Azure S2S VPN холбогдсон ч трафик байхгүй: IKE лог уншина уу

Портал Connected гэж бичдэг, туннель ажилласан хугацааны тоолууртай, таны виртуал машинаас гарсан trace хоёр дахь hop дээр тасардаг. Холболтын төлөв нь IKE болон IPsec-ийн хэлэлцээрийг дүрсэлдэг бөгөөд аль ч талд нэг пакет бодлогын давхаргыг давах эсэхийг биш. Эдгээр тикетийн ихэнхийг хоёр алдаа тайлбарладаг бөгөөд аль нь ч Azure маршрутыг өөрчлөхөд засагдахгүй. Хоёулаа шлюзийн үүсгэсэн лог дээр аль хэдийн бичигдсэн байгаа тул би маршрутын хүснэгтээс биш, тэндээс эхэлдэг.

Connected юуг үнэхээр баталгаажуулдаг вэ

Холбогдсон сайт хоорондын холболт гэдэг нь 1 ба 2-р үе шат дууссан бөгөөд аюулгүй байдлын ассоциацууд ажиллаж байгааг илэрхийлнэ. Энэ нь хэлэлцээрийн тухай мэдэгдэл юм: хоёр тал санал нэгтэй зөвшилцөж, түлхүүр солилцож, SA хосыг суулгасан. Таны хамгаалагдсан гэж бодож буй дэд сүлжээтэй трафикийн сонгогч тохирох эсэх, эсвэл шифрийг тайлсны дараа алслагдсан тал пакетыг хаа нэгтээ чиглүүлэх эсэхийг энэ нь огт хэлэхгүй. Туннель долоо хоногийн турш ажиллаж байхдаа сонирхолтой урсгал бүрийг хаяж болох бөгөөд эрүүл шлюзийг дахин барихад хүргэдэг нь яг энэ загвар юм.

Эхлээд шалгах ёстой хоёр алдаа бол ESP-ийн оронд AH санал болгож буй peer, мөн шлюз дотоод гэж үзэхгүй орон зайд дугаарлагдсан виртуал сүлжээ юм.

Маршрутад хүрэхээс өмнө экспортолсон логыг нээ

Портал дээр виртуал сүлжээний шлюзийг нээж, холболт дээр VPN troubleshoot үйлдлийг ажиллуул, дараа нь үүсгэсэн багцыг татаж авч задлана. Дотор нь 1 ба 2-р үе шатын солилцоо бүхий IKE лог байх бөгөөд цагийн тэмдэглэгээтэй, энгийн текстээр уншигдана. Дотор нь transform мөрийг хай, дээрээс доош уншиж болохгүй, учир нь сонирхолтой бичлэг ихэвчлэн хэдэн зуун мөрийн цаана байдаг. Хэрэв порталд хандах боломжгүй бол диагностикийн тохиргоо идэвхтэй үед ижил диагностик шлюзийн логын хүрэх газарт гарч ирнэ.

Хоёр бичлэг үнийн ихэнхийг агуулна. Эхнийх нь ойролцоогоор expected ESP with combined authentication and cipher, received AH гэж уншигдана. Хоёр дахь нь IKE солилцооны үеийн invalid payload алдаа бөгөөд энэ нь ихэвчлэн буруу бүрдсэн эсвэл дэмжигдээгүй саналын талбарыг илэрхийлдэг.

Хоёулаа локал төхөөрөмж юу санал болгосныг дүрсэлдэг тул хоёулаа peer талын тохиргоо юм. Холболтын Azure талыг дахин үүсгэх нь таны firewall-ийн илгээх саналыг өөрчлөхгүй бөгөөд тэгсэн ч хийх нь энэ ажлын хамгийн их үрэгддэг цаг юм. Peer дээр 2-р үе шатыг нэгдсэн баталгаажуулалт, шифртэй ESP болгож, алгоритмыг хэлэлцэхэд нь орхи, дараа нь combined mode гэх мэт нэртэй нийлүүлэгчийн чагт доороос чимээгүйхэн AH санал сонгож байгаа эсэхийг шалга.

