Azure цэгээс сайт холбогддог ч ямар ч хувийн нөөц хариу өгөхгүй
Холбогдсон гэдэг нь зөвхөн туннель боссон гэсэн үг. Гарц юу зөөж чадахыг шалгаж, хаягийн орон зайг харьцуулж, дараа нь нэрийг шийдэж, үйлчилгээг өөрөө туршина уу.
Холбогдсон гэдэг нь туннелийн төлөв, хүрэх боломжийн тухай мэдэгдэл биш. Цэгээс сайтын клиент IKE-г дуусгаж, хаяг авсан ч юунд ч хүрэхгүй байж болно, учир нь гарц нь VNet-ийн аль хэдийн мэддэг сүлжээний урсгалыг л дамжуулдаг. Энэ таван шалгалтыг дарааллаар нь хийж, эхний алдаанд зогсоно уу. Урагш харайх нь DNS асуудлыг нэг цагийн турш firewall-ийн асуудал гэж үзэх арга юм.
Дараалал нь жагсаалтаас илүү чухал.
Шалгалт 1: туннель юу зөөх ёстойг шийдээрэй
Azure VPN Gateway туннелийг дуусгаж, VNet-д хамаарах урсгалыг дамжуулдаг; энэ ньерөнхий интернетийн гарц биш. Хэрэглэгчид вэб үзэлт Azure-аар гарна гэж хүлээж байгаа бол аль ч клиентийн тохиргоо орж ирэхээс өмнө загвар буруу байна. split tunneling-ийг асааж, орон нутгийн интернет орон нутгийн замаар явцгаая, тогтмол гарах хаяг үнэхээр шаардлагатай үед NAT инстанс эсвэл сайтаас сайт руу туннель ашиглана уу.
Ямар нэг зүйлийг туршихын өмнө клиент хаашаа хүрэх ёстойг бичээрэй. Тэр жагсаалтгүйгээр хэсэгчилсэн үр дүн бүр ахиц мэт харагдана.
Шалгалт 2: сертификатаас өмнө хаягийн орон зайг харьцуул
Давхцлыг илүү өргөн мужуудаар үнэлдэг тул дэд сүлжээний түвшинд өөр харагдах хоёр сүлжээ ч эх блок нь давхцвал мөргөлдөнө. Гарцын дэд сүлжээ нь тусдаа бөгөөд SKU-д хангалттай том байх ёстой, клиентийн хаягийн сан нь VNet эсвэл peering-ээр хүрэх зүйлтэй мөргөлдөх ёсгүй. Төлөвлөгөөг өөрчилж дахин байршуулна уу, учир нь нөхөх үүднээс маршрут нэмэх нь зарим чиглэлд ажилладаг, заримд нь тайлбаргүйгээр ажилладаггүй туннель үүсгэдэг. Энд бэлтгэл чанга дуугаар бүтэлгүйтдэг бөгөөд энэ нь сайн тохиолдол юм.
Баталгаажуулалт бол дараагийн хаалга. Сертификат, RADIUS, Entra ID профайлууд солигдохгүй бөгөөд клиентийн багц тус бүрт өөр байна.
Шалгалт 3: хувийн нэрийг дотроос шийд
Клиент нь татсан профайл VNet-ийн DNS серверүүдийг агуулаагүй л бол өөрийн шийдэгчийг хадгалдаг бөгөөд тэр жагсаалт татах үед суулгагддаг. VNet дотор forwarder нэмж, түүнийг VNet-ийн DNS сервер болгон тохируулж, дараа нь клиентийн багцыг дахин татаж импортлоно уу. Хуучин багцыг дахин ашиглах нь зөвхөн хуучин шийдэгчийн жагсаалтыг туршдаг.
Эхлээд хаягийг туршаарай, учир нь энэ нь маршрутлалт ба нэршилтийг нэг алхамд тусгаарладаг: Test-NetConnection 10.20.1.4 -Port 3389.
Хаяг хариулж, нэр хариулахгүй бол шийдэгчээс шууд асуугаарай: Resolve-DnsName files.corp.example -Server 10.20.0.4. Хоёулаа бүтэлгүйтвэл алдаа нь DNS-д биш бөгөөд DNS тохиргоог засахаа болих хэрэгтэй. 168.63.129.16 дээрх Azure платформын DNS нь зөвхөн VNet-ийн дотроос хариулдаг тул гаднах клиент тэр хаягийг шийдэгч болгон ашиглаж чадахгүй.
Шалгалт 4: туннелийн цаанаах үйлчилгээг турш
Эрүүл туннель ба хаалттай порт нь клиентийн талаас ижил харагдана. Зочны firewall, дараа нь дэд сүлжээ эсвэл NIC дээрх сүлжээний аюулгүй байдлын бүлгийг, дараа нь үйлчилгээ хувийн хаяг дээр сонсож байгаа эсэх, зөвхөн loopback дээр биш эсэхийг шалгана уу. Интернет рүү дүрэм нээхийн оронд клиентийн санг эх сурвалж болгон зөвшөөрч, Azure Files руу SMB-д хувийн endpoint-ийн зам туннелээр дамжих шаардлагатайг санаарай. Нөөц IP-ээр хариулж, нэрээр хариулахгүй бол гарцад хүрэхгүйгээр шалгалт 3 руу буцаарай.
Ажиллах явцад нэг хүснэгт давхаргуудыг тусгаарлаж байдаг:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Шалгалт 5: эскалацаас өмнө профайлыг бүртгэ
Тикетэд гарцын төрөл, туннелийн төрөл, баталгаажуулалтын арга, клиентийн үйлдлийн системийг бичнэ үү. Сертификаттай IKEv2 профайл болон RADIUS профайл өөр шалтгаанаар бүтэлгүйтдэг бөгөөд өөр туннелийн төрөлд зориулж бүтээсэн клиент нь гарц нийцтэй протокол санал болгосон үед л холбогддог.
Бага багийн хувьд удаан эдэлгээтэй загвар нь нэг VNet, нэг DNS forwarder, баримтжуулсан split-tunnel клиент юм. Хэрэв шаардлага нь тогтмол нийтийн гарц бол өөрийн хянадаг firewall дээр сайтаас сайт руу туннель дуусгаж, интернетийн урсгыг тийш чиглүүлээрэй, цэгээс сайтын гарцаас хэзээ ч бүтээгдээгүй зүйлийг шаардахын оронд.