Azure S2S VPN نښلول شوی خو ټرافیک نشته: IKE لاګ ولولئ

پورټل Connected وایي، تونل د کار وخت شمارونکی لري، او ستاسو د مجازي ماشین څخه یو trace په دوهم hop کې مري. د نښلون حالت د IKE او IPsec خبرو اترو تشریح کوي، نه دا چې ایا یو پاکټ د هرې خوا په پالیسي پوړ کې تېریږي. د دې ټیکټونو ډیری د دوو تېروتنو له امله دي او هیڅ یو یې د Azure د لارې په بدلولو نه جوړیږي. دواړه لا دمخه په هغه لاګ کې لیکل شوي چې ګیټوې جوړ کړی، ځکه زه له هماغه ځایه پیلوم نه د لارو له جدول څخه.

Connected په ریښتیا څه تصدیقوي

نښلول شوی site-to-site نښلون معنا لري چې پړاو 1 او پړاو 2 بشپړ شوي او امنیتي ټولنې فعالې دي. دا د خبرو اترو په اړه یوه خبره ده: دواړو خواوو پر یوې وړاندیز سلا وکړه، کیلي یې تبادله کړې او د SA جوړه یې نصب کړه. دا هیڅ نه وایي چې ایا د ټرافیک ټاکونکي هغو فرعي شبکو سره سمون لري چې تاسو یې ساتل شوي ګڼئ، او نه دا چې ایا لرې خوا به د کوډ کولو وروسته پاکټ چیرته لارښوونه وکړي. تونل کولای شي اونۍ ودریږي او هر مهم جریان پریږدي، او همدا بڼه ده چې خلک د روغې ګیټوې بیا جوړولو ته اړ باسي.

لومړي دوې تېروتنې چې د کتلو ارزښت لري هغه peer دی چې د ESP پر ځای AH وړاندیز کوي، او یو مجازي شبکه چې په هغه فضا کې شمېرل شوې چې ګیټوې به یې دننه ونه ګڼي.

د لارو له لمس کولو دمخه صادر شوی لاګ پرانیزئ

په پورټل کې د مجازي شبکې ګیټوې پرانیزئ او پر نښلون د VPN troubleshoot عملیه وچلوئ، بیا هغه بنډل ډاونلوډ کړئ چې جوړوي یې او خلاص یې کړئ. دننه د IKE لاګ دی چې د پړاو 1 او پړاو 2 تبادلې لري، د وخت نښو سره او د ساده متن په توګه لوستل کیدای شي. په هغه کې د transform کرښه ولټوئ نه دا چې له پاسه تر لاندې ولولئ، ځکه په زړه پورې ننوتل معمولا د څو سوه کرښو وروسته وي. که پورټل ته لاسرسی نه لرئ، هغه ورته تشخیصات د ګیټوې د لاګ منزل کې ښکاري کله چې تشخیصي تنظیمات فعال وي.

دوه ننوتل ډیره برخه ارزښت لري. لومړی نږدې داسې لوستل کیږي: expected ESP with combined authentication and cipher, received AH. دوهم د IKE تبادلې پر مهال invalid payload تېروتنه ده، چې معمولا د ناسم جوړ شوي یا نه ملاتړ شوي وړاندیز ساحې معنا لري.

دواړه تشریح کوي چې ځایي وسیلې څه وړاندیز کړی، نو دواړه د peer خوا تنظیمات دي. د نښلون Azure خوا بیا جوړول هغه وړاندیز نه بدلوي چې ستاسو فایرول یې لیږي، او سره له دې کول یې په دې کار کې تر ټولو ډیر ضایع شوی ساعت دی. پر peer پړاو 2 په ESP باندي د یوځای تصدیق او سایفر سره کیږدئ او پرېږدئ چې د الګوریتم خبرې وکړي، بیا وګورئ چې ایا د combined mode په نوم د پلورونکي چیک بکس په خاموشۍ لاندې د AH وړاندیز غوره کوي.

