwau y mae'r parth preifat yn berchen arno, privatelink.azurewebsites.net yn hytrach na'r holl azurewebsites.net. Mae anfonydd amodol sy'n llyncu'r holl ôl-ddodiad rhiant yn anfon pob chwilio am y gwasanaeth i Azure, gan gynnwys y rhai a ddylai aros yn lleol.

Defnyddiwch yr enw y cafodd y dystysgrif ei chyhoeddi ar ei gyfer

Unwaith y bydd y cyfeiriad yn iawn, daw'r ail ddiffyg i'r wyneb. Mae storfa ac App Service yn cyhoeddi alias privatelink, ac nid yw'r alias hwnnw o reidrwydd yn enw yn y dystysgrif. Methodd llwytho AzCopy wedi'i gyfeirio at privatelink.blob.core.windows.net y dilysu; datryswyd yr un llwyth i <account>.blob.core.windows.net/<container> i'r cyfeiriad preifat a llwyddodd, felly arhosodd ar y llwybr preifat heb unrhyw orbwys.

Mae'r rheol yn dal mewn porwr ac ar gyfer App Service hefyd: cysylltwch â'r enw gwesteiwr y mae'r dystysgrif yn ei gwmpasu a gadewch i DNS ddarparu'r cyfeiriad preifat. Peidiwch â chyrraedd am osgoi dilysu, oherwydd mae'n troi camgymeriad enwi yn regres diogelwch. Mae ping llwyddiannus yn profi'r llwybr ac yn dweud dim am yr enw y tu mewn i'r ysgwyd llaw, a dyna pam mae'r rhain yn aros yn wiriadau ar wahân.

Trefn o bedwar cam sy'n ynysu pob haen

1. Cadarnhewch fod gan y cleient VPN gyfeiriad o'r pwll point-to-site a llwybr i gyfeiriad preifat y pwynt terfyn.
2. Datryswch yr union enw y mae'r ap yn ei ddefnyddio a chymharwch yr ateb â chyfeiriad y pwynt terfyn.
3. Agorwch gysylltiad TCP i'r pwynt terfyn ar borth y gwasanaeth, yna darllenwch enw'r dystysgrif a gyflwynir ar y cysylltiad hwnnw.
4. Dim ond nawr profwch awdurdodiad, oherwydd nid yw llwybr sy'n gweithio a thystysgrif ddilys yn rhoi mynediad at yr adnodd o hyd.

Mae cysylltiad a wrthodwyd tra mae'r cyfeiriad yn gywir yn pwyntio at y grŵp diogelwch rhwydwaith neu at gyflwr cysylltiad y pwynt terfyn preifat, nid at DNS, felly gwiriwch y rheini cyn golygu gosodiadau'r datryswr eto. Mae anghydfod enw TLS yn eich anfon yn ôl at yr enw gwesteiwr yn yr URL a subject y dystysgrif. Cadwch allbwn y datrysiad, enw'r dystysgrif a'r URL uniongred gyda'i gilydd; mae'r tri gwerth hynny'n egluro'r rhan fwyaf o'r achosion hyn heb gyffwrdd â'r giât.

Defnyddiwch VM y tu mewn i'r rhwydwaith rhithwir fel rheolaeth. Os yw'r enw'n datrys yn breifat yno ac yn gyhoeddus o'r twnnel, mae'r parth a'r cofnod yn gywir a'r unig wahaniaeth yw llwybr datryswr y cleient, sy'n gynt i'w gadarnhau na thro arall dros ffurfweddiad y pwynt terfyn.

Mae cleientiaid hefyd yn storio. Mae cofnod a atebodd yn gyhoeddus ddeng munud yn ôl yn parhau i ateb ar ôl i chi drwsio'r parth, felly fflwsiwch cyn ailbrofi. Ar Windows, mae ipconfig /flushdns yn clirio storfa'r cleient; mae rheolau polisi datrys enwau yn parhau, yn penderfynu pa ôl-ddodiad sy'n mynd i ba weinydd, a gallant barhau i anfon y gofod enwau at y datryswr yr ydych newydd ei ddisodli.

Ble mae cofnod hosts yn perthyn

Mae ychwanegu cyfeiriad y pwynt terfyn at ffeil hosts yn ddiagnosteg dda ac yn gynllun gwael. Mae'n profi mai'r mapio enw-i-gyfeiriad yw'r darn coll ac yn gadael i chi brofi popeth ar ôl y cam hwnnw, ond mae'n anweledig i'ch defnyddwyr, yn torri pan fydd cyfeiriad y pwynt terfyn yn newid, ac yn cuddio'r parth a ddylai ateb.

Mae cofnod prawf sydd ar ôl yn waeth na storfa hen ffasiwn, oherwydd gall wneud i'r llwybr sydd wedi'i drwsio edrych yn doredig neu i'r llwybr toredig edrych wedi'i drwsio yn dibynnu ar gyfeiriad y gwall. Tynnwch ef cyn y rhediad olaf a datryswch gyda'r datryswr cynhyrchu yn unig.

Mae angen ôl-ddodiad chwilio ar enwau byr ac nid oes angen ar enwau llawn, felly profwch yr enw llawn yn gyntaf, yna penderfynwch a oes angen ôl-ddodiad ar y llif gwaith a wthir trwy broffil y cleient. Mae Microsoft yn dogfennu enwau parth a siapiau cofnodion fesul gwasanaeth yn ei ganllawiau DNS pwynt terfyn preifat; darllenwch y cofnod ar gyfer eich gwasanaeth yn hytrach na chopïo parth o un arall.