Azure’n IP-virtausvarmennus sanoo sallittu, mutta VPN epäonnistuu silti

Sivusto-sivusto-tunneli on yhdistetty, VM on terve, mutta paikallinen asiakas ei saa mitään. Avaat Network Watcherin, ajat IP-virtausvarmennuksen ja se sanoo Access allowed, joten tiketti suljetaan VPN-ongelmana. Tulos ei tarkoita sitä miltä se näyttää, koska IP-virtausvarmennus arvioi kuvailemasi virtauksen suojaussäännöt eikä koskaan testaa, onko Azurella reitti paikalliseen etuliitteeseesi.

Suodatuskysymys ja reitityskysymys ovat erillisiä, ja Network Watcher vastaa niihin eri työkaluilla. Tieto siitä, kumman kysyit, on suurin osa diagnoosia.

Mitä IP-virtausvarmennus todella päättää

IP-virtausvarmennus ottaa VM:n, verkkoliitännän, suunnan, viisikon arvot ja protokollan ja raportoi sitten kyseisen virtauksen NSG- ja tietoturvaylläpitäjän säännön päätöksen. Se toimii TCP:llä ja UDP:llä, joten se ei ole ICMP-sääntöjen testaaja eikä estetty ping todista palvelustasi mitään. Anna sille todellinen virtaus arvauksen sijaan. Saapuva yhteys paikallisesta verkosta tietokantaporttiin on eri kuvaus kuin lähtevä yhteys, jonka VM aloittaa.

Jos yhdyskäytävä kääntää osoitteita, käytä lähdeosoitetta, joka saavuttaa arvioimasi rajan, älä asiakasasetuksissa olevaa. Lue tulos myös sellaisena kuin se on. Access allowed tarkoittaa, että suodatuskerros päästäisi paketin läpi, jos se saapuisi, eikä muuta.

Mitä se ei voi kertoa, on Azuren valitsema reitti, salliiko vieraan palomuuri portin tai kuunteleeko jokin. Ne elävät muilla kerroksilla.

Mitä seuraava hyppy ja tehokkaat reitit lisäävät

Seuraava hyppy vastaa edelleenlähetyskysymykseen: tälle kohteelle minkä seuraavan hypyn tyypin Azure valitsee, millä osoitteella, mistä reititystaulusta. Tehokkaat reitit listaavat, mitä NIC:llä todella on. Aja molemmat ja saat Azure-puolen polun, jonka vihreä IP-virtausvarmennus jättää tyhjäksi.

Microsoftin IP-virtausvarmennuksen yleiskatsaus kertoo suodatuslaajuuden suoraan, kun taas seuraavan hypyn ja reittidiagnostiikan sivut kattavat edelleenlähetyspuolen. Viittaa oikeaan sivuun, kun kirjoitat havainnon.

Komennot ovat tarpeeksi lyhyitä kuoresta ajettaviksi. az network nic show-effective-route-table listaa liitäntään sovelletut reitit. az network watcher show-next-hop palauttaa lähteen ja kohteen kanssa valitun hypyn. Vertaa kiinnostavaa etuliitettä tuohon tauluun ja vahvista sitten, mikä merkintä voittaa.

Kävele paluupolku VM:n NICiltä

Tee tämä kohde-VM:n NICiltä paikallisen asiakkaan etuliitteelle, ei internetille. Paluupolku on paikka, jossa sivusto-sivusto-viat piileskelevät, koska tunnelin tilan tarkistus kertoo vain, että suojausyhdistykset ovat pystyssä.

Jos odotettu reitti puuttuu, tarkista yhdyskäytävän asetusten tarjoamat etäetuliitteet, VNet-yhteyksien suunnittelu ja kaikki reittien levitysasetukset. Paikallisen verkon yhdyskäytäväobjekti kuvaa paikallisen puolen; sen olemassaolo ei todista, että jokainen tarvittava etuliite on NIC:llä ja suosittu. Ne ovat eri tosiasioita, ja vain yksi niistä näkyy portaalin yhteenvedossa.

Lue seuraavan hypyn tyyppi sen sijaan, että kopioit esimerkin

Hallitun VPN-yhdyskäytävän polku näyttää yleensä VirtualNetworkGateway seuraavan hypyn tyyppinä. VirtualAppliance kuvaa erilaisen edelleenlähetysratkaisun, yleensä palomuurin tai verkon virtuaalilaitteen.

Älä luo laitereittiä arvattuun VPN-päätepisteeseen siksi, että vanha foorumivastaus käytti sitä tyyppiä. Jos käyttäjän määrittämä reitti ohittaa aiottuun polun, selvitä sen omistaja ja tarkoitus ennen muuttamista. Toinen NIC voi myös muuttaa, mitä liitäntää vieras käyttää, ja sen poistaminen voi rikkoa toisen palvelun tämän reitin korjaamisen sijaan.

Siirry rajalle, joka yhä epäonnistuu

Kun suodatus ja reititys molemmat vastaavat suunnittelua, vika on muualla. Tarkista vieraan oma reititystaulu, sen palomuuri ja se, onko kuuntelija sidottu odotettuun osoitteeseen. Tarkista sitten VPN:n suojatut liikenteen valitsimet ja paikallinen vastauspolku. Jokainen niistä on erillinen testi erillisellä tuloksella.

Lopeta sallittuun sovelluspyyntöön ja havaintoihin molemmista päistä. Salliva tulos ja oikea seuraava hyppy ovat kaksi todisteen palaa, eivät todiste siitä, että yhteys onnistui.