Azure point-to-site sa pripojí, ale žiadny privátny prostriedok neodpovedá
Pripojené znamená len to, že tunel vstal. Skontrolujte, čo brána dokáže prenášať, porovnajte adresné priestory, potom preložte názov a otestujte samotnú službu.
Pripojené je stav tunela, nie tvrdenie o dosiahnuteľnosti. Klient point-to-site môže dokončiť IKE, dostať adresu a napriek tomu sa nikam nedostať, pretože brána preposiela prevádzku len pre siete, ktoré VNet už pozná. Prejdite týchto päť kontrol v poradí a zastavte sa pri prvom zlyhaní. Preskakovanie dopredu je spôsob, akým sa problém DNS hodinu rieši ako problém firewallu.
Poradie je dôležitejšie ako zoznam.
Kontrola 1: rozhodnite, čo má tunel prenášať
Azure VPN Gateway ukončuje tunel a preposiela prevádzku, ktorá patrí do VNetu; nie jevšeobecný internetový výstup. Ak používatelia čakajú, že ich prehliadanie odíde cez Azure, návrh je chybný skôr, než sa do hry dostane akékoľvek nastavenie klienta. Zapnite split tunneling, aby miestny internet zostal na miestnej ceste, a použite inštanciu NAT alebo tunel site-to-site, keď je pevná výstupná adresa naozaj potrebná.
Pred testovaním čohokoľvek si zapíšte, kam sa má klient dostať. Bez tohto zoznamu vyzerá každý čiastkový výsledok ako pokrok.
Kontrola 2: porovnajte adresné priestory pred certifikátmi
Prekrytie sa posudzuje podľa širších rozsahov, takže dve siete, ktoré na úrovni podsiete vyzerajú odlišne, sa napriek tomu zrazia, ak sa ich nadradené bloky prekrývajú. Podsieť brány musí byť vyhradená a dostatočne veľká pre SKU a fond adries klienta sa nesmie zraziť s VNetom ani s čímkoľvek dostupným cez peering. Zmeňte plán a znova nasaďte, pretože pridávanie trás ako kompenzácia vytvorí tunel, ktorý funguje pre niektoré ciele a nevysvetliteľne nie pre iné. Zriaďovanie tu zlyháva nahlas, čo je dobrý prípad.
Overovanie je ďalšia brána. Profily s certifikátom, RADIUS a Entra ID nie sú zameniteľné a klientsky balík sa pre každý líši.
Kontrola 3: preložte privátny názov zvnútra
Klient si drží vlastný resolver, pokiaľ stiahnutý profil neobsahuje DNS servery VNetu, a tento zoznam sa vkladá pri sťahovaní. Pridajte forwarder vnútri VNetu, nastavte ho ako DNS server VNetu, potom znova stiahnite a importujte klientsky balík. Opätovné použitie starého balíka testuje len starý zoznam resolverov.
Najprv otestujte adresu, pretože to v jednom kroku oddelí smerovanie od pomenovania: Test-NetConnection 10.20.1.4 -Port 3389.
Ak adresa odpovedá a názov nie, opýtajte sa resolvera priamo pomocou Resolve-DnsName files.corp.example -Server 10.20.0.4. Ak zlyhá oboje, chyba nie je v DNS a mali by ste prestať upravovať nastavenia DNS. DNS platformy Azure na 168.63.129.16 odpovedá len zvnútra VNetu, takže klient mimo neho nemôže túto adresu použiť ako resolver.
Kontrola 4: otestujte službu za tunelom
Zdravý tunel a zavretý port vyzerajú z pohľadu klienta rovnako. Skontrolujte firewall hosťa, potom skupinu zabezpečenia siete na podsieti alebo NIC, potom či služba počúva na privátnej adrese a nie len na loopbacku. Povoľte fond klientov ako zdroj namiesto otvárania pravidla do internetu a pamätajte, že SMB k Azure Files potrebuje cestu privátneho koncového bodu vedenú tunelom. Keď prostriedok odpovedá na IP, ale nie na názov, vráťte sa ku kontrole 3 namiesto toho, aby ste sahali na bránu.
Jedna tabuľka drží vrstvy oddelené, kým pracujete:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Kontrola 5: zaznamenajte profil pred eskaláciou
Do tiketu dajte typ brány, typ tunela, metódu overovania a operačný systém klienta. Profil IKEv2 s certifikátom a profil RADIUS zlyhávajú z rôznych dôvodov a klient postavený pre iný typ tunela sa pripojí len vtedy, keď brána ponúkne kompatibilný protokol.
Pre malý tím je trvalý návrh jedna VNet, jeden DNS forwarder a zdokumentovaný klient so split tunelom. Ak je požiadavkou pevný verejný výstup, ukončite tunel site-to-site na firewalle, ktorý ovládate, a internetovú prevádzku tam smerujte, namiesto toho, aby ste po bráne point-to-site chceli niečo, pre čo nebola nikdy postavená.