Azure P2S VPN ne može razriješiti naziv privatne krajnje točke

Povežete point-to-site tunel, pingate privatnu adresu, otvorite aplikaciju i umjesto toga dobijete 403 ili pogrešku certifikata. Oba simptoma upućuju na DNS, ali to su različite greške: jedna znači da je klijent razriješio javnu adresu, druga da je razriješio privatnu adresu i zatim ponudio naziv koji certifikat ne pokriva. Prođite provjere ispod redom i zaustavite se na prvom neuspjehu, jer unos u hosts ili keširani odgovor mogu učiniti da svaka kasnija provjera prođe iz pogrešnog razloga. Držim ovaj red u tekstualnoj datoteci uz svoje VPN profile, jer popravak ne mijenja ništa u tunelu, a sve u onome što klijent zna.

Počnite s adresom koju klijent doista dobije

Pitajte resolver izravno umjesto da vjerujete aplikaciji. Na Windowsu nslookup adminuidev-fedqcubyd9bfb2bq.canadacentral-01.azurewebsites.net pokazuje koji je pogled klijent dobio. Javan odgovor znači da ništa nizvodno neće stići do krajnje točke; privatna adresa krajnje točke znači da je DNS gotov i da je sljedeća provjera sama veza.

Privatna krajnja točka ne preimenuje uslugu. Račun ili aplikacija zadržava svoje uobičajeno potpuno kvalificirano ime, a krajnja točka mijenja samo adresu na koju se to ime razrješava za klijente unutar virtualne mreže. Zato se isti naziv hosta razrješava privatno s VM-a u mreži, a javno s prijenosnika koji nikada nije dobio privatni pogled.

Provjerite zonu, njezinu vezu i zapis prije tunela

Tri uvjeta moraju vrijediti zajedno: privatna zona postoji, povezana je s virtualnom mrežom u koju VPN gateway i klijenti ulaze u Azure i sadrži A zapis za krajnju točku koji pokazuje na privatnu adresu. Povežite zonu s nepovezanom mrežom i gateway će nastaviti razrješavati javni zapis dok sve u tunelu izgleda zdravo.

Nazivi zona pripadaju uslugama, a ne privatnim vezama općenito. App Service obično koristi privatelink.azurewebsites.net, pohrana i SQL imaju vlastite prostore imena, a posuđivanje zone druge usluge stvara zonu koja postoji i ne odgovara ništa korisno.

Dajte klijentu resolver koji doista može dosegnuti

168.63.129.16 odgovara s Azure virtualnih strojeva i nije DNS poslužitelj za prijenosnik s druge strane point-to-site tunela. Klijentu treba resolver dostupan kroz tunel: ulazna krajnja točka Azure DNS Private Resolvera, prosljeđivač unutar virtualne mreže ili unosi DNS poslužitelja preneseni u profil VPN klijenta, tako da klijent pita virtualnu mrežu izravno.

Konfiguriran ali nedostupan resolver ponaša se točno kao nikakav resolver, a simptom je istek vremena, a ne pogrešan odgovor, zbog čega se pogrešno čita kao problem vatrozida. Testirajte ga upitom koji tunel treba nositi, a ne javnim imenom koje bi ionako prošlo preko lokalne veze.

Ako prosljeđujete umjesto da gurate postavke, prosljeđujte prostor imena koji posjeduje privatna zona, privatelink.azurewebsites.net, a ne cijeli azurewebsites.net. Uvjetni prosljeđivač koji proguta cijeli roditeljski sufiks šalje svaku pretragu usluge u Azure, uključujući one koje trebaju ostati lokalne.

Koristite naziv za koji je certifikat izdan

Kad adresa bude ispravna, pojavi se druga greška. Pohrana i App Service objavljuju alias privatelink, a taj alias nije nužno naziv u certifikatu. AzCopy prijenos na privatelink.blob.core.windows.net nije prošao validaciju; isti prijenos na <account>.blob.core.windows.net/<container> razriješio se na privatnu adresu i prošao, pa je ostao na privatnom putu bez zaobilaženja.

Pravilo vrijedi u pregledniku i za App Service: povežite se s nazivom hosta koji certifikat pokriva i pustite DNS da dobavi privatnu adresu. Ne posežite za zaobilaženjem validacije, jer ono grešku u imenovanju pretvara u sigurnosnu regresiju. Uspješan ping dokazuje rutu i ne govori ništa o nazivu unutar handshakea, zbog čega ovo ostaju odvojene provjere.

Redoslijed od četiri koraka koji izolira svaki sloj

1. Potvrdite da VPN klijent ima adresu iz point-to-site skupa i rutu do privatne adrese krajnje točke.
2. Razriješite točan naziv koji aplikacija koristi i usporedite odgovor s adresom krajnje točke.
3. Otvorite TCP vezu prema krajnjoj točki na portu usluge, zatim pročitajte naziv certifikata predstavljen na toj vezi.
4. Tek sada testirajte autorizaciju, jer radni put i valjan certifikat još uvijek ne daju pristup resursu.

Odbijena veza dok je adresa ispravna upućuje na mrežnu sigurnosnu grupu ili stanje veze privatne krajnje točke, a ne na DNS, pa to provjerite prije nego ponovno uredite postavke resolvera. Neslaganje TLS naziva vraća vas na naziv hosta u URL-u i subject certifikata. Držite izlaz razrješavanja, naziv certifikata i točan URL zajedno; te tri vrijednosti objašnjavaju većinu ovih slučajeva bez diranja gatewaya.

Koristite VM unutar virtualne mreže kao kontrolu. Ako se naziv tamo razrješava privatno, a s tunela javno, zona i zapis su ispravni i jedina razlika je put resolvera klijenta, što se potvrđuje brže od još jednog pregleda konfiguracije krajnje točke.

Klijenti također keširaju. Zapis koji je odgovorio javno prije deset minuta nastavlja odgovarati i nakon što popravite zonu, pa ispraznite keš prije ponovnog testa. Na Windowsu ipconfig /flushdns čisti keš klijenta; pravila politike razrješavanja naziva ostaju, određuju koji sufiks ide kojem poslužitelju i mogu nastaviti slati prostor imena resolveru koji ste upravo zamijenili.

Gdje pripada unos u hosts

Dodavanje adrese krajnje točke u datoteku hosts dobra je dijagnostika i loš dizajn. Dokazuje da je mapiranje naziva na adresu dio koji nedostaje i omogućuje testiranje svega nakon tog koraka, ali je nevidljivo vašim korisnicima, kvari se kad se adresa krajnje točke promijeni i skriva zonu koja bi trebala odgovarati.

Zaostali testni unos gori je od zastarjelog keša, jer može učiniti da popravljeni put izgleda pokvaren ili pokvaren put popravljen, ovisno o smjeru greške. Uklonite ga prije završnog prolaza i razrješavajte samo produkcijskim resolverom.

Kratka imena trebaju sufiks pretrage, a potpuno kvalificirana ne trebaju, pa prvo testirajte potpuno kvalificirano ime, a zatim odlučite treba li radnom toku sufiks prenesen kroz profil klijenta. Microsoft dokumentira nazive zona i oblike zapisa po usluzi u svojim smjernicama za DNS privatnih krajnjih točaka; pročitajte unos za svoju uslugu umjesto da kopirate zonu s druge.