Azure point-to-site tersambung tetapi tidak ada sumber daya privat yang merespons
Tersambung hanya berarti terowongannya sudah naik. Periksa apa yang bisa dibawa gateway, bandingkan ruang alamat, lalu selesaikan nama dan uji layanannya sendiri.
Tersambung adalah keadaan terowongan, bukan pernyataan tentang keterjangkauan. Klien point-to-site bisa menyelesaikan IKE, menerima alamat, dan tetap tidak mencapai apa pun, karena gateway hanya meneruskan lalu lintas untuk jaringan yang sudah dikenal VNet. Lakukan kelima pemeriksaan ini secara berurutan dan berhenti pada kegagalan pertama. Melompat ke depan adalah cara masalah DNS diperlakukan sebagai masalah firewall selama satu jam.
Urutannya lebih penting daripada daftarnya.
Pemeriksaan 1: putuskan apa yang seharusnya dibawa terowongan
Azure VPN Gateway mengakhiri terowongan dan meneruskan lalu lintas yang menjadi milik VNet; inibukan jalan keluar internet umum. Jika pengguna berharap penjelajahan mereka keluar melalui Azure, desainnya sudah salah sebelum ada pengaturan klien yang terlibat. Aktifkan split tunneling agar internet lokal tetap memakai jalur lokal, dan gunakan instans NAT atau terowongan site-to-site bila alamat keluar tetap benar-benar diperlukan.
Tuliskan apa yang harus dicapai klien sebelum Anda menguji apa pun. Tanpa daftar itu, setiap hasil sebagian tampak seperti kemajuan.
Pemeriksaan 2: bandingkan ruang alamat sebelum sertifikat
Tumpang tindih dinilai pada rentang yang lebih luas, jadi dua jaringan yang tampak berbeda di tingkat subnet tetap bertabrakan bila blok induknya tumpang tindih. Subnet gateway harus khusus dan cukup besar untuk SKU, dan kumpulan alamat klien tidak boleh bertabrakan dengan VNet atau dengan apa pun yang terjangkau melalui peering. Ubah rencana dan terapkan ulang, karena menambahkan rute sebagai kompensasi menghasilkan terowongan yang bekerja untuk sebagian tujuan dan secara tidak jelas tidak untuk yang lain. Penyediaan gagal dengan keras di sini, dan itulah kasus yang baik.
Autentikasi adalah gerbang berikutnya. Profil sertifikat, RADIUS, dan Entra ID tidak dapat dipertukarkan, dan paket klien berbeda untuk masing-masing.
Pemeriksaan 3: selesaikan nama privat dari dalam
Klien mempertahankan resolver-nya sendiri kecuali profil yang diunduh membawa server DNS VNet, dan daftar itu disematkan saat pengunduhan. Tambahkan forwarder di dalam VNet, atur sebagai server DNS VNet, lalu unduh dan impor paket klien lagi. Memakai ulang paket lama hanya menguji daftar resolver lama.
Uji alamat lebih dulu, karena itu memisahkan perutean dari penamaan dalam satu langkah: Test-NetConnection 10.20.1.4 -Port 3389.
Jika alamat menjawab dan nama tidak, tanyakan resolver secara langsung dengan Resolve-DnsName files.corp.example -Server 10.20.0.4. Jika keduanya gagal, kesalahannya bukan DNS dan Anda sebaiknya berhenti menyunting pengaturan DNS. DNS platform Azure di 168.63.129.16 hanya menjawab dari dalam VNet, jadi klien di luarnya tidak dapat memakai alamat itu sebagai resolver.
Pemeriksaan 4: uji layanan di balik terowongan
Terowongan yang sehat dan port yang tertutup tampak identik dari sisi klien. Periksa firewall tamu, lalu grup keamanan jaringan pada subnet atau NIC, lalu apakah layanan mendengarkan di alamat privat dan bukan hanya di loopback. Izinkan kumpulan klien sebagai sumber alih-alih membuka aturan ke internet, dan ingat bahwa SMB ke Azure Files memerlukan jalur endpoint privat yang dirutekan melalui terowongan. Bila sumber daya menjawab lewat IP tetapi tidak lewat nama, kembali ke pemeriksaan 3 alih-alih menyentuh gateway.
Satu tabel menjaga lapisan tetap terpisah saat Anda bekerja:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Pemeriksaan 5: catat profil sebelum Anda mengeskalasi
Masukkan jenis gateway, jenis terowongan, metode autentikasi, dan sistem operasi klien ke tiket. Profil IKEv2 bersertifikat dan profil RADIUS gagal karena alasan berbeda, dan klien yang dibuat untuk jenis terowongan lain hanya tersambung bila gateway menawarkan protokol yang kompatibel.
Untuk tim kecil, desain yang tahan lama adalah satu VNet, satu forwarder DNS, dan klien split-tunnel yang terdokumentasi. Jika persyaratannya adalah jalan keluar publik tetap, akhiri terowongan site-to-site pada firewall yang Anda kendalikan dan rutekan lalu lintas internet ke sana, alih-alih meminta gateway point-to-site melakukan sesuatu yang tidak pernah dirancang untuknya.