Azure P2S VPN не може да разреши назив приватне крајње тачке

Повежете point-to-site тунел, пингујете приватну адресу, отворите апликацију и уместо тога добијете 403 или грешку сертификата. Оба симптома упућују на DNS, али то су различите грешке: једна значи да је клијент разрешио јавну адресу, друга да је разрешио приватну адресу и затим понудио назив који сертификат не покрива. Прођите провере испод редом и зауставите се на првом неуспеху, јер унос у hosts или кеширани одговор могу учинити да свака каснија провера прође из погрешног разлога. Овај ред држим у текстуалној датотеци поред својих VPN профила, јер поправка не мења ништа у тунелу, а све у ономе што клијент зна.

Почните од адресе коју клијент заиста добија

Питајте резолвер директно уместо да верујете апликацији. На Windows-у nslookup adminuidev-fedqcubyd9bfb2bq.canadacentral-01.azurewebsites.net показује који је поглед клијент добио. Јаван одговор значи да ништа ниже неће стићи до крајње тачке; приватна адреса крајње тачке значи да је DNS завршен и да је следећа провера сама веза.

Приватна крајња тачка не преименује услугу. Налог или апликација задржава своје уобичајено потпуно квалификовано име, а крајња тачка мења само адресу на коју се то име разрешава за клијенте унутар виртуелне мреже. Зато се исти назив хоста разрешава приватно са VM у мрежи и јавно са преносног рачунара који никада није добио приватни поглед.

Проверите зону, њену везу и запис пре тунела

Три услова морају да важе заједно: приватна зона постоји, повезана је са виртуелном мрежом у коју улазе у Azure VPN гејтвеј и клијенти, и садржи A запис за крајњу тачку који показује на приватну адресу. Повежите зону са неповезаном мрежом и гејтвеј ће наставити да разрешава јавни запис док све у тунелу изгледа здраво.

Називи зона припадају услугама, а не приватним везама уопште. App Service обично користи privatelink.azurewebsites.net, складиште и SQL имају своје просторе имена, а позајмљивање зоне друге услуге ствара зону која постоји и не одговара ништа корисно.

Дајте клијенту резолвер који заиста може да достигне

168.63.129.16 одговара са виртуелних машина Azure и није DNS сервер за преносни рачунар са друге стране point-to-site тунела. Клијенту је потребан резолвер доступан кроз тунел: улазна крајња тачка Azure DNS Private Resolver-а, прослеђивач унутар виртуелне мреже или уноси DNS сервера пренети у профилу VPN клијента, тако да клијент пита виртуелну мрежу директно.

Конфигурисан али недоступан резолвер понаша се исто као никакав резолвер, а симптом је истек времена, а не погрешан одговор, због чега се погрешно чита као проблем заштитног зида. Тестирајте га упитом који тунел треба да носи, а не јавним именом које би ионако прошло кроз локалну везу.

Ако прослеђујете уместо да гурате поставке, прослеђујте простор имена који поседује приватна зона, privatelink.azurewebsites.net, а не цео azurewebsites.net. Условни прослеђивач који прогута цео родитељски суфикс шаље у Azure сваку претрагу услуге, укључујући и оне које треба да остану локалне.

Користите назив за који је сертификат издат

Када адреса буде исправна, појави се друга грешка. Складиште и App Service објављују алијас privatelink, а тај алијас није нужно назив у сертификату. Отпремање AzCopy-јем на privatelink.blob.core.windows.net није прошло валидацију; исто отпремање на <account>.blob.core.windows.net/<container> разрешило се на приватну адресу и прошло, па је остало на приватној путањи без икаквог заобилажења.

Правило важи у прегледачу и за App Service: повежите се са називом хоста који сертификат покрива и пустите DNS да обезбеди приватну адресу. Не прибегавајте заобилажењу валидације, јер оно грешку у именовању претвара у безбедносну регресију. Успешан ping доказује путању и не говори ништа о називу унутар руковању, зато ово остају одвојене провере.

Редослед од четири корака који изолује сваки слој

1. Потврдите да VPN клијент има адресу из point-to-site базена и путању до приватне адресе крајње тачке.
2. Разрешите тачан назив који апликација користи и упоредите одговор са адресом крајње тачке.
3. Отворите TCP везу ка крајњој тачки на порту услуге, затим прочитајте назив сертификата представљеног на тој вези.
4. Тек сада тестирајте ауторизацију, јер радна путања и важећи сертификат још не дају приступ ресурсу.

Одбијена веза док је адреса исправна упућује на мрежну безбедносну групу или стање везе приватне крајње тачке, а не на DNS, зато их проверите пре него што поново уредите поставке резолвера. Неслагање TLS назива враћа вас на назив хоста у URL-у и subject сертификата. Држите заједно излаз разрешавања, назив сертификата и тачан URL; те три вредности објашњавају већину ових случајева без дирања гејтвеја.

Користите VM унутар виртуелне мреже као контролу. Ако се назив тамо разрешава приватно, а са тунела јавно, зона и запис су исправни и једина разлика је путања резолвера клијента, што се потврђује брже од још једног прегледа конфигурације крајње тачке.

Клијенти такође кеширају. Запис који је јавно одговорио пре десет минута наставља да одговара и након што поправите зону, зато испразните кеш пре поновног теста. На Windows-у ipconfig /flushdns чисти кеш клијента; правила политике разрешавања назива остају, одређују који суфикс иде ка ком серверу и могу наставити да шаљу простор имена резолверу који сте управо заменили.

Где припада унос у hosts

Додавање адресе крајње тачке у датотеку hosts добра је дијагностика и лош дизајн. Доказује да је мапирање назива на адресу део који недостаје и омогућава тестирање свега након тог корака, али је невидљиво вашим корисницима, квари се када се адреса крајње тачке промени и крије зону која би требало да одговори.

Заостали пробни унос гори је од застарелог кеша, јер може учинити да поправљена путања изгледа покварена или покварена путања поправљена, зависно од смера грешке. Уклоните га пре завршног пролаза и разрешавајте само продукцијским резолвером.

Кратка имена захтевају суфикс претраге, а потпуно квалификована не, зато прво тестирајте потпуно квалификовано име, а затим одлучите да ли радном току треба суфикс који се гура кроз профил клијента. Microsoft документује називе зона и облике записа по услузи у својим смерницама за DNS приватних крајњих тачака; прочитајте унос за своју услугу уместо да копирате зону са друге.