Miksi Azure VPN -etuliitteen lisääminen katkaisee yhteyden

Väärään Azure-objektiin lisätty etuliite tuottaa yhteyden, joka ilmoittaa Connected ja välittää ei mitään, ja se on tämän pinon kallein virhetyyppi. Mukana on kolme resurssia, ja vain yksi niistä omistaa etäisen osoiteavaruuden: virtuaaliverkon yhdyskäytävä, etäpuolen kuvaava paikallinen verkkoyhdyskäytävä ja ne yhdistävä yhteys. Etuliite kuuluu paikalliselle verkkoyhdyskäytävälle, yhteys on rakennettava uudelleen, jotta muutos tulee voimaan, ja itse yhdyskäytävä jätetään yleensä rauhaan. Järjestys ei ole neuvoteltavissa, ja portaali näyttää siitä vain osan.

Kolme objektia, joista yksi pitää etuliitettä

Virtuaaliverkon osoiteavaruus vastaa toiseen kysymykseen: mitä Azure sisällä asuu. Etäisen etuliitteen lisääminen sinne ei reititä liikennettä sinne, se vain laajentaa tilaa, jonka alusta uskoo omistavansa, mikä voi törmätä todelliseen etäalueeseen. Paikallinen verkkoyhdyskäytävä on objekti, joka pitää etäiset etuliitteet, ja yhteys viittaa molempiin yhdyskäytäviin sekä ennalta jaettuun avaimeen.

On vielä kolmas varaus, joka on pidettävä mielessä. GatewaySubnet isännöi hallitut yhdyskäytäväinstanssit, sen on oltava täsmälleen tämänniminen, ja muille kuin Basic-SKUille odotetaan vähintään /27:ää.

Mikään muu ei kuulu siihen aliverkkoon, eikä etuliitteen muutoksella ole syytä koskea siihen. Etuliite, joka puuttuu paikallisesta verkkoyhdyskäytävästä, on saavuttamaton riippumatta siitä, mitä yhteyden tila sanoo, koska yhdyskäytävä tarjoaa vain ne etuliitteet, joista sille kerrottiin tunnelia neuvoteltaessa. Siksi oire on epäsymmetrinen: tunneli on ylhäällä, suojausliitto on kunnossa, eikä yksi aliverkko koskaan ilmesty liikenteen valitsimiin. Jos yksi etäalue puuttuu naapureiden toimiessa, lopeta tunnelin katsominen ja lue paikallinen verkkoyhdyskäytävä.

Miksi juuri yhteys poistetaan

Yhteysobjekti kiinnittää neuvotellun kokoonpanon koko elinikänsä ajaksi. Siksi dokumentoitu menettely poistaa ensin yhteyden, päivittää paikallisen verkkoyhdyskäytävän ja luo sitten yhteyden uudelleen samalla jaetulla avaimella. Yhdyskäytäväinstansseja ei rakenneta uudelleen pelkän etuliitemuutoksen vuoksi, mikä rajaa katkoksen yhteyden purkamiseen uudelleenkäyttöönoton sijaan.

Tuo poisto on katkos, joten käsittele sitä suunniteltuna muutoksena, jolla on alku ja odotettu loppu, älä nopeana muokkauksena. PowerShellissä järjestys on lyhyt: Remove-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 -Force, sitten Set-AzLocalNetworkGateway uudella -AddressPrefix taulukolla, sitten New-AzVirtualNetworkGatewayConnection samalla -SharedKey ja samoilla yhdyskäytävillä. Avaimen uudelleenkäyttö on tärkeää, koska etäpuolta ei konfiguroida uudelleen ja uusi avain tarkoittaa koordinointia sen kanssa, joka omistaa etälaitteen. Jos toinen tiimi hallinnoi laitetta, sovi ikkunasta heidän kanssaan ennen kuin poistat mitään.

