Azure сайт арасы VPN және NAT артындағы әріптес: тексеру тізімі

Осы тексерулерді ретімен орындаңыз және бірінші сәтсіз болғанында тоқтаңыз. Azure NAT артындағы құрылғыны қолдамайды деген хабарламалардың көбісі шын мәнінде Azure жете алмайтын әріптес мекенжайы немесе дұрыс жақтан ешқашан басталмайтын туннель болып шығады. Сыртқы тасымалдау мен ішкі маршруттау екі бөлек мәселе, оларды араластыру жарты күнді жоғалтады. Төмендегі әр қадам басқа біреуге беруге болатын байқау береді.

1-қадам: әріптестің шынымен NAT артында екенін растаңыз

Құрылғының WAN интерфейсіндегі мекенжайды Azure ол үшін көретін мекенжаймен салыстырыңыз. Егер олар өзгеше болса, бірдеңе аударып жатыр, және сол аударғыш қазір VPN дизайныңыздың бөлігі. Провайдерден салыстыру статикалық па әлде ортақ па деп сұраңыз, өйткені ортақ салыстыру сенетін нәрсеңізді өзгертеді. Жеке WAN мекенжайы бар және бағыттау жоқ құрылғы тұрақты жария салыстыруы бар оператор деңгейіндегі NAT артындағы құрылғыдан өзге жағдай.

Екі мекенжай сәйкес келсе, осында тоқтаңыз: NAT сіздің мәселеңіз емес және бұл тізімнің қалғаны көмектеспейді.

Екі мекенжайды және аударғыштың моделін тикетке жазыңыз. Сол бір жол конфигурацияланған әріптес неге жауап бермейтіні туралы келесі сұрақтар топтамасын болдырмайды.

2-қадам: кім бастайтынын келісіңіз

Azure VPN Gateway жиі қойылатын сұрақтары NAT-T қолдауын көрсетеді және жергілікті құрылғы NAT артында болса, IPsec туннелін сол бастауы керегін қосады. Бұл күймен аударудың жұмысына сай келеді, өйткені аударғыш салыстыруды ішкі құрылғы бірінші пакетті жібергендіктен ұстайды. Егер Azure бастауы күтілсе және сол салыстыруды жасайтын ештеңе келмесе, туннель ешқашан басталмайды.

Әріптесті тек-жауап беруші қатесі айқын болатындай конфигурациялаңыз және құрылғы өзі қайталап көретінін немесе триггер қажет екенін тексеріңіз. Кейбір құрылғылар туннельді тек қызықты трафик пайда болғанда көтереді, бұл қызықты трафик ешқашан келмейтін денсаулық тексерісі болғанға дейін дұрыс.

Қолмен бастау кезінде құрылғыдағы IKE алмасуын бақылаңыз; ондағы тыныштық маршруттау немесе файрвол жауабы, Azure жауабы емес.

3-қадам: әріптес мекенжайын дұрыс қойыңыз

Azure өзінің жергілікті желі қақпасы нысанында әріптес үшін қолжетімді жария мекенжай қажет етеді, әдетте құрылғының ішкі мекенжайы емес, аударғыштың жария мекенжайы. Құрылғы аутентификацияланатын сәйкестік жеке өріс және Azure қоңырау шалатын мекенжайдан заңды түрде өзгеше болуы мүмкін. Екеуін бөлек ұстаңыз, өйткені оларды ауыстыру NAT мәселесіне дәл ұқсайтын аутентификация қатесін тудырады.

Жария мекенжай өзгерсе, сол нысан да онымен бірге өзгеруі керек. Ескірген мекенжайға шешілетін атау қолмен жаңартуға тура келетін статикалық мекенжайдан жаман.

Үш мәнді де жазыңыз: құрылғының жергілікті мекенжайы, аударылған жария мекенжай, конфигурацияланған әріптес сәйкестігі.

4-қадам: NAT-T қажет ететін порттарды ғана ашыңыз

NAT-T ESP-ны UDP ішінде тасымалдайды және RFC 3948 бұл инкапсуляцияны 500 портындағы бастапқы келіссөзден кейін қолданылатын 4500 портымен сипаттайды. Сіздің файрволыңыз бен аударғыш екеуі де алмасуға және оның қайтарым трафигіне рұқсат беруі керек. Қатысы жоқ TCP портына рұқсат беру бұл жол туралы ештеңе дәлелдемейді, ал шығысқа рұқсат беріп, жауапқа бермейтін ереже бәрібір сәтсіз болады.

Әріптес бастап, аударғыш күйді ұстағанда кіріс портын статикалық бағыттау автоматты түрде талап етілмейді. Ол салыстыру тұрақсыз болғанда немесе жолдағы бірдеңе күйді агрессивті түрде аяқтағанда қажет болады.

Аударғыштың екі жағында бір рет түсіріңіз; инкапсуляция айырмашылығы бірден көрінеді.

5-қадам: сыртқы тасымалдауды ішкі маршруттаудан бөліңіз

Орнатылып, ештеңе тасымалдамайтын туннель маршруттау мәселесі, NAT-T мәселесі емес. Сайттарға әлі де үйлесімді трафик селекторлары, сәйкес мекенжай кеңістіктері, қатынау ережелері және қосымша желілері үшін қайтарым жолы қажет. Осының ешқайсысын сәтті IKE алмасуы бермейді.

Егер екі сайт қабаттасатын жеке диапазондарды қолданса, туннель ішіндегі аудару өз ережелері бар жеке дизайн. Сыртқы қақпа үй маршрутизаторының артында болғандықтан ғана қосалқы желіні қайта нөмірлемеңіз.

Бірдеңе өзгертудің алдында ақаулықты кезең бойынша жіктеңіз және бұл жіктеуді тикетте қалдырыңыз, сонда келесі адам сіз тоқтаған жерден бастайды.