Azure VPN префиксін қосу неге байланысты үзеді

Қате Azure нысанына қосылған префикс Connected деп хабарлайтын және ештеңе жібермейтін байланыс жасайды, ал бұл осы стектегі ең қымбат қате түрі. Үш ресурс қатысады және олардың тек біреуі қашықтағы мекенжай кеңістігіне ие: виртуалды желі шлюзі, қашықтағы жақты сипаттайтын жергілікті желі шлюзі және оларды қосатын байланыс. Префикс жергілікті желі шлюзіне тиесілі, өзгеріс күшіне енуі үшін байланысты қайта құру керек, ал шлюздің өзі әдетте тиіспеген күйінде қалады. Тәртіп талқыланбайды, және портал оның тек бір бөлігін көрсетеді.

Үш нысан, олардың біреуі префиксті ұстайды

Виртуалды желінің мекенжай кеңістігі басқа сұраққа жауап береді: Azure ішінде не тұрады. Онда қашықтағы префикс қосу трафикті сол жаққа бағыттамайды, платформа өзінікі деп санайтын кеңістікті ғана кеңейтеді, бұл нақты қашықтағы ауқыммен қақтығысуы мүмкін. Жергілікті желі шлюзі қашықтағы префикстерді ұстайтын нысан, ал байланыс екі шлюзге және алдын ала ортақ кілтке сілтеме жасайды.

Есте сақтауға тиісті үшінші ескерту де бар. GatewaySubnet басқарылатын шлюз даналарын орналастырады, дәл осы атауды иеленуі керек, ал Basic емес SKU үшін кемінде /27 болуы күтіледі.

Басқа ештеңе ол қосымша желіге тиесілі емес, ал префиксті өзгертудің оны ұстауға себебі жоқ. Жергілікті желі шлюзінде жоқ префикс байланыс күйі не десе де қолжетімсіз, өйткені шлюз туннель туралы келіскенде өзіне хабарланған префикстерді ғана ұсынады. Сондықтан симптом асимметриялы: туннель көтерілген, қауіпсіздік ассоциациясы дұрыс, ал бір қосымша желі трафик селекторларында ешқашан көрінбейді. Егер көршілері жұмыс істеп тұрғанда бір қашықтағы ауқым жетіспесе, туннельге қарауды тоқтатып, жергілікті желі шлюзін оқыңыз.

Неге дәл байланыс жойылады

Байланыс нысаны келісілген конфигурацияны өзінің бүкіл өміріне бекітеді. Сондықтан құжатталған рәсім алдымен байланысты жояды, жергілікті желі шлюзін жаңартады, содан кейін байланысты сол ортақ кілтпен қайта жасайды. Шлюз даналары тек префикске қатысты өзгеріс үшін қайта құрылмайды, бұл үзілісті шлюзді қайта орналастыруға емес, байланысты бұзуға шектейді.

Сол жою — үзілістің өзі, сондықтан оны жылдам өңдеу ретінде емес, басы мен күтілетін соңы бар жоспарлы өзгеріс ретінде қарастырыңыз. PowerShell-де реттілік қысқа: Remove-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 -Force, содан кейін Set-AzLocalNetworkGateway жаңа -AddressPrefix массивімен, содан кейін New-AzVirtualNetworkGatewayConnection сол -SharedKey және сол шлюздермен. Кілтті қайта пайдалану маңызды, өйткені қашықтағы жақ қайта конфигурацияланбайды және жаңа кілт қашықтағы құрылғының иесімен үйлестіруді білдіреді. Егер бұл құрылғыны басқа топ басқарса, бірдеңе жоюдан бұрын олармен уақыт терезесін келісіңіз.

Шлюздің өзін қашан қайта құру керек

Осы мәселенің айналасында жүрген екінші жауап шлюзді қайта жасап, кілтті қайта айырбастау керек дейді. Бұл басқа операциялар жиынтығы үшін дұрыс: шлюз түрін немесе SKU-ды өзгерту, point-to-site пен site-to-site арасында ауысу, немесе өзінің конфигурациясы қате шлюзді жөндеу. Мұндай өзгерістер шлюз ресурсын шынымен өзгертеді, сондықтан қайта құру шынымен қажет.

point-to-site үшін жасалған шлюзге site-to-site байланысын жай ғана беруге болмайды. point-to-site конфигурациясын жою керек және шлюзді қайта жасау керек, бұл жаңа ортақ кілт пен жаңа клиент пакетін де шығарады.

point-to-site пакеті бөлек ескертуге лайық, өйткені оның мерзімі бітеді. Портал қысқа өмірлі файл жасайды, сондықтан практикалық тәсіл — оны бір рет жүктеп алып, клиент сертификатымен бірге тарату, пайдаланушыларға басқан кезде өлі болатын портал сілтемесін жіберудің орнына. Префикс мәселесіне мұның ешқайсысы қатысты емес. Екі рәсімді бөлек ұстау — бүкіл тәртіп: префикстер байланыс деңгейіндегі өзгеріс, ал шлюз қасиеттері шлюз деңгейіндегі өзгеріс.

Күйді оқыңыз, портал белгісін емес

Күйді порталдағы белгіден емес, ресурстан оқыңыз. Get-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 қайтарады ConnectionStatus кіріс және шығыс байт есептегіштерімен бірге, және дәл есептегіштер қосылған, бірақ ештеңе тасымайтын туннельді ешқашан орнатылмаған туннельден ажыратады.

Тасымалдаудың ортасында өсуді тоқтататын есептегіштер аутентификацияға емес, жолға нұсқайды. Ал мүлдем қозғалмайтын есептегіштер префикстер жиынына немесе ортақ кілтке нұсқайды.

Таймерлер VPN-ге қате телінетін үзілістердің бір класын түсіндіреді. Azure жүктеме теңгерушісі белсенді емес ағындарды конфигурацияланған таймауттан кейін жабады, осы жазбалар жазылған кезде әдепкі төрт минут және жоғары қарай конфигурацияланады, сондықтан keepalive жоқ VM-дегі OpenVPN сервері әр бірнеше минут сайын құлауы мүмкін, ал қалғанының бәрі сау көрінеді. Платформа циклді түрде қайта іске қосатын шлюз де VNet байланысын Web App-пен үзуі мүмкін, және бұл сәтсіздік клиент конфигурациясында емес, платформа жағында. Белгі — үзіліс тұрақты аралыққа немесе сіз жасаған өзгеріске бағына ма.

Үш нысанды және олардың мәндерін бір жазбада ұстаңыз: виртуалды желінің мекенжай кеңістігі, жергілікті желі шлюзінің префикс тізімі және байланыстың ортақ кілтіне сілтеме. site-to-site PowerShell мақаласы жергілікті желі шлюзінің пәрмендерін және оларға тиесілі тәртіпті құжаттайды. Префикс өзгерісін жадымен салыстыру — жұмыс істеп тұрған туннельді екі рет қайта құрудың жолы.

Содан кейін өзгерткен ретіңізбен тексеріңіз: жергілікті желі шлюзі жаңа префикс тізімін көрсетеді, байланыс қайтадан Connected, және жаңа ауқымдағы хостқа трафик жібергенде есептегіштер қозғалады. Егер алғашқы екеуі өткенде үшінші қадам сәтсіз болса, қашықтағы жақ жаңа трафик селекторын қабылдамаған және қашықтағы құрылғыға сәйкес келетін 2-фаза жазбасы қажет. Бұл туннельдің екінші ұшымен әңгіме, Azure-де тағы бір өзгеріс емес.