Azure P2S: једном Windows клијенту недостају руте након промене VNet-а

Два преносна рачунара аутентификују се на исти Azure point-to-site пролаз, а само један достиже новоповезани VNet. Оба приказују Connected, па аутентификација није разлика; разлика су руте до одредишта које држе. Почните од клијента који не успева, упоредите једно одредиште и тек онда одлучите припада ли празнина пакету пролаза или локалној табели рута.

Почните од клијента који не успева, не од пролаза

Потврдите топологију пре него што окривите преносни рачунар. Проверите које су VNet мреже повезане са VNet мрежом пролаза и да ли је нова мрежа директно peer-ована или се до ње долази засебним site-to-site тунелом. Ако нова VNet мрежа уопште није повезана са VNet мрежом пролаза, ниједан клијентски пакет не може усмеравати до ње, а радни преносни рачунар је аномалија коју треба објаснити. Запишите одговор, јер он одлучује да ли дебагујете клијента или пролаз.

Кад топологија буде исправна, ставите два преносна рачунара један поред другог. Исти пролаз, исти базен адреса, исти протокол и иста верзија клијента јесу поређење које желите; све остало је друга променљива коју ћете касније морати уклонити.

Упоредите једно одредиште помоћу route print

Изаберите дозвољену IP адресу ресурса и упоредите оба преносна рачунара двапут: искључена па повезана. На Windows-у route print -4 исписује IPv4 руте са префиксом одредишта, интерфејсом, следећим скоком и метриком. Забележите ред који би заиста победио за то одредиште уместо да бројите уносе који садрже реч VPN.

Избор иде по најдужем префиксу, затим по метрици, па конкретнија локална рута може победити тунелску руту, а да не изгледа погрешно. Ако је жељено одредиште унутар 10.24.0.0/16, здрав клијент приказује одговарајућу руту на VPN интерфејсу, док клијент који не успева шаље исту адресу свом подразумеваном пролазу.

Сукобљени локални префикс може произвести исти симптом. Пре него што било шта додате, одлучите који од два случаја имате: никакву тунелску руту, или тунелску руту која губи од конкретније.

TTL expired није грешка у дистрибуцији рута

Ping који враћа TTL expired in transit каже да је пакет потрошио своју дозволу скокова, што обично значи петљу прослеђивања, а не покварен VPN драјвер. Windows ping прихвата TTL до 255, а подизање вредности не поправља петљу; само одлаже исту грешку. Третирајте поруку као симптом путање, не као доказ о дистрибуцији рута.

Употребите tracert -4 10.24.1.10 да видите где се путања понавља. Ако се иста два скока појављују изнова, потражите руту која промет намењен тунелу шаље назад у тунел или у локални рутер који га враћа.

Поново генеришите пакет на пролазу који га поседује

Microsoft документује да се Windows клијентски пакети морају поново преузети и инсталирати након релевантних промена топологије. Узмите тренутни пакет са Azure пролаза који опслужује овај профил, па га примените подржаним поступком за тај клијент. Замена извршне датотеке неповезане VPN апликације није иста операција као поновно генерисање поставки специфичних за пролаз. Поновно преузимање пакета је јефтино; нагађање о локалним рутама није.

Поново се повежите и поново прочитајте руту за изворно одредиште. Сачувајте редове пре и после уз запис о промени, како би резултат био прецизнији од поново сам инсталирао клијента.

Сценарија Azure P2S усмеравања раздвајају директно peer-оване VNet мреже од мрежа до којих се долази другим тунелима, а нови пакет не може учинити peer-овање транзитивним. Неки Windows site-to-site или BGP сценарији такође траже ручно конфигурисане удаљене руте, па освежавање пакета није универзални механизам дистрибуције рута.

Задржите привремену руту привременом

Ручна рута може изоловати недостајућу клијентску руту, али је изградите из стварног дизајна: route add 10.24.0.0 mask 255.255.0.0 172.16.0.1 if 42, без трајне заставице, тако да нестане при поновном покретању. Изаберите индекс интерфејса и следећи скок са повезаног VPN адаптера, а не из нагађања.

Не остављајте експерименталну руту као трајног конкурентног власника. Будућа ажурирања профила могу додати исти префикс с другом метриком и тада ручни унос тихо одлучује која путања побеђује. Забележите корак уклањања у промени.

Кад исправна рута буде активна, тестирајте циљну апликацију, а не ping. Ако пакети стигну до Azure-а, али услуга и даље не успева, проверите мрежну безбедносну групу и повратну путању, јер су оне одвојене од тога да ли је преносни рачунар научио префикс.