S2S VPN Azure ceangailte ach gan trácht: léigh an log IKE

Deir an tairseach Connected, tá cuntar ama suas ag an tollán, agus faigheann trace ó do mheaisín fíorúil bás ar an dara hop. Cuireann staid an naisc síos ar an idirbheart IKE agus IPsec, ní ar mhaireann aon phaicéad amháin an tsraith bheartais ar cheachtar taobh. Míníonn dhá locht an chuid is mó de na ticéid seo, agus ní dheisítear ceachtar acu trí ród Azure a athrú. Tá an dá cheann scríofa cheana sa log a tháirg an geata, agus sin an fáth a dtosaím ansin seachas sa tábla ród.

Cad a dheimhníonn Connected i ndáiríre

Ciallaíonn nasc site-to-site ceangailte go bhfuil céim 1 agus céim 2 críochnaithe agus go bhfuil na comhlachais slándála in airde. Is ráiteas é sin faoin idirbheart: d'aontaigh an dá phiaraí ar thogra, mhalartaigh siad eochracha agus shuiteáil siad an péire SA. Ní deir sé rud ar bith faoi cé acu a mheaitseálann na roghnóirí tráchta na fo-líonta a cheapann tú atá cosanta, ná faoi cé acu a ródóidh an taobh i bhfad an paicéad áit éigin tar éis é a dhíchriptiú. Is féidir le tollán fanacht in airde ar feadh seachtainí agus gach sruth suimiúil á scaoileadh, agus is é sin go beacht an patrún a thugann ar dhaoine geata sláintiúil a atógáil.

Is iad an dá locht ar fiú iad a sheiceáil ar dtús ná piaraí a mholann AH in ionad ESP, agus líonra fíorúil atá uimhrithe i spás nach gcaitheann an geata leis mar spás inmheánach.

Oscail an log easpórtáilte sula ndéanann tú teagmháil le róid

San tairseach, oscail geata an líonra fhíorúil agus rith an oibríocht VPN troubleshoot ar an nasc, ansin íoslódáil an bundle a tháirgeann sé agus díphacáil é. Istigh tá log IKE le malartuithe chéim 1 agus chéim 2, le stampaí ama agus inléite mar ghnáth-théacs. Cuardaigh ann don líne transform seachas léamh ó bharr go bun, mar is gnách go mbíonn an iontráil shuimiúil cúpla céad líne isteach. Mura bhfuil rochtain agat ar an tairseach, tagann na diagnóisic chéanna sa cheann scríbe loga an gheata nuair a bhíonn na socruithe diagnóisice cumasaithe.

Iompraíonn dhá iontráil an chuid is mó den luach. Deir an chéad cheann rud éigin mar expected ESP with combined authentication and cipher, received AH. Is é an dara ceann earráid payload neamhbhailí le linn an mhalartaithe IKE, rud a chiallaíonn go hiondúil réimse togra míchumtha nó nach dtacaítear leis.

Cuireann an dá cheann síos ar an rud a thairg an gléas áitiúil, mar sin is socruithe ar thaobh an phiaraí iad araon. Ní athraíonn athghiniúint thaobh Azure den nasc an togra a sheolann do bhalla dóiteáin, agus is é a dhéanamh mar sin féin an uair is mó a chuirtear amú sa sreabhadh oibre seo. Ar an phiaraí, cuir céim 2 ar ESP le fíordheimhniú agus sifriú comhcheangailte agus lig dó an t-algartam a idirbheartú, ansin seiceáil an bhfuil bosca seiceála ón soláthraí darb ainm rud éigin cosúil le combined mode ag roghnú togra AH go ciúin faoina bhun.

Deimhnigh spás seolta an líonra fhíorúil

Tá an geata ag súil go mbeidh an líonra fíorúil i raonta príobháideacha. Is féidir le líonra atá uimhrithe i mbloc poiblí, mar shampla ceann a thosaíonn le 111.x, an tollán a ardú agus Azure ag diúltú an spás sin a chaitheamh mar spás inmheánach, ionas go bhfeictear an nasc sláintiúil agus nach nglactar le haon sruth. Deimhnigh an spás seolta sula gcaitheann tú tráthnóna le roghnóirí. Má tá an uimhriú ina riachtanas crua ó leithdháileadh níos sine, is é an ceartú ná athrú ar an bplean seolta seachas geata eile.

Taifead an forluí leis na raonta áitiúla agus tú sa bhlaosc spáis seolta, mar chruthaíonn réimíreanna forluiteacha teip dhifriúil a fhéachann cosúil leis an gceann céanna ón gcliant.

Fíoraigh na réimíreanna sa dá threo

Coinníonn acmhainn gheata an líonra áitiúil na réimíreanna áitiúla, agus caithfidh siad teacht leis na fo-líonta a chosnaíonn an gléas cianda i ndáiríre. Fágfaidh achoimre a chuimsíonn seoltaí a scaoileann an gléas roinnt sruthanna tríd agus teipfidh sí ar chinn eile, rud a léitear mar locht ródaithe eatramhach seachas mar mhíthreoir chumraíochta. Seiceáil an taobh i bhfad freisin: foirceann amháin ag liostú /16 agus an ceann eile ag liostú trí /24 istigh ann — sin an teip pháirteach chlasaiceach. Ní údarásach ceachtar den dá liosta as féin, mar sin déan iad a chur i gcomparáid taobh le taobh seachas muinín a bheith agat as an gceann a fheiceann tú.

Ní ghlactar le hathrú réimíre i gcónaí as féin, mar sin pleanáil an réad naisc a shábháil nó a athchruthú agus ansin deimhnigh go dtagann na réimíreanna nua chun solais ar an dá thaobh.

Tástáil cosán, ní ping

Seo an chuma a bhíonn ar an trace a dhealaíonn tollán oibre ó ród oibre: is é an chéad hop an geata áitiúil, ansin cúpla hop nach bhfreagraíonn, ansin freagraíonn an t-óstach cianda. Mura sroicheann an trace an t-óstach riamh, tástáil an port TCP a úsáideann an feidhmchlár i ndáiríre, mar scagtar ICMP go minic go leor nach gcruthaíonn ping teipthe mórán. Rith an trace céanna ó óstach cianda i dtreo meaisín fíorúil in Azure. Is é an neamhshiméadracht idir an dá thoradh an bealach is tapúla chun ród fillte atá ar iarraidh nó riail a cheadaíonn treo amháin a aimsiú.

Scríobh togra an phiaraí, an dá spás seolta agus am cruthaithe an naisc sa ticéad, ionas go mbeidh a fhios ag an innealtóir seo chugainn cé na luachanna a atógadh agus cé na cinn nár baineadh leo riamh.

Má thagann an log ar ais folamh, b'fhéidir nach bhfuil an geata ag críochnú do naisc ar chor ar bith. Deimhnigh go dtagann seoladh an phiaraí ar gheata an líonra áitiúil leis an ngléas as a bhfuil an log á léamh agat, mar is furasta dhá gheata i síntiús amháin a mheascadh le linn atógála. Cosnaíonn an mhíthreoir sin lá agus ní fhágann sí aon rian in aon log.