Azure P2S VPN kann den Numm vun engem private Endpunkt net opléisen

Dir verbënnt den Point-to-site-Tunnel, pingt déi privat Adress, maacht d'App op a kritt amplaz eng 403 oder e Zertifikatsfehler. Béid Symptomer weisen op DNS, awer et sinn ënnerschiddlech Feeler: deen een heescht, de Client huet déi ëffentlech Adress opgeléist, deen aneren, hien huet déi privat Adress opgeléist an duerno en Numm ugebueden, deen d'Zertifikat net deckt. Gitt d'Kontrollen hei drënner der Rei no duerch a stoppt beim éischte Feeler, well en hosts-Antrag oder eng Äntwert aus dem Cache all spéider Kontroll aus dem falsche Grond ka bestoen. Ech halen dës Rei an enger Textdatei nieft menge VPN-Profiler, well d'Korrektur näischt um Tunnel ännert an alles un deem, wat de Client weess.

Fänkt mat der Adress un, déi de Client tatsächlech kritt

Frot de Resolver direkt, amplaz der Applikatioun ze vertrauen. Op Windows weist nslookup adminuidev-fedqcubyd9bfb2bq.canadacentral-01.azurewebsites.net, wéi eng Vue de Client kritt huet. Eng ëffentlech Äntwert bedeit, datt ënnen driwwer näischt den Endpunkt erreecht; déi privat Adress vum Endpunkt bedeit, datt DNS fäerdeg ass an datt déi nächst Kontroll d'Verbindung selwer ass.

En private Endpunkt ännert den Numm vum Service net. D'Kont oder d'App behält hire gewéinleche vollqualifizéierten Numm, an den Endpunkt ännert just d'Adress, op déi dësen Numm fir Clienten am virtuelle Netzwierk opgeléist gëtt. Dofir gëtt dee selwechten Hostnumm privat vun enger VM am Netzwierk an ëffentlech vun engem Laptop opgeléist, deen ni déi privat Vue kritt huet.

Kontrolléiert d'Zone, hir Verbindung an den Antrag virum Tunnel

Dräi Konditioune mussen zesummen erfëllt sinn: d'privat Zone existéiert, si ass mat dem virtuelle Netzwierk verbonnen, an deem de VPN-Gateway an d'Clienten an Azure erakommen, an si enthält en A-Antrag fir den Endpunkt, deen op déi privat Adress weist. Verbënnt d'Zone mat engem onverbonnenen Netzwierk a de Gateway léist weider deen ëffentlechen Antrag op, wärend um Tunnel alles gesond ausgesäit.

Zonennimm gehéieren zu Servicer, net allgemeng zu private Verbindungen. App Service benotzt normalerweis privatelink.azurewebsites.net, de Späicher an SQL hunn hir eege Nummräim, an eng Zon vun engem anere Service ze léinen ergëtt eng Zon, déi existéiert an näischt Nëtzleches äntwert.

Gitt dem Client en Resolver, deen en wierklech erreeche kann

168.63.129.16 äntwert vun Azure-virtuelle Maschinnen a ass keen DNS-Server fir e Laptop op der anerer Säit vun engem Point-to-site-Tunnel. De Client brauch en Resolver, deen iwwer den Tunnel erreechbar ass: en agaangen Endpunkt vum Azure DNS Private Resolver, en Iwwerleeër am virtuelle Netzwierk, oder DNS-Server-Anträg, déi am VPN-Clientprofil gedroe ginn, sou datt de Client d'virtuellt Netzwierk direkt freet.

En ageriichten, awer onerreechbare Resolver verhält sech genee wéi keen Resolver, an d'Symptom ass en Timeout an net eng falsch Äntwert, dofir gëtt et fälschlech als Firewallproblem gelies. Testt en mat enger Ufro, déi den Tunnel droen soll, net mat engem ëffentlechen Numm, deen iwwer d'lokal Verbindung souwisou geklappt hätt.

Wann dir weiderleet, amplaz Astellungen ze drécken, leet de Nummraum weider, deen déi privat Zone besëtzt, privatelink.azurewebsites.net amplaz vum ganzen azurewebsites.net. En bedingten Iwwerleeër, deen de ganzen Elterendeel verschléckt, schéckt all Sich no dem Service op Azure, och déi, déi lokal missten bleiwen.

