Azure pwynt-i-safle yn cysylltu ond nid oes unrhyw adnodd preifat yn ymateb
Mae cysylltu yn golygu dim ond bod y twnnel wedi codi. Edrychwch beth all y porth drosglwyddo, cymharwch y gofodau cyfeiriad, yna datryswch enw a phrofwch y gwasanaeth ei hun.
Mae cysylltu yn gyflwr o'r twnnel, nid yn ddatganiad am gyrhaeddedd. Gall cleient pwynt-i-safle orffen IKE, derbyn cyfeiriad, a chyrraedd dim o hyd, oherwydd dim ond traffig ar gyfer rhwydweithiau y mae'r VNet eisoes yn eu hadnabod y mae'r porth yn ei anfon ymlaen. Ewch drwy'r pump archwiliad hyn mewn trefn a stopiwch yn y methiant cyntaf. Neidio ymlaen yw'r ffordd y caiff problem DNS ei thrin fel problem wal dân am awr.
Mae'r drefn yn bwysicach na'r rhestr.
Archwiliad 1: penderfynwch beth ddylai'r twnnel ei gario
Mae Azure VPN Gateway yn terfynu'r twnnel ac yn anfon ymlaen traffig sy'n perthyn i'r VNet; nid ywyn allanfa ryngrwyd gyffredin. Os yw defnyddwyr yn disgwyl i'w pori adael drwy Azure, mae'r dyluniad yn anghywir cyn i unrhyw osodiad cleient ddod i mewn i'r llun. Galluogwch split tunneling fel bod y rhyngrwyd lleol yn parhau i ddefnyddio'r llwybr lleol, a defnyddiwch enghraifft NAT neu dwnnel safle-i-safle pan fo cyfeiriad allanfa sefydlog wir ei angen.
Ysgrifennwch beth y dylai'r cleient ei gyrraedd cyn i chi brofi unrhyw beth. Heb y rhestr honno, mae pob canlyniad rhannol yn edrych fel cynnydd.
Archwiliad 2: cymharwch y gofodau cyfeiriad cyn tystysgrifau
Bernir gorgyffwrdd ar yr ystodau ehangach, felly mae dwy rwydwaith sy'n edrych yn wahanol ar lefel is-rwydwaith yn dal i daro os yw eu blociau rhiant yn gorgyffwrdd. Rhaid i is-rwydwaith y porth fod yn bwrpasol ac yn ddigon mawr ar gyfer yr SKU, ac ni chaiff pwll cyfeiriadau'r cleient daro'r VNet na dim sy'n gyrraeddadwy drwy peering. Newidiwch y cynllun ac ailweithredwch, oherwydd mae ychwanegu llwybrau i wneud iawn yn creu twnnel sy'n gweithio i rai cyrchfannau ac yn anesboniadwy ddim i eraill. Mae darparu yn methu'n uchel yma, sef yr achos da.
Dilysu yw'r giât nesaf. Nid yw proffiliau tystysgrif, RADIUS ac Entra ID yn gyfnewidiol, ac mae pecyn y cleient yn wahanol ar gyfer pob un.
Archwiliad 3: datryswch enw preifat o'r tu mewn
Mae'r cleient yn cadw ei ddatryswr ei hun oni bai bod y proffil a lawrlwythwyd yn cario gweinyddwyr DNS y VNet, ac mae'r rhestr honno'n cael ei mewnosod adeg lawrlwytho. Ychwanegwch forwarder y tu mewn i'r VNet, gosodwch ef yn weinydd DNS y VNet, yna lawrlwythwch a mewnforiwch becyn y cleient eto. Mae ailddefnyddio'r hen becyn yn profi'r hen restr ddatryswr yn unig.
Profwch gyfeiriad yn gyntaf, oherwydd mae hynny'n gwahanu llwybro rhag enwi mewn un cam: Test-NetConnection 10.20.1.4 -Port 3389.
Os yw'r cyfeiriad yn ateb a'r enw ddim, gofynnwch i'r datryswr yn uniongyrchol gyda Resolve-DnsName files.corp.example -Server 10.20.0.4. Os yw'r ddau'n methu, nid DNS yw'r bai a dylech stopio golygu gosodiadau DNS. Nid yw DNS platfform Azure yn 168.63.129.16 yn ateb ond o'r tu mewn i'r VNet, felly ni all cleient y tu allan iddo ddefnyddio'r cyfeiriad hwnnw fel datryswr.
Archwiliad 4: profwch y gwasanaeth y tu ôl i'r twnnel
Mae twnnel iach a phorth caeëdig yn edrych yn unfath o safbwynt y cleient. Archwiliwch wal dân y gwestai, yna'r grŵp diogelwch rhwydwaith ar yr is-rwydwaith neu'r NIC, yna a yw'r gwasanaeth yn gwrando ar y cyfeiriad preifat yn hytrach nag ar loopback yn unig. Caniathewch bwll y cleient fel ffynhonnell yn hytrach nag agor rheol i'r rhyngrwyd, a chofiwch fod angen i SMB i Azure Files gael llwybr y pwynt terfyn preifat wedi'i lwybro drwy'r twnnel. Pan fydd adnodd yn ateb drwy IP ond nid drwy enw, ewch yn ôl i archwiliad 3 yn hytrach na chyffwrdd â'r porth.
Mae un tabl yn cadw'r haenau ar wahân wrth i chi weithio:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Archwiliad 5: cofnodwch y proffil cyn i chi uwchgyfeirio
Rhowch fath y porth, math y twnnel, dull dilysu a system weithredu'r cleient yn y tocyn. Mae proffil IKEv2 tystysgrif a phroffil RADIUS yn methu am resymau gwahanol, ac nid yw cleient a adeiladwyd ar gyfer math arall o dwnnel yn cysylltu ond pan fydd y porth yn cynnig protocol cydnaws.
Ar gyfer tîm bach, y dyluniad gwydn yw un VNet, un forwarder DNS a chleient split-tunnel wedi'i ddogfennu. Os mai'r gofyniad yw allanfa gyhoeddus sefydlog, terfynwch dwnnel safle-i-safle ar wal dân a reolwch a llwybrwch draffig y rhyngrwyd yno yn hytrach na gofyn i'r porth pwynt-i-safle wneud rhywbeth na chafodd ei adeiladu ar ei gyfer erioed.