S2S VPN yn Azure wedi cysylltu ond dim traffig: darllenwch y log IKE

Mae’r porth yn dweud Connected, mae gan y twnnel gyfrifydd amser gweithio, ac mae trace o’ch peiriant rhithwir yn marw ar yr ail hop. Mae cyflwr y cysylltiad yn disgrifio’r trafodaeth IKE ac IPsec, nid a yw un pecyn yn goroesi’r haen polisi ar y naill ochr neu’r llall. Mae dau fethiant yn esbonio’r rhan fwyaf o’r tocynnau hyn, ac ni chaiff y naill na’r llall ei atgyweirio trwy newid llwybr yn Azure. Mae’r ddau eisoes wedi’u hysgrifennu yn y log a gynhyrchodd y giât, a dyna pam rwy’n dechrau yno yn hytrach nag yn y tabl llwybrau.

Beth mae Connected yn ei ardystio mewn gwirionedd

Mae cysylltiad site-to-site sydd wedi cysylltu yn golygu bod cam 1 a cham 2 wedi’u cwblhau a bod y cymdeithiadau diogelwch i fyny. Datganiad am drafodaeth yw hwn: cytunodd y ddau gyfoed ar gynnig, cyfnewidiodd allweddi, a gosododd y pâr o SA. Nid yw’n dweud dim am a yw’r detholwyr traffig yn cyd-fynd â’r is-rwydwaith rydych chi’n credu sy’n cael eu hamddiffyn, nac am a fydd yr ochr bell yn llwybro’r pecyn yn rhywle ar ôl ei ddadgryptio. Gall twnnel aros i fyny am wythnosau wrth ollwng pob llif diddorol, a dyna’n union y patrwm sy’n gwneud i bobl ailadeiladu giât iach.

Y dau fethiant sy’n werth eu gwirio gyntaf yw cyfoed sy’n cynnig AH yn lle ESP, a rhwydwaith rhithwir wedi’i rifo mewn gofod na fydd y giât yn ei drin fel un mewnol.

Agorwch y log a allforiwyd cyn cyffwrdd llwybrau

Yn y porth, agorwch y giât rhwydwaith rhithwir a rhedwch y weithred VPN troubleshoot ar y cysylltiad, yna lawrlwythwch y bwndel y mae’n ei gynhyrchu a’i ddadbacio. Y tu mewn mae log IKE gyda chyfnewidiadau cam 1 a cham 2, â stampiau amser ac yn ddarllenadwy fel testun plaen. Chwiliwch ynddo am y llinell transform yn lle darllen o’r top i’r gwaelod, oherwydd mae’r cofnod diddorol fel arfer ychydig gannoedd o linellau i mewn. Os nad oes gennych fynediad i’r porth, mae’r un diagnosteg yn ymddangos yng nghyrchfan log y giât pan fydd gosodiadau diagnostig wedi’u galluogi.

Mae dau gofnod yn cario’r rhan fwyaf o’r gwerth. Mae’r cyntaf yn darllen rhywbeth fel expected ESP with combined authentication and cipher, received AH. Yr ail yw gwall payload annilys yn ystod cyfnewidiad IKE, sy’n golygu’n aml faes cynnig wedi’i ffurfio’n wael neu heb ei gefnogi.

Mae’r ddau yn disgrifio’r hyn a gynigiodd y ddyfais leol, felly mae’r ddau yn osodiadau ar ochr y cyfoed. Nid yw ailddychmygu ochr Azure y cysylltiad yn newid y cynnig y mae’ch mur tân yn ei anfon, ac mae ei wneud beth bynnag yw’r awr wastraff amlaf yn y llif gwaith hwn. Ar y cyfoed, gosodwch gam 2 i ESP gyda dilysu a sylfaen gyfunol a gadewch iddo drafod yr algorithm, yna gwiriwch a yw blwch ticio gan y gwerthwr o’r enw rhywbeth fel combined mode yn dewis cynnig AH yn dawel oddi tano.

