Nid yw NAT Azure VPN yn datrys cyfeiriadau VNet gorgyffwrdd
Ni fydd dwy VNet â'r un ystod breifat yn cysylltu dim ond oherwydd bod NAT yn bodoli. Edrychwch ar y math o gysylltiad yn gyntaf, yna ailrifwch neu feddiannwch alias cyfieithu.
Mae'r ddwy VNet yn defnyddio 10.40.1.0/24, mae'r twneli yn codi, ac nid oes dim yn gweithio. Nid yw ychwanegu ail borth VPN yn newid hynny, ac nid yw metrig llwybr isach chwaith, oherwydd nid dewis llwybr yw'r broblem. Mae dwy lwyth gwaith yn ateb yr un cyfeiriad preifat yn gadael pob pecyn â chyrchfan ansicr a llwybr dychwelyd na ellir ei wirio. Cyn cynllunio unrhyw gyfieithiad, darganfyddwch pa fath o gysylltiad y gwnaethoch ei greu mewn gwirionedd, oherwydd y dewis hwnnw yn unig sy'n penderfynu a yw nodwedd NAT Azure ar gael o gwbl.
Beth mae'r symptom yn ei ddweud wrthych mewn gwirionedd
Pan fydd gwesteiwr yn VNet A yn anfon at 10.40.1.10, dim ond i rywle y gall y tabl llwybro ei gyfeirio. Os yw VNet B hefyd yn cynnwys 10.40.1.10, nid cyrchfan y gall y llwybr ei gwahaniaethu yw'r cyfeiriad hwnnw; un cyfeiriad gyda dau berchennog ydyw.
Nid yw'r ail borth y mae pobl fel arfer yn ei ddefnyddio yn helpu. Mae'n rhoi twnnel arall i chi, nid cyfeiriad arall, ac mae'r ystod ddyblyg yn teithio y tu mewn i'r twnnel heb newid. Mae hefyd yn dyblu'r ffurfweddiad y mae'n rhaid i chi ei gadw'n gyson. Yr hyn na all ei wneud yw gwneud i un cyfeiriad olygu dau westeiwr.
Nid yw newid cyfeiriadau cyhoeddus y cymheiriaid VPN yn gwneud dim chwaith. Mae'r cyfeiriadau hynny yn nodi diwedd y twnnel, tra bod y gwrthdrawiad yn yr ystod breifat a gludir y tu mewn iddo.
Mae'r math o gysylltiad yn penderfynu a yw NAT ar gael
Mae gan Azure VPN Gateway allu NAT yn wir, ac mae wedi'i ddogfennu ar gyfer cysylltiadau IPsec traws-safle sy'n seiliedig ar lwybrau ar SKU porth penodol. Mae'r un ddogfennaeth yn eithrio cysylltiadau VNet-to-VNet a phwynt-i-safle, felly nid blwch ticio yw'r nodwedd sy'n ymddangos ar bob perthynas porth.
| Connection type | NAT support | Overlap workaround |
|---|---|---|
| Site-to-Site (route-based IPsec, documented SKUs) | Supported with configured NAT rules | Translate the range in the rules |
VNet-to-VNet (Vnet2Vnet) | Not supported | Renumber, or redesign as a site-to-site connection |
| Point-to-site | Not supported | Choose client address pools that do not collide |
Mae VNet-to-VNet brodorol hefyd yn gofyn bod ystodau VNet a'r rhwydwaith lleol heb orgyffwrdd o'r cychwyn, sy'n gyson â'r eithriad. Nid yw cymheirio VNet yn ateb i orgyffwrdd am yr un rheswm.
Mae dewis amgen â chymorth y mae pobl yn ei ddrysu â'r math brodorol: modelwch y VNet arall fel rhwydwaith lleol a'i gysylltu fel safle-i-safle. Adnodd gwahanol a dyluniad gwahanol yw hwnnw, felly tritiwch gysylltiad wedi'i ailenwi fel newid i'w ddilysu, nid fel ailenwi syml.
