Azure P2S VPN жеке соңғы нүктенің атын шеше алмайды

Point-to-site туннелін қосасыз, жеке мекенжайға ping жасайсыз, қолданбаны ашасыз және оның орнына 403 немесе сертификат қатесін аласыз. Екі симптом да DNS-ке меңзейді, бірақ олар әртүрлі ақаулар: біреуі клиенттің жария мекенжайды шешкенін, екіншісі жеке мекенжайды шешіп, содан кейін сертификат қамтымайтын атауды ұсынғанын білдіреді. Төмендегі тексерулерді ретімен орындаңыз және бірінші сәтсіздікте тоқтаңыз, өйткені hosts жазбасы немесе кэштегі жауап келесі тексерулердің бәрін қате себеппен өткізуі мүмкін. Мен бұл тәртіпті VPN профильдерімнің қасындағы мәтіндік файлда ұстаймын, өйткені түзету туннельде ештеңені өзгертпейді және клиент білетін нәрсенің бәрін өзгертеді.

Клиент шын мәнінде алатын мекенжайдан бастаңыз

Қолданбаға сенудің орнына шешушіден тікелей сұраңыз. Windows-та nslookup adminuidev-fedqcubyd9bfb2bq.canadacentral-01.azurewebsites.net клиенттің қай көріністі алғанын көрсетеді. Жария жауап төменде ештеңенің соңғы нүктеге жетпейтінін білдіреді; соңғы нүктенің жеке мекенжайы DNS біткенін және келесі тексеру қосылыстың өзі екенін білдіреді.

Жеке соңғы нүкте қызметтің атын өзгертпейді. Тіркелгі немесе қолданба әдеттегі толық атын сақтайды, ал соңғы нүкте виртуалды желі ішіндегі клиенттер үшін сол ат шешілетін мекенжайды ғана өзгертеді. Сондықтан бірдей хост аты желідегі VM-нен жеке түрде, ал жеке көрініс берілмеген ноутбуктан жария түрде шешіледі.

Туннельге дейін аймақты, оның байланысын және жазбаны тексеріңіз

Үш шарт бірге орындалуы керек: жеке аймақ бар, ол VPN шлюзі мен клиенттер Azure-ға кіретін виртуалды желіге байланысқан және онда соңғы нүкте үшін жеке мекенжайға нұсқайтын A жазбасы бар. Аймақты байланысы жоқ желіге қоссаңыз, шлюз жария жазбаны шешуді жалғастырады, туннельдегінің бәрі сау болып көрінеді.

Аймақ аттары қызметтерге тиесілі, жалпы жеке байланыстарға емес. App Service әдетте privatelink.azurewebsites.net пайдаланады, сақтау мен SQL-дің өз ат кеңістіктері бар, ал басқа қызметтің аймағын қарызға алу бар болғанымен ешқандай пайдалы жауап бермейтін аймақ жасайды.

Клиентке шын мәнінде жете алатын шешуші беріңіз

168.63.129.16 Azure виртуалды машиналарынан жауап береді және point-to-site туннелінің арғы жағындағы ноутбук үшін DNS сервері емес. Клиентке туннель арқылы қолжетімді шешуші қажет: Azure DNS Private Resolver-дің кіріс соңғы нүктесі, виртуалды желі ішіндегі қайта жіберуші немесе VPN клиент профилінде тасымалданатын DNS сервер жазбалары, сонда клиент виртуалды желіден тікелей сұрайды.

Конфигурацияланған, бірақ қолжетімсіз шешуші шешуші жоқ сияқты әрекет етеді, ал симптом қате жауап емес, уақыттың бітуі, сондықтан оны firewall мәселесі деп қате оқиды. Оны туннель тасымалдауға тиіс сұраныспен тексеріңіз, жергілікті байланыстан бәрібір өтетін жария атпен емес.

Параметрлерді итерудің орнына қайта жіберсеңіз, жеке аймаққа тиесілі ат кеңістігін қайта жіберіңіз, бүкіл azurewebsites.net орнына privatelink.azurewebsites.net. Бүкіл аталық жұрнақты жұтатын шартты қайта жіберуші қызметтің әр іздеуін Azure-ға жібереді, жергілікті қалуға тиістерін де қоса.