Cadarnhewch ofod cyfeiriad y rhwydwaith rhithwir

Mae’r giât yn disgwyl i’r rhwydwaith rhithwir fod mewn amrediadau preifat. Gall rhwydwaith wedi’i rifo mewn bloc cyhoeddus, er enghraifft un sy’n dechrau gyda 111.x, godi’r twnnel tra bo Azure yn gwrthod trin y gofod hwnnw fel un mewnol, felly mae’r cysylltiad yn edrych yn iach ac ni dderbynnir unrhyw lif. Cadarnhewch y gofod cyfeiriad cyn i chi dreulio prynhawn ar ddetholwyr. Os yw’r rhifo yn ofyniad caled o ddyraniad hŷn, y cywiriad yw newid y cynllun cyfeiriadau yn hytrach na giât wahanol.

Cofnodwch y gorgyffwrdd â’r amrediadau lleol tra byddwch yn y llafn gofod cyfeiriad, oherwydd mae rhagddodiadau sy’n gorgyffwrdd yn cynhyrchu methiant gwahanol sy’n edrych yn debyg o’r cleient.

Gwiriwch y rhagddodiadau yn y ddau gyfeiriad

Mae adnodd y giât rhwydwaith lleol yn dal y rhagddodiadau lleol, ac mae’n rhaid iddynt gyd-fynd â’r is-rwydweithiau y mae’r ddyfais bell yn eu hamddiffyn mewn gwirionedd. Bydd crynodeb sy’n cynnwys cyfeiriadau y mae’r ddyfais yn eu gollwng yn pasio rhai llifau ac yn methu ar eraill, sy’n darllen fel nam llwybro ysbeidiol yn hytrach na chamgydweddiad cyfluniad. Gwiriwch yr ochr bell hefyd: un pen yn rhestru /16 tra bo’r llall yn rhestru tri /24 y tu mewn iddo yw’r methiant rhannol clasurol. Nid yw’r naill restr nac’r llall yn awdurdodol ar ei phen ei hun, felly cymharwch nhw ochr yn ochr yn hytrach na dibynnu ar yr un rydych yn ei gweld.

Nid yw newid rhagddodiad bob amser yn cael ei godi ar ei ben ei hun, felly cynlluniwch i ailgadw neu ail-greu gwrthrych y cysylltiad ac yna cadarnhau bod y rhagddodiadau newydd yn ymddangos ar y ddwy ochr.

Profwch lwybr, nid ping

Mae’r trace sy’n gwahanu twnnel gweithredol oddi wrth lwybr gweithredol yn edrych fel hyn: y hop cyntaf yw’r giât leol, yna ychydig o hopiau diymateb, yna mae’r gwesteiwr pell yn ateb. Os nad yw’r trace byth yn cyrraedd y gwesteiwr, profwch y porth TCP y mae’r cymhwysiad yn ei ddefnyddio mewn gwirionedd, oherwydd mae ICMP yn cael ei hidlo’n ddigon aml fel bod ping aflwyddiannus yn profi ychydig iawn. Rhedwch yr un trace o westeiwr pell tuag at beiriant rhithwir yn Azure. Anghymesuredd rhwng y ddau ganlyniad yw’r ffordd gyflymaf o ddod o hyd i lwybr dychwelyd coll neu reol sy’n caniatáu un cyfeiriad yn unig.

Ysgrifennwch gynnig y cyfoed, y ddau ofod cyfeiriad ac amser creu’r cysylltiad yn y tocyn, fel bod y peiriannydd nesaf yn gwybod pa werthoedd a ailadeiladwyd a pha rai na chyffyrddwyd byth â nhw.

Os daw’r log yn ôl yn wag, efallai nad yw’r giât yn terfynu eich cysylltiad o gwbl. Cadarnhewch fod cyfeiriad y cyfoed ar y giât rhwydwaith lleol yn cyfateb i’r ddyfais rydych yn darllen y log ohoni, oherwydd mae dwy giât mewn un tanysgrifiad yn hawdd eu drysu wrth ailadeiladu. Mae’r camgymeriad hwnnw’n costio diwrnod ac yn gadael dim ôl mewn unrhyw log.