Виртуал сүлжээний хаягийн орон зайг батал

Шлюз виртуал сүлжээ хувийн мужид байхыг хүлээдэг. Нийтийн блокт дугаарлагдсан сүлжээ, жишээ нь 111.x-ээр эхэлдэг нь туннелийг босгож болох ч Azure тэр орон зайг дотоод гэж үзэхээс татгалздаг тул холболт эрүүл харагдаж, нэг ч урсгал хүлээн авагдахгүй. Сонгогчид дээр хагас өдөр зарцуулахын өмнө хаягийн орон зайг батал. Хэрэв дугаарлалт нь хуучин хуваарилалтаас ирсэн хатуу шаардлага бол шийдэл нь өөр шлюз биш, хаягийн төлөвлөгөөг өөрчлөх явдал юм.

Хаягийн орон зайн хэсэгт байхдаа локал мужтай давхцлыг тэмдэглэ, учир нь давхцаж буй префиксүүд клиентийн талаас ижил харагдах өөр төрлийн гэмтэл үүсгэдэг.

Префиксүүдийг хоёр чиглэлд шалга

Локал сүлжээний шлюзийн нөөц нь локал префиксүүдийг агуулдаг бөгөөд тэдгээр нь алслагдсан төхөөрөмжийн үнэхээр хамгаалж буй дэд сүлжээтэй тохирох ёстой. Төхөөрөмжийн хаядаг хаягуудыг агуулсан хураангуй зарим урсгалыг нэвтрүүлж, заримд нь бүтэлгүйтэх бөгөөд энэ нь тохиргооны зөрүү биш, харин үе үеийн маршрутын гэмтэл мэт уншигдана. Алслагдсан талыг ч шалга: нэг төгсгөл /16 жагсааж, нөгөө нь дотор нь гурван /24 жагсаах нь сонгодог хэсэгчилсэн бүтэлгүйтэл юм. Аль ч жагсаалт дангаараа эрх мэдэлтэй биш тул харж буйгаа итгэхээс илүү хоёуланг нь зэрэгцүүлэн харьцуул.

Префикс өөрчлөлт үргэлж өөрөө авагддаггүй тул холболтын объектыг дахин хадгалах эсвэл дахин үүсгэхээр төлөвлөж, дараа нь шинэ префиксүүд хоёр талд гарч байгааг батал.

Ping биш, замыг турш

Ажиллаж буй туннелийг ажиллаж буй маршрутаас ялгах trace нь ийм байдаг: эхний hop нь локал шлюз, дараа нь хариу өгөхгүй хэдэн hop, дараа нь алслагдсан хост хариулна. Хэрэв trace хэзээ ч хостод хүрэхгүй бол програмын үнэхээр ашигладаг TCP портыг турш, учир нь ICMP хангалттай олон удаа шүүгддэг тул бүтэлгүй ping маш бага зүйлийг баталдаг. Мөн trace-ыг алслагдсан хостоос Azure дахь виртуал машин руу ажиллуул. Хоёр үр дүнгийн хоорондох тэгш бус байдал нь алдагдсан буцах маршрут эсвэл зөвхөн нэг чиглэлд зөвшөөрдөг дүрмийг олох хамгийн хурдан арга юм.

Peer-ийн санал, хоёр хаягийн орон зай, холболт үүссэн цагийг тикетэд бич, дараагийн инженер аль утгыг дахин барьсан, алинд нь хэзээ ч хүрээгүйг мэдэх болно.

Хэрэв лог хоосон буцаж ирвэл шлюз таны холболтыг огт дуусгахгүй байж магадгүй. Локал сүлжээний шлюз дээрх peer хаяг нь таны лог уншиж буй төхөөрөмжтэй тохирч байгааг батал, учир нь нэг захиалга дахь хоёр шлюзийг дахин барих үед андуурхад хялбар. Тэр алдаа нэг өдөр зарцуулж, ямар ч логт ул мөр үлдээхгүй.