Verifikasi aliran IP Azure menyatakan diizinkan, tetapi VPN tetap gagal

Terowongan site-to-site terhubung, VM sehat, klien lokal tidak menerima apa pun. Anda membuka Network Watcher, menjalankan verifikasi aliran IP, dan hasilnya Access allowed, sehingga tiket ditutup sebagai masalah VPN. Hasil itu tidak berarti seperti yang terlihat, karena verifikasi aliran IP mengevaluasi aturan keamanan untuk aliran yang Anda jelaskan dan tidak pernah menguji apakah Azure memiliki rute ke prefiks lokal Anda.

Pertanyaan penyaringan dan pertanyaan perutean terpisah, dan Network Watcher menjawabnya dengan alat yang berbeda. Mengetahui mana yang Anda tanyakan adalah sebagian besar diagnosis.

Apa yang sebenarnya diputuskan verifikasi aliran IP

Verifikasi aliran IP mengambil VM, antarmuka jaringan, arah, nilai lima-tupel, dan protokol, lalu melaporkan keputusan aturan NSG dan admin keamanan untuk aliran itu. Alat ini bekerja pada TCP dan UDP, jadi bukan penguji aturan ICMP dan ping yang diblokir tidak membuktikan apa pun tentang layanan Anda. Berikan aliran yang sebenarnya, bukan tebakan. Koneksi masuk dari lokal ke porta basis data adalah deskripsi berbeda dari koneksi keluar yang dimulai VM.

Jika gateway menerjemahkan alamat, gunakan alamat sumber yang mencapai batas yang Anda evaluasi, bukan yang ada di konfigurasi klien. Baca hasilnya juga sebagai apa adanya. Access allowed berarti lapisan penyaring akan mengizinkan paket jika tiba, dan tidak lebih.

Yang tidak dapat diberitahukannya adalah rute yang dipilih Azure, apakah firewall tamu mengizinkan porta, atau apakah ada yang mendengarkan. Itu hidup di lapisan lain.

Apa yang ditambahkan hop berikutnya dan rute efektif

Hop berikutnya menjawab pertanyaan penerusan: untuk tujuan ini, jenis hop berikutnya mana yang dipilih Azure, di alamat mana, dari tabel rute mana. Rute efektif mencantumkan apa yang sebenarnya dimiliki NIC. Jalankan keduanya dan Anda mendapatkan jalur sisi Azure yang dibiarkan kosong oleh verifikasi aliran IP yang hijau.

Ikhtisar verifikasi aliran IP dari Microsoft menyatakan cakupan penyaringan secara langsung, sedangkan halaman hop berikutnya dan diagnostik rute mencakup sisi penerusan. Kutip halaman yang tepat saat menulis temuan.

Perintahnya cukup pendek untuk dijalankan dari shell. az network nic show-effective-route-table mencantumkan rute yang diterapkan ke antarmuka. az network watcher show-next-hop dengan sumber dan tujuan mengembalikan hop yang dipilih. Bandingkan prefiks yang Anda pedulikan dengan tabel itu, lalu pastikan entri mana yang menang.

Telusuri jalur balik dari NIC VM

Lakukan ini dari NIC VM target, untuk prefiks klien lokal, bukan untuk internet. Jalur balik adalah tempat kesalahan site-to-site bersembunyi, karena pemeriksaan status terowongan hanya melaporkan bahwa asosiasi keamanan aktif.

Jika rute yang diharapkan tidak ada, periksa prefiks jarak jauh yang disediakan konfigurasi gateway, desain konektivitas VNet, dan pengaturan propagasi rute apa pun. Objek gateway jaringan lokal menjelaskan sisi lokal; keberadaannya tidak membuktikan bahwa setiap prefiks yang diperlukan ada dan dipilih di NIC. Itu fakta yang berbeda, dan hanya satu yang muncul di ringkasan portal.

Baca jenis hop berikutnya alih-alih menyalin contoh

Jalur gateway VPN terkelola biasanya menampilkan VirtualNetworkGateway sebagai jenis hop berikutnya. VirtualAppliance menjelaskan desain penerusan yang berbeda, biasanya firewall atau perangkat jaringan virtual.

Jangan membuat rute perangkat menuju titik akhir VPN yang ditebak karena jawaban forum lama menggunakan jenis itu. Jika rute yang ditentukan pengguna menggantikan jalur yang dimaksud, temukan pemilik dan tujuannya sebelum mengubahnya. NIC kedua juga dapat mengubah antarmuka yang digunakan tamu, dan menghapusnya dapat merusak layanan lain alih-alih memperbaiki rute ini.

Beralih ke batas yang masih gagal

Ketika penyaringan dan perutean keduanya cocok dengan desain, kesalahannya ada di tempat lain. Periksa tabel rute tamu sendiri, firewall-nya, dan apakah pendengar terikat ke alamat yang diharapkan. Lalu periksa pemilih lalu lintas terlindungi VPN dan jalur balasan lokal. Masing-masing adalah pengujian terpisah dengan hasil terpisah.

Tutup dengan permintaan aplikasi yang diizinkan dan pengamatan dari kedua ujung. Hasil allow dan hop berikutnya yang benar adalah dua bukti, bukan bukti bahwa koneksi berhasil.