Azure titik-ke-tapak bersambung tetapi tiada sumber persendirian yang bertindak balas
Bersambung hanya bermaksud terowong sudah naik. Semak apa yang boleh dibawa oleh gerbang, bandingkan ruang alamat, kemudian selesaikan nama dan uji perkhidmatan itu sendiri.
Bersambung ialah keadaan terowong, bukan pernyataan tentang kebolehcapaian. Klien titik-ke-tapak boleh menamatkan IKE, menerima alamat dan masih tidak mencapai apa-apa, kerana gerbang hanya memajukan trafik untuk rangkaian yang VNet sudah kenal. Lakukan kelima-lima pemeriksaan ini mengikut urutan dan berhenti pada kegagalan pertama. Melompat ke hadapan ialah cara masalah DNS dirawat sebagai masalah firewall selama satu jam.
Urutan lebih penting daripada senarai.
Pemeriksaan 1: tentukan apa yang patut dibawa oleh terowong
Azure VPN Gateway menamatkan terowong dan memajukan trafik yang tergolong dalam VNet; iabukan jalan keluar internet umum. Jika pengguna menjangkakan pelayaran mereka keluar melalui Azure, reka bentuk sudah salah sebelum sebarang tetapan klien terlibat. Dayakan split tunneling supaya internet tempatan kekal menggunakan laluan tempatan, dan gunakan instans NAT atau terowong tapak-ke-tapak apabila alamat keluar tetap benar-benar diperlukan.
Tuliskan apa yang perlu dicapai oleh klien sebelum anda menguji apa-apa. Tanpa senarai itu, setiap hasil separa kelihatan seperti kemajuan.
Pemeriksaan 2: bandingkan ruang alamat sebelum sijil
Pertindihan dinilai pada julat yang lebih luas, jadi dua rangkaian yang kelihatan berbeza pada peringkat subnet masih berlanggar jika blok induknya bertindih. Subnet gerbang mesti berdedikasi dan cukup besar untuk SKU, dan kolam alamat klien tidak boleh berlanggar dengan VNet atau dengan apa-apa yang boleh dicapai melalui peering. Tukar pelan dan gunakan semula, kerana menambah laluan sebagai pampasan menghasilkan terowong yang berfungsi untuk sesetengah destinasi dan secara tidak dapat dijelaskan tidak untuk yang lain. Peruntukan gagal dengan kuat di sini, dan itulah kes yang baik.
Pengesahan ialah pintu seterusnya. Profil sijil, RADIUS dan Entra ID tidak boleh ditukar ganti, dan pakej klien berbeza bagi setiap satu.
Pemeriksaan 3: selesaikan nama persendirian dari dalam
Klien mengekalkan penyelesai sendiri melainkan profil yang dimuat turun membawa pelayan DNS VNet, dan senarai itu tertanam pada masa muat turun. Tambah forwarder di dalam VNet, tetapkannya sebagai pelayan DNS VNet, kemudian muat turun dan import pakej klien sekali lagi. Menggunakan semula pakej lama hanya menguji senarai penyelesai lama.
Uji alamat dahulu, kerana ia memisahkan penghalaan daripada penamaan dalam satu langkah: Test-NetConnection 10.20.1.4 -Port 3389.
Jika alamat menjawab dan nama tidak, tanya penyelesai secara terus dengan Resolve-DnsName files.corp.example -Server 10.20.0.4. Jika kedua-duanya gagal, kesalahannya bukan DNS dan anda patut berhenti menyunting tetapan DNS. DNS platform Azure pada 168.63.129.16 hanya menjawab dari dalam VNet, jadi klien di luarnya tidak boleh menggunakan alamat itu sebagai penyelesai.
Pemeriksaan 4: uji perkhidmatan di sebalik terowong
Terowong yang sihat dan port yang tertutup kelihatan sama dari sisi klien. Semak firewall tetamu, kemudian kumpulan keselamatan rangkaian pada subnet atau NIC, kemudian sama ada perkhidmatan mendengar pada alamat persendirian dan bukan hanya pada loopback. Benarkan kolam klien sebagai sumber dan bukannya membuka peraturan ke internet, dan ingat bahawa SMB ke Azure Files memerlukan laluan titik akhir persendirian dihalakan melalui terowong. Apabila sumber menjawab melalui IP tetapi tidak melalui nama, kembali ke pemeriksaan 3 dan bukannya menyentuh gerbang.
Satu jadual memisahkan lapisan semasa anda bekerja:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Pemeriksaan 5: rekodkan profil sebelum anda meningkatkan
Masukkan jenis gerbang, jenis terowong, kaedah pengesahan dan sistem pengendalian klien dalam tiket. Profil IKEv2 bersijil dan profil RADIUS gagal atas sebab yang berbeza, dan klien yang dibina untuk jenis terowong lain hanya bersambung apabila gerbang menawarkan protokol yang serasi.
Bagi pasukan kecil, reka bentuk yang tahan lama ialah satu VNet, satu forwarder DNS dan klien split-tunnel yang didokumenkan. Jika keperluannya ialah jalan keluar awam tetap, tamatkan terowong tapak-ke-tapak pada firewall yang anda kawal dan halakan trafik internet ke sana, daripada meminta gerbang titik-ke-tapak melakukan sesuatu yang ia tidak pernah dibina untuknya.