S2S VPN í Azure tengt en engin umferð: lestu IKE-logginn

Gáttin segir Connected, göngin hafa keyrslutímamæli og trace frá sýndarvélinni þinni deyr á öðru hoppi. Tengingarstaðan lýsir IKE- og IPsec-samningum, ekki hvort einn pakki komist í gegnum stefnulagið á hvorri hlið sem er. Tvær bilanir útskýra flest þessi mál og hvorug er lögð við með því að breyta Azure-leið. Báðar eru þegar skrifaðar í logginn sem gáttin framleiddi, þess vegna byrja ég þar en ekki í leiðartöflunni.

Hvað Connected staðfestir í raun

Tengd site-to-site tenging þýðir að fasi 1 og fasi 2 eru fullkláraðir og öryggjasamtökin eru uppi. Það er fullyrðing um samningaviðræður: báðir jafningjar samþykktu tillögu, skiptust á lyklum og settu upp SA-parið. Hún segir ekkert um hvort umferðarvalarnir passi við netkerfin sem þú telur vernduð, og ekkert um hvort fjarlæga hliðin muni beina pakkanum einhvers staðar eftir að hafa afkóðað hann. Göng geta staðið í vikur á meðan hverju áhugaverðu flæði er hent, og það er einmitt mynstrið sem fær fólk til að endurbyggja heilbrigða gátt.

Tvær bilanirnar sem er þess virði að skoða fyrst eru jafningi sem leggur til AH í stað ESP, og sýndarnet sem er númerað í rými sem gáttin mun ekki meðhöndla sem innra.

Opnaðu útflutta logginn áður en þú snertir leiðir

Í gáttinni skaltu opna gátt sýndarnetsins og keyra VPN troubleshoot aðgerðina á tengingunni, sækja síðan pakkann sem hún framleiðir og afþjappa hann. Inni er IKE-loggur með skiptingum fasa 1 og fasa 2, með tímaútsendingum og læsilegur sem venjulegur texti. Leitaðu í honum að transform-línunni í stað þess að lesa ofan frá og niður, því áhugaverða færslan er venjulega nokkur hundruð línur inni. Ef þú hefur ekki aðgang að gáttinni birtast sömu greiningar í loggáfangastað gáttarinnar þegar greiningarstillingar eru virkar.

Tvær færslur bera mestan hluta verðmætisins. Fyrsta hljómar um það bil expected ESP with combined authentication and cipher, received AH. Önnur er villa um ógilt payload í IKE-skiptingunni, sem þýðir venjulega rangt mótað eða óstutt tillögusvið.

Báðar lýsa því sem staðbundna tækið bauð, svo báðar eru stillingar á jafningjahlið. Að endurgerða Azure-hlið tengingarinnar breytir ekki tillögunni sem eldveggurinn þinn sendir, og að gera það samt er oftasti sóaði klukkustundin í þessu ferli. Á jafningjanum skaltu stilla fasa 2 á ESP með sameinuðu auðkenningu og dulritun og leyfa honum að semja um reikniritið, athugaðu síðan hvort gátreitur frá framleiðanda með nafni eins og combined mode velji hljóðlega AH-tillögu undir honum.

Staðfestu vistfangabil sýndarnetsins

Gáttin gerir ráð fyrir að sýndarnetið sé í einkasviðum. Net sem er númerað í opinberu bili, til dæmis eitt sem byrjar á 111.x, getur lyft göngunum á meðan Azure neitar að meðhöndla það rými sem innra, svo tengingin virðist heilbrigð og ekkert flæði er samþykkt. Staðfestu vistfangabilið áður en þú eyðir síðdegi í valana. Ef númerunin er hörð krafa frá eldri úthlutun er lausnin breyting á vistfangaskipulagi, ekki önnur gátt.

Skráðu skörunina við staðbundin svið á meðan þú ert í vistfangabilablokkinni, því skarandi forskeyti framleiða aðra bilun sem lítur svipað út frá biðlaranum.

Staðfestu forskeytin í báðar áttir

Auðlind staðbundnu netgáttarinnar geymir staðbundnu forskeytin og þau verða að passa við netkerfin sem fjarlæga tækið verndar í raun. Samantekt sem inniheldur vistföng sem tækið hendir mun hleypa sumum flæðum í gegn og mistakast á öðrum, sem les eins og slitrótt leiðarbilun frekar en ósamræmi í uppsetningu. Skoðaðu fjarlægu hliðina líka: annar endinn listar /16 á meðan hinn listar þrjú /24 innan þess — það er klassíska hluta bilanin. Hvorugur listinn er valdber einn og sér, svo berðu þá saman hlið við hlið í stað þess að treysta þeim sem þú sérð.

Breyting á forskeyti er ekki alltaf tekin upp af sjálfu sér, svo skipuleggðu að vista eða endurskapa tengingarhlutinn og staðfestu síðan að nýju forskeytin birtist á báðum hliðum.

Prófaðu slóð, ekki ping

Trace sem aðgreinir virk göng frá virkri leið lítur svona út: fyrsta hoppið er staðbundna gáttin, svo nokkur hop sem svara ekki, svo svarar fjarlægi hýsillinn. Ef trace nær aldrei til hýsilsins skaltu prófa TCP-gáttina sem forritið notar í raun, því ICMP er síað nógu oft til að misheppnað ping sanni mjög lítið. Keyrðu sama trace frá fjarlægum hýsli að sýndarvél í Azure. Ósamhverfan milli niðurstaðnanna tveggja er fljótlegasta leiðin til að finna vantaða afturleið eða reglu sem leyfir aðeins eina átt.

Skrifaðu tillögu jafningsins, bæði vistfangabilin og stofntíma tengingarinnar í miðann, svo næsti verkfræðingur viti hvaða gildi voru endurbyggð og hverjum var aldrei snert.

Ef loggurinn kemur tómur til baka er mögulegt að gáttin sé alls ekki að ljúka tengingunni þinni. Staðfestu að jafningjavistfangið á staðbundnu netgáttinni passi við tækið sem þú lest logginn frá, því auðvelt er að rugla tveimur gáttum í einu áskrift við endurbyggingu. Sú mistök kosta einn dag og skilja engin spor eftir í neinum logg.