Azure P2S VPN نمی‌تواند نام یک نقطه پایانی خصوصی را تفکیک کند

تونل نقطه‌به‌سایت را متصل می‌کنید، به نشانی خصوصی ping می‌زنید، برنامه را باز می‌کنید و در عوض 403 یا خطای گواهی می‌گیرید. هر دو نشانه به DNS اشاره دارند، اما دو خطای متفاوت‌اند: یکی یعنی کارخواه نشانی عمومی را تفکیک کرده، دیگری یعنی نشانی خصوصی را تفکیک کرده و سپس نامی ارائه داده که گواهی آن را پوشش نمی‌دهد. بررسی‌های زیر را به ترتیب انجام دهید و در نخستین شکست توقف کنید، زیرا یک ورودی hosts یا پاسخی که در حافظه نهان مانده می‌تواند هر بررسی بعدی را به دلیل نادرست قبول کند. این ترتیب را در یک فایل متنی کنار نمایه‌های VPN خود نگه می‌دارم، چون اصلاح هیچ چیز را در تونل تغییر نمی‌دهد و همه چیز را در آنچه کارخواه می‌داند تغییر می‌دهد.

با نشانی‌ای شروع کنید که کارخواه واقعاً دریافت می‌کند

به‌جای اعتماد به برنامه، مستقیماً از تفکیک‌کننده بپرسید. در Windows، nslookup adminuidev-fedqcubyd9bfb2bq.canadacentral-01.azurewebsites.net نشان می‌دهد کارخواه کدام نما را دریافت کرده است. پاسخ عمومی یعنی هیچ چیز در ادامه به نقطه پایانی نمی‌رسد؛ نشانی خصوصی نقطه پایانی یعنی DNS تمام شده و بررسی بعدی خود اتصال است.

نقطه پایانی خصوصی نام سرویس را تغییر نمی‌دهد. حساب یا برنامه نام کامل معمول خود را نگه می‌دارد و نقطه پایانی تنها نشانی‌ای را تغییر می‌دهد که آن نام برای کارخواه‌های داخل شبکه مجازی به آن تفکیک می‌شود. به همین دلیل همان نام میزبان از یک VM داخل شبکه به‌صورت خصوصی و از لپ‌تاپی که هرگز نمای خصوصی نگرفته به‌صورت عمومی تفکیک می‌شود.

پیش از تونل، منطقه، پیوند آن و رکورد را بررسی کنید

سه شرط باید همزمان برقرار باشند: منطقه خصوصی وجود دارد، به شبکه مجازی‌ای پیوند شده که دروازه VPN و کارخواه‌ها از آن وارد Azure می‌شوند، و رکورد A برای نقطه پایانی دارد که به نشانی خصوصی اشاره می‌کند. منطقه را به شبکه‌ای بی‌ربط پیوند دهید و دروازه همچنان رکورد عمومی را تفکیک می‌کند، در حالی که همه چیز در تونل سالم به نظر می‌رسد.

نام منطقه‌ها به سرویس‌ها تعلق دارد، نه به‌طور کلی به پیوندهای خصوصی. App Service معمولاً از privatelink.azurewebsites.net استفاده می‌کند، ذخیره‌سازی و SQL فضای نام خود را دارند، و قرض گرفتن منطقه یک سرویس دیگر منطقه‌ای می‌سازد که وجود دارد و هیچ پاسخ سودمندی نمی‌دهد.

به کارخواه تفکیک‌کننده‌ای بدهید که واقعاً به آن دسترسی دارد

168.63.129.16 از ماشین‌های مجازی Azure پاسخ می‌دهد و برای لپ‌تاپی در آن سوی تونل نقطه‌به‌سایت سرور DNS نیست. کارخواه به تفکیک‌کننده‌ای نیاز دارد که از طریق تونل در دسترس باشد: نقطه پایانی ورودی Azure DNS Private Resolver، یک ارسال‌کننده داخل شبکه مجازی، یا ورودی‌های سرور DNS که در نمایه کارخواه VPN حمل می‌شوند تا کارخواه مستقیماً از شبکه مجازی بپرسد.

تفکیک‌کننده‌ای که پیکربندی شده اما در دسترس نیست دقیقاً مانند نبودن تفکیک‌کننده رفتار می‌کند و نشانه آن پایان مهلت است نه پاسخ نادرست، از این رو به‌اشتباه مشکل دیوار آتش خوانده می‌شود. آن را با پرسشی بیازمایید که تونل باید حمل کند، نه با نامی عمومی که از پیوند محلی به‌هرحال موفق می‌شد.

اگر به‌جای هل دادن تنظیمات، ارسال می‌کنید، فضای نامی را که منطقه خصوصی مالک آن است ارسال کنید، privatelink.azurewebsites.net به‌جای تمام azurewebsites.net. ارسال‌کننده شرطی که کل پسوند والد را می‌بلعد هر جست‌وجوی سرویس را به Azure می‌فرستد، از جمله آن‌هایی که باید محلی بمانند.

