Azureova provjera toka IP kaže dopušteno, ali VPN i dalje ne radi

Site-to-site tunel je povezan, VM je zdrav, ali lokalni klijent ne dobiva ništa. Otvorite Network Watcher, pokrenete provjeru toka IP i ona kaže Access allowed, pa se zahtjev zatvara kao problem s VPN-om. Taj rezultat ne znači ono kako izgleda, jer provjera toka IP ocjenjuje sigurnosna pravila za tok koji ste opisali i nikada ne provjerava ima li Azure rutu do vašeg lokalnog prefiksa.

Pitanje filtriranja i pitanje usmjeravanja su odvojeni, a Network Watcher na njih odgovara različitim alatima. Znati koje ste od njih pitali je najveći dio dijagnostike.

Što provjera toka IP zapravo odlučuje

Provjera toka IP uzima VM, mrežno sučelje, smjer, vrijednosti petorke i protokol, a zatim prijavljuje odluku NSG pravila i sigurnosnog administratora za taj tok. Radi na TCP i UDP, pa nije tester ICMP pravila i blokiran ping ništa ne dokazuje o vašoj usluzi. Dajte joj pravi tok, a ne pretpostavku. Dolazna veza s lokalne strane na port baze podataka drugačiji je opis od odlazne veze koju VM inicira.

Ako gateway prevodi adrese, koristite izvornu adresu koja stiže na granicu koju ocjenjujete, a ne onu iz konfiguracije klijenta. Čitajte rezultat i onakvim kakav jest. Access allowed znači da bi sloj filtriranja propustio paket da stigne, i ništa više.

Ono što vam ne može reći jest ruta koju je Azure odabrao, dopušta li gostujući firewall port ili sluša li nešto. To živi na drugim slojevima.

Što dodaju sljedeći skok i efektivne rute

Sljedeći skok odgovara na pitanje prosljeđivanja: za ovo odredište koji tip sljedećeg skoka Azure bira, na kojoj adresi, iz koje tablice ruta. Efektivne rute navode što NIC zapravo ima. Pokrenite oboje i dobivate put na strani Azurea koji zelena provjera toka IP ostavlja praznim.

Microsoftov pregled provjere toka IP izravno navodi opseg filtriranja, dok stranice o sljedećem skoku i dijagnostici ruta pokrivaju stranu prosljeđivanja. Citirajte pravu stranicu kada zapisujete nalaz.

Naredbe su dovoljno kratke da se pokrenu iz ljuske. az network nic show-effective-route-table navodi rute primijenjene na sučelje. az network watcher show-next-hop s izvorom i odredištem vraća odabrani skok. Usporedite prefiks koji vam je važan s tom tablicom, pa potvrdite koji unos pobjeđuje.

Prođite povratni put s NIC-a VM-a

Radite to s NIC-a ciljnog VM-a, za prefiks lokalnog klijenta, ne za internet. Povratni put je mjesto gdje se kriju kvarovi site-to-site, jer provjera stanja tunela samo javlja da su sigurnosne asocijacije podignute.

Ako očekivana ruta nedostaje, provjerite udaljene prefikse koje daje konfiguracija gatewaya, dizajn povezanosti VNet-a i bilo koju postavku propagacije ruta. Objekt lokalnog mrežnog gatewaya opisuje lokalnu stranu; njegovo postojanje ne dokazuje da je svaki potrebni prefiks prisutan i preferiran na NIC-u. To su različite činjenice, a samo jedna od njih se pojavljuje u sažetku portala.

Čitajte tip sljedećeg skoka umjesto da kopirate primjer

Put upravljanog VPN gatewaya obično prikazuje VirtualNetworkGateway kao tip sljedećeg skoka. VirtualAppliance opisuje drugačiji dizajn prosljeđivanja, obično firewall ili mrežni virtualni uređaj.

Ne stvarajte rutu uređaja prema pretpostavljenoj VPN krajnjoj točki samo zato što je stari odgovor s foruma koristio taj tip. Ako ruta koju je definirao korisnik nadjačava predviđeni put, pronađite njezina vlasnika i svrhu prije nego što je promijenite. Drugi NIC također može promijeniti koje sučelje gost koristi, a njegovo uklanjanje može pokvariti drugu uslugu umjesto da popravi ovu rutu.

Prijeđite na granicu koja i dalje ne radi

Kada se filtriranje i usmjeravanje podudaraju s dizajnom, kvar je negdje drugdje. Provjerite vlastitu tablicu ruta gosta, njegov firewall i je li slušatelj vezan na očekivanu adresu. Zatim provjerite zaštićene selektore prometa VPN-a i lokalni povratni put. Svaka od tih provjera je zaseban test sa zasebnim rezultatom.

Završite dopuštenim zahtjevom aplikacije i zapažanjima s oba kraja. Rezultat allow i ispravan sljedeći skok su dva dijela dokaza, a ne dokaz da je veza uspjela.