Azure의 IP 흐름 확인은 허용이라고 하지만 VPN은 여전히 실패한다

사이트 간 터널은 연결되어 있고 VM은 정상이지만 온프레미스 클라이언트는 아무것도 받지 못한다. Network Watcher를 열어 IP 흐름 확인을 실행하면 Access allowed라고 하므로 티켓은 VPN 문제로 닫힌다. 그 결과는 보이는 것과 같은 뜻이 아니다. IP 흐름 확인은 설명한 흐름의 보안 규칙을 평가할 뿐 Azure에 온프레미스 접두사로 가는 경로가 있는지는 결코 시험하지 않는다.

필터링 질문과 라우팅 질문은 별개이고 Network Watcher는 서로 다른 도구로 답한다. 어느 쪽을 물었는지 아는 것이 진단의 대부분이다.

IP 흐름 확인이 실제로 결정하는 것

IP 흐름 확인은 VM, 네트워크 인터페이스, 방향, 오중값과 프로토콜을 받아 그 흐름에 대한 NSG와 보안 관리자 규칙의 결정을 보고한다. TCP와 UDP에서 동작하므로 ICMP 규칙 시험기가 아니며 차단된 ping은 서비스에 대해 아무것도 증명하지 않는다. 추측 대신 실제 흐름을 넣어라. 온프레미스에서 데이터베이스 포트로 들어오는 연결은 VM이 시작하는 나가는 연결과 다른 설명이다.

게이트웨이가 주소를 변환한다면 평가하는 경계에 도달하는 원본 주소를 써야 하며 클라이언트 구성에 있는 주소가 아니다. 결과도 있는 그대로 읽어라. Access allowed는 패킷이 도착하면 필터 계층이 허용한다는 뜻일 뿐 그 이상이 아니다.

알려 주지 못하는 것은 Azure가 고른 경로, 게스트 방화벽이 포트를 허용하는지, 무언가가 수신 중인지다. 그것들은 다른 계층에 있다.

다음 홉과 유효 경로가 더하는 것

다음 홉은 전달 질문에 답한다. 이 목적지에 대해 Azure가 어떤 다음 홉 유형을, 어느 주소에서, 어느 경로 테이블로 고르는지다. 유효 경로는 NIC에 실제로 무엇이 있는지 나열한다. 둘 다 실행하면 초록 IP 흐름 확인이 비워 두는 Azure 측 경로를 얻는다.

Microsoft의 IP 흐름 확인 개요는 필터링 범위를 직접 밝히고, 다음 홉과 경로 진단 페이지는 전달 측을 다룬다. 결과를 적을 때 올바른 페이지를 인용하라.

명령은 셸에서 실행하기에 충분히 짧다.az network nic show-effective-route-table는 인터페이스에 적용된 경로를 나열한다.az network watcher show-next-hop는 원본과 목적지를 주면 선택된 홉을 돌려준다.관심 있는 접두사를 그 표와 비교한 뒤 어느 항목이 이기는지 확인하라.

VM의 NIC에서 돌아오는 경로를 걸어 보라

대상 VM의 NIC에서, 온프레미스 클라이언트 접두사에 대해 하라. 인터넷이 아니다. 돌아오는 경로는 사이트 간 결함이 숨는 곳이다. 터널 상태 확인은 보안 연결이 살아 있다는 것만 보고한다.

기대한 경로가 없으면 게이트웨이 구성이 제공하는 원격 접두사, VNet 연결 설계, 모든 경로 전파 설정을 확인하라. 로컬 네트워크 게이트웨이 개체는 온프레미스 측을 설명한다. 그 존재가 필요한 모든 접두사가 NIC에 있고 우선된다는 것을 증명하지는 않는다. 서로 다른 사실이며 포털 요약에는 그중 하나만 나타난다.

예제를 복사하지 말고 다음 홉 유형을 읽어라

관리형 VPN 게이트웨이 경로는 보통 다음 홉 유형으로 VirtualNetworkGateway를 보여 준다.VirtualAppliance는 다른 전달 설계를 뜻하며 보통 방화벽이나 네트워크 가상 어플라이언스다.

옛 포럼 답변이 그 유형을 썼다는 이유로 추측한 VPN 엔드포인트를 향한 어플라이언스 경로를 만들지 마라. 사용자 정의 경로가 의도한 경로를 덮어쓴다면 바꾸기 전에 소유자와 목적을 찾아라. 두 번째 NIC도 게스트가 쓰는 인터페이스를 바꿀 수 있고, 그것을 제거하면 이 경로를 고치는 대신 다른 서비스를 깨뜨릴 수 있다.

아직 실패하는 경계로 이동하라

필터링과 라우팅이 모두 설계와 맞으면 결함은 다른 곳에 있다. 게스트 자체의 경로 테이블, 방화벽, 수신기가 기대한 주소에 묶여 있는지 확인하라. 그다음 VPN의 보호 트래픽 선택기와 온프레미스 응답 경로를 확인하라. 각각은 별도 결과를 가진 별도 시험이다.

허용된 애플리케이션 요청과 양쪽 끝의 관측으로 마무리하라. allow 결과와 올바른 다음 홉은 두 개의 증거 조각이지 연결이 성공했다는 증명이 아니다.