Azure punkts-uz-vietni savienojas, bet neviens privātais resurs nav atbild
Savienots nozīmē tikai to, ka tunelis ir pacelts. Pārbaudiet, ko var pārnest vārteja, salīdziniet adrešu telpas, pēc tam atrisiniet nosaukumu un pārbaudiet pašu pakalpojumu.
Savienots ir tuneļa stāvoklis, nevis apgalvojums par sasniedzamību. Punkts-uz-vietni klients var pabeigt IKE, saņemt adresi un tomēr neko nesasniegt, jo vārteja pārsūta tikai to tīklu satiksmi, kurus VNet jau zina. Veiciet šīs piecas pārbaudes secībā un apstājieties pie pirmās neveiksmes. Pārlēkšana uz priekšu ir veids, kā DNS problēma stundu tiek uztverta kā ugunsmūra problēma.
Secība ir svarīgāka par sarakstu.
Pārbaude 1: izlemiet, ko tunelim jāpārnes
Azure VPN Gateway izbeidz tuneli un pārsūta satiksmi, kas pieder VNet; tānav vispārēja interneta izeja. Ja lietotāji gaida, ka viņu pārlūkošana izies caur Azure, dizains ir nepareizs vēl pirms jebkura klienta iestatījuma. Ieslēdziet split tunneling, lai vietējais internets paliktu uz vietējā ceļa, un izmantojiet NAT instanci vai vietnes-uz-vietni tuneli, kad fiksēta izejas adrese patiešām ir nepieciešama.
Pierakstiet, kur klientam jāsasniedz, pirms kaut ko pārbaudāt. Bez šī saraksta katrs daļējais rezultāts izskatās pēc progresa.
Pārbaude 2: salīdziniet adrešu telpas pirms sertifikātiem
Pārklāšanās tiek vērtēta pēc platākiem diapazoniem, tāpēc divi tīkli, kas apakštīkla līmenī izskatās atšķirīgi, tomēr saduras, ja to vecākbloki pārklājas. Vārtejas apakštīklam jābūt atsevišķam un pietiekami lielam SKU, un klienta adrešu pūlam nedrīkst sadurties ar VNet vai ar jebko, kas sasniedzams caur peering. Mainiet plānu un izvietojiet no jauna, jo maršrutu pievienošana kompensācijai rada tuneli, kas darbojas dažiem galamērķiem un neizskaidrojami ne citiem. Nodrošināšana šeit skaļi neizdodas, un tas ir labais gadījums.
Autentifikācija ir nākamie vārti. Sertifikāta, RADIUS un Entra ID profili nav savstarpēji aizstājami, un klienta pakotne katram atšķiras.
Pārbaude 3: atrisiniet privātu nosaukumu no iekšpuses
Klients patur savu resolveri, ja vien lejupielādētais profils nesatur VNet DNS serverus, un šis saraksts tiek iekļauts lejupielādes laikā. Pievienojiet forwarder VNet iekšienē, iestatiet to kā VNet DNS serveri, pēc tam vēlreiz lejupielādējiet un importējiet klienta pakotni. Vecās pakotnes atkārtota izmantošana pārbauda tikai veco resolveru sarakstu.
Vispirms pārbaudiet adresi, jo tas vienā solī atdala maršrutēšanu no nosaukšanas: Test-NetConnection 10.20.1.4 -Port 3389.
Ja adrese atbild un nosaukums ne, jautājiet resolverim tieši ar Resolve-DnsName files.corp.example -Server 10.20.0.4. Ja abi neizdodas, vaina nav DNS, un jums jāpārtrauc DNS iestatījumu rediģēšana. Azure platformas DNS 168.63.129.16 atbild tikai no VNet iekšpuses, tāpēc klients ārpus tā nevar izmantot šo adresi kā resolveri.
Pārbaude 4: pārbaudiet pakalpojumu aiz tuneļa
Vesels tunelis un aizvērts ports no klienta puses izskatās vienādi. Pārbaudiet viesa ugunsmūri, pēc tam tīkla drošības grupu apakštīklā vai NIC, pēc tam vai pakalpojums klausās privātajā adresē, nevis tikai loopback. Atļaujiet klienta pūlam būt par avotu, nevis atveriet noteikumu uz internetu, un atcerieties, ka SMB uz Azure Files ir nepieciešams privātā endpoint ceļš caur tuneli. Kad resurss atbild pēc IP, bet ne pēc nosaukuma, atgriezieties pie pārbaudes 3, nevis aiztieciet vārteju.
Viena tabula darba laikā tur slāņus atsevišķi:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Pārbaude 5: reģistrējiet profilu pirms eskalācijas
Ierakstiet biļetē vārtejas tipu, tuneļa tipu, autentifikācijas metodi un klienta operētājsistēmu. Sertifikāta IKEv2 profils un RADIUS profils neizdodas dažādu iemeslu dēļ, un klientam, kas būvēts citam tuneļa tipam, izdodas savienoties tikai tad, kad vārteja piedāvā saderīgu protokolu.
Mazai komandai noturīgs dizains ir viens VNet, viens DNS forwarder un dokumentēts split-tunnel klients. Ja prasība ir fiksēta publiska izeja, pabeidziet vietnes-uz-vietni tuneli ugunsmūrī, kuru kontrolējat, un novirziet tur interneta satiksmi, nevis prasiet punkts-uz-vietni vārtejai darīt kaut ko, kam tā nekad nav būvēta.