Firwat d'Bäisetze vun engem Azure VPN-Präfix d'Verbindung trennt

E Präfix, deen um falschen Azure-Objet bäigesat gëtt, produzéiert eng Verbindung, déi Connected mellt an näischt weiderleede, an dat ass déi deierst Zort Feeler an dësem Stack. Dräi Ressourcë sinn dobäi an nëmmen eng vun hinnen huet de fërnen Adressraum: de Gateway vum virtuelle Netzwierk, de lokalen Netzwierkgateway, deen déi fërn Säit beschreift, an d'Verbindung, déi se verbënnt. De Präfix gehéiert zum lokalen Netzwierkgateway, d'Verbindung muss nei opgebaut ginn, fir datt d'Ännerung gëllt, an de Gateway selwer gëtt normalerweis onberéiert gelooss. D'Reiefolleg ass net verhandelbar, an de Portal weist nëmmen en Deel dovun.

Dräi Objeten, vun deenen een de Präfix hält

Den Adressraum vum virtuelle Netzwierk beäntwert eng aner Fro: wat am Azure lieft. E fërne Präfix do bäisetzen leet den Trafick net dohinner, et vergréissert nëmmen de Raum, deen d'Plattform als hire betruecht, wat mam richtege fërnen Beräich kollidéiere kann. De lokale Netzwierkgateway ass den Objet, deen déi fërn Präfixe hält, an d'Verbindung referenzéiert béid Gatewayen plus e virdru gedeelte Schlëssel.

Et gëtt nach eng drëtt Reservatioun ze berücksichtegen. GatewaySubnet beherbergt déi verwalt Gateway-Instanzen, muss genee deen Numm droen, a fir Net-Basic SKUe gëtt erwaart, datt en op d'mannst /27 ass.

Näischt anescht gehéiert an dee Subnet, an eng Präfixännerung huet keng Ursaach, en ze beréieren. E Präfix, deen am lokalen Netzwierkgateway feelt, ass onereechbar, egal wat de Verbindungsstatus seet, well de Gateway nëmmen déi Präfixe bitt, iwwer déi en informéiert gouf, wéi en den Tunnel verhandelt huet. Dofir ass de Symptom asymmetresch: den Tunnel ass uewen, d'Sécherheetsassociatioun ass an der Rei, an een Subnet erschéngt ni an de Verkéiersselektoren. Wann een eenzegen fërnen Beräich feelt, wärend seng Nopere schaffen, da stoppt de Tunnel ze kucken a liest de lokalen Netzwierkgateway.

Firwat just d'Verbindung ewechgeholl gëtt

D'Verbindungsobjet fixéiert déi verhandelt Konfiguratioun fir säi ganzt Liewen. Dofir hëlt déi dokumentéiert Prozedur fir d'éischt d'Verbindung ewech, aktualiséiert de lokalen Netzwierkgateway an erstellt d'Verbindung duerno mam selwechte gedeelte Schlëssel nei. D'Gateway-Instanze ginn net fir eng Ännerung just um Präfix nei opgebaut, wat den Ausfall op den Ofbau vun der Verbindung begrenzt amplaz op eng Nei-Deployement vum Gateway.

Dee Läschen ass den Ausfall, also behandelt en als geplangten Ännerung mat engem Ufank an engem erwaarten Enn amplaz als séier Redaktioun. Am PowerShell ass d'Reiefolleg kuerz: Remove-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 -Force, dann Set-AzLocalNetworkGateway mam neien -AddressPrefix Array, dann New-AzVirtualNetworkGatewayConnection mam selwechten -SharedKey an de selwechte Gatewayen. De Schlëssel erëm ze benotzen ass wichteg, well déi fërn Säit net nei konfiguréiert gëtt an en neie Schlëssel bedeit Koordinatioun mat deem, deen de fërnen Apparat huet. Wann en anert Team deen Apparat bedreift, da stëmmt d'Fënster mat hinnen of, ier Dir eppes ewechhëlt.

