Azure seng IP-Flow-Verifikatioun seet erlaabt, awer d’VPN schléit nach ëmmer fehl

Site-to-Site-Tunnel verbonnen, VM gesond, awer de lokale Client kritt näischt. Dir öffnet den Network Watcher, setzt d’IP-Flow-Verifikatioun a si seet Access allowed, also gëtt den Ticket als VPN-Problem zougemaach. Dëst Resultat bedeit net dat, wat et schéngt, well d’IP-Flow-Verifikatioun d’Sécherheetsregelen fir de Flow bewäert, deen Dir beschriwwen hutt, an ni préift, ob Azure eng Route op Äre lokale Präfix huet.

D’Filterfro an d’Routingfro sinn getrennt, an den Network Watcher beäntwert si mat verschiddenen Instrumenter. Ze wëssen, wéi eng Dir gestallt hutt, ass de gréissten Deel vun der Diagnose.

Wat d’IP-Flow-Verifikatioun tatsächlech entscheet

D’IP-Flow-Verifikatioun hëlt eng VM, eng Netzwierkinterface, eng Richtung, Fënnef-Tupel-Wäerter an e Protokoll a mellt duerno d’Entscheedung vun der NSG- an der Sécherheetsadministratorregel fir dee Flow. Si funktionéiert op TCP an UDP, also ass si keen ICMP-Regeltester an e blockéierte Ping beweise näischt iwwer Ären Déngscht. Gitt hir de richtege Flow amplaz vun enger Vermutung. Eng erakommend Verbindung vun der lokaler Säit op en Datebankport ass eng aner Beschreiwung wéi eng erausgoend Verbindung, déi d’VM ufänkt.

Wann de Gateway Adressen iwwersetzt, benotzt d’Quelladress, déi d’Grenz erreecht, déi Dir bewäert, net déi aus der Clientkonfiguratioun. Liest d’Resultat och fir dat, wat et ass. Access allowed bedeit, datt d’Filterschicht de Paket géif erlaussen, wann en ukomm wier, an net méi.

Wat si Iech net ka soen, ass d’Route, déi Azure gewielt huet, ob de Gaaschtefirewall de Port erlaabt oder ob eppes lauschtert. Dat lieft op aneren Schichten.

Wat den nächsten Hop an effektiv Routen derbäisetzen

Den nächsten Hop beäntwert eng Weiderleitungsfro: fir dës Destinatioun, wéi en Typ nächsten Hop Azure wielt, op wéi enger Adress, aus wéi enger Routentabell. Effektiv Routen listen, wat d’NIC tatsächlech huet. Féiert béides aus an Dir kritt de Wee op der Azure-Säit, deen eng gréng IP-Flow-Verifikatioun eidel léisst.

D’Iwwersiicht vun der IP-Flow-Verifikatioun vu Microsoft nennt de Filterëmfang direkt, wärend d’Säiten iwwer den nächsten Hop an d’Routendiagnos d’Weiderleitungssäit ofdecken. Zitéiert déi richteg Säit, wann Dir d’Erkenntnes opschreift.

D’Kommandos si kuerz genuch, fir se aus enger Shell ze starten. az network nic show-effective-route-table listet d’Routen op, déi op d’Interface ugewannt sinn. az network watcher show-next-hop gëtt mat enger Quell an engem Zil den ausgewielten Hop zréck. Vergläicht de Präfix, deen Iech wichteg ass, mat där Tabell a bestätegt duerno, wéi en Agang gewënnt.

Gitt de Retourwee vun der NIC vun der VM

Maacht dat vun der NIC vun der Zil-VM aus, fir de Präfix vum lokale Client, net fir den Internet. De Retourwee ass do, wou sech Site-to-Site-Fehler verstoppen, well eng Tunnelstatuspréifung just mellt, datt d’Sécherheetsassociatiounen ugesat sinn.

Wann déi erwaart Route feelt, préift d’Remote-Präfixen, déi d’Gatewaykonfiguratioun liwwert, den Design vun der VNet-Konnektivitéit an all Astellung fir d’Verbreedung vu Routen. En Objet vun engem lokalen Netzwierkgateway beschreift déi lokal Säit; seng Existenz beweise net, datt all néidege Präfix op der NIC do ass a virgezunn gëtt. Dat si verschidde Fakten, an nëmmen ee vun hinne erschéngt an enger Portalzesummefaassung.

Liest den Typ vum nächsten Hop, amplaz e Beispill ze kopéieren

En Ënnerwee iwwer en geréierte VPN-Gateway weist normalerweis VirtualNetworkGateway als Typ vum nächsten Hop. VirtualAppliance beschreift en aneren Design vun der Weiderleitung, meeschtens eng Firewall oder en virtuelle Netzwierkapparat.

Erstellt keng Apparateroute op en geroden VPN-Endpunkt, just well eng al Forumsäntwert dësen Typ benotzt huet. Wann eng benotzerdefinéiert Route de geplangte Wee iwwerschreift, fannt hire Besëtzer an Zweck, ier Dir se ännert. Eng zweet NIC kann och änneren, wéi eng Interface de Gaascht benotzt, an hirem Ewechhuele kann en aneren Déngscht briechen, amplaz dës Route ze flécken.

Wiesselt op d’Grenz, déi nach ëmmer feelt

Wann Filterung a Routing allebéid zum Design passen, ass de Fehler soss anzwousch. Préift dem Gaascht seng eege Routentabell, seng Firewall a ob de Lauschterer un déi erwaart Adress gebonnen ass. Préift duerno déi geschützt Trafficselektoren vun der VPN an de lokale Äntwertwee. Jiddwereen dovun ass en eegene Test mat engem eegenen Resultat.

Schléisst mat enger erlauschter Applikatiounsufro an Observatiounen aus béide Säiten of. En Allow-Resultat an e richtege nächsten Hop sinn zwee Beweiser, net de Beweis, datt d’Verbindung gelungen ass.