Azure pikë-në-sajt lidhet por asnjë burim privat nuk përgjigjet
I lidhur do të thotë vetëm se tuneli u ngrit. Kontrolloni çfarë mund të mbajë porta, krahasoni hapësirat e adresave, pastaj zgjidhni një emër dhe provoni vetë shërbimin.
I lidhur është një gjendje e tunelit, jo një pohim për arritshmërinë. Një klient pikë-në-sajt mund të përfundojë IKE, të marrë një adresë dhe gjithsesi të mos arrijë asgjë, sepse porta përcjell trafik vetëm për rrjetet që VNet i njeh tashmë. Kryeni këto pesë kontrolle me radhë dhe ndaloni në dështimin e parë. Kërcimi përpara është mënyra se si një problem DNS trajtohet si problem muri i zjarrit për një orë.
Rendi ka më shumë rëndësi se lista.
Kontrolli 1: vendosni çfarë duhet të mbajë tuneli
Azure VPN Gateway përfundon tunelin dhe përcjell trafikun që i përket VNet; nuk ështënjë dalje e përgjithshme në internet. Nëse përdoruesit presin që shfletimi i tyre të dalë përmes Azure, dizajni është i gabuar para se të hyjë në lojë ndonjë cilësim i klientit. Aktivizoni split tunneling që interneti lokal të vazhdojë të përdorë rrugën lokale, dhe përdorni një instancë NAT ose një tunel sajt-në-sajt kur nevojitet vërtet një adresë dalëse fikse.
Shkruani se ku duhet të arrijë klienti përpara se të provoni gjithçka. Pa atë listë, çdo rezultat i pjesshëm duket si përparim.
Kontrolli 2: krahasoni hapësirat e adresave para certifikatave
Mbivendosja gjykohet në intervalet më të gjera, kështu që dy rrjete që duken të ndryshme në nivel nënrrjeti prapë përplasen nëse blloqet prindërore mbivendosen. Nënrrjeti i portës duhet të jetë i përkushtuar dhe mjaft i madh për SKU, dhe grupi i adresave të klientit nuk duhet të përplaset me VNet ose me çdo gjë të arritshme përmes një peering. Ndryshoni planin dhe riktheni, sepse shtimi i rrugëve si kompensim prodhon një tunel që funksionon për disa destinacione dhe në mënyrë të pashpjegueshme jo për të tjerët. Provizionimi dështon me zë të lartë këtu, dhe ky është rasti i mirë.
Vërtetimi është porta tjetër. Profilet e certifikatës, RADIUS dhe Entra ID nuk janë të këmbyeshme, dhe paketa e klientit ndryshon për secilën.
Kontrolli 3: zgjidhni një emër privat nga brenda
Klienti mban zgjidhësin e vet, përveç nëse profili i shkarkuar përmban serverët DNS të VNet, dhe ajo listë futet në momentin e shkarkimit. Shtoni një forwarder brenda VNet, vendoseni si server DNS i VNet, pastaj shkarkoni dhe importoni përsëri paketën e klientit. Ripërdorimi i paketës së vjetër teston vetëm listën e vjetër të zgjidhësve.
Provoni fillimisht një adresë, sepse kjo ndan rrugëzimin nga emërtimi në një hap: Test-NetConnection 10.20.1.4 -Port 3389.
Nëse adresa përgjigjet dhe emri jo, pyesni zgjidhësin drejtpërdrejt me Resolve-DnsName files.corp.example -Server 10.20.0.4. Nëse të dyja dështojnë, defekti nuk është në DNS dhe duhet të ndaloni së redaktuar cilësimet e DNS. DNS i platformës Azure në 168.63.129.16 përgjigjet vetëm nga brenda VNet, kështu që një klient jashtë tij nuk mund ta përdorë atë adresë si zgjidhës.
Kontrolli 4: provoni shërbimin pas tunelit
Një tunel i shëndoshë dhe një port i mbyllur duken njësoj nga ana e klientit. Kontrolloni murin e zjarrit të mysafirit, pastaj grupin e sigurisë së rrjetit në nënrrjet ose NIC, pastaj nëse shërbimi dëgjon në adresën private dhe jo vetëm në loopback. Lejoni grupin e klientëve si burim në vend që të hapni një rregull drejt internetit, dhe mbani mend se SMB drejt Azure Files kërkon që rruga e pikës fundore private të kalojë përmes tunelit. Kur një burim përgjigjet me IP por jo me emër, kthehuni te kontrolli 3 në vend që të prekni portën.
Një tabelë i mban shtresat të ndara gjatë punës:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Kontrolli 5: regjistroni profilin para se të eskalohet
Vendosni llojin e portës, llojin e tunelit, metodën e vërtetimit dhe sistemin operativ të klientit në biletë. Një profil IKEv2 me certifikatë dhe një profil RADIUS dështojnë për arsye të ndryshme, dhe një klient i ndërtuar për një lloj tjetër tuneli lidhet vetëm kur porta ofron një protokoll të përputhshëm.
Për një ekip të vogël dizajni i qëndrueshëm është një VNet, një forwarder DNS dhe një klient split-tunnel i dokumentuar. Nëse kërkesa është një dalje publike fikse, përfundoni një tunel sajt-në-sajt në një mur zjarri që ju kontrolloni dhe drejtoni trafikun e internetit atje, në vend që t'i kërkoni portës pikë-në-sajt diçka për të cilën nuk u ndërtua kurrë.