بررسی جریان IP در Azure می‌گوید مجاز است، اما VPN باز هم کار نمی‌کند

تونل سایت‌به‌سایت متصل است، ماشین مجازی سالم است، اما کلاینت محلی چیزی نمی‌گیرد. Network Watcher را باز می‌کنید، بررسی جریان IP را اجرا می‌کنید و می‌گوید Access allowed، پس تیکت به‌عنوان مشکل VPN بسته می‌شود. این نتیجه آن چیزی نیست که به نظر می‌رسد، چون بررسی جریان IP قواعد امنیتی جریانی را که توصیف کرده‌اید ارزیابی می‌کند و هرگز آزمون نمی‌کند که آیا Azure مسیری به پیشوند محلی شما دارد.

پرسش فیلترکردن و پرسش مسیریابی جدا هستند و Network Watcher با ابزارهای متفاوتی به آنها پاسخ می‌دهد. دانستن اینکه کدام را پرسیده‌اید بیشتر تشخیص است.

بررسی جریان IP در واقع چه چیزی را تعیین می‌کند

بررسی جریان IP یک ماشین مجازی، یک رابط شبکه، یک جهت، مقادیر پنجگانه و یک پروتکل می‌گیرد و سپس تصمیم قاعده NSG و سرپرست امنیت را برای آن جریان گزارش می‌کند. روی TCP و UDP کار می‌کند، پس آزمونگر قاعده ICMP نیست و ping مسدودشده چیزی درباره سرویس شما اثبات نمی‌کند. جریان واقعی را به آن بدهید نه حدس. اتصال ورودی از محیط محلی به درگاه پایگاه داده توصیف متفاوتی از اتصال خروجی است که ماشین مجازی آغاز می‌کند.

اگر دروازه نشانی‌ها را ترجمه می‌کند، نشانی مبدأیی را به کار ببرید که به مرزی که ارزیابی می‌کنید می‌رسد، نه نشانی موجود در پیکربندی کلاینت. نتیجه را هم همان‌طور که هست بخوانید. Access allowed یعنی لایه فیلتر بسته را در صورت رسیدن مجاز می‌کرد، و نه بیشتر.

چیزی که نمی‌تواند به شما بگوید مسیری است که Azure انتخاب کرده، اینکه فایروال مهمان درگاه را مجاز می‌کند یا چیزی در حال شنیدن است. آنها در لایه‌های دیگر زندگی می‌کنند.

گام بعدی و مسیرهای مؤثر چه چیزی اضافه می‌کنند

گام بعدی به پرسش ارسال پاسخ می‌دهد: برای این مقصد، Azure کدام نوع گام بعدی را انتخاب می‌کند، با کدام نشانی، از کدام جدول مسیر. مسیرهای مؤثر فهرست می‌کنند که NIC واقعاً چه دارد. هر دو را اجرا کنید و مسیر سمت Azure را می‌گیرید که یک بررسی سبز جریان IP آن را خالی می‌گذارد.

بررسی اجمالی بررسی جریان IP مایکروسافت دامنه فیلترکردن را مستقیماً بیان می‌کند، در حالی که صفحه‌های گام بعدی و تشخیص مسیر سمت ارسال را پوشش می‌دهند. هنگام نوشتن یافته، صفحه درست را نقل کنید.

فرمان‌ها به‌قدری کوتاه هستند که از یک پوسته اجرا شوند. az network nic show-effective-route-table مسیرهای اعمال‌شده روی رابط را فهرست می‌کند. az network watcher show-next-hop با مبدأ و مقصد گام انتخاب‌شده را برمی‌گرداند. پیشوندی که برایتان مهم است را با آن جدول مقایسه کنید و سپس تأیید کنید کدام ورودی برنده می‌شود.

مسیر بازگشت را از NIC ماشین مجازی طی کنید

این کار را از NIC ماشین مجازی هدف، برای پیشوند کلاینت محلی انجام دهید، نه برای اینترنت. مسیر بازگشت جایی است که خطاهای سایت‌به‌سایت پنهان می‌شوند، چون بررسی وضعیت تونل فقط گزارش می‌دهد که انجمن‌های امنیتی برپا هستند.

اگر مسیر مورد انتظار وجود ندارد، پیشوندهای دوردستی را که پیکربندی دروازه فراهم می‌کند، طراحی اتصال VNet و هر تنظیم انتشار مسیر را بررسی کنید. شیء دروازه شبکه محلی سمت محلی را توصیف می‌کند؛ وجود آن اثبات نمی‌کند که هر پیشوند لازم روی NIC حاضر و ترجیح داده شده است. اینها واقعیت‌های متفاوتی هستند و تنها یکی از آنها در خلاصه درگاه دیده می‌شود.

نوع گام بعدی را بخوانید، نه اینکه مثالی را کپی کنید

مسیر دروازه VPN مدیریت‌شده معمولاً VirtualNetworkGateway را به‌عنوان نوع گام بعدی نشان می‌دهد. VirtualAppliance طراحی ارسال متفاوتی را توصیف می‌کند، معمولاً فایروال یا دستگاه شبکه مجازی.

مسیر دستگاهی به سمت نقطه پایانی VPN حدس‌زده‌شده ایجاد نکنید فقط چون پاسخ قدیمی یک انجمن از آن نوع استفاده کرده است. اگر مسیر تعریف‌شده توسط کاربر مسیر مورد نظر را نادیده می‌گیرد، پیش از تغییر آن، صاحب و هدفش را پیدا کنید. یک NIC دوم هم می‌تواند تغییر دهد مهمان از کدام رابط استفاده می‌کند، و حذف آن ممکن است به‌جای درست کردن این مسیر، سرویس دیگری را بشکند.

به مرزی بروید که هنوز شکست می‌خورد

وقتی فیلترکردن و مسیریابی هر دو با طراحی همخوان باشند، خطا جای دیگری است. جدول مسیر خود مهمان، فایروال آن و اینکه شنونده به نشانی مورد انتظار مقید است را بررسی کنید. سپس انتخابگرهای ترافیک محافظت‌شده VPN و مسیر پاسخ محلی را بررسی کنید. هر یک از آنها آزمون جداگانه‌ای با نتیجه جداگانه است.

با یک درخواست برنامه مجاز و مشاهدات از هر دو سر ببندید. نتیجه مجاز و یک گام بعدی درست دو قطعه شاهد هستند، نه اثبات اینکه اتصال موفق شده است.