Azure нүктеден сайтқа қосылады, бірақ ешбір жеке ресурс жауап бермейді
Қосылу туннель көтерілгенін ғана білдіреді. Шлюздің не тасымалдай алатынын тексеріңіз, мекенжай кеңістіктерін салыстырыңыз, содан кейін атауды шешіп, қызметтің өзін сынаңыз.
Қосылу — туннельдің күйі, қолжетімділік туралы мәлімдеме емес. Нүктеден сайтқа клиенті IKE-ні аяқтап, мекенжай алып, бәрібір ешнәрсеге жете алмауы мүмкін, өйткені шлюз тек VNet бұрыннан білетін желілер үшін трафикті жібереді. Осы бес тексеруді ретімен орындаңыз және бірінші сәтсіздікте тоқтаңыз. Алға секіру — DNS мәселесін бір сағат бойы firewall мәселесі ретінде қарастырудың жолы.
Рет тізімнен маңыздырақ.
Тексеру 1: туннель не тасымалдауы керектігін шешіңіз
Azure VPN Gateway туннельді аяқтайды және VNet-ке тиесілі трафикті жібереді; олжалпы интернет шығысы емес. Пайдаланушылар шолулары Azure арқылы шығады деп күтсе, дизайн кез келген клиент параметріне дейін дұрыс емес. split tunneling қосыңыз, сонда жергілікті интернет жергілікті жолды пайдаланады, ал тұрақты шығыс мекенжайы шынымен қажет болғанда NAT данасын немесе сайттан сайтқа туннельді қолданыңыз.
Бірдеңе сынамас бұрын клиенттің қайда жетуі керектігін жазыңыз. Осы тізімсіз әрбір ішінара нәтиже ілгерілеу болып көрінеді.
Тексеру 2: сертификаттардан бұрын мекенжай кеңістіктерін салыстырыңыз
Қабаттасу кеңірек ауқымдар бойынша бағаланады, сондықтан ішкі желі деңгейінде өзгеше көрінетін екі желі ата-блоктары қабаттасса, бәрібір соқтығысады. Шлюздің ішкі желісі жеке және SKU үшін жеткілікті үлкен болуы керек, ал клиенттің мекенжай пулы VNet-пен немесе peering арқылы қолжетімді кез келген нәрсемен соқтығыспауы тиіс. Жоспарды өзгертіп, қайта орналастырыңыз, өйткені өтеу үшін маршруттар қосу кейбір межелерге жұмыс істейтін, ал басқаларына түсініксіз түрде жұмыс істемейтін туннель жасайды. Мұнда дайындау қатты сәтсіздікке ұшырайды, және бұл жақсы жағдай.
Аутентификация — келесі қақпа. Сертификат, RADIUS және Entra ID профильдері өзара алмаспайды, ал клиент пакеті әрқайсысы үшін өзгеше.
Тексеру 3: жеке атауды іштен шешіңіз
Клиент жүктелген профиль VNet-тің DNS серверлерін тасымалдамаса, өз шешушісін ұстайды, ал бұл тізім жүктеу кезінде енгізіледі. VNet ішіне forwarder қосыңыз, оны VNet-тің DNS сервері етіп орнатыңыз, содан кейін клиент пакетін қайта жүктеп, импорттаңыз. Ескі пакетті қайта пайдалану тек ескі шешуші тізімін сынайды.
Алдымен мекенжайды сынаңыз, өйткені бұл маршруттауды атаудан бір қадамда бөледі: Test-NetConnection 10.20.1.4 -Port 3389.
Мекенжай жауап беріп, атау бермесе, шешушіден тікелей сұраңыз: Resolve-DnsName files.corp.example -Server 10.20.0.4. Екеуі де сәтсіз болса, ақау DNS-те емес және DNS параметрлерін өңдеуді тоқтатуыңыз керек. 168.63.129.16 мекенжайындағы Azure платформасының DNS-і тек VNet ішінен жауап береді, сондықтан оның сыртындағы клиент бұл мекенжайды шешуші ретінде пайдалана алмайды.
Тексеру 4: туннель артындағы қызметті сынаңыз
Сау туннель мен жабық порт клиент жағынан бірдей көрінеді. Қонақ firewall-ын, содан кейін ішкі желідегі немесе NIC-тегі желілік қауіпсіздік тобын, содан кейін қызметтің жеке мекенжайда тыңдайтынын, тек loopback-та емес екенін тексеріңіз. Интернетке ереже ашудың орнына клиент пулына көз ретінде рұқсат беріңіз және Azure Files-қа SMB үшін жеке endpoint жолы туннель арқылы өтуі керектігін есте сақтаңыз. Ресурс IP арқылы жауап беріп, атау арқылы бермесе, шлюзге тиіспей, тексеру 3-ке оралыңыз.
Жұмыс кезінде бір кесте қабаттарды бөлек ұстайды:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Тексеру 5: эскалация алдында профильді жазып алыңыз
Билетке шлюз түрін, туннель түрін, аутентификация әдісін және клиенттің операциялық жүйесін жазыңыз. Сертификатты IKEv2 профилі мен RADIUS профилі әртүрлі себептермен сәтсіз болады, ал басқа туннель түріне арналған клиент шлюз үйлесімді протокол ұсынғанда ғана қосылады.
Шағын топ үшін төзімді дизайн — бір VNet, бір DNS forwarder және құжатталған split-tunnel клиенті. Егер талап тұрақты жария шығыс болса, өзіңіз басқаратын firewall-да сайттан сайтқа туннельді аяқтап, интернет трафигін сол жерге бағыттаңыз, нүктеден сайтқа шлюзынан ол ешқашан салынбаған нәрсені талап етудің орнына.