Azure P2S VPN хувийн төгсгөлийн цэгийн нэрийг шийдэж чадахгүй

Та point-to-site туннель холбож, хувийн хаяг руу ping хийж, аппыг нээхэд оронд нь 403 эсвэл гэрчилгээний алдаа гарна. Хоёр шинж тэмдэг хоёулаа DNS-ийг заана, гэхдээ эдгээр нь өөр өөр гэмтэл: нэг нь клиент нийтийн хаягийг шийдсэн, нөгөө нь хувийн хаягийг шийдээд дараа нь гэрчилгээ хамрахгүй нэрийг санал болгосон гэсэн үг. Доорх шалгалтуудыг дараалан хийж, эхний алдаа дээр зогсо, учир нь hosts бичлэг эсвэл кэш дэх хариулт дараагийн шалгалт бүрийг буруу шалтгаанаар давна. Би энэ дарааллыг VPN профайлуудынхаа хажууд текст файлд хадгалдаг, учир нь засвар туннель дээр юу ч өөрчлөхгүй, клиентийн мэддэг зүйл дээр бүгдийг өөрчилдөг.

Клиент бодитоор авдаг хаягаас эхэл

Апп-д итгэхийн оронд шийдэгчээс шууд асуу. Windows дээр nslookup adminuidev-fedqcubyd9bfb2bq.canadacentral-01.azurewebsites.net клиент ямар харагдац авсныг харуулна. Нийтийн хариулт гэдэг нь доош юу ч төгсгөлийн цэгт хүрэхгүй гэсэн үг; төгсгөлийн цэгийн хувийн хаяг нь DNS дууссан, дараагийн шалгалт бол холболт өөрөө гэсэн үг.

Хувийн төгсгөлийн цэг үйлчилгээний нэрийг өөрчлөхгүй. Бүртгэл эсвэл апп өөрийн ердийн бүрэн квалификацтай нэрийг хадгалж, төгсгөлийн цэг нь виртуал сүлжээний доторх клиентүүдэд тэр нэр шийдэгдэх хаягийг л өөрчилнө. Тиймээс ижил хост нэр сүлжээний VM-ээс хувийн, хувийн харагдац хэзээ ч аваагүй зөөврийн компьютерээс нийтийн байдлаар шийдэгддэг.

Туннелийн өмнө бүс, түүний холбоос, бичлэгийг шалга

Гурван нөхцөл зэрэг биелэх ёстой: хувийн бүс байгаа, VPN гарц болон клиентүүд Azure-д орох виртуал сүлжээнд холбогдсон, мөн төгсгөлийн цэгийн хувийн хаяг руу заасан A бичлэг агуулж байна. Бүсийг хамааралгүй сүлжээнд холбовол гарц нийтийн бичлэгийг шийдсээр байх бөгөөд туннель дээр бүх зүйл эрүүл харагдана.

Бүсийн нэрс үйлчилгээнүүдэд хамаарна, ерөнхийдөө хувийн холбоосуудад биш. App Service ихэвчлэн privatelink.azurewebsites.net ашигладаг, сануулга болон SQL өөрийн нэрийн орон зайтай, өөр үйлчилгээний бүсийг зээлэх нь байгаа боловч ямар ч ашигтай хариулт өгдөггүй бүс үүсгэдэг.

Клиентэд үнэхээр хүрч чадах шийдэгч өг

168.63.129.16 Azure виртуал машинуудаас хариулдаг бөгөөд point-to-site туннелийн нөгөө талын зөөврийн компьютерт зориулсан DNS сервер биш. Клиентэд туннелээр хүрэх боломжтой шийдэгч хэрэгтэй: Azure DNS Private Resolver-ийн оролтын төгсгөлийн цэг, виртуал сүлжээний доторх дамжуулагч, эсвэл VPN клиентийн профайлд зөөгдсөн DNS серверийн бичлэгүүд, ингэснээр клиент виртуал сүлжээнээс шууд асууна.

Тохируулсан боловч хүрэх боломжгүй шийдэгч ямар ч шийдэгчгүйтэй яг адил ажилладаг бөгөөд шинж тэмдэг нь буруу хариулт биш, хугацаа дуусах бөгөөд тиймээс галт ханын асуудал гэж буруу уншдаг. Туннель зөөх ёстой асуултаар шалга, орон нутгийн холбоосоор ямар ч байсан амжилттай болох нийтийн нэрээр биш.

Тохиргоог түлхэхийн оронд дамжуулж байгаа бол хувийн бүсийн эзэмшдэг нэрийн орон зайг дамжуул, бүх azurewebsites.net-ийн оронд privatelink.azurewebsites.net. Бүх эцэг өвгийн дагаварыг залгидаг нөхцөлт дамжуулагч үйлчилгээний бүх хайлтыг Azure руу илгээдэг, орон нутгийн үлдэх ёстойг ч оруулаад.

