Το Azure σημείο-προς-τοποθεσία συνδέεται αλλά κανένας ιδιωτικός πόρος δεν απαντά

Το συνδεδεμένο είναι μια κατάσταση του τούνελ, όχι δήλωση για την προσβασιμότητα. Ένας πελάτης σημείο-προς-τοποθεσία μπορεί να ολοκληρώσει το IKE, να λάβει διεύθυνση και παρόλα αυτά να μη φτάνει πουθενά, γιατί η πύλη προωθεί κίνηση μόνο για δίκτυα που το VNet γνωρίζει ήδη. Εκτελέστε αυτούς τους πέντε ελέγχους με σειρά και σταματήστε στην πρώτη αποτυχία. Το να προσπερνάτε είναι ο τρόπος με τον οποίο ένα πρόβλημα DNS αντιμετωπίζεται ως πρόβλημα τείχους προστασίας για μία ώρα.

Η σειρά έχει μεγαλύτερη σημασία από τη λίστα.

Έλεγχος 1: αποφασίστε τι πρέπει να μεταφέρει το τούνελ

Το Azure VPN Gateway τερματίζει το τούνελ και προωθεί κίνηση που ανήκει στο VNet· δεν είναιγενική έξοδος στο διαδίκτυο. Αν οι χρήστες περιμένουν η περιήγησή τους να βγει μέσω του Azure, ο σχεδιασμός είναι λάθος πριν μπει στη μέση οποιαδήποτε ρύθμιση πελάτη. Ενεργοποιήστε το split tunneling ώστε το τοπικό διαδίκτυο να συνεχίσει να χρησιμοποιεί την τοπική διαδρομή, και χρησιμοποιήστε ένα instance NAT ή τούνελ τοποθεσίας-προς-τοποθεσία όταν πραγματικά απαιτείται σταθερή διεύθυνση εξόδου.

Γράψτε τι πρέπει να φτάνει ο πελάτης πριν δοκιμάσετε οτιδήποτε. Χωρίς αυτή τη λίστα, κάθε μερικό αποτέλεσμα μοιάζει με πρόοδο.

Έλεγχος 2: συγκρίνετε τους χώρους διευθύνσεων πριν από τα πιστοποιητικά

Η επικάλυψη κρίνεται στα ευρύτερα εύρη, οπότε δύο δίκτυα που φαίνονται διαφορετικά σε επίπεδο υποδικτύου συγκρούονται ακόμη αν τα γονικά τους μπλοκ επικαλύπτονται. Το υποδίκτυο της πύλης πρέπει να είναι αποκλειστικό και αρκετά μεγάλο για το SKU, και η πισίνα διευθύνσεων πελάτη δεν πρέπει να συγκρούεται με το VNet ή με οτιδήποτε προσβάσιμο μέσω peering. Αλλάξτε το σχέδιο και αναπτύξτε ξανά, γιατί η προσθήκη διαδρομών για αντιστάθμιση παράγει τούνελ που δουλεύει για ορισμένους προορισμούς και ανεξήγητα όχι για άλλους. Η παροχή αποτυγχάνει εδώ ηχηρά, που είναι η καλή περίπτωση.

Η αυθεντικοποίηση είναι η επόμενη πύλη. Τα προφίλ πιστοποιητικού, RADIUS και Entra ID δεν είναι εναλλάξιμα, και το πακέτο πελάτη διαφέρει για το καθένα.

Έλεγχος 3: επιλύστε ένα ιδιωτικό όνομα από μέσα

Ο πελάτης κρατά τον δικό του resolver εκτός αν το ληφθέν προφίλ μεταφέρει τους διακομιστές DNS του VNet, και αυτή η λίστα ενσωματώνεται κατά τη λήψη. Προσθέστε ένα forwarder μέσα στο VNet, ορίστε το ως διακομιστή DNS του VNet, μετά κατεβάστε και εισάγετε ξανά το πακέτο πελάτη. Η επαναχρησιμοποίηση του παλιού πακέτου δοκιμάζει μόνο την παλιά λίστα resolver.

Δοκιμάστε πρώτα μια διεύθυνση, γιατί αυτό χωρίζει τη δρομολόγηση από την ονοματοδοσία σε ένα βήμα: Test-NetConnection 10.20.1.4 -Port 3389.

Αν η διεύθυνση απαντά και το όνομα όχι, ρωτήστε τον resolver απευθείας με Resolve-DnsName files.corp.example -Server 10.20.0.4. Αν αποτύχουν και τα δύο, το σφάλμα δεν είναι DNS και πρέπει να σταματήσετε να επεξεργάζεστε ρυθμίσεις DNS. Το DNS πλατφόρμας του Azure στη 168.63.129.16 απαντά μόνο από μέσα στο VNet, οπότε ένας πελάτης έξω από αυτό δεν μπορεί να χρησιμοποιήσει αυτή τη διεύθυνση ως resolver.

Έλεγχος 4: δοκιμάστε την υπηρεσία πίσω από το τούνελ

Ένα υγιές τούνελ και μια κλειστή θύρα φαίνονται ίδια από την πλευρά του πελάτη. Ελέγξτε το τείχος προστασίας του επισκέπτη, μετά την ομάδα ασφαλείας δικτύου στο υποδίκτυο ή το NIC, μετά αν η υπηρεσία ακούει στην ιδιωτική διεύθυνση και όχι μόνο στο loopback. Επιτρέψτε την πισίνα πελατών ως πηγή αντί να ανοίξετε κανόνα προς το διαδίκτυο, και θυμηθείτε ότι το SMB προς το Azure Files χρειάζεται τη διαδρομή του ιδιωτικού endpoint να δρομολογείται μέσα από το τούνελ. Όταν ένας πόρος απαντά με IP αλλά όχι με όνομα, επιστρέψτε στον έλεγχο 3 αντί να αγγίξετε την πύλη.

Ένας πίνακας κρατά τα επίπεδα χωριστά όσο δουλεύετε:

Έλεγχος 5: καταγράψτε το προφίλ πριν κλιμακώσετε

Βάλτε στο εισιτήριο τον τύπο πύλης, τον τύπο τούνελ, τη μέθοδο αυθεντικοποίησης και το λειτουργικό σύστημα του πελάτη. Ένα προφίλ IKEv2 με πιστοποιητικό και ένα προφίλ RADIUS αποτυγχάνουν για διαφορετικούς λόγους, και ένας πελάτης φτιαγμένος για άλλο τύπο τούνελ συνδέεται μόνο όταν η πύλη προσφέρει συμβατό πρωτόκολλο.

Για μια μικρή ομάδα, ο ανθεκτικός σχεδιασμός είναι ένα VNet, ένας forwarder DNS και ένας τεκμηριωμένος πελάτης split-tunnel. Αν η απαίτηση είναι σταθερή δημόσια έξοδος, τερματίστε ένα τούνελ τοποθεσίας-προς-τοποθεσία σε τείχος προστασίας που ελέγχετε και δρομολογήστε εκεί την κίνηση του διαδικτύου, αντί να ζητάτε από την πύλη σημείο-προς-τοποθεσία κάτι για το οποίο δεν χτίστηκε ποτέ.