Ailrifwch, neu gyfieithwch â rhywbeth sy'n berchen ar yr alias
Os yw'r ddwy VNet yn eiddo i chi, cymharwch ailrifo wedi'i gynllunio â chost barhaus cyfieithu. Mae ailrifo'n cyffwrdd ffurfweddiad cymwysiadau, cofnodion DNS, rheolau diogelwch a phob cysylltiad presennol, ond mae'n gadael rhwydwaith sy'n darllen yn normal wedyn. Gwnewch hyn un is-rwydwaith ar y tro, gyda'r newid DNS olaf. Mae ystod hanner-ail-rifo yn waeth na'r naill opsiwn na'r llall, oherwydd yna mae'r ddau ragosodiad yn edrych yn awdurdodol i'r nesaf sy'n darllen y tabl.
Lle nad yw ailrifo'n ymarferol, defnyddiwch ddyluniad cyfieithu gyda pherchennog go iawn i'r alias. Gall galwyr yn VNet A gyrraedd 10.40.1.10 VNet B fel 10.140.1.10, ond mae angen dyfais sy'n cyfieithu, llwybr tuag ati, ac ymddygiad cyfatebol i'r ateb. Nid yw cyfeiriad a ychwanegwyd at DNS yn unig yn gyfieithiad.
Cofnodwch y ddwy ystod yn y ddau gyfeiriad: beth mae'r galwr yn ei ddeialu, beth mae'r gyrchfan yn ei weld fel ffynhonnell, a pha ochr a gaiff gychwyn. Mae rheolau NAT Azure eu hunain yn cynnwys y cyfieithiad gwrthdro ar gyfer eu mapiau SNAT, felly nid ydych yn ysgrifennu rheol DNAT gyfatebol â llaw, ond mae'r cyfleustra hwnnw'n stopio at y mathau o gysylltiad y mae'r nodwedd yn eu cefnogi.
Beth na fydd yn gweithio
Ni all llwybr a ddiffiniwyd gan y defnyddiwr na metrig llwybr greu gwahaniaeth cyfeiriad sydd ar goll. Mae'r ddau yn gweithredu ar gyrchfan sydd yn dal yn ansicr, ac mae'r pecyn yn cyrraedd pa bynnag neidle nesaf y mae'r tabl yn ei ffafrio.
Nid yw ychwanegu'r ystod ddyblyg at dabl llwybro fel rhagosodiad mwy penodol ond yn symud yr ansicrwydd un cam. Mae hefyd yn tueddu i dorri'r cyfeiriad arall, lle mae gan yr ateb nawr ddwy ffynhonnell gredadwy.
Derbyniwch y dyluniad gyda thraffig yn y ddau gyfeiriad
Profwch y dyluniad gyda gweithrediad a ganiatawyd yn newydd o bob ochr, nid â statws y twnnel. Mae twnnel IPsec cysylltiedig yn dweud bod y cymheiriaid yn cytuno ar grifft; nid yw'n dweud dim am a yw'r cyrchfannau wedi dod yn wahaniaethadwy.
Yna rhedegwch y llwybrau a wrthodwyd: cyfeiriad a ddylai aros yn anghyrhaeddadwy, a gwasanaeth y dylai'r polisi ei rwystro. Os yw'r ddau yn dal i lwyddo, mae'r cyfieithiad yn changach nag a fwriadwyd gan y dyluniad.
Clowch gyda'r ffeithiau sy'n esbonio'r gosodiad yn ddiweddarach: yr ystod wreiddiol, yr ystod a gyflwynwyd, y ddyfais sy'n cyfieithu, a'r cyfeiriad y caiff pob ochr gychwyn ynddo. Os oes unrhyw un o'r rhain ar goll, mae'r peiriannydd nesaf yn etifeddu rhwydwaith lle mae dau westeiwr yn rhannu enw ac nid oes neb yn cofio pam mae un ohonynt yn ateb.