Azure წერტილიდან საიტზე ერთდება, მაგრამ არც ერთი კერძო რესურსი არ პასუხობს
დაკავშირება მხოლოდ იმას ნიშნავს, რომ გვირაბი აწეულია. შეამოწმეთ, რისი გატარება შეუძლია შესასვლელს, შეადარეთ მისამართების სივრცეები, შემდეგ ამოხსენით სახელი და გამოსცადეთ თავად სერვისი.
დაკავშირება გვირაბის მდგომარეობაა და არა განცხადება ხელმისაწვდომობაზე. წერტილიდან საიტზე კლიენტს შეუძლია დაასრულოს IKE, მიიღოს მისამართი და მაინც ვერაფერს მიაღწიოს, რადგან შესასვლელი გადასცემს ტრაფიკს მხოლოდ იმ ქსელებისთვის, რომლებიც VNet-მა უკვე იცის. შეასრულეთ ეს ხუთი შემოწმება თანმიმდევრობით და გაჩერდით პირველ მარცხზე. წინ გადახტომა ის გზაა, რომლითაც DNS პრობლემა ერთი საათის განმავლობაში firewall-ის პრობლემად განიხილება.
თანმიმდევრობა უფრო მნიშვნელოვანია, ვიდრე სია.
შემოწმება 1: გადაწყვიტეთ, რა უნდა ატაროს გვირაბმა
Azure VPN Gateway ამთავრებს გვირაბს და გადასცემს VNet-ის კუთვნილ ტრაფიკს; ისზოგადი ინტერნეტ გასასვლელი არ არის. თუ მომხმარებლები ელიან, რომ მათი ბრაუზინგი Azure-ის გავლით გავიდეს, დიზაინი არასწორია ჯერ კიდევ კლიენტის ნებისმიერ პარამეტრამდე. ჩართეთ split tunneling, რათა ადგილობრივი ინტერნეტი დარჩეს ადგილობრივ გზაზე, და გამოიყენეთ NAT ინსტანსი ან საიტიდან საიტზე გვირაბი, როცა ფიქსირებული გასასვლელი მისამართი ნამდვილად საჭიროა.
სანამ რამეს გამოსცდით, ჩამოწერეთ, სად უნდა მიაღწიოს კლიენტმა. ამ სიის გარეშე ყოველი ნაწილობრივი შედეგი პროგრესად გამოიყურება.
შემოწმება 2: შეადარეთ მისამართების სივრცეები სერთიფიკატებამდე
გადაფარვა ფასდება ფართო დიაპაზონებით, ამიტომ ქვექსელის დონეზე განსხვავებულად დანახული ორი ქსელი მაინც ეჯახება, თუ მათი მშობელი ბლოკები ერთმანეთს ფარავს. შესასვლელის ქვექსელი უნდა იყოს გამოყოფილი და SKU-სთვის საკმარისად დიდი, ხოლო კლიენტის მისამართების აუზი არ უნდა ეჯახებოდეს VNet-ს ან peering-ით ხელმისაწვდომ ნებისმიერ რამეს. შეცვალეთ გეგმა და ხელახლა განათავსეთ, რადგან კომპენსაციისთვის მარშრუტების დამატება ქმნის გვირაბს, რომელიც ზოგიერთ დანიშნულებამდე მუშაობს, ზოგზე კი აუხსნელად არა. მომარაგება აქ ხმამაღლა ვარდება, და ეს კარგი შემთხვევაა.
ავთენტიფიკაცია შემდეგი კარიბჭეა. სერთიფიკატის, RADIUS-ისა და Entra ID-ის პროფილები ურთიერთშემცვლელი არ არის, და კლიენტის პაკეტი თითოეულისთვის განსხვავდება.
შემოწმება 3: ამოხსენით კერძო სახელი შიგნიდან
კლიენტი ინარჩუნებს საკუთარ გამხსნელს, თუ ჩამოტვირთული პროფილი არ ატარებს VNet-ის DNS სერვერებს, და ეს სია ჩაშენებულია ჩამოტვირთვის მომენტში. დაამატეთ forwarder VNet-ის შიგნით, დააყენეთ ის VNet-ის DNS სერვერად, შემდეგ ხელახლა ჩამოტვირთეთ და იმპორტი გაუკეთეთ კლიენტის პაკეტს. ძველი პაკეტის ხელახალი გამოყენება მხოლოდ ძველ გამხსნელთა სიას ამოწმებს.
ჯერ მისამართი გამოსცადეთ, რადგან ეს ერთ ნაბიჯში ჰყოფს მარშრუტიზაციას სახელდებიდან: Test-NetConnection 10.20.1.4 -Port 3389.
თუ მისამართი პასუხობს, სახელი კი არა, ჰკითხეთ გამხსნელს პირდაპირ Resolve-DnsName files.corp.example -Server 10.20.0.4-ით. თუ ორივე ვარდება, ბრალი DNS-ში არ არის და უნდა შეწყვიტოთ DNS პარამეტრების რედაქტირება. Azure პლატფორმის DNS 168.63.129.16-ზე პასუხობს მხოლოდ VNet-ის შიგნიდან, ამიტომ გარეთ მყოფი კლიენტი ვერ გამოიყენებს ამ მისამართს გამხსნელად.
შემოწმება 4: გამოსცადეთ გვირაბის უკან მდგარი სერვისი
ჯანსაღი გვირაბი და დახურული პორტი კლიენტის მხრიდან ერთნაირად გამოიყურება. შეამოწმეთ სტუმრის firewall, შემდეგ ქსელის უსაფრთხოების ჯგუფი ქვექსელზე ან NIC-ზე, შემდეგ, უსმენს თუ არა სერვისი კერძო მისამართზე და არა მხოლოდ loopback-ზე. ინტერნეტისკენ წესის გახსნის ნაცვლად კლიენტის აუზს წყაროდ დაუშვით, და გახსოვდეთ, რომ Azure Files-ისკენ SMB-ს სჭირდება კერძო endpoint-ის გზა გვირაბის გავლით. როცა რესურსი IP-ით პასუხობს, სახელით კი არა, დაბრუნდით შემოწმება 3-ზე და ნუ შეეხებით შესასვლელს.
ერთი ცხრილი ყოფს ფენებს მუშაობის დროს:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
შემოწმება 5: დააფიქსირეთ პროფილი ესკალაციამდე
ბილეთში ჩაწერეთ შესასვლელის ტიპი, გვირაბის ტიპი, ავთენტიფიკაციის მეთოდი და კლიენტის ოპერაციული სისტემა. სერთიფიკატიანი IKEv2 პროფილი და RADIUS პროფილი სხვადასხვა მიზეზით ვარდება, და სხვა გვირაბის ტიპისთვის აგებული კლიენტი მხოლოდ მაშინ ერთდება, როცა შესასვლელი თავსებად პროტოკოლს სთავაზობს.
მცირე გუნდისთვის გამძლე დიზაინია ერთი VNet, ერთი DNS forwarder და დოკუმენტირებული split-tunnel კლიენტი. თუ მოთხოვნა ფიქსირებული საჯარო გასასვლელია, დაასრულეთ საიტიდან საიტზე გვირაბი თქვენ მიერ კონტროლირებულ firewall-ზე და იქ გადაამისამართეთ ინტერნეტ ტრაფიკი, ნაცვლად იმისა, რომ წერტილიდან საიტზე შესასვლელს მოსთხოვოთ ის, რისთვისაც ის არასდროს აშენებულა.