S2S VPN u Azureu povezan ali bez saobraćaja: pročitajte IKE log

Portal prikazuje Connected, tunel ima brojač vremena rada, a trace sa vaše virtualne mašine umire na drugom hopu. Stanje veze opisuje IKE i IPsec pregovore, a ne da li jedan paket preživljava sloj politika na bilo kojoj strani. Dve greške objašnjavaju većinu ovakvih tiketa i nijedna se ne otklanja promenom Azure rute. Obje su već zapisane u logu koji je proizveo gateway, zato počinjem odatle, a ne iz tabele ruta.

Šta Connected zapravo potvrđuje

Povezana site-to-site veza znači da su faza 1 i faza 2 završene i da su sigurnosne asocijacije aktivne. To je tvrdnja o pregovorima: obje strane su se saglasile o predlogu, razmenile ključeve i instalirale par SA. Ne govori ništa o tome da li se selektori saobraćaja poklapaju sa podmrežama koje smatrate zaštićenim, niti o tome da li će dalja strana usmeriti paket negde nakon dešifrovanja. Tunel može stajati nedeljama dok odbacuje svaki zanimljiv tok, a to je upravo obrazac zbog kojeg ljudi ponovo grade zdrav gateway.

Dve greške koje prvo treba proveriti su peer koji predlaže AH umesto ESP i virtualna mreža numerisana u prostoru koji gateway neće tretirati kao interni.

Otvorite izvezeni log pre nego što dirnete rute

U portalu otvorite gateway virtualne mreže i pokrenite VPN troubleshoot operaciju nad vezom, zatim preuzmite paket koji se stvori i raspakujte ga. Unutra je IKE log sa razmenama faze 1 i faze 2, sa vremenskim oznakama i čitljiv kao običan tekst. Tražite u njemu liniju transform umesto da čitate odozgo nadole, jer zanimljiv unos obično dolazi nakon nekoliko stotina redova. Ako nemate pristup portalu, ista dijagnostika se pojavljuje u odredištu loga gatewaya kada su uključena dijagnostička podešavanja.

Dva unosa nose najviše vrednosti. Prvi zvuči otprilike expected ESP with combined authentication and cipher, received AH. Drugi je greška nevažećeg payloada tokom IKE razmene, što obično znači loše formirano ili nepodržano polje predloga.

Oba opisuju šta je predložio on-premises uređaj, pa su oba podešavanja na strani peera. Ponovno generisanje Azure strane veze ne menja predlog koji vaš firewall šalje, a raditi to ipak je najčešće izgubljeni sat u ovom poslu. Na peeru postavite fazu 2 na ESP sa kombinovanom autentifikacijom i šifrom i pustite ga da pregovara algoritam, zatim proverite da li polje za potvrdu dobavljača nazvano nešto kao combined mode tiho bira AH predlog ispod.

Potvrdite adresni prostor virtualne mreže

Gateway očekuje da virtualna mreža bude u privatnim opsezima. Mreža numerisana u javnom bloku, na primer ona koja počinje sa 111.x, može podići tunel dok Azure odbija tretirati taj prostor kao interni, pa veza izgleda zdravo i nijedan tok nije prihvaćen. Potvrdite adresni prostor pre nego što potrošite popodne na selektore. Ako je numeracija tvrd zahtev iz starije dodele, popravka je promena adresnog plana, a ne drugi gateway.

Zabeležite preklapanje sa on-premises opsezima dok ste u oštrici adresnog prostora, jer preklapajući prefiksi proizvode drugačiji kvar koji sa klijenta izgleda slično.

Proverite prefikse u oba smera

Resurs gatewaya lokalne mreže drži on-premises prefikse i oni moraju odgovarati podmrežama koje udaljeni uređaj zaista štiti. Sažetak koji uključuje adrese koje uređaj odbacuje propustiće neke tokove, a na drugima pasti, što se čita kao povremeni kvar rutiranja, a ne kao nesklad u konfiguraciji. Proverite i dalju stranu: jedan kraj navodi /16 dok drugi navodi tri /24 unutar njega — to je klasičan delimični neuspeh. Nijedna lista nije sama po sebi merodavna, zato ih uporedite jednu uz drugu umesto da verujete onoj koju vidite.

Promena prefiksa se ne preuzima uvek sama, zato planirajte ponovno čuvanje ili ponovno kreiranje objekta veze i zatim potvrdite da se novi prefiksi pojavljuju na obje strane.

Testirajte put, a ne ping

Trace koji razdvaja tunel koji radi od rute koja radi izgleda ovako: prvi hop je on-premises gateway, zatim nekoliko hopova bez odgovora, zatim udaljeni host odgovara. Ako trace nikada ne stigne do hosta, testirajte TCP port koji aplikacija zaista koristi, jer se ICMP filtrira dovoljno često da neuspeli ping dokazuje vrlo malo. Pokrenite isti trace sa udaljenog hosta prema virtualnoj mašini u Azureu. Asimetrija između dva rezultata najbrži je način da pronađete povratnu rutu koja nedostaje ili pravilo koje dozvoljava samo jedan smer.

Zapišite peer predlog, oba adresna prostora i vreme kreiranja veze u tiket, da sledeći inženjer zna koje su vrednosti ponovo izgrađene, a koje nikada nisu dirane.

Ako se log vrati prazan, gateway možda uopšte ne terminira vašu vezu. Potvrdite da se peer adresa na gatewayu lokalne mreže poklapa sa uređajem s kojeg čitate log, jer je dva gatewaya u jednoj pretplati lako zameniti tokom ponovne izgradnje. Ta greška košta jedan dan i ne ostavlja trag ni u jednom logu.