د مجازي شبکې د پتې فضا تصدیق کړئ

ګیټوې تمه لري چې مجازي شبکه په خصوصي حدونو کې وي. شبکه چې په عامه بلاک کې شمېرل شوې، لکه هغه چې په 111.x پیل کیږي، کولای شي تونل پورته کړي خو Azure د هغې فضا د دننۍ په توګه منل ردوي، نو نښلون روغ ښکاري او هیڅ جریان نه منل کیږي. د ټاکونکو په سر د ماسپښین له ضایع کولو دمخه د پتې فضا تصدیق کړئ. که شمېرل د پخواني تخصیص سخت شرط وي، حل بل ګیټوې نه دی بلکې د پتې پلان بدلول دي.

په د پتې فضا بلیډ کې یاست، د ځایي حدونو سره د یو بل په سر لګیدو یادښت وکړئ، ځکه یو بل ته نږدې پریفیکسونه بېله بلې بېلې ناکامي پیدا کوي چې له کلاینټ څخه ورته ښکاري.

پریفیکسونه په دواړو لورو تصدیق کړئ

د ځایي شبکې ګیټوې سرچینه ځایي پریفیکسونه ساتي او هغوی باید هغو فرعي شبکو سره سمون ولري چې لرې وسیله یې واقعا ساتي. هغه لنډیز چې د وسیلې لخوا پریښودل شوې پتې ولري به ځینې جریانونه تیر کړي او په نورو کې به ناکام شي، چې د ترتیب ناسمونې پر ځای د وخت په وخت د لارښوونې خرابۍ په څیر لوستل کیږي. لرې خوا هم وګورئ: یو سر /16 لیست کوي خو بل یې دننه درې /24 لیست کوي — همدا کلاسیکه جزوي ناکامي ده. هیڅ لیست په خپله واکمن نه دی، نو د هغه چا باور کولو پر ځای چې ګورئ دواړه یو تر څنګ بل سره پرتله کړئ.

د پریفیکس بدلون تل پخپله نه نیول کیږي، نو پلان وکړئ چې د نښلون شي بیا وساتئ یا بیا جوړ کړئ او بیا تصدیق کړئ چې نوي پریفیکسونه په دواړو خواوو ښکاري.

ping نه، لار وآزمویئ

هغه trace چې کاري تونل له کاري لارې جلا کوي داسې ښکاري: لومړی hop ځایي ګیټوې دی، بیا څو هغه hop چې ځواب نه ورکوي، بیا لرې هوسټ ځواب ورکوي. که trace هیڅکله هوسټ ته ونه رسیږي، هغه TCP پورټ وآزمویئ چې اپلیکیشن واقعا کاروي یې، ځکه ICMP په کافي اندازه ډیر فلټریږي چې ناکام ping ډیر لږ ثابتوي. هماغه trace له لرې هوسټ څخه د Azure مجازي ماشین په لور وچلوئ. د دوو پایلو ترمنځ ناهمغږي د ورکې شوې بیرته راستنیدو لارې یا یوازې یو لور ته اجازه ورکوونکي قاعده موندلو تر ټولو ګړندې لاره ده.

د peer وړاندیز، دواړه پتې فضاګانې او د نښلون جوړیدو وخت په ټیکټ کې ولیکئ، ترڅو بل انجینر پوه شي چې کوم ارزښتونه بیا جوړ شول او کومو ته هیڅکله لاس ونه وړل شو.

که لاګ خالي راستون شي، کیدای شي ګیټوې ستاسو نښلون په بشپړه توګه پای ته نه رسوي. تصدیق کړئ چې د ځایي شبکې ګیټوې peer پته هغه وسیلې سره سمون لري چې تاسو ترې لاګ لولئ، ځکه په یوه ګډون کې دوه ګیټوې د بیا جوړولو پر مهال اسانه ګډوډیږي. هغه تېروتنه یوه ورځ لګښت کوي او په هیڅ لاګ کې نښه نه پریږدي.