Benotzt den Numm, fir deen d'Zertifikat ausgestallt gouf

Soubal d'Adress richteg ass, daucht deen zweete Feeler op. De Späicher an App Service verëffentlechen en privatelink-Alias, an dësen Alias ass net onbedéngt den Numm am Zertifikat. En AzCopy-Upload op privatelink.blob.core.windows.net huet d'Validatioun net bestanen; dee selwechten Upload op <account>.blob.core.windows.net/<container> gouf op déi privat Adress opgeléist a goung duerch, sou datt en ouni Ëmwee um private Wee bliwwen ass.

D'Reegel gëllt am Browser an och fir App Service: verbënnt mat deem Hostnumm, deen d'Zertifikat deckt, a loosst DNS déi privat Adress liwweren. Gräift net no enger Ëmgee vun der Validatioun, well si aus engem Nummfeeler eng Sécherheetsregressioun mécht. En erfollegräiche Ping beweist de Wee an seet näischt iwwer den Numm an der Handhabung, dofir bleiwen dat getrennt Kontrollen.

Eng Rei vu véier Schrëtt, déi all Schicht isoléiert

1. Bestätegt, datt de VPN-Client eng Adress aus dem Point-to-site-Pool huet an e Wee zur privater Adress vum Endpunkt.
2. Léist den exakten Numm op, deen d'Applikatioun benotzt, a vergläicht d'Äntwert mat der Adress vum Endpunkt.
3. Maacht eng TCP-Verbindung zum Endpunkt um Serviceport op a liest dann den Zertifikatsnumm, deen op dëser Verbindung presentéiert gëtt.
4. Testt d'Autorisatioun just elo, well e funktionéierende Wee an e gültegt Zertifikat nach keen Zougang zum Ressourci ginn.

Eng ofgeleent Verbindung, wärend d'Adress richteg ass, weist op d'Netzwierksécherheetsgrupp oder den Zoustand vun der Verbindung vum private Endpunkt, net op DNS, also kontrolléiert déi, ier dir d'Resolver-Astellunge nach eng Kéier ännert. Eng TLS-Numm-Differenz schéckt Iech zréck op den Hostnumm an der URL an den Subject vum Zertifikat. Halt d'Ausgab vun der Opléisung, den Zertifikatsnumm an déi exakt URL zesummen; dës dräi Wäerter erklären déi meescht vun dëse Fäll, ouni de Gateway unzepaken.

Benotzt eng VM am virtuelle Netzwierk als Kontroll. Wann den Numm do privat an iwwer den Tunnel ëffentlech opgeléist gëtt, sinn d'Zone an den Antrag richteg an den eenzegen Ënnerscheed ass de Resolver-Wee vum Client, deen et méi séier ze bestätegen ass wéi nach eng Pass iwwer d'Endpunkt-Konfiguratioun.

D'Clientë cachen och. En Antrag, deen virun zéng Minutten ëffentlech geäntwert huet, äntwert weider, nodeems dir d'Zone verbessert hutt, also leert de Cache virum Neitest. Op Windows botzt ipconfig /flushdns de Client-Cache; Reegelen fir d'Numm-Opléisungspolitik bleiwen, entscheeden, wéi en Deel op wéi e Server geet, a kënnen den Nummraum weider un de Resolver schécken, deen dir just ersat hutt.

Wou en hosts-Antrag gehéiert

D'Adress vum Endpunkt an eng hosts-Datei derbäizesetzen ass eng gutt Diagnos an en schlechten Design. Et beweist, datt d'Zouuerdnung vum Numm op d'Adress de fehlenden Deel ass, an et erlaabt Iech alles duerno ze testen, awer et ass fir Är Benotzer onsichtbar, et geet futti, wann d'Adress vum Endpunkt sech ännert, an et verstoppt d'Zone, déi misst äntwerten.

En hannerloossenen Testantrag ass schlëmmer wéi en ale Cache, well en de verbesserten Wee futti oder de futtie Wee verbessert ka schéngen, jee no der Richtung vum Feeler. Huelt en ewech virum leschte Laf an léist just mam Produktiounsresolver op.

Kuerz Nimm brauchen eng Sich-Endung a vollqualifizéiert net, also testt éischt de vollqualifizéierten Numm a entscheet duerno, ob de Workflow eng Endung brauch, déi iwwer de Clientprofil gedréckt gëtt. Microsoft dokumentéiert d'Zonennimm an d'Antragsformen pro Service an hire Richtlinien fir DNS vu private Endpunkten; liest den Antrag fir Ären Service, amplaz eng Zon vun engem aneren ze kopéieren.