Azure punt-għal-sit jgħaqqad imma ħadd riżors privat ma jwieġeb
Mgħaqqad ifisser biss li t-tunnel tela'. Iċċekkja x'jista' jġorr il-gateway, qabbel l-ispazji tal-indirizzi, imbagħad issolvi isem u ttestja s-servizz innifsu.
Mgħaqqad huwa stat tat-tunnel, mhux dikjarazzjoni dwar l-aċċessabbiltà. Klijent punt-għal-sit jista' jtemm IKE, jirċievi indirizz u xorta ma jasal għal xejn, għax il-gateway jgħaddi biss traffiku għan-networks li l-VNet diġà jaf bihom. Agħmel dawn il-ħames verifiki fl-ordni u waqaf fl-ewwel falliment. Li taqbeż 'il quddiem huwa kif problema DNS tiġi trattata bħala problema ta' firewall għal siegħa.
L-ordni hija aktar importanti mil-lista.
Verifika 1: iddeċiedi x'għandu jġorr it-tunnel
Azure VPN Gateway itemm it-tunnel u jgħaddi traffiku li jappartjeni lill-VNet; mhuwiexħruġ ġenerali tal-internet. Jekk l-utenti jistennew li l-ibbrawżjar tagħhom joħroġ permezz ta' Azure, id-disinn huwa ħażin qabel ma tidħol xi konfigurazzjoni tal-klijent. Ippermetti split tunneling biex l-internet lokali jibqa' juża t-triq lokali, u uża istanza NAT jew tunnel sit-għal-sit meta indirizz ta' ħruġ fiss ikun verament meħtieġ.
Ikteb x'għandu jasal għalih il-klijent qabel ma tittestja xejn. Mingħajr dik il-lista, kull riżultat parzjali jidher bħala progress.
Verifika 2: qabbel l-ispazji tal-indirizzi qabel iċ-ċertifikati
L-indowlar huwa ġġudikat fuq il-firxiet usa', għalhekk żewġ networks li jidhru differenti fil-livell tas-subnet xorta jaħbtu ma' xulxin jekk il-blokki ġenituri tagħhom jidħlu f'xulxin. Is-subnet tal-gateway irid ikun iddedikat u kbir biżżejjed għall-SKU, u l-grupp tal-indirizzi tal-klijent ma jridx jaħbat mal-VNet jew ma' xi ħaġa li tista' tinkiseb permezz ta' peering. Ibdel il-pjan u erġa' ħaddem, għax iż-żieda ta' rotot bħala kumpens tipproduċi tunnel li jaħdem għal xi destinazzjonijiet u b'mod inspjegabbli le għal oħrajn. Il-provvista tonqos b'ħoss qawwi hawn, u dan huwa l-każ tajjeb.
L-awtentikazzjoni hija l-bieb li jmiss. Il-profili taċ-ċertifikat, RADIUS u Entra ID mhumiex interkambjabbli, u l-pakkett tal-klijent ivarja għal kull wieħed.
Verifika 3: issolvi isem privat minn ġewwa
Il-klijent iżomm ir-resolver tiegħu stess sakemm il-profil imniżżel ma jġorrx is-servers DNS tal-VNet, u dik il-lista tiġi inkorporata fil-ħin tat-tniżżil. Żid forwarder ġewwa l-VNet, issettjah bħala s-server DNS tal-VNet, imbagħad erġa' niżżel u importa l-pakkett tal-klijent. Li terġa' tuża l-pakkett antik jittestja biss il-lista antika tar-resolvers.
Ittestja l-indirizz l-ewwel, għax dan jifred ir-routing mill-ismijiet f'pass wieħed: Test-NetConnection 10.20.1.4 -Port 3389.
Jekk l-indirizz iwieġeb u l-isem le, staqsi lir-resolver direttament b'Resolve-DnsName files.corp.example -Server 10.20.0.4. Jekk it-tnejn ifallu, il-ħsara mhijiex DNS u għandek tieqaf teditja s-settings tad-DNS. Id-DNS tal-pjattaforma Azure f'168.63.129.16 iwieġeb biss minn ġewwa l-VNet, għalhekk klijent barra minnu ma jistax juża dak l-indirizz bħala resolver.
Verifika 4: ittestja s-servizz wara t-tunnel
Tunnel b'saħħtu u port magħluq jidhru identiċi mill-klijent. Iċċekkja l-firewall tal-mistieden, imbagħad il-grupp tas-sigurtà tan-network fuq is-subnet jew in-NIC, imbagħad jekk is-servizz hux qed jisma' fuq l-indirizz privat minflok fuq loopback biss. Ħalli l-grupp tal-klijenti bħala sors minflok ma tiftaħ regola lejn l-internet, u ftakar li SMB lejn Azure Files jeħtieġ it-triq tal-endpoint privat mgħoddija mit-tunnel. Meta riżors iwieġeb bl-IP imma mhux bl-isem, erġa' lura għall-verifika 3 minflok ma tmiss il-gateway.
Tabella waħda żżomm is-saffi separati waqt li taħdem:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Verifika 5: irrekordja l-profil qabel ma tesklala
Qiegħed it-tip ta' gateway, it-tip ta' tunnel, il-metodu ta' awtentikazzjoni u s-sistema operattiva tal-klijent fit-ticket. Profil IKEv2 b'ċertifikat u profil RADIUS ifallu għal raġunijiet differenti, u klijent mibni għal tip ta' tunnel ieħor jgħaqqad biss meta l-gateway joffri protokoll kompatibbli.
Għal tim żgħir id-disinn dejjiemi huwa VNet wieħed, forwarder DNS wieħed u klijent split-tunnel iddokumentat. Jekk il-ħtieġa hija ħruġ pubbliku fiss, ittemm tunnel sit-għal-sit fuq firewall li tikkontrolla u dawwar it-traffiku tal-internet hemmhekk, minflok ma titlob mill-gateway punt-għal-sit xi ħaġa li qatt ma nbniet għaliha.