Azure puntutik gunera konektatzen da, baina baliabide pribatu batek ez du erantzuten
Konektatuta egoteak tunela altxatu dela baino ez du esan nahi. Egiaztatu atebideak zer eraman dezakeen, alderatu helbide-espazioak, gero ebatzi izen bat eta probatu zerbitzua bera.
Konektatuta egotea tunelaren egoera da, ez irisgarritasunari buruzko adierazpena. Puntutik gunera bezero batek IKE amaitu, helbide bat jaso eta hala ere ezer ez du lortu, atebideak VNet-ek jada ezagutzen dituen sareetarako trafikoa soilik birbidaltzen duelako. Egin bost egiaztapen hauek hurrenez hurren eta gelditu lehen hutsegitean. Aurrera egitea DNS arazo bat ordubetez suebaki arazo gisa tratatzeko modua da.
Ordenak zerrendak baino gehiago balio du.
1. egiaztapena: erabaki tunelek zer eraman behar duen
Azure VPN Gateway atebideak tunela amaitzen du eta VNet-i dagokion trafikoa birbidaltzen du; ez dainterneterako irteera orokorra. Erabiltzaileek beren nabigazioa Azure-tik atera dadin espero badute, diseinua okerra da bezeroaren edozein ezarpen sartu aurretik. Gaitu split tunneling, tokiko internetak tokiko bidea erabiltzen jarrai dezan, eta erabili NAT instantzia bat edo gunez guneko tunela irteera helbide finkoa benetan behar denean.
Idatzi bezeroak zertara iritsi behar duen ezer probatu aurretik. Zerrenda hori gabe, emaitza partzial bakoitza aurrerapen gisa igartzen da.
2. egiaztapena: alderatu helbide-espazioak ziurtagiriak baino lehen
Gainjartzea barruti zabalagoen arabera epaitzen da, beraz azpisare mailan desberdinak diruditen bi sare talka egiten dute haien guraso-blokeek gainjartzen badute. Atebidearen azpisareak dedikatu behar du eta SKUarentzat nahikoa handia izan, eta bezeroaren helbide-multzoak ez du VNet-ekin edo peering bidez irits daitekeen ezerrekin bat egin behar. Aldatu plana eta zabaldu berriro, zuzentzeko bide gehiago gehitzeak helmuga batzuetan funtzionatzen duen eta beste batzuetan argitu ezinean ez duen tunel bat sortzen duelako. Hornikuntzak ozenki huts egiten du hemen, eta hori da kasu ona.
Autentifikazioa da hurrengo atea. Ziurtagiri, RADIUS eta Entra ID profilek ez dira trukagarriak, eta bezero-paketea desberdina da bakoitzarentzat.
3. egiaztapena: ebatzi izen pribatu bat barrutik
Bezeroak bere resolver propioa mantentzen du deskargatutako profilek VNet-eko DNS zerbitzariak eramaten ez dituen bitartean, eta zerrenda hori deskarga unean txertatzen da. Gehitu forwarder bat VNet barruan, ezarri VNet-eko DNS zerbitzari gisa, gero deskargatu eta inportatu bezero-paketea berriro. Pakete zaharra berrerabiltzeak resolver zerrenda zaharra baino ez du probatzen.
Probatu helbide bat lehenengo, horrek bideratzea eta izendapena urrats bakarrean bereizten duelako: Test-NetConnection 10.20.1.4 -Port 3389.
Helbideak erantzuten badu eta izenak ez, galdetu resolver-ari zuzenean honekin: Resolve-DnsName files.corp.example -Server 10.20.0.4. Biak huts egiten badute, akatsa ez da DNS-ena eta utzi DNS ezarpenak aldatzen. Azure plataformaren DNS 168.63.129.16 helbidean bertan VNet barruan soilik erantzuten du, beraz kanpoko bezero batek ezin du helbide hori resolver gisa erabili.
4. egiaztapena: probatu tuneletik haragoko zerbitzua
Tunel osasuntsu bat eta portu itxi bat berdinak dirudite bezeroaren ikuspegitik. Egiaztatu gonbidatuaren suebakia, gero azpisareko edo NIC-eko sare-segurtasun taldea, gero zerbitzuak helbide pribatuan entzuten duen edo loopbackean soilik. Baimendu bezero-multzoa iturri gisa interneteko arau bat ireki beharrean, eta gogoratu Azure Files-erako SMB-k endpoint pribatuaren bidea tuneletik bideratuta behar duela. Baliabide batek IP bidez erantzuten duenean baina izen bidez ez, itzuli 3. egiaztapenera atebidea ukitu beharrean.
Taula batek geruzak bereizita mantentzen ditu lanean ari zaren bitartean:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
5. egiaztapena: erregistratu profila eskaileratu aurretik
Jarri tiketten atebide mota, tunel mota, autentifikazio metodoa eta bezeroaren sistema eragilea. Ziurtagiridun IKEv2 profil batek eta RADIUS profilek arrazoi desberdinengatik huts egiten dute, eta beste tunel mota batentzat eraikitako bezero bat atebideak protokolo bateragarria eskaintzen duenean soilik konektatzen da.
Talde txiki baterako diseinu iraunkorra VNet bat, DNS forwarder bat eta dokumentatutako split-tunnel bezero bat da. Baldintza irteera publiko finkoa bada, amaitu gunez guneko tunel bat kontrolatzen duzun suebaki batean eta bideratu interneteko trafikoa hara, puntutik gunera atebideari inoiz eraiki ez zuen zerbait eskatu beharrean.