Azure taškas-į-svetainę prisijungia, bet joks privatus išteklius neatsako
Prisijungta reiškia tik tai, kad tunelis pakilo. Patikrinkite, ką gali pernešti šliuzas, palyginkite adresų erdves, tada išspręskite vardą ir išbandykite pačią paslaugą.
Prisijungta yra tunelio būsena, o ne teiginys apie pasiekiamumą. Taškas-į-svetainę klientas gali užbaigti IKE, gauti adresą ir vis tiek nieko nepasiekti, nes šliuzas persiunčia srautą tik tiems tinklams, kuriuos VNet jau žino. Atlikite šiuos penkis patikrinimus iš eilės ir sustokite ties pirmąja nesėkme. Peršokimas į priekį yra būdas, kuriuo DNS problema valandą traktuojama kaip ugniasienės problema.
Tvarka svarbesnė už sąrašą.
Patikrinimas 1: nuspręskite, ką turi pernešti tunelis
Azure VPN Gateway užbaigia tunelį ir persiunčia srautą, priklausantį VNet; jisnėra bendra interneto išėjimo vieta. Jei naudotojai tikisi, kad jų naršymas išeis per Azure, projektas klaidingas dar prieš atsirandant bet kokiam kliento nustatymui. Įjunkite split tunneling, kad vietinis internetas liktų vietiniame kelyje, o kai tikrai reikia fiksuoto išėjimo adreso, naudokite NAT egzempliorių arba svetainė-svetainė tunelį.
Užsirašykite, kur klientas turi pasiekti, prieš ką nors tikrindami. Be to sąrašo kiekvienas dalinis rezultatas atrodo kaip pažanga.
Patikrinimas 2: palyginkite adresų erdves prieš sertifikatus
Persidengimas vertinamas pagal platesnius diapazonus, todėl du tinklai, kurie subnetų lygmenyje atrodo skirtingi, vis tiek susiduria, jei jų tėviniai blokai persidengia. Šliuzo subnetas turi būti atskiras ir pakankamai didelis SKU, o kliento adresų telkinys neturi susidurti su VNet ar bet kuo, kas pasiekiama per peering. Pakeiskite planą ir įdiekite iš naujo, nes maršrutų pridėjimas kompensacijai sukuria tunelį, kuris veikia vieniems tikslams ir nepaaiškinamai ne kitiems. Čia paruošimas garsiai nepavyksta, ir tai geras atvejis.
Autentifikacija yra kiti vartai. Sertifikato, RADIUS ir Entra ID profiliai nėra keičiami, o kliento paketas kiekvienam skiriasi.
Patikrinimas 3: išspręskite privatų vardą iš vidaus
Klientas išlaiko savo resolverį, nebent atsisiųstas profilis turi VNet DNS serverius, o tas sąrašas įterpiamas atsisiuntimo metu. Pridėkite forwarderį VNet viduje, nustatykite jį kaip VNet DNS serverį, tada dar kartą atsisiųskite ir importuokite kliento paketą. Seno paketo naudojimas tikrina tik seną resolverių sąrašą.
Pirmiausia patikrinkite adresą, nes tai vienu žingsniu atskiria maršrutizavimą nuo vardų: Test-NetConnection 10.20.1.4 -Port 3389.
Jei adresas atsako, o vardas ne, klauskite resolverio tiesiogiai su Resolve-DnsName files.corp.example -Server 10.20.0.4. Jei abu nepavyksta, gedimas ne DNS, ir turėtumėte nustoti redaguoti DNS nustatymus. Azure platformos DNS adresu 168.63.129.16 atsako tik iš VNet vidaus, todėl klientas už jo ribų negali naudoti šio adreso kaip resolverio.
Patikrinimas 4: išbandykite paslaugą už tunelio
Sveikas tunelis ir uždarytas prievadas iš kliento pusės atrodo vienodai. Patikrinkite svečio ugniasienę, tada tinklo saugumo grupę subnete arba NIC, tada ar paslauga klausosi privataus adreso, o ne tik loopback. Leiskite kliento telkiniui būti šaltiniu, o ne atidarykite taisyklę į internetą, ir atminkite, kad SMB į Azure Files reikia privataus endpointo kelio per tunelį. Kai išteklius atsako IP, bet ne vardu, grįžkite prie patikrinimo 3, o ne lieskite šliuzą.
Viena lentelė laiko sluoksnius atskirai dirbant:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Patikrinimas 5: užfiksuokite profilį prieš eskalavimą
Įrašykite į bilietą šliuzo tipą, tunelio tipą, autentifikacijos metodą ir kliento operacinę sistemą. Sertifikato IKEv2 profilis ir RADIUS profilis nepavyksta dėl skirtingų priežasčių, o kitam tunelio tipui sukurtas klientas prisijungia tik tada, kai šliuzas siūlo suderinamą protokolą.
Mažai komandai ilgaamžis sprendimas yra vienas VNet, vienas DNS forwarderis ir dokumentuotas split-tunnel klientas. Jei reikalavimas yra fiksuotas viešas išėjimas, užbaikite svetainė-svetainė tunelį ugniasienėje, kurią valdote, ir nukreipkite ten interneto srautą, o ne prašykite taškas-į-svetainę šliuzo daryti tai, kam jis niekada nebuvo skirtas.