از نامی استفاده کنید که گواهی برای آن صادر شده است

وقتی نشانی درست شد، خطای دوم آشکار می‌شود. ذخیره‌سازی و App Service یک نام مستعار privatelink منتشر می‌کنند و آن نام مستعار لزوماً نام موجود در گواهی نیست. یک بارگذاری AzCopy به مقصد privatelink.blob.core.windows.net در اعتبارسنجی شکست خورد؛ همان بارگذاری به <account>.blob.core.windows.net/<container> به نشانی خصوصی تفکیک شد و پذیرفته شد، پس بدون هیچ دور زدنی در مسیر خصوصی ماند.

این قاعده در مرورگر و برای App Service هم برقرار است: با نام میزبانی که گواهی پوشش می‌دهد متصل شوید و بگذارید DNS نشانی خصوصی را تأمین کند. به دور زدن اعتبارسنجی پناه نبرید، چون یک اشتباه نام‌گذاری را به پس‌رفت امنیتی تبدیل می‌کند. یک ping موفق مسیر را ثابت می‌کند و هیچ چیزی درباره نام داخل دست‌دادن نمی‌گوید، از این رو این‌ها بررسی‌های جداگانه می‌مانند.

ترتیبی چهارمرحله‌ای که هر لایه را جدا می‌کند

1. تأیید کنید که کارخواه VPN نشانی‌ای از استخر نقطه‌به‌سایت دارد و مسیری به نشانی خصوصی نقطه پایانی دارد.
2. همان نام دقیقی را که برنامه استفاده می‌کند تفکیک کنید و پاسخ را با نشانی نقطه پایانی مقایسه کنید.
3. یک اتصال TCP به نقطه پایانی روی درگاه سرویس باز کنید و سپس نام گواهی ارائه‌شده در آن اتصال را بخوانید.
4. تنها اکنون مجوزدهی را بیازمایید، چون مسیر کارآمد و گواهی معتبر هنوز دسترسی به منبع نمی‌دهند.

رد شدن اتصال در حالی که نشانی درست است به گروه امنیت شبکه یا وضعیت اتصال نقطه پایانی خصوصی اشاره دارد، نه به DNS، پس پیش از ویرایش دوباره تنظیمات تفکیک‌کننده آن‌ها را بررسی کنید. ناسازگاری نام TLS شما را به نام میزبان در URL و subject گواهی برمی‌گرداند. خروجی تفکیک، نام گواهی و URL دقیق را کنار هم نگه دارید؛ این سه مقدار بیشتر این موارد را بدون دست زدن به دروازه توضیح می‌دهند.

از یک VM داخل شبکه مجازی به‌عنوان شاهد استفاده کنید. اگر نام آنجا به‌صورت خصوصی و از تونل به‌صورت عمومی تفکیک شود، منطقه و رکورد درست‌اند و تنها تفاوت مسیر تفکیک‌کننده کارخواه است که سریع‌تر از یک دور دیگر روی پیکربندی نقطه پایانی تأیید می‌شود.

کارخواه‌ها هم حافظه نهان دارند. رکوردی که ده دقیقه پیش به‌صورت عمومی پاسخ داده پس از اصلاح منطقه هم پاسخ می‌دهد، پس پیش از آزمون دوباره حافظه نهان را خالی کنید. در Windows، ipconfig /flushdns حافظه نهان کارخواه را پاک می‌کند؛ اما قواعد سیاست تفکیک نام باقی می‌مانند، تعیین می‌کنند کدام پسوند به کدام سرور برود و می‌توانند همچنان فضای نام را به تفکیک‌کننده‌ای بفرستند که همین حالا جایگزینش کردید.

ورودی hosts کجا جای دارد

افزودن نشانی نقطه پایانی به فایل hosts تشخیص خوبی است و طراحی بدی. ثابت می‌کند که نگاشت نام به نشانی قطعه گمشده است و به شما امکان می‌دهد همه چیز بعد از آن مرحله را بیازمایید، اما برای کاربران شما نامرئی است، با تغییر نشانی نقطه پایانی می‌شکند و منطقه‌ای را که باید پاسخ دهد پنهان می‌کند.

ورودی آزمایشی باقی‌مانده از حافظه نهان کهنه بدتر است، چون بسته به جهت خطا می‌تواند مسیر اصلاح‌شده را خراب یا مسیر خراب را اصلاح‌شده نشان دهد. آن را پیش از اجرای نهایی بردارید و تنها با تفکیک‌کننده تولید تفکیک کنید.

نام‌های کوتاه به پسوند جست‌وجو نیاز دارند و نام‌های کامل نه، پس نخست نام کامل را بیازمایید و سپس تصمیم بگیرید که آیا گردش‌کار به پسوندی نیاز دارد که از طریق نمایه کارخواه هل داده شود. Microsoft نام منطقه‌ها و شکل رکوردها را برای هر سرویس در راهنمای DNS نقطه پایانی خصوصی مستند کرده است؛ ورودی سرویس خودتان را بخوانید، نه اینکه منطقه‌ای را از سرویس دیگر کپی کنید.