Af hverju að bæta við Azure VPN forskeyti rýfur tenginguna

Forskeyti sem bætt er við rangan Azure hlut framleiðir tengingu sem tilkynnir Connected og sendir ekkert áfram, og það er dýrasta tegund mistaka í þessum stakki. Þrjár auðlindir koma við sögu og aðeins ein þeirra á fjarlæga vistfangið: gátt sýndarnetsins, staðbundna netgáttin sem lýsir fjarlægu hliðinni og tengingin sem sameinar þær. Forskeytið tilheyrir staðbundnu netgáttinni, tenginguna þarf að byggja upp á ný svo breytingin taki gildi, og gáttin sjálf er venjulega látin í friði. Röðin er ekki til samninga, og gáttin sýnir aðeins hluta hennar.

Þrír hlutir, og einn þeirra heldur forskeytinu

Vistfang sýndarnetsins svarar annarri spurningu: hvað býr inni í Azure. Að bæta fjarlægu forskeyti þar beinir ekki umferð þangað, það víkkar aðeins rýmið sem pallurinn telur sig eiga, sem getur rekist á raunverulega fjarlæga sviðið. Staðbundna netgáttin er hluturinn sem heldur fjarlægu forskeytunum, og tengingin vísar í báðar gáttirnar auk fyrirfram sameiginlegs lykils.

Það er þriðja fyrirvari sem gott er að hafa í huga. GatewaySubnet hýsir stýrðu gáttartilvikin, verður að bera nákvæmlega þetta nafn, og fyrir SKU sem eru ekki Basic er gert ráð fyrir að það sé að minnsta kosti /27.

Ekkert annað tilheyrir því undirneti, og forskeytabreyting hefur enga ástæðu til að snerta það. Forskeyti sem vantar í staðbundnu netgáttinni er óaðgengilegt hvað sem staða tengingarinnar segir, því gáttin býður aðeins þau forskeyti sem henni var tilkynnt um þegar hún semur um göngin. Þess vegna er einkennið ósamhverft: göngin eru uppi, öryggissamtökin eru í lagi, og eitt undirnet birtist aldrei í umferðarvalunum. Ef eitt fjarlægt svið vantar á meðan nágrannarnir virka, hættu að horfa á göngin og lestu staðbundnu netgáttina.

Af hverju tengingin er það sem er fjarlægt

Tengingarhluturinn festir samningsbundna stillingu alla ævi sína. Þess vegna fjarlægir skjalfesta aðferðin fyrst tenginguna, uppfærir staðbundnu netgáttina og endurskapar síðan tenginguna með sama sameiginlega lykli. Gáttartilvikin eru ekki endurbyggð fyrir breytingu sem varðar aðeins forskeyti, sem takmarkar niðurfallið við niðurrif tengingarinnar í stað enduruppsetningar gáttarinnar.

Þessi eyðing er niðurfallið, svo meðhöndlaðu hana sem fyrirhugaða breytingu með upphafi og væntanlegum endi frekar en hraðri breytingu. Í PowerShell er röðin stutt: Remove-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 -Force, svo Set-AzLocalNetworkGateway með nýju -AddressPrefix fylkinu, svo New-AzVirtualNetworkGatewayConnection með sama -SharedKey og sömu gáttum. Endurnotkun lykilsins skiptir máli, því fjarlæga hliðin er ekki stillt upp á ný og nýr lykill þýðir samræmingu við þann sem á fjarlæga tækið. Ef annað teymi rekur það tæki, samþykktu gluggann við það áður en þú fjarlægir eitthvað.

Hvenær þarf að endurbyggja gáttina sjálfa

Önnur staðhæfing sem gengur um þetta vandamál segir að endurskapa þurfi gáttina og skipta um lykilinn aftur. Það á við um aðra mengi aðgerða: breyta tegund gáttarinnar eða SKU, flytja milli punkt-til-staðar og staðar-til-staðar, eða laga gátt sem er með rangar eigin stillingar. Slíkar breytingar breyta vissulega gáttarauðlindinni, svo endurbygging er sannarlega nauðsynleg.

Ekki er hægt að gefa gátt sem var búin til fyrir punkt-til-stað einfaldlega staðar-til-stað tengingu. Fjarlægja þarf punkt-til-stað stillinguna og endurskapa gáttina, sem framleiðir einnig nýjan sameiginlegan lykil og nýja biðlarapakka.

Punkt-til-stað pakkinn á skilið eigin athugasemd því hann rennur út. Gáttin býr til skrá með stuttum líftíma, svo hagnýta leiðin er að hlaða henni niður einu sinni og dreifa henni ásamt biðlaraskírteini í stað þess að senda notendum gáttartengil sem verður dauður þegar þeir smella á hann. Varðandi forskeytisspurninguna á ekkert af þessu við. Að halda aðferðunum tveimur aðskildum er öll agan: forskeyti eru breyting á tengistigi og eiginleikar gáttar eru breyting á gáttarstigi.

Lestu stöðuna, ekki merki gáttarinnar

Lestu stöðuna úr auðlindinni frekar en úr merkinu í gáttinni. Get-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 skilar ConnectionStatus ásamt teljurum fyrir inn- og útstreymisbæti, og teljarnir eru það sem greinir göng sem eru tengd og flytja ekkert frá þeim sem voru aldrei sett upp.

Teljarar sem hætta að hækka í miðri flutningi benda á slóðina frekar en á auðkenninguna. Teljarar sem hreyfast alls ekki benda á forskeytasafnið eða sameiginlega lykilinn.

Tímamælar útskýra flokk aftenginga sem er ranglega eignaður VPN-inu. Hleðslujafnarinn í Azure lokar aðgerðalausum streymum eftir stilltum tímafresti, fjórar mínútur að sjálfgefnu þegar þessar athugasemdir voru skrifaðar og stillanlegur upp á við, svo OpenVPN þjónn á VM án keepalive getur dottið á nokkurra mínútna fresti á meðan allt annað virðist heilbrigt. Gátt sem pallurinn endurræsir reglulega getur líka rofið VNet tengingu við Web App, og sá bilun er á pallssíðunni frekar en í biðlarastillingu. Vísbendingin er hvort aftengingin fylgi föstu bili eða breytingu sem þú gerðir.

Haltu þremur hlutunum og gildum þeirra í einni færslu: vistfangi sýndarnetsins, forskeytalista staðbundnu netgáttarinnar og tilvísun í sameiginlegan lykil tengingarinnar. staðar-til-stað PowerShell grein skjalfestir skipanir staðbundnu netgáttarinnar og röðina sem þær tilheyra. Að bera forskeytabreytingu saman við minnið er leiðin sem virk göng eru endurbyggð tvisvar.

Staðfestu síðan í þeirri röð sem þú breyttir: staðbundna netgáttin sýnir nýja forskeytalistann, tengingin er aftur Connected, og teljarnir hreyfast þegar þú sendir umferð á hýsil í nýja sviðinu. Ef þriðja skrefið mistekst á meðan fyrstu tvö standast, hefur fjarlæga hliðin ekki samþykkt nýja umferðarvalið og fjarlæga tækið þarf samsvarandi færslu fyrir 2. áfanga. Það er samtal við annan enda ganganna, ekki önnur breyting í Azure.