Azure Punkt-zu-Site verbënnt, awer keng privat Ressource äntwert
Verbannen heescht just, datt den Tunnel steet. Kuckt, wat den Gateway droe kann, vergläicht d'Adressraim, da léist en Numm op a test de Service selwer.
Verbannen ass en Zoustand vum Tunnel, keng Ausso iwwer d'Erreechbarkeet. E Punkt-zu-Site-Client kann IKE ofschléissen, eng Adress kréien an trotzdem näischt erreechen, well den Gateway just Verkéier fir Netzwierker weiderleet, déi de VNet schonn kennt. Maach dës fënnef Kontrollen der Rei no a stopp beim éischte Feeler. Virsprangen ass de Wee, op deem en DNS-Problem eng Stonn laang als Firewall-Problem behandelt gëtt.
D'Reiefolleg ass méi wichteg wéi d'Lëscht.
Kontroll 1: entscheet, wat den Tunnel soll droen
Azure VPN Gateway terminéiert den Tunnel a leet Verkéier weider, deen zum VNet gehéiert; et asskeen allgemengen Internetausgang. Wann d'Benotzer erwaarden, datt hire Surfen iwwer Azure erausgeet, ass den Design falsch, ier eng Client-Astellungs iwwerhaapt a Spill kënnt. Aktivéier Split Tunneling, sou datt den lokalen Internet um lokale Wee bleift, a benotz eng NAT-Instanz oder en Site-zu-Site-Tunnel, wann eng fest Ausganksadress wierklech néideg ass.
Schreif op, wou de Client soll hikommen, ier s du eppes test. Ouni déi Lëscht gesäit all Deelergebnes wéi Fortschrëtt aus.
Kontroll 2: vergläich d'Adressraim virun de Certificaten
Iwwerlappung gëtt op de méi breede Beräicher beurteelt, dofir stoussen zwéi Netzwierker, déi op Subnetz-Niveau ënnerschiddlech ausgesinn, ëmmer nach openeen, wann hir Elterebléck sech iwwerlappen. De Gateway-Subnetz muss dedikéiert a grouss genuch fir d'SKU sinn, an de Client-Adresspool däerf net mam VNet oder mat eppes, wat iwwer e Peering erreechbar ass, kollidéieren. Änner de Plang a setz nei op, well zousätzlech Routes als Kompensatioun erzéien en Tunnel, dee fir e puer Destinatioune funktionéiert an onerklärlecherweis fir aner net. D'Provisionéierung fält hei haart aus, wat de gudde Fall ass.
Authentifikatioun ass déi nächst Paart. Certificat-, RADIUS- an Entra ID-Profiler sinn net austauschbar, an de Clientpakett ënnerscheet sech fir jiddereen.
Kontroll 3: léis en private Numm vun bannen op
De Client behält säin eegene Resolver, ausser de proffitéierte Profil dréit d'DNS-Server vum VNet, an déi Lëscht gëtt beim Eroflueden agebaut. Füüg e Forwarder bannent dem VNet derbäi, setz en als DNS-Server vum VNet, luet dann de Clientpakett nach eng Kéier erof an importéier en. Deen ale Pakett ze benotzen test just déi al Resolverlëscht.
Test éischt eng Adress, well dat Routing vum Numm an engem Schrëtt trennt: Test-NetConnection 10.20.1.4 -Port 3389.
Wann d'Adress äntwert an den Numm net, fro de Resolver direkt mat Resolve-DnsName files.corp.example -Server 10.20.0.4. Wann béides ausfält, ass de Feeler net DNS an s du solls ophalen, DNS-Astellungen z'änneren. Den Azure-Plattform-DNS op 168.63.129.16 äntwert just vun bannen aus dem VNet, dofir kann e Client dobausse déi Adress net als Resolver benotzen.
Kontroll 4: test de Service hannert dem Tunnel
En gesonden Tunnel an en zouene Port gesinn aus Clientsiicht identesch aus. Kontrolléier d'Firewall vum Gaascht, dann d'Netzwierksécherheetsgrupp um Subnetz oder um NIC, da firwat de Service op der privater Adress lauschtert an net just op Loopback. Erlaab de Clientpool als Quell, amplaz eng Regel an den Internet opzemaachen, a vergiess net, datt SMB op Azure Files de Wee vum privaten Endpunkt duerch den Tunnel brauch. Wann eng Ressource iwwer IP äntwert, awer net iwwer den Numm, geh zréck op Kontroll 3, amplaz de Gateway unzefassen.
Eng Tabell hält d'Schichte beim Aarbechten auserneen:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Kontroll 5: hal de Profil fest, ier s eskaléiers
Setz de Gateway-Typ, den Tunnel-Typ, d'Authentifikatiounsmethod an d'Betribssystem vum Client an den Ticket. E Certificat-IKEv2-Profil an e RADIUS-Profil fale aus ënnerschiddleche Grënn aus, an e Client, dee fir en aneren Tunnel-Typ gebaut gouf, verbënnt sech just, wann de Gateway e kompatibelt Protokoll ubitt.
Fir eng kleng Equipe ass den dauerhaften Design ee VNet, ee DNS-Forwarder an e dokumentéierte Split-Tunnel-Client. Wann d'Ufuerderung en feste ëffentlechen Ausgang ass, terminéier en Site-zu-Site-Tunnel op enger Firewall, déi s du kontrolléiers, a leet den Internetverkéier dohin, amplaz vum Punkt-zu-Site-Gateway eppes ze froen, fir wat en ni gebaut gouf.