Azure punt-nei-site ferbynt, mar gjin privee-boarne reagearret
Ferbean betsjut allinnich dat de tunnel omheech is. Kontrolearje wat de gateway drage kin, fergelykje adresromten, en los dan in namme op en test de tsjinst sels.
Ferbean is in tastân fan de tunnel, net in útspraak oer berikberens. In punt-nei-site-klant kin IKE ôfmeitsje, in adres krije en dochs neat berikke, om't de gateway allinnich ferkear trochstjoert foar netwurken dy't it VNet al ken. Wurkje dizze fiif kontrôles yn folchoarder ôf en stopje by de earste mislearring. Foarút springe is hoe't in DNS-probleem in oere lang as in firewallprobleem behannele wurdt.
De folchoarder is wichtiger as de list.
Kontrôle 1: beslute wat de tunnel drage moat
Azure VPN Gateway beëiniget de tunnel en stjoert ferkear troch dat by it VNet heart; it isgjin algemiene internetútgong. As brûkers ferwachtsje dat harren sneupen fia Azure fuortgiet, is it ûntwerp ferkeard foardat hokker kliïntynstelling dan ek yn it spul komt. Skeakelje split tunneling yn sadat it pleatslike ynternet op it pleatslike paad bliuwt, en brûk in NAT-ynstânsje of in site-nei-site-tunnel as in fêst útgongsadres echt nedich is.
Skriuw op wat de klant berikke moat foardat jo wat dan ek testje. Sûnder dy list liket elk partiel resultaat op foarútgong.
Kontrôle 2: fergelykje adresromten foar sertifikaten
Oerlap wurdt beoardiele op de bredere berikken, dat twa netwurken dy't op subnetnivo oars lykje, botse dochs as har âlderblokken oerlapje. It gateway-subnet moat tawijd wêze en grut genôch foar de SKU, en de klantadrespoel mei net botsen mei it VNet of mei wat dan ek berikber is fia in peering. Feroarje it plan en set op 'e nij út, want it tafoegjen fan rûtes as kompensaasje makket in tunnel dy't foar guon bestimmings wurket en foar oaren ûnferklearber net. Provisioning mislearret hjir lûd, wat it goede gefal is.
Autentikaasje is de folgjende poarte. Sertifikaat-, RADIUS- en Entra ID-profylen binne net útwikselber, en it klantpakket ferskilt foar elk.
Kontrôle 3: los in privee namme fan binnen op
De klant hâldt syn eigen resolver, útsein as it downloadde profyl de DNS-tsjinners fan it VNet befettet, en dy list wurdt by it downloaden ynbêde. Foegje in forwarder ta binnen it VNet, set it as DNS-tsjinner fan it VNet, en download en ymportearje it klantpakket dan op 'e nij. It werbrûken fan it âlde pakket testet allinnich de âlde resolverlist.
Testearje earst in adres, want dat skiedt routing fan nammejouwing yn ien stap: Test-NetConnection 10.20.1.4 -Port 3389.
As it adres antwurdet en de namme net, freegje de resolver dan direkt mei Resolve-DnsName files.corp.example -Server 10.20.0.4. As beide mislearje, is de flater net DNS en moatte jo ophâlde mei it bewurkjen fan DNS-ynstellingen. Azure-platfoarm-DNS op 168.63.129.16 antwurdet allinnich fan binnen it VNet, dat in klant bûten it kin dat adres net as resolver brûke.
Kontrôle 4: test de tsjinst efter de tunnel
In sûne tunnel en in sletten poarte sjogge der fan de klant út itselde út. Kontrolearje de gast-firewall, dan de netwurkbefeiligingsgroep op it subnet of de NIC, dan oft de tsjinst op it privee adres harket ynstee fan allinnich op loopback. Stean de klantpoel as boarne ta ynstee fan in regel nei it ynternet te iepenjen, en betink dat SMB nei Azure Files it paad fan it privee einpunt fia de tunnel nedich hat. As in boarne op IP antwurdet mar net op namme, gean dan werom nei kontrôle 3 ynstee fan de gateway oan te reitsjen.
Ien tabel hâldt de lagen útinoar wylst jo wurkje:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Kontrôle 5: registrearje it profyl foardat jo eskalearje
Set it gatewaytype, tunneltype, autentikaasjemetoade en it bestjoeringssysteem fan de klant yn it ticket. In sertifikaat-IKEv2-profyl en in RADIUS-profyl mislearje om ferskillende redenen, en in klant boud foar in oar tunneltype ferbynt allinnich as de gateway in kompatibel protokol biedt.
Foar in lyts team is it duorsume ûntwerp ien VNet, ien DNS-forwarder en in dokumintearre split-tunnel-klant. As de eask in fêste iepenbiere útgong is, beëinigje dan in site-nei-site-tunnel op in firewall dy't jo kontrolearje en lied it ynternetferkear dêrhinne, ynstee fan de punt-nei-site-gateway te freegjen om eat dêr't er nea foar boud is.