Kvifor eit privat endepunkt framleis svarar med ei offentleg adresse

Den berbare koplar til, tunnelen melder seg oppe, og lagringskontoen avviser framleis kvar einaste førespurnad. Det private endepunktet finst, ruta til undernettet finst, og namnet svarar anten med ei offentleg adresse eller let seg ikkje slå opp. Ingenting er gale med tunnelen: klienten har aldri fått vita kva tenar som skal svara for det namnet. Følg spørjinga utover, og gapet vert tydeleg.

Start ved resolvaren til klienten

Spør klienten kva tenar han spør medan tunnelen er oppe. Ein punkt-til-område-profil leverer den adressa, og ein profil som ikkje leverer noko, lèt operativsystemet falla attende på standardverdiane til adapteren.

Offentlege resolverar har inga oversikt over ei privat sone, så dei svarar frå internett, som er nøyaktig jobben deira. Den første kontrollen er difor resolveradressa som vert brukt, ikkje tunnelen og ikkje endepunktet.

Les kva svaret eigentleg er

Slå opp tenestenamnet og les adressa som kjem attende. Eit offentleg svar tyder på at spørjinga nådde ein tenar som ikkje kan sjå sona. Ikkje noko svar tyder på at namnet berre finst privat og at ingenting klienten kan nå held på det.

Desse to utfalla gjev liknande applikasjonsfeil og høyrer til ulike eigarar. Det eine er eit resolver-valproblem, det andre er ei manglande sonekopling.

Ein hosts-oppføring beviser ruta og lyg deretter

Å setja endepunktadressa i den lokale hosts-fila er den raskaste måten å bevisa at tunnelen og brannmuren til tenesta alt verkar. Om førespurnaden lukkast med den oppføringa, er berre namneoppslaget øydelagt. Det er òg ei endring per maskin som dekkjer nøyaktig eitt namn.

Ho hjelper ikkje den andre kontoen, det andre endepunktet eller ein kollega, og ho ryker utan varsel når endepunktet vert attskapt på ei ny adresse.

Verre, ho får maskinen din til å te seg annleis enn alle andre sin, og det er slik ein resolverfeil overlever ei veke med gransking. Bruk ho til å stadfesta ruta, fjern ho deretter og rett opp årsaka.

Kople til sona og del ut ein resolver

To vilkår må gjelda samstundes. Den private sona må vera kopla til det virtuelle nettet der endepunktet ligg, og klienten må senda spørjingane sine til ein tenar som kan lesa den sona. Eit inngåande endepunkt i DNS Private Resolver gjev ei slik adresse inne i nettet og svarar på spørjingar som kjem gjennom tunnelen. Set den adressa i VPN-profilen og legg til det private suffikset klienten skal bruka.

Ein eksisterande lokal resolver kan nå same resultat via ein vilkårsvidaresendar retta mot sona.

Nettverksreglar på resolvaren tyder like mykje som ruting. Om den inngåande regelen utelèt området til VPN-klientane, går spørjingane ut på tid i staden for å gje eit gale svar. Det er den tida som sender folk attende til ein rutetabell der ingenting er gale.

Kontroller namn, port og identitet i rekkefølgje

Arbeid i rekkefølgje: slå opp namnet, stadfest at svaret er privat, opne porten, og gjer deretter ein autentisert førespurnad. Kvart trinn har sin eigen eigar og sin eigen feilsignatur.

Eit privat svar etterfølgt av ein timeout peikar på ei rute eller ein brannmur. Eit offentleg svar peikar på resolvaren. Ei fullført tilkopling som returnerer ein identitetsfeil, høyrer til tenesta.

Endå ein feil høyrer heime på denne lista. Ein tenestebrannmur som tillèt ei klientadresse sluttar å stemma når bassenget gjev den adressa til ei anna økt etter ei attoppkopling. Les anropradressa tenesta registrerte, ikkje den klienten trur han har. Dei to er usamde oftare enn folk ventar. Rettleiinga for Azure DNS Private Resolver dekkjer sonekoplinga og vidaresendingsoppsettet.