Az Azure IP-folyam-ellenőrzése engedélyezettet mond, de a VPN továbbra is meghiúsul

A site-to-site alagút csatlakoztatva van, a VM egészséges, de a helyi ügyfél semmit sem kap. Megnyitja a Network Watchert, lefuttatja az IP-folyam-ellenőrzést, és az Access allowed értéket mond, így a jegyet VPN-problémaként zárják le. Ez az eredmény nem azt jelenti, aminek látszik, mert az IP-folyam-ellenőrzés az Ön által leírt folyam biztonsági szabályait értékeli, és soha nem vizsgálja, hogy az Azure-nak van-e útvonala a helyi előtagjához.

A szűrési kérdés és az útválasztási kérdés különálló, és a Network Watcher különböző eszközökkel válaszol rájuk. Annak ismerete, melyiket tette fel, a diagnózis nagy része.

Mit dönt el valójában az IP-folyam-ellenőrzés

Az IP-folyam-ellenőrzés egy VM-et, egy hálózati csatolót, egy irányt, ötös értékeket és egy protokollt vesz, majd jelenti az adott folyam NSG- és biztonsági adminisztrátori szabályának döntését. TCP-n és UDP-n működik, tehát nem ICMP-szabályvizsgáló, és egy blokkolt ping semmit sem bizonyít a szolgáltatásáról. Adja meg neki a valódi folyamot, ne egy találgatást. A helyi hálózatról egy adatbázis-portra érkező bejövő kapcsolat más leírás, mint a VM által kezdeményezett kimenő kapcsolat.

Ha az átjáró címeket fordít, használja azt a forrás címet, amely eléri az értékelt határt, ne a klienskonfigurációban lévőt. Olvassa az eredményt is annak, ami. Az Access allowed azt jelenti, hogy a szűrő réteg engedné a csomagot, ha megérkezne, és semmi többet.

Amit nem tud megmondani, az az Azure által választott útvonal, hogy a vendég tűzfala engedi-e a portot, vagy hogy hallgat-e valami. Ezek más rétegekben élnek.

Mit ad hozzá a következő ugrás és a hatékony útvonalak

A következő ugrás egy továbbítási kérdésre válaszol: ehhez a célhoz melyik következő ugrás típust választja az Azure, milyen címen, melyik útvonaltáblából. A hatékony útvonalak felsorolják, mi van valójában a NIC-en. Futtassa mindkettőt, és megkapja azt az Azure-oldali utat, amelyet egy zöld IP-folyam-ellenőrzés üresen hagy.

A Microsoft IP-folyam-ellenőrzés áttekintése közvetlenül megadja a szűrési hatókört, míg a következő ugrás és az útvonal-diagnosztika oldalai a továbbítási oldalt fedik le. A megfelelő oldalt idézze, amikor a megállapítást leírja.

A parancsok elég rövidek ahhoz, hogy héjból futtassa őket. az network nic show-effective-route-table felsorolja a csatolóra alkalmazott útvonalakat. az network watcher show-next-hop forrással és céllal visszaadja a kiválasztott ugrást. Hasonlítsa össze az Ön számára fontos előtagot azzal a táblával, majd erősítse meg, melyik bejegyzés nyer.

Járja be a visszaútvonalat a VM NIC-jétől

Ezt a cél-VM NIC-jéről tegye, a helyi ügyfél előtagjára, nem az internetre. A visszaútvonal az, ahol a site-to-site hibák elrejtőznek, mert az alagút állapotának ellenőrzése csak azt jelenti, hogy a biztonsági társítások fennállnak.

Ha a várt útvonal hiányzik, ellenőrizze az átjáró konfigurációja által biztosított távoli előtagokat, a VNet kapcsolódási tervét és bármely útvonal-terjesztési beállítást. A helyi hálózati átjáró objektum a helyi oldalt írja le; létezése nem bizonyítja, hogy minden szükséges előtag jelen van és előnyben részesül a NIC-en. Ezek különböző tények, és csak az egyikük jelenik meg a portál összefoglalójában.

Olvassa el a következő ugrás típusát ahelyett, hogy példát másolna

A felügyelt VPN-átjáró útvonala általában VirtualNetworkGateway értéket mutat következő ugrás típusként. VirtualAppliance más továbbítási kialakítást ír le, általában tűzfalat vagy hálózati virtuális készüléket.

Ne hozzon létre készülékútvonalat egy feltételezett VPN-végpont felé csak azért, mert egy régi fórumválasz ezt a típust használta. Ha egy felhasználó által definiált útvonal felülírja a szándékolt utat, módosítása előtt keresse meg a tulajdonosát és célját. Egy második NIC is megváltoztathatja, melyik csatolót használja a vendég, és eltávolítása más szolgáltatást törhet meg az útvonal javítása helyett.

Lépjen arra a határra, amely még mindig meghiúsul

Amikor a szűrés és az útválasztás is megfelel a tervnek, a hiba máshol van. Ellenőrizze a vendég saját útvonaltábláját, tűzfalát és azt, hogy a figyelő a várt címhez van-e kötve. Utána ellenőrizze a VPN védett forgalmi szelektorait és a helyi válaszútvonalat. Mindegyik külön teszt külön eredménnyel.

Zárja le egy engedélyezett alkalmazáskéréssel és mindkét vég megfigyeléseivel. Az allow eredmény és a helyes következő ugrás két bizonyíték, nem annak bizonyítéka, hogy a kapcsolat sikerült.