Azure P2S VPN ma jistax isolvi isem ta' punt tat-tmiem privat

Tgħaqqad il-mina point-to-site, tagħmel ping lill-indirizz privat, tiftaħ l-app u minflok tirċievi 403 jew żball taċ-ċertifikat. Iż-żewġ sintomi jindikaw DNS, iżda huma ħsarat differenti: wieħed ifisser li l-klijent solva l-indirizz pubbliku, l-ieħor li solva l-indirizz privat u mbagħad offra isem li ċ-ċertifikat ma jkoprix. Għaddi mill-verifiki hawn taħt f'ordni u waqaf fl-ewwel falliment, għax dħul fil-hosts jew tweġiba fil-cache jistgħu jagħmlu kull verifika wara tgħaddi għal raġuni żbaljata. Inżomm dan l-ordni f'fajl tat-test ħdejn il-profili VPN tiegħi, għax it-tiswija ma tbiddel xejn fil-mina u tbiddel kollox f'dak li jaf il-klijent.

Ibda bl-indirizz li l-klijent jirċievi tassew

Staqsi lis-solvatur direttament minflok tafda l-applikazzjoni. Fuq Windows, nslookup adminuidev-fedqcubyd9bfb2bq.canadacentral-01.azurewebsites.net juri liema fehma rċieva l-klijent. Tweġiba pubblika tfisser li xejn aktar 'l isfel ma jasal sal-punt tat-tmiem; l-indirizz privat tal-punt tat-tmiem ifisser li DNS spiċċa u li l-verifika li jmiss hija l-konnessjoni nnifisha.

Punt tat-tmiem privat ma jibdilx l-isem tas-servizz. Il-kont jew l-app iżomm l-isem sħiħ tas-soltu tiegħu, u l-punt tat-tmiem ibiddel biss l-indirizz li dan l-isem jiġi solvut għalih għall-klijenti ġewwa n-netwerk virtwali. Għalhekk l-istess isem tal-host jiġi solvut b'mod privat minn VM fin-netwerk u b'mod pubbliku minn laptop li qatt ma ngħata l-fehma privata.

Iċċekkja ż-żona, il-ħolqa tagħha u r-rekord qabel il-mina

Tliet kundizzjonijiet iridu jkunu veri flimkien: iż-żona privata teżisti, hija marbuta man-netwerk virtwali fejn id-daħla VPN u l-klijenti jidħlu f'Azure, u fiha rekord A għall-punt tat-tmiem li jindika l-indirizz privat. Orbot iż-żona ma' netwerk mhux relatat u d-daħla tibqa' ssolvi r-rekord pubbliku waqt li kollox fil-mina jibqa' jidher f'saħħtu.

L-ismijiet taż-żoni jappartjenu lis-servizzi, mhux lil ħoloq privati b'mod ġenerali. App Service normalment juża privatelink.azurewebsites.net, il-ħażna u SQL għandhom spazji tal-ismijiet tagħhom, u li tissellef iż-żona ta' servizz ieħor tipproduċi żona li teżisti u ma tweġibx xejn utli.

Agħti lill-klijent solvatur li jista' tassew jilħaq

168.63.129.16 iwieġeb minn magni virtwali Azure u mhuwiex server DNS għal laptop fuq in-naħa l-oħra ta' mina point-to-site. Il-klijent jeħtieġ solvatur li jista' jintlaħaq mill-mina: punt tat-tmiem tad-dħul ta' Azure DNS Private Resolver, mgħaddi ġewwa n-netwerk virtwali, jew dħul ta' server DNS li jinġarru fil-profil tal-klijent VPN biex il-klijent jistaqsi n-netwerk virtwali direttament.

Solvatur ikkonfigurat iżda mhux aċċessibbli jġib ruħu eżatt bħal ebda solvatur, u s-sintomu huwa timeout mhux tweġiba żbaljata, u għalhekk jinqara b'mod żbaljat bħala problema tal-firewall. Ipprovah b'mistoqsija li l-mina suppost iġġorr, mhux b'isem pubbliku li kien jirnexxi xorta waħda mill-ħolqa lokali.

Jekk qed tgħaddi minflok ma timbotta s-settings, għaddi l-ispazju tal-ismijiet li żżomm iż-żona privata, privatelink.azurewebsites.net minflok azurewebsites.net kollu. Mgħaddi kundizzjonali li jibla' s-suffiss kollu tal-ġenitur jibgħat kull tfittxija tas-servizz lejn Azure, inklużi dawk li għandhom jibqgħu lokali.

