Il-VM tal-Azure ma tilħaqx IMDS jew WireServer wara li jibda l-VPN

Il-VM qed taħdem, il-klijent VPN jgħid li huwa konness, u ftit minuti wara l-aġent tal-Azure jibda jirrapporta stat mhux b'saħħtu. Kultant SSH jibqa' ħaj u Run Command mill-portal le, li jibgħat lin-nies lejn l-aġent minflok lejn it-tabella tar-rotot. Id-deċiżjonijiet ta' trażmissjoni tal-mistieden innifsu nbidlu meta tela' t-tunnel, u żewġ indirizzi tal-pjattaforma normalment ikunu l-ewwel vittmi. Jien nittrattah bħala sintomu tar-routing qabel ma nittrattah bħala ħsara tal-aġent.

Is-sintomu jidher bħal aġent maqsum

Iż-żewġ indirizzi hawn taħt huma proposti bħala soluzzjoni, u mhumiex l-istess servizz. L-ikkupjar ta' /32 għal wieħed għax ħadem għall-ieħor huwa eżattament kif soluzzjoni temporanja ssir konfigurazzjoni permanenti li ħadd ma jiddjerja jneħħi.

L-ordni li taħdem hija li l-ewwel tikkonferma liema indirizz il-waqfa attwali fil-fatt timmira, imbagħad taqra kif il-mistieden issolviha. Kull ħaġa oħra hija stima b'passi żejda u tieqa ta' bidla itwal.

168.63.129.16 mhuwiex destinazzjoni pubblika

168.63.129.16 huwa l-indirizz virtwali speċjali tal-pjattaforma Azure, u wieħed mir-rwoli tiegħu huwa WireServer, li l-aġent tal-VM juża biex jitkellem mal-fabric. Microsoft tiddokumenta li t-traffiku tal-aġent lejn il-portijiet TCP 80 u 32526 għandu jibqa' disponibbli. Mhuwiex host tal-internet ordinarju, u mhuwiex xi ħaġa li VPN b'tunnel sħiħ għandha ġġorr lejn ħruġ remot. Huwa għalhekk li tunnel li jidher b'saħħtu xorta jista' jġajjar lill-aġent.

Id-dokumentazzjoni tal-indirizz tal-pjattaforma tgħid ukoll li dan l-indirizz mhuwiex suġġett għal rotot definiti mill-utent, li hija proprjetà tal-fabric Azure u mhix wegħda dwar il-mistieden tiegħek. Regola lokali tal-firewall jew il-politika tar-routing tal-klijent VPN innifsu xorta jistgħu jkissru t-triq, u l-ebda waħda minnhom ma tgħix fit-tabella tar-rotot tal-VNet.

Jekk l-aġent huwa dak li jirrapporta l-problema, iċċekkja l-istat tas-servizz u t-triq lejn dak l-indirizz qabel ma terġa' tinstalla xi ħaġa.

169.254.169.254 għandu r-regoli tiegħu

169.254.169.254 huwa l-indirizz link-local għall-Azure Instance Metadata Service. It-talbiet lejh għandhom rekwiżiti tagħhom: in-NIC primarja u l-IP primarja, konfigurazzjoni DHCP li tappoġġja l-indirizz, u l-bypass ta' kwalunkwe proxy HTTP. Li tibgħathom permezz ta' ħruġ VPN remot jew gateway tal-internet arbitrarju mhuwiex il-mudell ta' aċċess li jiddeskrivi Microsoft.

Dik il-klawżola tal-proxy taqbad lil dawk li sewwew ir-rotta u xorta jaraw fallimenti. Proxy HTTP fil-mistieden jista' jkisser IMDS filwaqt li ip route get jirritorna eżattament l-interface li tistenna, għalhekk iċċekkja l-eċċezzjonijiet tal-proxy kif ukoll ir-rotot.

Twaħħalx risposti tal-metadata fi biljett ta' appoġġ waqt li tkun qed tiddibaggja dan. Jistgħu jġorru kredenzjali u dettalji tal-istanza li jgħixu itwal mill-inċident.

Aqra r-routing tal-politika tal-mistieden, mhux biss it-tabella prinċipali

Fuq mistieden Linux, tliet kmandi ta' qari biss jifirdu l-livelli: ip -4 rule show għar-regoli tal-politika, imbagħad ip -4 route get 168.63.129.16 u ip -4 route get 169.254.169.254 għad-deċiżjonijiet li l-qalba fil-fatt tieħu. Mexxihom qabel u wara li l-VPN tikkonnettja. Id-differenza bejn dawk iż-żewġ outputs hija s-sett tal-bidliet tiegħek, u hija aktar utli minn kwalunkwe stima dwar x'għamel il-klijent.

Klijent VPN li jinstalla regoli tal-politika jista' jħalli t-tabella prinċipali mhux mittiefsa u xorta jiddevja dawk it-tfittxijiet. Huwa għalhekk li tiswija tat-tabella prinċipali biss tidher li taħdem fuq host u ma tagħmel xejn fuq dak li jmiss. Mistednin b'aktar minn NIC waħda jżidu l-istess problema mid-direzzjoni l-oħra, għax it-tweġiba tiddependi minn liema NIC u indirizz tas-sors tagħżel ir-regola.

Irreżisti r-riċetta li żżid iż-żewġ rotot /32 mill-gateway antik. Triq tal-pjattaforma link-local u hop li jmiss WAN ġenerali huma oġġetti differenti, u eċċezzjoni ġenerali taħbi l-kunflitt reali tal-politika.

Żomm l-amministrazzjoni u l-irkupru separati

Ir-risposta SSH jew RDP tiegħek tista' tinqabad ukoll minn default ta' tunnel sħiħ, iżda timmira l-indirizz osservat tal-amministratur u mhux punt tat-tarf tal-pjattaforma. Iddijanjostikaha mill-par talba-risposta tagħha stess, u żomm kanal ta' rkupru indipendenti bħall-console tas-serje qabel ma tibdel il-politika tal-VPN. Jekk skjerament jerġa' jibda l-VM u l-aġent jirrapporta stat mhux b'saħħtu, iċċekkja l-azzjoni rreġistrata u s-servizz responsabbli minflok ma tassumi li l-bidla tar-rotta kkawżat ir-restart.

Imbagħad ivverifika t-tliet flussi separatament: ir-riżors privat li tassew ridt, il-komunikazzjoni appoġġjata bejn l-aġent u l-pjattaforma, u t-triq amministrattiva. L-irkupru ta' waħda mhuwiex prova li ż-żewġ l-oħra baqgħu ħajjin.

Ikteb l-eċċezzjoni approvata taħt is-sid tan-netwerk tal-mistieden u l-konfigurazzjoni tal-VPN, inkluż x'jiġri meta terġa' tikkonnettja u terġa' tibda. L-UDR tal-Azure mhumiex it-tabella tar-rotot tal-mistieden, u l-editjar tagħhom mhux se jsewwi regola tal-politika lokali.