Azure P2S VPN жеке акыркы чекиттин атын чече албайт

Point-to-site туннелин туташтырасыз, жеке дарекке ping жасайсыз, колдонмого киресиз жана анын ордуна 403 же сертификат катасын аласыз. Эки белги тең DNS-ке шилтейт, бирок алар ар башка бузулуулар: бири кардар коомдук даректи чечкенин, экинчиси жеке даректи чечип, анан сертификат камтыбаган атты сунуштаганын билдирет. Төмөнкү текшерүүлөрдү тартиби менен өткөрүңүз жана биринчи ийгиликсиздикте токтоңуз, анткени hosts жазуусу же кэштеги жооп кийинки текшерүүлөрдүн баарын туура эмес себептен өткөрүп жибериши мүмкүн. Мен бул тартипти VPN профилдеримдин жанындагы тексттик файлда сактайм, анткени түзөтүү туннелде эч нерсени өзгөртпөйт жана кардар билген нерсенин баарын өзгөртөт.

Кардар иш жүзүндө алган даректен баштаңыз

Колдонмого ишенүүнүн ордуна чечүүчүдөн түз сураңыз. Windows'то nslookup adminuidev-fedqcubyd9bfb2bq.canadacentral-01.azurewebsites.net кардар кайсы көрүнүштү алганын көрсөтөт. Коомдук жооп төмөндө эч нерсе акыркы чекитке жетпей турганын билдирет; акыркы чекиттин жеке дареги DNS бүткөнүн жана кийинки текшерүү байланыштын өзү экенин билдирет.

Жеке акыркы чекит кызматтын атын өзгөртпөйт. Аккаунт же колдонмо адаттагы толук атын сактайт, ал эми акыркы чекит виртуалдык тармактын ичиндеги кардарлар үчүн ошол ат чечиле турган даректи гана өзгөртөт. Ошондуктан бирдей хост аты тармактагы VMден жеке түрдө, ал эми жеке көрүнүш берилбеген ноутбуктан коомдук түрдө чечилет.

Туннелге чейин зонаны, анын байланышын жана жазууну текшериңиз

Үч шарт бирге аткарылышы керек: жеке зона бар, ал VPN шлюзу менен кардарлар Azure'га кирген виртуалдык тармакка байланган жана анда акыркы чекит үчүн жеке даректи көрсөткөн A жазуусу бар. Зонаны байланышы жок тармакка туташтырсаңыз, шлюз коомдук жазууну чечүүнү улантат, туннелдегинин баары соо көрүнөт.

Зона аттары кызматтарга таандык, жалпы жеке байланыштарга эмес. App Service адатта privatelink.azurewebsites.net колдонот, сактоо жана SQL өз ат мейкиндиктерине ээ, ал эми башка кызматтын зонасын карызга алуу бар болгону менен пайдалуу эч нерсеге жооп бербеген зонаны жаратат.

Кардарга иш жүзүндө жете алган чечүүчүнү бериңиз

168.63.129.16 Azure виртуалдык машиналарынан жооп берет жана point-to-site туннелинин аркы бетиндеги ноутбук үчүн DNS сервери эмес. Кардарга туннел аркылуу жеткиликтүү чечүүчү керек: Azure DNS Private Resolver'дин кирүү акыркы чекити, виртуалдык тармактын ичиндеги кайра жиберүүчү же VPN кардар профилинде ташылуучу DNS сервер жазуулары, ошондо кардар виртуалдык тармактан түз сурайт.

Конфигурацияланган, бирок жеткиликсиз чечүүчү чечүүчү жоктой эле жүрүм-турум көрсөтөт, ал эми белги туура эмес жооп эмес, убакыттын бүтүшү, ошондуктан аны firewall көйгөйү деп туура эмес окушат. Аны туннел ташышы керек болгон суроо менен текшериңиз, жергиликтүү байланыш аркылуу баары бир өтө турган коомдук ат менен эмес.

Жөндөөлөрдү түртүүнүн ордуна кайра жиберсеңиз, жеке зонага таандык ат мейкиндигин кайра жибериңиз, бүт azurewebsites.net ордуна privatelink.azurewebsites.net. Бүт аталык уландыны жутуп алган шарттуу кайра жиберүүчү кызматтын ар бир издөөсүн Azure'га жөнөтөт, жергиликтүү калышы керек болгондорду да кошуп.

