Pam fod ychwanegu rhagddodiad Azure VPN yn torri'r cysylltiad

Mae rhagddodiad a ychwanegir at y gwrthrych Azure anghywir yn cynhyrchu cysylltiad sy'n adrodd Connected ac nad yw'n anfon dim ymlaen, a dyna'r math drutaf o gamgymeriad yn y pentwr hwn. Mae tri adnodd yn rhan o hyn a dim ond un ohonynt sy'n berchen ar y gofod cyfeiriad pell: y porth rhwydwaith rhithwir, y porth rhwydwaith lleol sy'n disgrifio'r ochr bell, a'r cysylltiad sy'n eu huno. Mae'r rhagddodiad yn perthyn i'r porth rhwydwaith lleol, rhaid ailadeiladu'r cysylltiad er mwyn i'r newid ddod i rym, ac mae'r porth ei hun fel arfer yn cael ei adael yn llonydd. Nid yw'r drefn yn agored i drafodaeth, ac mae'r porth yn dangos dim ond rhan ohoni.

Tri gwrthrych, ac un ohonynt yn dal y rhagddodiad

Mae gofod cyfeiriad y rhwydwaith rhithwir yn ateb cwestiwn gwahanol: beth sy'n byw y tu mewn i Azure. Nid yw ychwanegu rhagddodiad pell yno yn cyfeirio traffig ato, dim ond ehangu'r gofod y mae'r platfform yn credu sy'n eiddo iddo, a all wrthdaro â'r amrediad pell go iawn. Y porth rhwydwaith lleol yw'r gwrthrych sy'n dal y rhagddodiaid pell, ac mae'r cysylltiad yn cyfeirio at y ddau borth ynghyd ag allwedd a rennir ymlaen llaw.

Mae trydydd cadwfa i'w chadw mewn cof. GatewaySubnet yn cynnal achosion rheoledig y porth, rhaid iddo gario'r enw hwnnw'n union, ac ar gyfer SKU nad ydynt yn Basic disgwylir iddo fod o leiaf /27.

Nid oes dim arall yn perthyn i'r is-rwydwaith hwnnw, ac nid oes gan newid rhagddodiad unrhyw reswm i gyffwrdd ag ef. Mae rhagddodiad sy'n eisiau yn y porth rhwydwaith lleol yn anghyrraeddadwy beth bynnag yw'r status cysylltiad, oherwydd dim ond y rhagddodiaid y cafodd ei hysbysu amdanynt wrth drafod y twnnel y mae'r porth yn eu cynnig. Dyna pam mae'r symptom yn anghymesur: mae'r twnnel i fyny, mae'r cysylltiad diogelwch yn iawn, ac nid yw un is-rwydwaith byth yn ymddangos yn y detholwyr traffig. Os yw un amrediad pell ar goll tra bod ei gymdogion yn gweithio, stopiwch edrych ar y twnnel a darllenwch y porth rhwydwaith lleol.

Pam mai'r cysylltiad sy'n cael ei dynnu

Mae gwrthrych y cysylltiad yn pinio'r ffurfweddiad a drafodwyd am ei oes gyfan. Oherwydd hynny, mae'r weithdrefn a ddogfenwyd yn tynnu'r cysylltiad yn gyntaf, yn diweddaru'r porth rhwydwaith lleol, ac yna'n ailgreu'r cysylltiad gyda'r un allwedd a rennir. Nid yw achosion y porth yn cael eu hailadeiladu ar gyfer newid rhagddodiad yn unig, sy'n cyfyngu'r diffyg gwasanaeth i ddarnio'r cysylltiad yn lle ailweithredu'r porth.

Y dilead hwnnw yw'r diffyg gwasanaeth, felly triniwch ef fel newid wedi'i drefnu gyda dechrau a diwedd disgwyliedig yn hytrach na golygiad cyflym. Yn PowerShell mae'r dilyniant yn fyr: Remove-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 -Force, yna Set-AzLocalNetworkGateway gyda'r -AddressPrefix arae newydd, yna New-AzVirtualNetworkGatewayConnection gyda'r un -SharedKey a'r un pyrth. Mae ailddefnyddio'r allwedd yn bwysig, oherwydd nid yw'r ochr bell yn cael ei hailffurfweddu ac mae allwedd newydd yn golygu cydlynu â'r sawl sy'n berchen ar y ddyfais bell. Os yw tîm arall yn rhedeg y ddyfais honno, cytunwch y ffenestr gyda nhw cyn i chi dynnu unrhyw beth.

