Preverjanje toka IP v Azure pravi dovoljeno, a VPN še vedno ne deluje

Tunel od mesta do mesta je povezan, VM je zdrav, a lokalni odjemalec ne prejme ničesar. Odprete Network Watcher, zaženete preverjanje toka IP in pravi Access allowed, zato se zahtevek zapre kot težava VPN. Ta rezultat ne pomeni tega, kar se zdi, ker preverjanje toka IP ocenjuje varnostna pravila za tok, ki ste ga opisali, in nikoli ne preizkusi, ali ima Azure pot do vašega lokalnega predpona.

Vprašanje filtriranja in vprašanje usmerjanja sta ločena, Network Watcher pa nanju odgovarja z različnimi orodji. Vedeti, katero ste postavili, je večina diagnoze.

Kaj preverjanje toka IP v resnici odloči

Preverjanje toka IP vzame VM, omrežni vmesnik, smer, vrednosti peterice in protokol, nato pa poroča odločitev pravila NSG in varnostnega skrbnika za ta tok. Deluje na TCP in UDP, zato ni preizkuševalec pravil ICMP in blokiran ping ne dokaže ničesar o vaši storitvi. Dajte mu resnični tok namesto ugibanja. Dohodna povezava iz lokalnega okolja na vrata podatkovne baze je drugačen opis kot odhodna povezava, ki jo začne VM.

Če prehod prevaja naslove, uporabite izvorni naslov, ki doseže mejo, ki jo ocenjujete, ne tistega iz konfiguracije odjemalca. Berite tudi rezultat tak, kakršen je. Access allowed pomeni, da bi filtrirna plast paket spustila, če bi prispel, in nič več.

Česar ne more povedati, je pot, ki jo je izbral Azure, ali požarni zid gosta dovoljuje vrata in ali kaj posluša. To živi na drugih plasteh.

Kaj dodata naslednji skok in učinkovite poti

Naslednji skok odgovori na vprašanje posredovanja: za ta cilj katero vrsto naslednjega skoka Azure izbere, na katerem naslovu, iz katere tabele poti. Učinkovite poti naštejejo, kaj NIC v resnici ima. Zaženite oboje in dobite pot na strani Azure, ki jo zeleno preverjanje toka IP pusti prazno.

Pregled preverjanja toka IP podjetja Microsoft neposredno navaja obseg filtriranja, medtem ko strani o naslednjem skoku in diagnostiki poti pokrivata stran posredovanja. Navedite pravo stran, ko zapišete ugotovitev.

Ukazi so dovolj kratki, da jih zaženete iz lupine. az network nic show-effective-route-table našteje poti, uporabljene na vmesniku. az network watcher show-next-hop z virom in ciljem vrne izbrani skok. Primerjajte predpono, ki vas zanima, s to tabelo in nato potrdite, kateri vnos zmaga.

Prehodite povratno pot z NIC virtualnega računalnika

To naredite z NIC ciljnega VM, za predpono lokalnega odjemalca, ne za internet. Povratna pot je kraj, kjer se skrivajo napake od mesta do mesta, ker preverjanje stanja tunela samo sporoči, da so varnostne povezave vzpostavljene.

Če pričakovane poti ni, preverite oddaljene predpone, ki jih zagotavlja konfiguracija prehoda, zasnovo povezljivosti VNet in vsako nastavitev širjenja poti. Objekt lokalnega omrežnega prehoda opisuje lokalno stran; njegov obstoj ne dokazuje, da je vsaka potrebna predpona prisotna in prednostna na NIC. To so različna dejstva in le eno od njih se pojavi v povzetku portala.

Berite vrsto naslednjega skoka, namesto da kopirate primer

Pot skozi upravljani prehod VPN običajno prikaže VirtualNetworkGateway kot vrsto naslednjega skoka. VirtualAppliance opisuje drugačno zasnovo posredovanja, običajno požarni zid ali omrežno virtualno napravo.

Ne ustvarjajte poti naprave do domnevne končne točke VPN samo zato, ker je stari odgovor na forumu uporabil to vrsto. Če pot, ki jo določi uporabnik, preglasi predvideno pot, poiščite njenega lastnika in namen, preden jo spremenite. Druga NIC lahko tudi spremeni, kateri vmesnik uporablja gost, in njena odstranitev lahko pokvari drugo storitev, namesto da bi popravila to pot.

Premaknite se na mejo, ki še vedno ne deluje

Ko se filtriranje in usmerjanje oba ujemata z zasnovo, je napaka drugje. Preverite gostovo lastno tabelo poti, njegov požarni zid in ali je poslušalec vezan na pričakovani naslov. Nato preverite zaščitene izbirnike prometa VPN in lokalno pot odgovora. Vsak od njih je ločen preizkus z ločenim rezultatom.

Zaključite z dovoljeno zahtevo aplikacije in opažanji z obeh koncev. Rezultat allow in pravilen naslednji skok sta dva dela dokaza, ne dokaz, da je povezava uspela.