Сертификат берилген атты колдонуңуз

Дарек туура болгондо экинчи бузулуу чыгат. Сактоо жана App Service privatelink лакап атын жарыялайт, жана бул лакап ат сөзсүз сертификаттагы ат эмес. privatelink.blob.core.windows.net дарегине жиберилген AzCopy жүктөөсү текшерүүдөн өтпөдү; ошол эле жүктөө <account>.blob.core.windows.net/<container> дарегине жеке дарекке чечилип, өттү, ошондуктан ал эч кандай айланып өтүүсүз жеке жолдо калды.

Эреже браузерде жана App Service үчүн да колдонулат: сертификат камтыган хост аты менен туташыңыз жана DNS жеке даректи берсин. Текшерүүнү айланып өтүүгө умтулбаңыз, анткени ал ат коюу катасын коопсуздук регрессиясына айландырат. Ийгиликтүү ping маршрутту далилдейт жана кол алышуунун ичиндеги ат жөнүндө эч нерсе айтпайт, ошондуктан булар өзүнчө текшерүүлөр болуп кала берет.

Ар бир катмарды бөлүп кармаган төрт кадамдык тартип

1. VPN кардарынын point-to-site бассейнинен дареги жана акыркы чекиттин жеке дарегине маршруту бар экенин ырастаңыз.
2. Колдонмо колдонгон так атты чечиңиз жана жоопту акыркы чекиттин дареги менен салыштырыңыз.
3. Кызмат портунда акыркы чекитке TCP байланышын ачыңыз, андан кийин ошол байланышта көрсөтүлгөн сертификат атын окуңуз.
4. Авторизацияны азыр гана текшериңиз, анткени иштеген жол жана жарактуу сертификат ресурска кирүү укугун бере элек.

Дарек туура болгондо четке кагылган байланыш DNS'ке эмес, тармактык коопсуздук тобуна же жеке акыркы чекиттин байланыш абалына шилтейт, ошондуктан чечүүчүнүн жөндөөлөрүн кайра оңдоодон мурун аларды текшериңиз. TLS атынын дал келбестиги сизди URL'деги хост атына жана сертификаттын subject'ине кайтарат. Чечүүнүн чыгышын, сертификаттын атын жана так URL'ди бирге сактаңыз; бул үч маани шлюзга тийбестен ушул учурлардын көбүн түшүндүрөт.

Көзөмөл катары виртуалдык тармактын ичиндеги VM'ди колдонуңуз. Ат ал жерде жеке, ал эми туннелден коомдук чечилсе, зона менен жазуу туура жана жалгыз айырма кардардын чечүүчү жолу, аны акыркы чекиттин конфигурациясын дагы бир жолу кароого караганда тезирээк ырастоого болот.

Кардарлар да кэштейт. Он мүнөт мурун коомдук жооп берген жазуу зонаны оңдогондон кийин да жооп бере берет, ошондуктан кайра текшерүүдөн мурун кэшти тазалаңыз. Windows'то ipconfig /flushdns кардардын кэшин тазалайт; ат чечүү саясатынын эрежелери калат, кайсы уландынын кайсы серверге барарын аныктайт жана ат мейкиндигин жакында алмаштырган чечүүчүгө жиберүүнү улантышы мүмкүн.

hosts жазуусу кайда турушу керек

Акыркы чекиттин дарегин hosts файлына кошуу жакшы диагностика жана начар дизайн. Ал ат менен даректин шайкештиги жетишпеген бөлүк экенин далилдейт жана ошол кадамдан кийинкинин баарын текшерүүгө мүмкүндүк берет, бирок колдонуучуларыңызга көрүнбөйт, акыркы чекиттин дареги өзгөргөндө бузулат жана жооп бериши керек болгон зонаны жашырат.

Калган сыноо жазуусу эскирген кэштен жаман, анткени катанын багытына жараша түзөтүлгөн жолду бузулган же бузулган жолду түзөтүлгөн кылып көрсөтүшү мүмкүн. Аны акыркы жүгүртүүдөн мурун алып салыңыз жана өндүрүштүк чечүүчү менен гана чечиңиз.

Кыска аттар издөө уландысын талап кылат, толук аттар талап кылбайт, ошондуктан адегенде толук атты текшериңиз, анан жумуш агымына кардар профили аркылуу түртүлүүчү уланды керекпи, ошону чечиңиз. Microsoft ар бир кызмат үчүн зона аттарын жана жазуу формаларын өзүнүн жеке акыркы чекиттердин DNS көрсөтмөсүндө документтештирет; башка кызматтан зона көчүрүүнүн ордуна өз кызматыңыздын жазуусун окуңуз.