Pengesahan aliran IP Azure menyatakan dibenarkan, tetapi VPN masih gagal

Terowong tapak-ke-tapak bersambung, VM sihat, tetapi klien di premis tidak menerima apa-apa. Anda membuka Network Watcher, menjalankan pengesahan aliran IP dan ia berkata Access allowed, jadi tiket ditutup sebagai masalah VPN. Hasil itu tidak bermaksud seperti yang kelihatan, kerana pengesahan aliran IP menilai peraturan keselamatan untuk aliran yang anda huraikan dan tidak pernah menguji sama ada Azure mempunyai laluan ke awalan premis anda.

Soalan penapisan dan soalan penghalaan adalah berasingan, dan Network Watcher menjawabnya dengan alat yang berbeza. Mengetahui yang mana anda tanyakan ialah sebahagian besar diagnosis.

Apa yang sebenarnya ditentukan oleh pengesahan aliran IP

Pengesahan aliran IP mengambil VM, antara muka rangkaian, arah, nilai lima-tupel dan protokol, kemudian melaporkan keputusan peraturan NSG dan pentadbir keselamatan untuk aliran itu. Ia berfungsi pada TCP dan UDP, jadi ia bukan penguji peraturan ICMP dan ping yang disekat tidak membuktikan apa-apa tentang perkhidmatan anda. Berikan aliran sebenar dan bukan tekaan. Sambungan masuk dari premis ke port pangkalan data ialah huraian berbeza daripada sambungan keluar yang dimulakan VM.

Jika gerbang menterjemah alamat, gunakan alamat sumber yang mencapai sempadan yang anda nilai, bukan yang ada dalam konfigurasi klien. Baca hasilnya juga sebagai apa adanya. Access allowed bermaksud lapisan penapis akan membenarkan paket jika ia tiba, dan tidak lebih.

Apa yang tidak dapat diberitahunya ialah laluan yang dipilih Azure, sama ada firewall tetamu membenarkan port itu, atau sama ada sesuatu sedang mendengar. Itu hidup pada lapisan lain.

Apa yang ditambah oleh hop seterusnya dan laluan berkesan

Hop seterusnya menjawab soalan penghantaran: untuk destinasi ini, jenis hop seterusnya mana yang dipilih Azure, pada alamat mana, dari jadual laluan mana. Laluan berkesan menyenaraikan apa yang sebenarnya ada pada NIC. Jalankan kedua-duanya dan anda mendapat laluan sebelah Azure yang ditinggalkan kosong oleh pengesahan aliran IP hijau.

Gambaran keseluruhan pengesahan aliran IP Microsoft menyatakan skop penapisan secara langsung, manakala halaman hop seterusnya dan diagnostik laluan meliputi sebelah penghantaran. Petik halaman yang betul apabila anda menulis penemuan.

Perintahnya cukup pendek untuk dijalankan dari shell. az network nic show-effective-route-table menyenaraikan laluan yang digunakan pada antara muka. az network watcher show-next-hop dengan sumber dan destinasi mengembalikan hop yang dipilih. Bandingkan awalan yang anda pedulikan dengan jadual itu, kemudian sahkan entri mana yang menang.

Jelajah laluan balik dari NIC VM

Lakukan ini dari NIC VM sasaran, untuk awalan klien premis, bukan untuk internet. Laluan balik ialah tempat kerosakan tapak-ke-tapak bersembunyi, kerana pemeriksaan status terowong hanya melaporkan bahawa persatuan keselamatan aktif.

Jika laluan yang dijangka tiada, periksa awalan jauh yang disediakan konfigurasi gerbang, reka bentuk kesambungan VNet dan sebarang tetapan penyebaran laluan. Objek gerbang rangkaian tempatan menerangkan sebelah premis; kewujudannya tidak membuktikan setiap awalan yang diperlukan hadir dan diutamakan pada NIC. Itu fakta yang berbeza, dan hanya satu daripadanya muncul dalam ringkasan portal.

Baca jenis hop seterusnya dan bukan menyalin contoh

Laluan gerbang VPN terurus biasanya menunjukkan VirtualNetworkGateway sebagai jenis hop seterusnya. VirtualAppliance menerangkan reka bentuk penghantaran yang berbeza, biasanya firewall atau perkakas rangkaian maya.

Jangan cipta laluan perkakas menuju titik akhir VPN yang diteka kerana jawapan forum lama menggunakan jenis itu. Jika laluan yang ditakrifkan pengguna menggantikan laluan yang dimaksudkan, cari pemilik dan tujuannya sebelum mengubahnya. NIC kedua juga boleh mengubah antara muka yang digunakan tetamu, dan mengeluarkannya boleh merosakkan perkhidmatan lain dan bukan membaiki laluan ini.

Beralih ke sempadan yang masih gagal

Apabila penapisan dan penghalaan kedua-duanya sepadan dengan reka bentuk, kerosakan ada di tempat lain. Periksa jadual laluan tetamu sendiri, firewallnya dan sama ada pendengar terikat pada alamat yang dijangka. Kemudian periksa pemilih trafik terlindung VPN dan laluan balasan premis. Setiap satunya ialah ujian berasingan dengan hasil berasingan.

Tutup dengan permintaan aplikasi yang dibenarkan dan pemerhatian dari kedua-dua hujung. Hasil allow dan hop seterusnya yang betul ialah dua keping bukti, bukan bukti bahawa sambungan berjaya.