Wéini de Gateway selwer nei opgebaut muss ginn

Eng zweet Äntwert, déi ronderëm dëse Problem kurséiert, seet, de Gateway misst nei erstallt an de Schlëssel nei ausgetosch ginn. Dat ass richteg fir eng aner Rei Operatiounen: den Typ vum Gateway oder d'SKU änneren, tëschent Punkt-zu-Site a Site-zu-Site wiesselen, oder e Gateway reparéieren, deem seng eege Konfiguratioun falsch ass. Esou Ännerungen änneren tatsächlech d'Gateway-Ressource, also ass en Neiopbau wierklech néideg.

En Gateway, dee fir Punkt-zu-Site erstallt gouf, kann net einfach eng Site-zu-Site-Verbindung kréien. D'Punkt-zu-Site-Konfiguratioun muss ewechgeholl an de Gateway nei erstallt ginn, wat och en neie gedeelte Schlëssel an e neit Clientpaket produzéiert.

De Punkt-zu-Site-Paket verdéngt seng eege Notiz, well en ofleeft. De Portal generéiert eng Datei mat kuerzer Liewensdauer, dofir ass de prakteschen Usaz, se eemol erofzelueden an zesumme mam Clientzertifikat ze verdeelen, amplaz de Benotzer e Portal-Link ze schécken, dee scho dout ass, wann se drop klicken. Fir d'Präfixfro gëllt näischt dovun. Déi zwou Prozeduren ausernee ze halen ass déi ganz Disziplin: Präfixe sinn eng Ännerung op Verbindungsniveau, a Gateway-Eegeschaften sinn eng Ännerung op Gateway-Niveau.

Liest den Zoustand, net de Portal-Badge

Liest den Zoustand aus der Ressource amplaz aus dem Badge am Portal. Get-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 gëtt ConnectionStatus zréck zesumme mat Byte-Zähler fir erakommenden an erausgoenden Trafick, an et sinn d'Zähler, déi en Tunnel, dee verbonnen ass an näischt dréit, vun engem trennen, deen ni opgebaut gouf.

Zähler, déi mëttelst an enger Iwwerdroung ophalen ze wuessen, weisen op de Wee amplaz op d'Authentifikatioun. Zähler, déi sech iwwerhaapt net beweegen, weisen op de Präfix-Set oder de gedeelte Schlëssel.

Timer erklären eng Klass vun Trenungen, déi fälschlech der VPN zougeschriwwe ginn. De Load Balancer vum Azure schléisst idle Flëss no sengem konfiguréierten Timeout, standardméisseg véier Minutten, wéi dës Notizen geschriwwe goufen, a kann no uewe konfiguréiert ginn, dofir kann en OpenVPN-Server op enger VM ouni Keepalive all puer Minutten ofbriechen, wärend alles anescht gesond ausgesäit. En Gateway, deen d'Plattform zyklesch nei startet, kann och eng VNet-Verbindung zu enger Web App ënnerbriechen, an dee Feeler läit op der Plattformsäit an net an enger Clientkonfiguratioun. D'Zeeche ass, ob d'Trenung engem fixen Intervall follegt oder enger Ännerung, déi Dir gemaach hutt.

Hält déi dräi Objeten an hir Wäerter an engem Rekord: den Adressraum vum virtuelle Netzwierk, d'Präfixlëscht vum lokalen Netzwierkgateway an d'Referenz op de gedeelte Schlëssel vun der Verbindung. Site-zu-Site-PowerShell-Artikel dokumentéiert d'Befehler vum lokalen Netzwierkgateway an d'Reiefolleg, an déi se gehéieren. Eng Präfixännerung mat dem Gediechtnes ze vergläichen ass de Wee, wéi en funktionéierenden Tunnel zweemol nei opgebaut gëtt.

Da kontrolléiert an der Reiefolleg, an där Dir geännert hutt: de lokale Netzwierkgateway weist déi nei Präfixlëscht, d'Verbindung ass erëm Connected, an d'Zähler beweege sech, wann Dir Trafick op en Host am neie Beräich schéckt. Wann den drëtte Schrëtt feelt, wärend déi éischt zwee duerchgoen, huet déi fërn Säit den neien Verkéiersselektor net akzeptéiert an de fërnen Apparat brauch de passenden Phase-2-Agang. Dat ass e Gespréich mat deem aneren Enn vum Tunnel, keng aner Ännerung am Azure.