Uża l-isem li ċ-ċertifikat inħareġ għalih

Meta l-indirizz ikun tajjeb, tinħareġ it-tieni ħsara. Il-ħażna u App Service jippubblikaw alias privatelink, u dak l-alias mhux neċessarjament l-isem fiċ-ċertifikat. Upload AzCopy indirizzat lejn privatelink.blob.core.windows.net falla l-validazzjoni; l-istess upload lejn <account>.blob.core.windows.net/<container> issolva għall-indirizz privat u għadda, għalhekk baqa' fit-triq privata mingħajr ebda bypass.

Ir-regola tapplika fil-brawżer u anki għal App Service: qabbad bl-isem tal-host li jkopri ċ-ċertifikat u ħalli DNS jipprovdi l-indirizz privat. Tagħmilx bypass tal-validazzjoni, għax dan ibiddel żball fl-ismijiet fi rigressjoni tas-sigurtà. Ping li jirnexxi jipprova r-rotta u ma jgħid xejn dwar l-isem ġewwa l-handshake, u għalhekk dawn jibqgħu verifiki separati.

Ordni ta' erba' passi li jiżola kull saff

1. Ikkonferma li l-klijent VPN għandu indirizz mill-pool point-to-site u rotta lejn l-indirizz privat tal-punt tat-tmiem.
2. Solvi l-isem eżatt li juża l-applikazzjoni u qabbel it-tweġiba mal-indirizz tal-punt tat-tmiem.
3. Iftaħ konnessjoni TCP lejn il-punt tat-tmiem fil-port tas-servizz, imbagħad aqra l-isem taċ-ċertifikat ippreżentat fuq dik il-konnessjoni.
4. Issa biss ipprova l-awtorizzazzjoni, għax triq li taħdem u ċertifikat validu għadhom ma jagħtux aċċess għar-riżors.

Konnessjoni miċħuda waqt li l-indirizz huwa tajjeb tindika l-grupp tas-sigurtà tan-netwerk jew l-istat tal-konnessjoni tal-punt tat-tmiem privat, mhux DNS, għalhekk iċċekkjahom qabel ma terġa' teditja s-settings tas-solvatur. Nuqqas ta' qbil fl-isem TLS jibgħat lura lejn l-isem tal-host fl-URL u s-subject taċ-ċertifikat. Żomm flimkien il-ħruġ tas-soluzzjoni, l-isem taċ-ċertifikat u l-URL eżatt; dawn it-tliet valuri jispjegaw ħafna minn dawn il-każijiet mingħajr ma tmiss id-daħla.

Uża VM ġewwa n-netwerk virtwali bħala kontroll. Jekk l-isem jiġi solvut b'mod privat hemmhekk u b'mod pubbliku mill-mina, iż-żona u r-rekord huma tajbin u l-unika differenza hija t-triq tas-solvatur tal-klijent, li tiġi kkonfermata aktar malajr minn daqqa oħra fuq il-konfigurazzjoni tal-punt tat-tmiem.

Il-klijenti wkoll jaħżnu fil-cache. Rekord li wieġeb b'mod pubbliku għaxar minuti ilu jibqa' jwieġeb wara li ssewwi ż-żona, għalhekk iċċekken il-cache qabel terġa' tittestja. Fuq Windows, ipconfig /flushdns inaddaf il-cache tal-klijent; ir-regoli tal-politika tas-soluzzjoni tal-ismijiet jibqgħu, jiddeċiedu liema suffiss imur għal liema server, u jistgħu jibqgħu jibagħtu l-ispazju tal-ismijiet lis-solvatur li għadek kemm bdilt.

Fejn imissha dħul fil-hosts

Li żżid l-indirizz tal-punt tat-tmiem f'fajl hosts hija dijanjosi tajba u disinn ħażin. Tipprova li l-mappa mill-isem għall-indirizz hija l-biċċa li nieqsa u tħallik tittestja kollox wara dak il-pass, iżda hija inviżibbli għall-utenti tiegħek, tinkiser meta jinbidel l-indirizz tal-punt tat-tmiem, u taħbi ż-żona li għandha twieġeb.

Dħul tat-test li jibqa' huwa agħar minn cache qadima, għax jista' jagħmel it-triq imsewwija tidher imkissra jew it-triq imkissra tidher imsewwija skont id-direzzjoni tal-iżball. Neħħih qabel it-tlielaq finali u solvi biss bis-solvatur tal-produzzjoni.

L-ismijiet qosra jeħtieġu suffiss tat-tfittxija u l-ismijiet sħaħ le, għalhekk ipprova l-isem sħiħ l-ewwel, imbagħad iddeċiedi jekk il-fluss tax-xogħol jeħtieġx suffiss li jiġi mbuttat mill-profil tal-klijent. Microsoft tiddokumenta l-ismijiet taż-żoni u l-forom tar-rekords għal kull servizz fil-linji gwida DNS għall-punti tat-tmiem privati tagħha; aqra d-dħul għas-servizz tiegħek minflok ma tikkopja żona minn oħra.