Azure чекиттен сайтка туташат, бирок эч бир жеке ресурс жооп бербейт
Туташуу туннелдин көтөрүлгөнүн гана билдирет. Шлюз эмнени ташып бере аларын текшериңиз, дарек мейкиндиктерин салыштырыңыз, анан атты чечип, кызматтын өзүн сынаңыз.
Туташуу — туннелдин абалы, жетүү мүмкүнчүлүгү жөнүндө билдирүү эмес. Чекиттен сайтка кардары IKEни бүтүрүп, дарек алып, баары бир эч нерсеге жете албашы мүмкүн, анткени шлюз VNet мурун эле билген тармактар үчүн гана трафикти өткөрөт. Бул беш текшерүүнү ирети менен аткарыңыз жана биринчи ийгиликсиздикте токтоңуз. Алдыга секирүү — DNS маселесин бир саат бою firewall маселеси катары кароонун жолу.
Ирет тизмеден маанилүү.
Текшерүү 1: туннель эмнени ташышы керектигин чечиңиз
Azure VPN Gateway туннелди аяктайт жана VNetке таандык трафикти өткөрөт; алжалпы интернет чыгуучу жер эмес. Колдонуучулар алардын серептөөсү Azure аркылуу чыгат деп күтсө, кандайдыр бир кардар жөндөөсү пайда болоорго чейин эле долбоор туура эмес. split tunneling күйгүзүңүз, жергиликтүү интернет жергиликтүү жолду колдонсун, ал эми туруктуу чыгуу дареги чындап керек болгондо NAT инстанциясын же сайттан сайтка туннелди колдонуңуз.
Бир нерсени сынаардан мурун кардар кайда жетиши керектигин жазыңыз. Ошол тизме жок болсо, ар бир жарым-жарты натыйжа прогресс сыяктуу көрүнөт.
Текшерүү 2: сертификаттардан мурун дарек мейкиндиктерин салыштырыңыз
Кабатташуу кененирээк диапазондор боюнча бааланат, ошондуктан субнет деңгээлинде башкача көрүнгөн эки тармак ата-блоктору кабатташса, баары бир кагылышат. Шлюздун субнети өзүнчө жана SKU үчүн жетиштүү чоң болушу керек, ал эми кардардын дарек пулу VNet менен же peering аркылуу жеткиликтүү нерселердин бири менен кагылышпашы керек. Планды өзгөртүп, кайра жайгаштырыңыз, анткени ордун толтуруу үчүн маршруттарды кошуу айрым багыттарга иштеген, башкаларына түшүнүксүз түрдө иштебеген туннель жаратат. Бул жерде камсыздоо катуу ийгиликсиз болот, жана бул жакшы учур.
Аутентификация — кийинки дарбаза. Сертификат, RADIUS жана Entra ID профилдери алмашылбайт, ал эми кардар пакети ар бири үчүн башка.
Текшерүү 3: жеке атты ичтен чечиңиз
Кардар жүктөлгөн профиль VNetдин DNS серверлерин алып жүрбөсө, өзүнүн чечүүчүсүн сактайт, жана ал тизме жүктөө учурунда камтылат. VNet ичине forwarder кошуңуз, аны VNetдин DNS сервери катары коюңуз, анан кардар пакетин кайра жүктөп, импорттоңуз. Эски пакетти кайра колдонуу эски чечүүчү тизмесин гана текшерет.
Алгач даректи сынаңыз, анткени бул маршруттоону ат коюудан бир кадамда бөлөт: Test-NetConnection 10.20.1.4 -Port 3389.
Дарек жооп берип, ат бербесе, чечүүчүдөн түз сураңыз: Resolve-DnsName files.corp.example -Server 10.20.0.4. Экөө тең ийгиликсиз болсо, ката DNSте эмес жана DNS жөндөөлөрүн оңдоону токтотушуңуз керек. 168.63.129.16 дарегиндеги Azure платформасынын DNSи VNetдин ичинен гана жооп берет, ошондуктан тыштагы кардар бул даректи чечүүчү катары колдоно албайт.
Текшерүү 4: туннелдин артындагы кызматты сынаңыз
Ден соолугу жакшы туннель менен жабык порт кардар тараптан бирдей көрүнөт. Коноктун firewallун, анан субнеттеги же NICтеги тармактык коопсуздук тобун, анан кызматтын жеке даректе угуп жатканын, loopbackте гана эмес экенин текшериңиз. Интернетке эреже ачуунун ордуна кардар пулуна булак катары уруксат бериңиз жана Azure Filesке SMB үчүн жеке endpoint жолу туннел аркылуу өтүшү керектигин унутпаңыз. Ресурс IP менен жооп берип, ат менен бербесе, шлюзга тийбей, текшерүү 3кө кайтыңыз.
Иштөө учурунда бир таблица кабаттарды бөлүп турат:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Текшерүү 5: эскалацияга чейин профилди жазып алыңыз
Билетке шлюздун түрүн, туннелдин түрүн, аутентификация ыкмасын жана кардардын операциялык системасын жазыңыз. Сертификаттуу IKEv2 профили жана RADIUS профили ар башка себептерден ийгиликсиз болот, ал эми башка туннель түрү үчүн курулган кардар шлюз шайкеш протокол сунуштаганда гана туташат.
Чакан команда үчүн бекем долбоор — бир VNet, бир DNS forwarder жана документтелген split-tunnel кардары. Эгер талап туруктуу коомдук чыгуу болсо, өзүңүз көзөмөлдөгөн firewallдо сайттан сайтка туннелди аяктап, интернет трафигин ошол жакка багыттаңыз, чекиттен сайтка шлюзунан ал эч качан курулбаган нерсени талап кылуунун ордуна.