VPN эхэлсний дараа Azure VM IMDS эсвэл WireServer-д хүрч чадахгүй

VM ажиллаж байна, VPN клиент холбогдсон гэж хэлж байна, хэдэн минутын дараа Azure агент эмгэггүй байна гэж мэдээлж эхэлдэг. Заримдаа SSH амьд үлдэж, порталын Run Command үлдэхгүй, энэ нь хүмүүсийг маршрутын хүснэгт биш агент руу харахад хүргэдэг. Туннель өргөгдөхөд зочны өөрийн дамжуулах шийдвэрүүд өөрчлөгдсөн бөгөөд ихэвчлэн платформын хоёр хаяг анхны хохирогч болдог. Би үүнийг агентын эвдрэл гэж үзэхийн өмнө маршрутлалын шинж гэж үздэг.

Шинж тэмдэг эвдэрсэн агент шиг харагдаж байна

Доорх хоёр хаягийг шийдэл гэж санал болгодог боловч тэд нэг үйлчилгээ биш. Нэгэнд нь /32 хуулах нь нөгөөд нь ажилласан учраас түр зуурын тойрог зам хэн ч устгаж зүрхлэхгүй байнгын тохиргоо болох зам юм.

Ажилладаг дараалал: эхлээд бүтэлгүйтсэн дуудлага үнэхээр аль хаягийг онилж байгааг баталгаажуулж, дараа нь зочин үүнийг хэрхэн шийддэгийг уншина. Бусад бүх зүйл нэмэлт алхмуудтай таамаглал бөгөөд өөрчлөлтийн цонх урт болно.

168.63.129.16 нь нийтийн очих газар биш

168.63.129.16 нь Azure-ийн тусгай виртуал платформын хаяг бөгөөд түүний нэг үүрэг нь WireServer бөгөөд VM агент фабриктай ярихад ашигладаг. Microsoft агентын TCP 80 болон 32526 порт руу чиглэсэн трафик боломжтой хэвээр байх ёстой гэж баримтжуулсан. Энэ нь энгийн интернет хост биш бөгөөд бүрэн туннель VPN үүнийг алслагдсан гарах хаалга руу зөөх ёсгүй. Тиймээс эрүүл харагдах туннель ч агентыг өлсгөж болно.

Платформын хаягийн баримт бичиг мөн энэ хаяг хэрэглэгчийн тодорхойлсон маршрутад захирагдахгүй гэж хэлдэг; энэ нь Azure фабрикийн шинж чанар бөгөөд таны зочны тухай амлалт биш. Локал firewall дүрэм эсвэл VPN клиентийн өөрийн маршрутлалын бодлого замыг эвдэж болзошгүй, аль нь ч VNet-ийн маршрутын хүснэгтэд амьдардаггүй.

Хэрэв асуудлыг агент мэдээлж байгаа бол ямар нэг зүйлийг дахин суулгахаас өмнө үйлчилгээний төлөв, тэр хаяг руу хүрэх замыг шалгана уу.

169.254.169.254 өөрийн дүрэмтэй

169.254.169.254 нь Azure Instance Metadata Service-ийн link-local хаяг юм. Түүн рүү чиглэсэн хүсэлтүүд өөрийн шаардлагатай: үндсэн NIC болон үндсэн IP, хаягийг дэмжсэн DHCP тохиргоо, аливаа HTTP проксиг тойрох. Тэдгээрийг алслагдсан VPN гарах хаалга эсвэл дур мэдэн интернетийн гарцаар илгээх нь Microsoft-ын тайлбарласан хандалтын загвар биш.

Тэр прокси заалт замыг засварласан ч алдаа харж байгаа хүмүүсийг барьдаг. Зочны HTTP прокси IMDS-ийг эвдэж болох бол ip route get яг хүлээж байсан интерфейсийг буцаадаг тул замуудын зэрэгцээ прокси үл хамаарах зүйлсийг шалгана уу.

Үүнийг дибаг хийж байхдаа метадата хариултыг тусламжийн тасалбарт нааж болохгүй. Тэдгээр нь ослоос илүү удаан үргэлжлэх итгэмжлэл, инстансын мэдээллийг агуулж болно.

Зочны бодлогын маршрутлалыг уншаарай, зөвхөн үндсэн хүснэгтийг биш

Linux зочинд гурван зөвхөн-унших команд давхаргыг тусгаарладаг: бодлогын дүрэмд ip -4 rule show, дараа нь цөм үнэхээр гаргадаг шийдвэрт ip -4 route get 168.63.129.16 болон ip -4 route get 169.254.169.254. Тэдгээрийг VPN холбогдохоос өмнө болон дараа ажиллуул. Тэдгээр хоёр гаралтын ялгаа нь таны өөрчлөлтийн багц бөгөөд клиент юу хийсэн тухай ямар ч таамаглалаас илүү ашигтай.

Бодлогын дүрэм суулгасан VPN клиент үндсэн хүснэгтийг хөндөхгүй орхиж, тэдгээр хайлтыг өөр тийш чиглүүлж болно. Тиймээс зөвхөн үндсэн хүснэгтийг засдаг шийдэл нэг хост дээр ажиллаж, дараагийн дээр юу ч хийдэггүй. Олон NIC-тэй зочид ижил асуудлыг нөгөө талаас нэмдэг, учир нь хариулт нь дүрэм аль NIC болон эх хаягийг сонгохоос хамаарна.

Хуучин гарцаар хоёр /32 замыг нэмдэг жорны эсрэг тэмцээрэй. link-local платформын зам ба ерөнхий WAN-ийн дараагийн алхам нь өөр объектууд бөгөөд ерөнхий үл хамаарах зүйл бодит бодлогын зөрчилдөөнийг нуудаг.

Захиргаа болон сэргээхийг тусдаа байлга

Таны SSH эсвэл RDP хариултыг бүрэн туннелийн өгөгдмөл барих боломжтой, гэхдээ тэр нь платформын төгсгөлийн цэг биш администраторын ажиглагдсан хаягийг онилдог. Үүнийг өөрийн хүсэлт-хариултын хосоос оношилж, VPN бодлогыг өөрчлөхөөс өмнө сериал консол зэрэг бие даасан сэргээх сувгийг хадгал.

Дараа нь гурван урсгалыг тусад нь шалга: таны үнэхээр хүссэн хувийн нөөц, дэмжигдсэн агент ба платформын харилцаа, захиргааны зам. Нэгийг сэргээсэн нь бусад хоёр амьд үлдсэний баталгаа биш.

Зөвшөөрөгдсөн үл хамаарах зүйлийг зочны сүлжээ болон VPN тохиргооны эзэмшигчийн нэр дээр бичиж, дахин холбогдох, дахин ачаалах үед юу болохыг оруул. Azure UDR нь зочны маршрутын хүснэгт биш бөгөөд тэдгээрийг засах нь локал бодлогын дүрмийг засахгүй.