Azure punkt-koht-ühendus loob ühenduse, kuid ükski privaatne ressurss ei vasta
Ühendatud tähendab ainult seda, et tunnel tõusis. Kontrollige, mida lüüs suudab kanda, võrrelge aadressiruumi, seejärel lahendage nimi ja testige teenust ennast.
Ühendatud on tunneli olek, mitte väide kättesaadavuse kohta. Punkt-koht-kliient võib IKE lõpetada, aadressi saada ja ikkagi mitte millenigi jõuda, sest lüüs edastab liiklust ainult võrkudele, mida VNet juba teab. Tehke need viis kontrolli järjekorras ja peatuge esimese tõrke juures. Ettepoole hüppamine on viis, kuidas DNS-probleemi käsitletakse tund aega tulemüüriprobleemina.
Järjekord loeb rohkem kui nimekiri.
Kontroll 1: otsustage, mida tunnel peab kandma
Azure VPN Gateway lõpetab tunneli ja edastab liiklust, mis kuulub VNeti; see ei oleüldine interneti väljapääs. Kui kasutajad loodavad, et nende sirvimine väljub Azure'i kaudu, on disain vale juba enne, kui mängu tuleb ükskõik milline kliendi seade. Lülitage sisse split tunneling, et kohalik internet jääks kohalikule teele, ja kasutage NAT-i instantsi või saidi-kohaga tunnelit, kui püsiv väljundaadress on tõesti vajalik.
Enne millegi testimist kirjutage üles, milleni klient peaks jõudma. Ilma selle nimekirjata näeb iga osaline tulemus välja nagu edasiminek.
Kontroll 2: võrrelge aadressiruumi enne sertifikaate
Kattuvust hinnatakse laiemate vahemike järgi, nii et kaks võrku, mis alamosade tasandil erinevad, põrkuvad ikkagi, kui nende ülemplokid kattuvad. Lüüsi alamvõrk peab olema eraldatud ja SKU jaoks piisavalt suur ning kliendi aadressibassein ei tohi põrkuda VNetiga ega millegagi, mis on peeringu kaudu kättesaadav. Muutke plaani ja juurutage uuesti, sest kompenseerivate marsruutide lisamine loob tunneli, mis töötab mõne sihtkohaga ja seletamatult mitte teistega. Provisioneerimine ebaõnnestub siin valjult, mis on hea juhtum.
Autentimine on järgmine värav. Sertifikaadi-, RADIUS-i ja Entra ID profiilid ei ole vahetatavad ning kliendipakett erineb igaühe jaoks.
Kontroll 3: lahendage privaatne nimi seestpoolt
Klient hoiab oma resolverit, kui just allalaaditud profiil ei kanna VNeti DNS-servereid, ja see nimekiri on allalaadimise hetkel sisse ehitatud. Lisage VNeti sisse forwarder, määrake see VNeti DNS-serveriks, seejärel laadige kliendipakett uuesti alla ja importige. Vana paketi korduskasutus testib ainult vana resolverite nimekirja.
Testige esmalt aadressi, sest see eraldab marsruutimise nimetamisest ühe sammuga: Test-NetConnection 10.20.1.4 -Port 3389.
Kui aadress vastab ja nimi mitte, küsige resolverilt otse käsuga Resolve-DnsName files.corp.example -Server 10.20.0.4. Kui mõlemad ebaõnnestuvad, ei ole viga DNS-is ja peaksite DNS-i seadete muutmise lõpetama. Azure'i platvormi DNS aadressil 168.63.129.16 vastab ainult VNeti seest, seega väljaspool olev klient ei saa seda aadressi resolverina kasutada.
Kontroll 4: testige teenust tunneli taga
Terve tunnel ja suletud port näevad kliendi poolt identsed välja. Kontrollige külalise tulemüüri, seejärel alamvõrgu või NIC-i võrguturberühma, seejärel seda, kas teenus kuulab privaatsel aadressil, mitte ainult loopbackil. Lubage kliendi bassein allikana, selle asemel et avada reegel internetti, ja pidage meeles, et SMB Azure Filesile vajab privaatse lõpp-punkti tee marsruutimist läbi tunneli. Kui ressurss vastab IP järgi, kuid mitte nime järgi, minge tagasi kontrolli 3 juurde, selle asemel et lüüsi puudutada.
Üks tabel hoiab kihid töötamise ajal lahus:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Kontroll 5: kirjutage profiil üles enne eskaleerimist
Pange piletisse lüüsi tüüp, tunneli tüüp, autentimismeetod ja kliendi operatsioonisüsteem. Sertifikaadiga IKEv2 profiil ja RADIUS profiil ebaõnnestuvad erinevatel põhjustel ning teise tunneli tüübi jaoks ehitatud klient ühendub ainult siis, kui lüüs pakub ühilduvat protokolli.
Väikese meeskonna jaoks on vastupidav disain üks VNet, üks DNS-forwarder ja dokumenteeritud split-tunnel klient. Kui nõue on püsiv avalik väljapääs, lõpetage saidi-kohaga tunnel tulemüüril, mida te kontrollite, ja suunake internetiliiklus sinna, selle asemel et paluda punkt-koht-lüüsilt midagi, mille jaoks seda kunagi ei ehitatud.