Сертификат берілген атты пайдаланыңыз

Мекенжай дұрыс болғанда екінші ақау шығады. Сақтау мен App Service privatelink бүркеншік атын жариялайды, және бұл бүркеншік ат міндетті түрде сертификаттағы ат емес. privatelink.blob.core.windows.net мекенжайына жіберілген AzCopy жүктеуі тексеруден өтпеді; сол жүктеу <account>.blob.core.windows.net/<container> мекенжайына жеке мекенжайға шешіліп, өтті, сондықтан ол ешбір айналып өтусіз жеке жолда қалды.

Ереже браузерде және App Service үшін де қолданылады: сертификат қамтитын хост атымен қосылыңыз және DNS жеке мекенжайды берсін. Валидацияны айналып өтуге ұмтылмаңыз, өйткені ол ат қою қатесін қауіпсіздік регрессиясына айналдырады. Сәтті ping маршрутты дәлелдейді және қол алысу ішіндегі ат туралы ештеңе айтпайды, сондықтан бұлар бөлек тексерулер болып қалады.

Әр қабатты оқшаулайтын төрт қадамдық тәртіп

1. VPN клиентінің point-to-site пулынан мекенжайы және соңғы нүктенің жеке мекенжайына маршруты бар екенін растаңыз.
2. Қолданба пайдаланатын дәл атты шешіңіз және жауапты соңғы нүктенің мекенжайымен салыстырыңыз.
3. Қызмет портында соңғы нүктеге TCP қосылысын ашыңыз, содан кейін сол қосылыста ұсынылған сертификат атын оқыңыз.
4. Авторизацияны тек қазір тексеріңіз, өйткені жұмыс істейтін жол мен жарамды сертификат әлі ресурсқа қолжетімділік бермейді.

Мекенжай дұрыс болғанда қабылданбаған қосылыс DNS-ке емес, желілік қауіпсіздік тобына немесе жеке соңғы нүкте қосылысының күйіне меңзейді, сондықтан шешуші параметрлерін қайта өңдеуден бұрын соларды тексеріңіз. TLS атының сәйкессіздігі сізді URL-дегі хост атына және сертификаттың subject-іне қайтарады. Шешу шығысын, сертификат атын және дәл URL-ді бірге ұстаңыз; осы үш мән шлюзге тиіспей-ақ бұл жағдайлардың көбін түсіндіреді.

Бақылау ретінде виртуалды желі ішіндегі VM-ді пайдаланыңыз. Ат онда жеке, ал туннельден жария шешілсе, аймақ пен жазба дұрыс және жалғыз айырма клиенттің шешуші жолы, оны соңғы нүкте конфигурациясын тағы бір рет қараудан тезірек растауға болады.

Клиенттер де кэштейді. Он минут бұрын жария жауап берген жазба аймақты түзеткеннен кейін де жауап беруді жалғастырады, сондықтан қайта тексеруден бұрын кэшті тазалаңыз. Windows-та ipconfig /flushdns клиент кэшін тазалайды; ат шешу саясатының ережелері қалады, қай жұрнақтың қай серверге баратынын анықтайды және ат кеңістігін жаңа ғана ауыстырған шешушіге жіберуді жалғастыруы мүмкін.

hosts жазбасы қайда тұруы керек

Соңғы нүктенің мекенжайын hosts файлына қосу жақсы диагностика және нашар дизайн. Ол ат пен мекенжай сәйкестігі жетіспейтін бөлік екенін дәлелдейді және сол қадамнан кейінгінің бәрін тексеруге мүмкіндік береді, бірақ пайдаланушыларыңызға көрінбейді, соңғы нүктенің мекенжайы өзгергенде бұзылады және жауап беруге тиіс аймақты жасырады.

Қалған сынақ жазбасы ескірген кэштен де нашар, өйткені қатенің бағытына қарай түзетілген жолды бүлінген немесе бүлінген жолды түзетілген етіп көрсетуі мүмкін. Оны соңғы жүгіріске дейін жойыңыз және тек өндірістік шешушімен шешіңіз.

Қысқа аттарға іздеу жұрнағы қажет, толық атауларға қажет емес, сондықтан алдымен толық атауды тексеріңіз, содан кейін жұмыс ағынына клиент профилі арқылы итерілетін жұрнақ керек пе, соны шешіңіз. Microsoft әр қызмет үшін аймақ аттары мен жазба пішіндерін өзінің жеке соңғы нүктелердің DNS нұсқаулығында құжаттайды; басқа қызметтен аймақ көшірудің орнына өз қызметіңіздің жазбасын оқыңыз.