VPN S2S f'Azure konnessa iżda mingħajr traffiku: aqra l-log IKE

Il-portal jgħid Connected, il-mina għandha kontatur tal-ħin ta' tħaddim, u trace mill-magna virtwali tiegħek imut fit-tieni hop. L-istat tal-konnessjoni jiddeskrivi n-negozjati tal-IKE u tal-IPsec, mhux jekk pakkett wieħed jgħaddix mill-livell tal-politika fuq xi naħa. Żewġ ħsarat jispjegaw il-biċċa l-kbira ta' dawn it-tikketti, u l-ebda waħda minnhom ma tissewwa billi tbiddel rotta f'Azure. It-tnejn diġà miktuba fil-log li pproduċa l-gateway, għalhekk nibda hemm u mhux fit-tabella tar-rotot.

X'jiċċertifika tassew Connected

Konnessjoni site-to-site konnessa tfisser li il-fażi 1 u l-fażi 2 tlestew u l-assoċjazzjonijiet tas-sigurtà huma attivi. Dik hija dikjarazzjoni dwar in-negozjati: iż-żewġ pari qablu dwar proposta, biddlu ċ-ċwievet u installaw il-par ta' SA. Ma tgħid xejn dwar jekk il-seletturi tat-traffiku jaqblux mas-sottnetwerks li taħseb li huma protetti, u lanqas dwar jekk in-naħa l-bogħoda se tirrotja l-pakkett x'imkien wara li tiddeċifrah. Mina tista' tibqa' attiva għal ġimgħat waqt li tarmi kull fluss interessanti, u dan huwa eżatt il-mudell li jġiegħel lin-nies jerġgħu jibnu gateway b'saħħtu.

Iż-żewġ ħsarat li jixirqu jiġu ċċekkjati l-ewwel huma pari li tipproponi AH minflok ESP, u netwerk virtwali nnumerat fi spazju li l-gateway mhux se jqis bħala intern.

Iftaħ il-log esportat qabel ma tmiss ir-rotot

Fil-portal, iftaħ il-gateway tan-netwerk virtwali u mexxi l-operazzjoni VPN troubleshoot fuq il-konnessjoni, imbagħad niżżel il-bundle li jipproduċi u iftaħha. Ġewwa hemm log IKE bl-iskambji tal-fażi 1 u tal-fażi 2, b'timbri tal-ħin u jinqara bħala test sempliċi. Fittiħ fih għal-linja transform minflok ma taqra minn fuq għal isfel, għax l-entrata interessanti normalment tkun xi ftit mijiet ta' linji ġewwa. Jekk m'għandekx aċċess għall-portal, l-istess dijanjostika tidher fid-destinazzjoni tal-log tal-gateway meta l-issettjar tad-dijanjostika jkun attivat.

Żewġ entrati jġorru l-biċċa l-kbira tal-valur. L-ewwel waħda taqra bejn wieħed u ieħor expected ESP with combined authentication and cipher, received AH. It-tieni hija żball ta' payload mhux validu waqt l-iskambju tal-IKE, li normalment ifisser qasam ta' proposta fformattjat ħażin jew mhux appoġġjat.

It-tnejn jiddeskrivu x'offra l-apparat fuq il-post, għalhekk it-tnejn huma settjar fuq in-naħa tal-pari. Li terġa' tiġġenera n-naħa Azure tal-konnessjoni ma tbiddilx il-proposta li tintbagħat mill-firewall tiegħek, u li tagħmel dan xorta waħda hija l-iktar siegħa moħlija f'dan ix-xogħol. Fuq il-pari, issettja l-fażi 2 fuq ESP b'autentikazzjoni u cipher magħquda u ħalliha tinnegozja l-algoritmu, imbagħad iċċekkja jekk kaxxa tal-vendor bl-isem bħal combined mode qed tagħżel bil-kwiet proposta AH taħtha.

Ikkonferma l-ispazju tal-indirizzi tan-netwerk virtwali

Il-gateway jistenna li n-netwerk virtwali jkun f'firxiet privati. Netwerk innumerat fi blokka pubblika, pereżempju wieħed li jibda b'111.x, jista' jtellgħa l-mina filwaqt li Azure jirrifjuta li jqis dak l-ispazju bħala intern, għalhekk il-konnessjoni tidher b'saħħitha u l-ebda fluss ma jiġi aċċettat. Ikkonferma l-ispazju tal-indirizzi qabel ma tqatta' nofs ta' jum fuq is-seletturi. Jekk in-numerazzjoni hija rekwiżit iebes minn allokazzjoni eqdem, is-soluzzjoni hija bidla fil-pjan tal-indirizzi u mhux gateway ieħor.

Innota l-inkroċjar mal-firxiet lokali waqt li tkun fil-blade tal-ispazju tal-indirizzi, għax prefissi li jinkroċjaw jipproduċu ħsara oħra li tidher simili mill-klijent.

Ivverifika l-prefissi fiż-żewġ direzzjonijiet

Ir-riżors tal-gateway tan-netwerk lokali jżomm il-prefissi lokali, u dawn iridu jaqblu mas-sottnetwerks li l-apparat remot tassew jipproteġi. Sommarju li jinkludi indirizzi li l-apparat jarmi se jgħaddi xi flussi u jonqos f'oħrajn, u dan jinqara bħala ħsara intermittenti fir-rotot u mhux bħala nuqqas ta' qbil fil-konfigurazzjoni. Iċċekkja wkoll in-naħa l-bogħoda: tarf wieħed jelenka /16 filwaqt li l-ieħor jelenka tliet /24 ġo fih — din hija l-ħsara parzjali klassika. L-ebda lista mhi awtorevoli waħedha, għalhekk qabbel it-tnejn ħdejn xulxin minflok ma tafda f'dik li tista' tara.

Bidla fil-prefiss mhux dejjem tinħaqad waħedha, għalhekk ippjana li terġa' ssalva jew toħloq mill-ġdid l-oġġett tal-konnessjoni u mbagħad ikkonferma li l-prefissi l-ġodda jidhru fuq iż-żewġ naħat.

Ipprova mogħdija, mhux ping

It-trace li jifred mina li taħdem minn rotta li taħdem jidher hekk: l-ewwel hop huwa l-gateway fuq il-post, imbagħad xi hop li ma jweġibx, imbagħad l-host remot iwieġeb. Jekk it-trace qatt ma jasal sal-host, ipprova l-port TCP li l-applikazzjoni tassew tuża, għax l-ICMP jiġi ffiltrat spiss biżżejjed li ping fallut jipprova ftit ħafna. Mexxi l-istess trace minn host remot lejn magna virtwali f'Azure. L-asimetrija bejn iż-żewġ riżultati hija l-iktar mod mgħaġġel biex issib rotta tar-ritorn nieqsa jew regola li tippermetti direzzjoni waħda biss.

Ikteb il-proposta tal-pari, iż-żewġ spazji tal-indirizzi u l-ħin tal-ħolqien tal-konnessjoni fit-ticket, sabiex l-inġinier li jmiss ikun jaf liema valuri nbnew mill-ġdid u liema qatt ma tmissu.

Jekk il-log jerġa' lura vojt, il-gateway forsi qed ma jtemmx il-konnessjoni tiegħek xejn. Ikkonferma li l-indirizz tal-pari fuq il-gateway tan-netwerk lokali jaqbel mal-apparat li minnu qed taqra l-log, għax żewġ gateways f'sottoskrizzjoni waħda jiġu konfużi faċilment waqt bini mill-ġdid. Dak l-iżball jiswa ġurnata u ma jħalli ebda traċċa f'ebda log.