Mengapa menambahkan prefiks Azure VPN memutus koneksi

Prefiks yang ditambahkan ke objek Azure yang salah menghasilkan koneksi yang melaporkan Connected dan tidak meneruskan apa pun, dan itulah jenis kesalahan paling mahal di tumpukan ini. Ada tiga sumber daya yang terlibat dan hanya satu di antaranya yang memiliki ruang alamat jarak jauh: gateway jaringan virtual, gateway jaringan lokal yang mendeskripsikan sisi jauh, dan koneksi yang menghubungkan keduanya. Prefiks itu milik gateway jaringan lokal, koneksi harus dibangun ulang agar perubahan berlaku, dan gateway itu sendiri biasanya dibiarkan. Urutannya tidak bisa ditawar, dan portal hanya menampilkan sebagian darinya.

Tiga objek, salah satunya menyimpan prefiks

Ruang alamat jaringan virtual menjawab pertanyaan lain: apa yang hidup di dalam Azure. Menambahkan prefiks jarak jauh di sana tidak merutekan lalu lintas ke sana, itu hanya memperluas ruang yang dianggap dimiliki platform, yang bisa bertabrakan dengan rentang jarak jauh yang sebenarnya. Gateway jaringan lokal adalah objek yang menyimpan prefiks jarak jauh, dan koneksi merujuk kedua gateway plus kunci yang dibagikan sebelumnya.

Ada reservasi ketiga yang perlu diingat. GatewaySubnet menghosting instans gateway terkelola, harus memakai nama itu persis, dan untuk SKU non-Basic diharapkan setidaknya /27.

Tidak ada hal lain yang termasuk dalam subnet itu, dan perubahan prefiks tidak punya alasan untuk menyentuhnya. Prefiks yang hilang dari gateway jaringan lokal tidak dapat dijangkau apa pun yang dikatakan status koneksi, karena gateway hanya menawarkan prefiks yang diberitahukan kepadanya saat menegosiasikan terowongan. Itulah sebabnya gejalanya asimetris: terowongan menyala, asosiasi keamanan baik-baik saja, dan satu subnet tidak pernah muncul di pemilih lalu lintas. Jika satu rentang jarak jauh hilang sementara tetangganya berfungsi, berhentilah melihat terowongan dan bacalah gateway jaringan lokal.

Mengapa koneksinya yang dihapus

Objek koneksi menyematkan konfigurasi yang dinegosiasikan sepanjang masa hidupnya. Karena itu prosedur terdokumentasi menghapus koneksi terlebih dahulu, memperbarui gateway jaringan lokal, lalu membuat ulang koneksi dengan kunci bersama yang sama. Instans gateway tidak dibangun ulang untuk perubahan yang hanya menyangkut prefiks, yang membatasi gangguan pada pembongkaran koneksi alih-alih penerapan ulang gateway.

Penghapusan itu adalah gangguannya, jadi perlakukan sebagai perubahan terjadwal dengan awal dan akhir yang diharapkan, bukan sebagai suntingan cepat. Di PowerShell urutannya singkat: Remove-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 -Force, lalu Set-AzLocalNetworkGateway dengan -AddressPrefix larik baru, lalu New-AzVirtualNetworkGatewayConnection dengan -SharedKey yang sama dan gateway yang sama. Menggunakan kembali kunci itu penting, karena sisi jauh tidak dikonfigurasi ulang dan kunci baru berarti berkoordinasi dengan pemilik perangkat jarak jauh. Jika tim lain menjalankan perangkat itu, sepakati jendelanya dengan mereka sebelum Anda menghapus apa pun.

Kapan gateway itu sendiri harus dibangun ulang

Jawaban kedua yang beredar tentang masalah ini mengatakan gateway harus dibuat ulang dan kuncinya ditukar lagi. Itu benar untuk rangkaian operasi yang berbeda: mengubah tipe gateway atau SKU, berpindah antara point-to-site dan site-to-site, atau memperbaiki gateway yang konfigurasinya sendiri salah. Perubahan itu memang mengubah sumber daya gateway, jadi pembangunan ulang benar-benar diperlukan.

Gateway yang dibuat untuk point-to-site tidak bisa begitu saja diberi koneksi site-to-site. Konfigurasi point-to-site harus dihapus dan gateway dibuat ulang, yang juga menghasilkan kunci bersama baru dan paket klien baru.

Paket point-to-site pantas mendapat catatan sendiri karena kedaluwarsa. Portal menghasilkan berkas berumur pendek, jadi pendekatan praktisnya adalah mengunduhnya sekali dan mendistribusikannya bersama sertifikat klien alih-alih mengirim pengguna tautan portal yang akan mati saat mereka mengkliknya. Untuk pertanyaan prefiks, tidak satu pun dari ini berlaku. Menjaga dua prosedur tetap terpisah adalah seluruh disiplinnya: prefiks adalah perubahan tingkat koneksi, dan properti gateway adalah perubahan tingkat gateway.

Baca statusnya, bukan lencana portal

Baca status dari sumber daya alih-alih dari lencana di portal. Get-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 mengembalikan ConnectionStatus bersama penghitung byte masuk dan keluar, dan penghitung itulah yang memisahkan terowongan yang terhubung dan tidak membawa apa pun dari yang tidak pernah terbentuk.

Penghitung yang berhenti bertambah di tengah transfer menunjuk ke jalur, bukan ke autentikasi. Penghitung yang tidak bergerak sama sekali menunjuk ke kumpulan prefiks atau kunci bersama.

Pewaktu menjelaskan satu kelas pemutusan yang salah diatribusikan ke VPN. Penyeimbang beban Azure menutup aliran diam setelah batas waktu yang dikonfigurasi, empat menit secara bawaan saat catatan ini ditulis dan dapat dinaikkan, sehingga server OpenVPN pada VM tanpa keepalive bisa putus setiap beberapa menit sementara semua hal lain tampak sehat. Gateway yang didaur ulang platform juga dapat memutus koneksi VNet ke Web App, dan kegagalan itu ada di sisi platform, bukan di konfigurasi klien. Petunjuknya adalah apakah pemutusan mengikuti interval tetap atau perubahan yang Anda buat.

Simpan ketiga objek dan nilainya dalam satu catatan: ruang alamat jaringan virtual, daftar prefiks gateway jaringan lokal, dan rujukan kunci bersama koneksi. artikel PowerShell site-to-site mendokumentasikan perintah gateway jaringan lokal dan urutan yang semestinya. Membandingkan perubahan prefiks dengan ingatan adalah cara terowongan yang berfungsi dibangun ulang dua kali.

Lalu verifikasi dalam urutan Anda mengubah: gateway jaringan lokal menampilkan daftar prefiks baru, koneksi kembali Connected, dan penghitung bergerak saat Anda mengirim lalu lintas ke host di rentang baru. Jika langkah ketiga gagal sementara dua yang pertama lolos, sisi jauh belum menerima pemilih lalu lintas baru dan perangkat jarak jauh memerlukan entri fase 2 yang sesuai. Itu percakapan dengan ujung lain terowongan, bukan perubahan lain di Azure.