Milloin itse yhdyskäytävä on rakennettava uudelleen

Toinen tämän ongelman ympärillä kiertävä vastaus sanoo, että yhdyskäytävä on luotava uudelleen ja avain vaihdettava uudestaan. Se pitää paikkansa toisenlaiselle toiminnalle: yhdyskäytävän tyypin tai SKU:n muuttaminen, siirtyminen pisteen ja sivuston välillä tai sellaisen yhdyskäytävän korjaaminen, jonka oma kokoonpano on väärä. Sellaiset muutokset todella muuttavat yhdyskäytäväresurssia, joten uudelleenrakennus on todella tarpeen.

Piste-sivusto-yhteydelle luotua yhdyskäytävää ei voi yksinkertaisesti antaa sivusto-sivusto-yhteyttä. Piste-sivusto-kokoonpano on poistettava ja yhdyskäytävä luotava uudelleen, mikä tuottaa myös uuden jaetun avaimen ja uuden asiakaspaketin.

Piste-sivusto-paketti ansaitsee oman merkintänsä, koska se vanhenee. Portaali luo lyhytikäisen tiedoston, joten käytännöllinen tapa on ladata se kerran ja jakaa se asiakasvarmenteen rinnalla sen sijaan, että lähettäisi käyttäjille portaalilinkin, joka on kuollut heidän klikatessaan. Etuliiteasiaan mikään tästä ei päde. Kahden menettelyn erillään pitäminen on koko kurinalaisuus: etuliitteet ovat yhteystason muutos ja yhdyskäytävän ominaisuudet yhdyskäytävätason muutos.

Lue tila, älä portaalin merkkiä

Lue tila resurssista portaalin merkin sijaan. Get-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 palauttaa ConnectionStatus yhdessä saapuvan ja lähtevän liikenteen tavumerkkien kanssa, ja juuri merkit erottavat yhteydessä olevan mutta mitään kuljettamattoman tunnelin sellaisesta, jota ei koskaan muodostettu.

Merkit, jotka lakkaavat kasvamasta siirron keskellä, osoittavat polkuun eivätkä todentamiseen. Merkit, jotka eivät liiku lainkaan, osoittavat etuliitejoukkoon tai jaettuun avaimeen.

Ajastimet selittävät yhden katkosten luokan, joka laitetaan virheellisesti VPN:n syyksi. Azuren kuormantasaaja sulkee joutokäynnissä olevat virrat määritetyn aikakatkaisun jälkeen, oletuksena neljä minuuttia näiden muistiinpanojen kirjoittamisen aikaan ja ylöspäin konfiguroitavissa, joten OpenVPN-palvelin VM:llä ilman keepalivea voi pudota muutaman minuutin välein, kun kaikki muu näyttää terveeltä. Yhdyskäytävä, jota alusta kierrättää, voi myös katkaista VNet-yhteyden Web Appiin, ja tuo vika on alustan puolella eikä asiakaskokoonpanossa. Tunnusmerkki on, seuraako katkos kiinteää väliä vai tekemääsi muutosta.

Pidä kolme objektia ja niiden arvot yhdessä tietueessa: virtuaaliverkon osoiteavaruus, paikallisen verkkoyhdyskäytävän etuliiteluettelo ja yhteyden jaetun avaimen viittaus. sivusto-sivusto PowerShell-artikkeli dokumentoi paikallisen verkkoyhdyskäytävän komennot ja järjestyksen, johon ne kuuluvat. Etuliitemuutoksen vertaaminen muistiin on tapa, jolla toimiva tunneli rakennetaan uudelleen kahdesti.

Vahvista sitten siinä järjestyksessä, jossa muutit: paikallinen verkkoyhdyskäytävä näyttää uuden etuliiteluettelon, yhteys on jälleen Connected, ja merkit liikkuvat, kun lähetät liikennettä uuden alueen isäntään. Jos kolmas vaihe epäonnistuu kahden ensimmäisen mennessä läpi, etäpuoli ei ole hyväksynyt uutta liikenteen valitsinta ja etälaite tarvitsee vastaavan vaiheen 2 merkinnän. Se on keskustelu tunnelin toisen pään kanssa, ei uusi muutos Azuressa.