Pryd y mae'n rhaid ailadeiladu'r porth ei hun

Mae ail ateb sy'n cylchredeg o amgylch y broblem hon yn dweud bod yn rhaid ailgreu'r porth a chyfnewid yr allwedd eto. Mae hynny'n gywir ar gyfer set wahanol o weithrediadau: newid math y porth neu'r SKU, symud rhwng point-to-site a site-to-site, neu atgyweirio porth y mae ei ffurfweddiad ei hun yn anghywir. Mae'r newidiadau hynny yn wir yn newid adnodd y porth, felly mae angen ailadeiladu mewn gwirionedd.

Ni ellir rhoi cysylltiad site-to-site i borth a grëwyd ar gyfer point-to-site yn syml. Rhaid tynnu'r ffurfweddiad point-to-site ac ailgreu'r porth, sy'n cynhyrchu allwedd a rennir newydd a phecyn cleient newydd hefyd.

Mae'r pecyn point-to-site yn haeddu nodyn ei hun oherwydd ei fod yn dod i ben. Mae'r porth yn cynhyrchu ffeil â bywyd byr, felly'r dull ymarferol yw ei lawrlwytho unwaith a'i ddosbarthu ochr yn ochr â'r dystysgrif cleient yn lle anfon dolen porth at ddefnyddwyr a fydd yn farw erbyn iddynt glicio arni. Ar gyfer cwestiwn y rhagddodiad, nid oes dim o hyn yn berthnasol. Cadw'r ddwy weithdrefn ar wahân yw'r ddisgyblaeth gyfan: mae rhagddodiaid yn newid ar lefel cysylltiad, ac mae priodweddau porth yn newid ar lefel porth.

Darllenwch y cyflwr, nid bathodyn y porth

Darllenwch y cyflwr o'r adnodd yn hytrach nag o'r bathodyn yn y porth. Get-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 yn dychwelyd ConnectionStatus ynghyd â chyfrifwyr beit i mewn ac allan, a'r cyfrifwyr sy'n gwahanu twnnel sy'n gysylltiedig ac yn cario dim oddi wrth un na lwyddodd byth i sefydlu.

Mae cyfrifwyr sy'n stopio cynyddu yng nghanol trosglwyddiad yn pwyntio at y llwybr yn hytrach nag at y dilysu. Mae cyfrifwyr nad ydynt yn symud o gwbl yn pwyntio at y set rhagddodiaid neu'r allwedd a rennir.

Mae amseryddion yn esbonio dosbarth o ddatgysylltiadau sy'n cael eu priodoli'n anghywir i'r VPN. Mae balansydd llwyth Azure yn cau ffrydiau segur ar ôl ei amserlen a ffurfweddwyd, pedwar munud yn ddiofyn pan ysgrifennwyd y nodiadau hyn ac yn addasadwy i fyny, felly gall gweinydd OpenVPN ar VM heb keepalive ollwng bob ychydig funudau tra bod popeth arall yn edrych yn iach. Gall porth y mae'r platfform yn ei gylchu hefyd dorri cysylltiad VNet â Web App, ac mae'r methiant hwnnw ar ochr y platfform yn hytrach nag mewn ffurfweddiad cleient. Yr arwydd yw a yw'r datgysylltiad yn dilyn cyfwng sefydlog neu newid a wnaethoch chi.

Cadwch y tri gwrthrych a'u gwerthoedd mewn un cofnod: gofod cyfeiriad y rhwydwaith rhithwir, rhestr rhagddodiaid y porth rhwydwaith lleol, a chyfeiriad allwedd a rennir y cysylltiad. erthygl PowerShell site-to-site yn dogfennu gorchmynion y porth rhwydwaith lleol a'r drefn y maent yn perthyn iddi. Cymharu newid rhagddodiad â'r cof yw sut mae twnnel gweithiol yn cael ei ailadeiladu ddwywaith.

Yna gwiriwch yn y drefn y gwnaethoch newid: mae'r porth rhwydwaith lleol yn dangos y rhestr rhagddodiaid newydd, mae'r cysylltiad yn ôl yn Connected, ac mae'r cyfrifwyr yn symud pan anfonwch draffig at westeiwr yn yr amrediad newydd. Os yw'r trydydd cam yn methu tra bod y ddau gyntaf yn pasio, nid yw'r ochr bell wedi derbyn y detholydd traffig newydd ac mae angen y cofnod cyfnod 2 cyfatebol ar y ddyfais bell. Mae hynny'n sgwrs â phen arall y twnnel, nid newid arall yn Azure.