Azure S2S VPN verbonnen, awer keen Trafic: liest de IKE-Log

De Portal seet Connected, den Tunnel huet en Uptime-Zähler, an en Trace vun ärer virtueller Maschinn stierft um zweete Hop. Den Zoustand vun der Verbindung beschreift d'IKE- an IPsec-Verhandlung, net ob en eenzegt Paket d'Politikschicht op enger vun den zwou Säiten iwwerlieft. Zwee Feeler erkläre déi meescht vun dësen Ticketen, an keen vun deenen zwee gëtt duerch eng geännert Azure-Route behuewen. Béid stinn schonn an deem Log, deen de Gateway produzéiert huet, dofir fänken ech do un an net an der Routentabelle.

Wat Connected tatsächlech zertifiéiert

Eng verbonnen Site-to-Site-Verbindung bedeit, datt d'Phas 1 an d'Phas 2 ofgeschloss sinn an d'Sécherheetsassociatiounen u sinn. Dat ass eng Ausso iwwer d'Verhandlung: béid Peeren hunn sech iwwer eng Proposioun eeneg ginn, Schlësselen ausgetauscht an d'Paar SA installéiert. Si seet näischt doriwwer, ob d'Verkehrsselektoren mat de Subnetzer iwwerenee stëmmen, déi Dir als geschützt ugesitt, an och näischt doriwwer, ob déi wäit Säit d'Paket no der Decryptioun iergendwouhinn rout. En Tunnel kann Wochen an d'Luucht bleiwen an dobäi all interessanten Flux verwerfen, an dat ass genee dat Muster, dat d'Leit en gesonde Gateway nei opbauen léisst.

Déi zwee Feeler, déi een als éischte kontrolléiere sollte sinn e Peer, deen AH amplaz ESP proposéiert, an e virtuelle Netz, dat an engem Raum nummeréiert ass, deen de Gateway net als intern behandelt.

Maacht den exportéierten Log op, ier Dir un Routen drankommt

Maacht am Portal de Gateway vum virtuelle Netz op a fuert d'VPN troubleshoot-Operatioun op der Verbindung aus, luet dann de Bündel erof, deen en produzéiert, a maacht en auseneen. Bannen ass en IKE-Log mat den Austauschë vun der Phas 1 an der Phas 2, mat Zäitstempel an als einfachen Text liesbar. Sicht dra no der transform-Zeil amplaz vun uewen no ënnen ze liesen, well den interessante Bäitrag meeschtens e puer honnert Zeilen déiwe läit. Wann Dir keen Zougang zum Portal hutt, erschéngen déi selwecht Diagnosen am Log-Zil vum Gateway, wann d'Diagnosesastellungen ageschalt sinn.

Zwee Bäiträg droen de gréissten Deel vum Wäert. Den éischten heescht ongeféier expected ESP with combined authentication and cipher, received AH. Den zweeten ass e Feeler mat ongültegem payload wärend dem IKE-Austausch, wat meeschtens e falsch geformt oder net ënnerstëtzt Proposiounsfeld bedeit.

Béid beschreiwen, wat den lokalen Apparat ugebueden huet, also sinn béid Astellungen op der Peer-Säit. D'Azure-Säit vun der Verbindung nei ze generéieren ännert d'Proposioun net, déi är Firewall schéckt, an et trotzdem ze maachen ass déi meescht verschwend Stonn an dësem Aarbechtsfloss. Um Peer setzt d'Phas 2 op ESP mat kombinéierter Authentifikatioun a Chiffre an loosst en den Algorithmus verhandelen, a kontrolléiert duerno, ob eng Checkbox vum Fournisseur mat engem Numm wéi combined mode stëllem eng AH-Proposioun drënner auswielt.

Bestätegt den Adressraum vum virtuelle Netz

De Gateway erwaart, datt de virtuelle Netz a private Beräicher läit. En Netz, dat an engem ëffentleche Block nummeréiert ass, zum Beispill eent, dat mat 111.x ufänkt, kann den Tunnel eropbréngen, wärend Azure sech weigert, dee Raum als intern ze behandelen, sou datt d'Verbindung gesond ausgesäit an keen Flux akzeptéiert gëtt. Bestätegt den Adressraum, ier Dir en Nomëtteg mat de Selektoren verbréngt. Wann d'Nummeréierung eng haart Fuerderung aus enger eelerer Zoudeelung ass, ass d'Léisung eng Ännerung vum Adressplang an net en anere Gateway.

Notéiert d'Iwwerlappung mat de lokalen Beräicher, wärend Dir am Adressraum-Blatt sidd, well iwwerlappend Prefixe produzéieren en anere Feeler, dee vum Client aus änlech ausgesäit.

Kontrolléiert d'Prefixen an zwou Richtungen

D'Ressource vum lokale Netz-Gateway hält déi lokal Prefixen, an si mussen de Subnetzer entspriechen, déi den Apparat op der wäiter Säit tatsächlech schützt. Eng Zesummefaassung, déi Adressen enthält, déi den Apparat verwerft, léisst e puer Flëss duerch an an anere feelt, wat als ënnerbrache Routfeeler gelies gëtt an net als Konfiguratiounsonschrëft. Kuckt och déi wäit Säit: en Enn, dat eng /16 opzielt, wärend dat anert dräi /24 doranner opzielt — dat ass den typeschen Deelausfall. Keng vun den zwou Lëschten ass eleng autoritativ, dofir vergläicht se niewenteneen amplaz vun där ze vertrauen, déi Dir gesitt.

Eng Prefixännerung gëtt net ëmmer vun eleng opgeholl, dofir plangt de Verbindungsobjekt nach eng Kéier ze späicheren oder nei ze maachen an duerno ze bestätegen, datt déi nei Prefixen op béide Säiten erschéngen.

Test e Wee, kee Ping

Den Trace, deen en funktionéierenden Tunnel vun enger funktionéierender Route trennt, gesäit sou aus: den éischten Hop ass de lokale Gateway, duerno e puer Hops déi net äntweren, duerno äntwert den Host op der wäiter Säit. Wann den Trace ni beim Host ukommt, test de TCP-Port, deen d'Applikatioun tatsächlech benotzt, well ICMP dacks genuch gefiltert gëtt, datt e feelgeschloene Ping ganz wéineg beweist. Fuert dee selwechten Trace vun engem wäiten Host aus Richtung enger virtueller Maschinn an Azure. D'Asymmetrie tëscht den zwou Resultater ass de séiersten Wee fir eng feelend Retourroute oder eng Regel ze fannen, déi nëmmen eng Richtung erlaabt.

Schreift d'Proposioun vum Peer, déi zwou Adressraim an d'Zäit vun der Verbindungserstellung an den Ticket, sou datt den nächsten Ingenieur weess, wéi eng Wäerter nei opgebaut goufen a wéi eng ni ugefaasst goufen.

Wann de Log eidel zréckkënnt, kann et sinn, datt de Gateway är Verbindung guer net terminéiert. Bestätegt, datt d'Peer-Adress um lokale Netz-Gateway mat deem Apparat iwwerenee stëmmt, vun deem Dir de Log liest, well zwee Gateways an engem Abonnement ginn beim Neiopbau einfach verwiesselt. Dee Feeler kascht en Dag an hannerléisst keen Trac an engem Log.