Azure P2S DNS иштебей калат, эгер resolver теңдештирилген VNet ичинде болсо

Кардар өзүнүн виртуалдык тармагына жете алат, бирок теңдештирилген тармактагы аттарды чече албайт. Peering — эки тарап макул болмокчу gateway транзити эмес.

VMге ping жөнөтүңүз — ал жооп берет; атын сураңыз — кардар хост белгисиз деп айтат. Resolver VPN gateway бар тармакта эмес, теңдештирилген виртуалдык тармакта жайгашканда, бул эки жыйынтык күтүлүүчү нерсе, жана resolverди канча текшерсеңиз да ал өзгөрбөйт. Жетишпегени — peering демейде кармап турган маршруттоо келишими. Эки топология кагазда дээрлик бирдей көрүнөт, ал эми иштеген менен бузулгандын ортосундагы айырма туура багытта коюлган бир жуп peering которгучу.

Ноутбук VNet2деги gatewayге туннель жасап, DNS кызматын көрсөткөн домен контроллери VNet1де отурат деп элестетиңиз.

Эки топология, бир айырма

Resolverди gatewayдин өз виртуалдык тармагына коюңуз — туннель көтөрүлгөн учурда ат чечилет. Бул издөөгө эч бир peering параметри катышпайт.

Ошол эле resolverди peering аркылуу аркы бетке жылдырыңыз — кардар дагы эле VMден жооп алат, ал эми ат белгисиз бойдон калат. Сертификат, туннель жана кардар өзгөргөн жок. Жылган жалгыз нерсе — resolver кайда жашайт. Peering ага ошол дарекке маршрут берди, gatewayге ал жакка трафик ташуу укугун эмес.

A тарабы: gateway ээсинде gateway транзитине уруксат бериңиз

Peering эки виртуалдык тармакты бириктирет, бирок бул биригүү gateway аркылуу келген трафик үчүн транзиттик эмес, ал эми point-to-site суроосу дал ушундай келет. Ошондуктан VNet2деги gateway долбоор уруксат бермейинче издөөнү VNet1ге өткөрүүгө укуктуу эмес. Уруксат — gatewayди кармаган тармакка таандык peeringдеги которгуч.

VNet2ден VNet1 көздөй peeringде Allow gateway transit коюңуз. Бул касиет gateway ресурсуна эмес, peering объектисине таандык, ошондуктан аны peering bladeинде окуп, өзгөртөсүз. A тарабы толугу менен ушул.

B тарабы: өнөктөштө алыскы gatewayлерди колдонуңуз

Экинчи жарымы — күзгүдөгү чагылдыруу: VNet1ден VNet2ге кайткан peeringде Use remote gateways күйгүзүңүз. Ошол эле флагды эки учта тең, же бир учта гана күйгүзүү жарым салынган жолду жана баштапкы белгини кыймылсыз калтырат. Транзитке VPN gateway бар тармак гана уруксат берет, ал эми өнөктөш — аны колдонгон тарап.

Акыркы ачкан портал bladeине ишенүүнүн ордуна эки тармакта эки касиетти тең окуңуз.

Get-AzVirtualNetworkPeering -ResourceGroupName rg-core -VirtualNetworkName vnet2 `
  | Format-List Name,AllowGatewayTransit,UseRemoteGateways
Get-AzVirtualNetworkPeering -ResourceGroupName rg-core -VirtualNetworkName vnet1 `
  | Format-List Name,AllowGatewayTransit,UseRemoteGateways

Жупту катар көрүү — тескери коюлган параметрди кармоонун эң тез жолу. Gateway тарабында AllowGatewayTransit false деп билдирген peering бүткүл алсыздыкты пакет кармабастан түшүндүрөт.

Кардар дагы эмнени алышы керек

Маршруттоо зарыл, бирок жетиштүү эмес, анткени point-to-site профили кардарга транзит иштегенден кийин жооп берүүчү DNS дарегин да бериши керек. Платформанын resolverи ал дарек эмес: ал виртуалдык тармакка байланган Azure Private DNS аймактарына жооп берет, бирок өз каталог серверлериңизде жайгашкан аймакка эч нерсе бербейт, ал эми бул орнотуу дал ошону колдонот. Кардарды ошого багыттасаңыз, коомдук аттар кубаныч менен чечилет, ички хост белгисиз бойдон калат.

Башка нерсени өзгөртүүдөн мурун туташкан ноутбуктан resolverге суроо жөнөтүңүз.

nslookup dc01.corp.example 10.1.0.4

Убакыт бүтүү жол дагы жок экенин айтат. Ыйгарымдуу жооп маселени кардарга кайтарат, көбүнчө эч качан кошулбаган уланды, ошондуктан кыска аттар аларды кубаныч менен ийгиликсиз кылган коомдук resolverге саякаттайт.

Ошол эле келишимди site-to-site тарабында салыштырыңыз

Булардын эч бири ноутбуктарга гана тиешелүү эмес. Кардарды site-to-site бутагына алмаштырыңыз — эки тараптуу талап кайра келет: бутак gateway тармагына түз келет, ал эми эки тармак алыстыктагы кызмат дагы эле peering артында.

Транзит эки peeringде тең берилиши керек, ал эми аны берген которгуч кардар түрүндө эмес, peeringде турат.

Gatewayди күнөөлөөдөн мурун

Windows ар бир адаптер үчүн resolver тизмесин кармайт, ошондуктан gatewayди күнөөлөөдөн мурун туннель интерфейси чындыгында эмнени алганын текшериңиз.

ipconfig /all
Get-DnsClientServerAddress -AddressFamily IPv4
ipconfig /flushdns

Терс жооп кэште маршруттоо оңдоосунан узак жашайт, ал эми эскирген уландылар тизмеси суроолорду аймак эч качан жайгашпаган жерге жөнөтүүнү улантат. Тазалаңыз, кайра сураңыз жана кайсы сервер жооп берерин белгилеп коюңуз.

Жолдун сакталышын эки кичине шарт чечет: дарек мейкиндиктери кабатташпашы керек, ал эми resolverдин кошумча тармагындагы тармактык коопсуздук тобу кардар пулун өткөрүшү керек, ал жөн гана дагы бир булак диапазону. Муну VM тарабынан натыйжалуу маршрут текшерүүсү жана кардардан бир түз суроо менен далилдеңиз, ошондо аймак маселеси, уланды маселеси же фильтр жетишпеген транзит менен чаташтырылбайт.

Тектеш макалалар