Το IP flow verify του Azure λέει επιτρεπτό, αλλά το VPN εξακολουθεί να αποτυγχάνει

Η σήραγγα site-to-site είναι συνδεδεμένη, η VM είναι υγιής, αλλά ο τοπικός πελάτης δεν λαμβάνει τίποτα. Ανοίγετε το Network Watcher, εκτελείτε το IP flow verify και λέει Access allowed, οπότε το ticket κλείνει ως πρόβλημα VPN. Το αποτέλεσμα αυτό δεν σημαίνει αυτό που φαίνεται, γιατί το IP flow verify αξιολογεί τους κανόνες ασφαλείας για τη ροή που περιγράψατε και ποτέ δεν ελέγχει αν το Azure έχει διαδρομή προς το τοπικό σας πρόθεμα.

Το ερώτημα φιλτραρίσματος και το ερώτημα δρομολόγησης είναι ξεχωριστά και το Network Watcher τα απαντά με διαφορετικά εργαλεία. Το να ξέρετε ποιο ρωτήσατε είναι το μεγαλύτερο μέρος της διάγνωσης.

Τι αποφασίζει στην πραγματικότητα το IP flow verify

Το IP flow verify παίρνει μια VM, ένα δίκτυο διασύνδεσης, μια κατεύθυνση, τιμές πεντάδας και ένα πρωτόκολλο και μετά αναφέρει την απόφαση του κανόνα NSG και του διαχειριστή ασφαλείας για αυτή τη ροή. Λειτουργεί σε TCP και UDP, άρα δεν είναι εργαλείο δοκιμής κανόνων ICMP και ένα μπλοκαρισμένο ping δεν αποδεικνύει τίποτα για την υπηρεσία σας. Δώστε του την πραγματική ροή και όχι μια εικασία. Μια εισερχόμενη σύνδεση από το τοπικό δίκτυο σε θύρα βάσης δεδομένων είναι διαφορετική περιγραφή από μια εξερχόμενη σύνδεση που ξεκινά η VM.

Αν η πύλη μεταφράζει διευθύνσεις, χρησιμοποιήστε τη διεύθυνση προέλευσης που φτάνει στο όριο που αξιολογείτε, όχι αυτή στη διαμόρφωση του πελάτη. Διαβάστε και το αποτέλεσμα για αυτό που είναι. Το Access allowed σημαίνει ότι το επίπεδο φιλτραρίσματος θα επέτρεπε το πακέτο αν έφτανε, και τίποτα περισσότερο.

Αυτό που δεν μπορεί να σας πει είναι η διαδρομή που επέλεξε το Azure, αν το τείχος προστασίας του guest επιτρέπει τη θύρα ή αν κάτι ακούει. Αυτά ζουν σε άλλα επίπεδα.

Τι προσθέτουν το επόμενο άλμα και οι ενεργές διαδρομές

Το επόμενο άλμα απαντά σε ερώτημα προώθησης: για αυτόν τον προορισμό, ποιον τύπο επόμενου άλματος επιλέγει το Azure, σε ποια διεύθυνση, από ποιον πίνακα διαδρομών. Οι ενεργές διαδρομές απαριθμούν τι έχει πραγματικά το NIC. Εκτελέστε και τα δύο και παίρνετε τη διαδρομή από την πλευρά του Azure που ένα πράσινο IP flow verify αφήνει κενή.

Η επισκόπηση του IP flow verify της Microsoft δηλώνει άμεσα το εύρος φιλτραρίσματος, ενώ οι σελίδες για το επόμενο άλμα και τη διάγνωση διαδρομών καλύπτουν την πλευρά της προώθησης. Παραθέστε τη σωστή σελίδα όταν γράφετε το εύρημα.

Οι εντολές είναι αρκετά σύντομες για να εκτελεστούν από ένα κέλυφος. az network nic show-effective-route-table απαριθμεί τις διαδρομές που εφαρμόζονται στη διασύνδεση. az network watcher show-next-hop με πηγή και προορισμό επιστρέφει το επιλεγμένο άλμα. Συγκρίνετε το πρόθεμα που σας ενδιαφέρει με αυτόν τον πίνακα και μετά επιβεβαιώστε ποια καταχώριση κερδίζει.

Περπατήστε την επιστροφική διαδρομή από το NIC της VM

Κάντε το από το NIC της VM-στόχου, για το πρόθεμα του τοπικού πελάτη, όχι για το διαδίκτυο. Η επιστροφική διαδρομή είναι εκεί όπου κρύβονται οι βλάβες site-to-site, γιατί ένας έλεγχος κατάστασης σήραγγας αναφέρει μόνο ότι οι συσχετίσεις ασφαλείας είναι ενεργές.

Αν λείπει η αναμενόμενη διαδρομή, ελέγξτε τα απομακρυσμένα προθέματα που παρέχει η διαμόρφωση της πύλης, τον σχεδιασμό συνδεσιμότητας του VNet και οποιαδήποτε ρύθμιση διάδοσης διαδρομών. Ένα αντικείμενο τοπικής πύλης δικτύου περιγράφει την τοπική πλευρά· η ύπαρξή του δεν αποδεικνύει ότι κάθε απαιτούμενο πρόθεμα υπάρχει και προτιμάται στο NIC. Αυτά είναι διαφορετικά γεγονότα και μόνο ένα από αυτά εμφανίζεται σε μια σύνοψη πύλης.

Διαβάστε τον τύπο επόμενου άλματος αντί να αντιγράψετε ένα παράδειγμα

Μια διαδρομή μέσω διαχειριζόμενης πύλης VPN εμφανίζει συνήθως VirtualNetworkGateway ως τύπο επόμενου άλματος. VirtualAppliance περιγράφει διαφορετικό σχεδιασμό προώθησης, συνήθως τείχος προστασίας ή εικονική συσκευή δικτύου.

Μη δημιουργείτε διαδρομή συσκευής προς μια εικαζόμενη τελική σημείο VPN επειδή μια παλιά απάντηση σε φόρουμ χρησιμοποίησε αυτόν τον τύπο. Αν μια διαδρομή οριζόμενη από τον χρήστη υπερισχύει της προβλεπόμενης, βρείτε τον ιδιοκτήτη και τον σκοπό της πριν την αλλάξετε. Ένα δεύτερο NIC μπορεί επίσης να αλλάξει ποια διασύνδεση χρησιμοποιεί ο guest, και η αφαίρεσή του μπορεί να σπάσει μια άλλη υπηρεσία αντί να διορθώσει αυτή τη διαδρομή.

Μετακινηθείτε στο όριο που εξακολουθεί να αποτυγχάνει

Όταν το φιλτράρισμα και η δρομολόγηση ταιριάζουν με τον σχεδιασμό, η βλάβη είναι αλλού. Ελέγξτε τον δικό του πίνακα διαδρομών του guest, το τείχος προστασίας του και αν ο ακροατής είναι δεσμευμένος στην αναμενόμενη διεύθυνση. Μετά ελέγξτε τους προστατευμένους επιλογείς κίνησης του VPN και την τοπική διαδρομή απάντησης. Κάθε ένα από αυτά είναι ξεχωριστό τεστ με ξεχωριστό αποτέλεσμα.

Κλείστε με ένα επιτρεπόμενο αίτημα εφαρμογής και παρατηρήσεις από τα δύο άκρα. Ένα αποτέλεσμα allow και ένα σωστό επόμενο άλμα είναι δύο κομμάτια απόδειξης, όχι απόδειξη ότι η σύνδεση πέτυχε.