Гэрчилгээ олгогдсон нэрийг ашигла

Хаяг зөв болсны дараа хоёр дахь гэмтэл илэрнэ. Сануулга болон App Service privatelink далд нэрийг нийтэлдэг бөгөөд тэр далд нэр заавал гэрчилгээний нэр биш. privatelink.blob.core.windows.net руу илгээсэн AzCopy байршуулалт баталгаажуулалтад унасан; ижил байршуулалт <account>.blob.core.windows.net/<container> руу хувийн хаяг руу шийдэгдэж дамжсан, тиймээс ямар ч тойролтгүйгээр хувийн зам дээр үлдсэн.

Дүрэм хөтөч дээр болон App Service-д мөн үйлчилнэ: гэрчилгээ хамрах хост нэрээр холбогдож, DNS хувийн хаягийг өгөх болтугай. Баталгаажуулалтыг тойрохыг бүү оролд, учир нь энэ нэрлэлтийн алдааг аюулгүй байдлын ухралт болгоно. Амжилттай ping замыг баталж, гар барилтын доторх нэрийн талаар юу ч хэлдэггүй, тиймээс эдгээр нь тусдаа шалгалт хэвээр байна.

Давхарга бүрийг тусгаарлах дөрвөн алхмын дараалал

1. VPN клиент point-to-site сангаас хаяг авсан, төгсгөлийн цэгийн хувийн хаяг руу маршруттай эсэхийг батал.
2. Аппын ашигладаг яг нэрийг шийдэж, хариултыг төгсгөлийн цэгийн хаягтай харьцуул.
3. Үйлчилгээний порт дээр төгсгөлийн цэг рүү TCP холболт нээж, дараа нь тэр холболт дээр танилцуулсан гэрчилгээний нэрийг унш.
4. Одоо л зөвшөөрлийг шалга, учир нь ажиллаж буй зам ба хүчинтэй гэрчилгээ нөөц рүү нэвтрэх эрх өгөхгүй.

Хаяг зөв байхад татгалзсан холболт нь DNS руу биш, сүлжээний аюулгүй байдлын бүлэг эсвэл хувийн төгсгөлийн цэгийн холболтын төлөв рүү заана, тиймээс шийдэгчийн тохиргоог дахин засахын өмнө тэдгээрийг шалга. TLS нэрийн зөрүү таныг URL дахь хост нэр болон гэрчилгээний subject руу буцаана. Шийдлийн гаралт, гэрчилгээний нэр, яг URL-ийг хамт хадгал; эдгээр гурван утга гарцыг хөндөхгүйгээр эдгээр тохиолдлын ихэнхийг тайлбарлана.

Хяналт болгон виртуал сүлжээний доторх VM ашигла. Нэр тэнд хувийн, туннелээс нийтийн байдлаар шийдэгдвэл бүс болон бичлэг зөв бөгөөд цорын ганц ялгаа нь клиентийн шийдэгчийн зам бөгөөд үүнийг төгсгөлийн цэгийн тохиргоог дахин нэг удаа үзэхээс хурдан баталж болно.

Клиентүүд мөн кэшилдэг. Арав минутын өмнө нийтийн хариулсан бичлэг бүсийг зассаны дараа ч хариулсаар байна, тиймээс дахин шалгахын өмнө кэшийг цэвэрлэ. Windows дээр ipconfig /flushdns клиентийн кэшийг цэвэрлэнэ; нэр шийдэх бодлогын дүрмүүд үлдэж, аль дагавар аль серверт явахыг тодорхойлж, нэрийн орон зайг дөнгөж сольсон шийдэгч рүү үргэлжлүүлэн илгээж болно.

hosts бичлэг хаана байх ёстой

Төгсгөлийн цэгийн хаягийг hosts файлд нэмэх нь сайн оношлогоо, муу зохион байгуулалт. Энэ нь нэр ба хаягийн тохирол дутуу хэсэг гэдгийг баталж, тэр алхмын дараах бүгдийг шалгах боломж өгдөг, гэхдээ хэрэглэгчдэд үл үзэгдэх, төгсгөлийн цэгийн хаяг өөрчлөгдөхөд эвдэрч, хариулах ёстой бүсийг нуудаг.

Үлдсэн туршилтын бичлэг хуучирсан кэшээс дор, учир нь алдааны чиглэлээс хамаарч зассан замыг эвдэрсэн эсвэл эвдэрсэн замыг зассан мэт харуулж болно. Эцсийн гүйлтийн өмнө устгаж, зөвхөн үйлдвэрлэлийн шийдэгчээр шийд.

Богино нэрс хайлтын дагавар шаарддаг, бүрэн квалификацтай нэрс шаарддаггүй, тиймээс эхлээд бүрэн квалификацтай нэрийг шалга, дараа нь ажлын урсгалд клиентийн профайлаар түлхэгдэх дагавар хэрэгтэй эсэхийг шийд. Microsoft үйлчилгээ бүрийн бүсийн нэр, бичлэгийн хэлбэрийг өөрийн хувийн төгсгөлийн цэгийн DNS заавраар баримтжуулдаг; өөр үйлчилгээнээс бүс хуулахын оронд өөрийн үйлчилгээний бичлэгийг унш.