Зашто приватна крајња тачка и даље одговара јавном адресом

Преносни рачунар се повезује, тунел се пријављује као активан, а налог за складиште и даље одбија сваки захтев. Приватна крајња тачка постоји, рута до њене подмреже постоји, а име или одговара јавном адресом или се уопште не разрешава. Са тунелом није ништа погрешно: клијенту никада није речено који сервер треба да одговара за то име. Пратите упит ка споља и празнина постаје очигледна.

Почните од резолвера клијента

Питајте клијента који сервер пита док је тунел активан. Профил од тачке до локације даје ту адресу, а профил који ништа не даје оставља оперативном систему да се врати на подразумеване поставке адаптера.

Јавни резолвери не виде приватну зону, па одговарају са интернета, што је управо њихов посао. Прва провера је зато адреса резолвера који се користи, а не тунел и не крајња тачка.

Прочитајте шта је одговор заиста

Разрешите име услуге и прочитајте адресу која се враћа. Јавни одговор значи да је упит стигао до сервера који не види зону. Нема одговора значи да име постоји само приватно и ништа доступно клијенту га не држи.

Та два исхода дају сличне грешке апликације и припадају различитим власницима. Један је проблем избора резолвера, други је веза са зоном која недостаје.

Унос у hosts доказује пут, а затим лаже

Уписивање адресе крајње тачке у локалну датотеку hosts најбржи је начин да докажете да тунел и заштитни зид услуге већ раде. Ако захтев успе са тим уносом, покварено је само разрешавање имена. То је и измена за један рачунар која покрива тачно једно име.

Не помаже другом налогу, другој крајњој тачки ни колеги, и поквари се без упозорења када се крајња тачка поново створи на новој адреси.

Још горе, ваше рачунаре се понаша другачије од свих осталих, а тако квар резолвера преживи недељу истраге. Користите га да потврдите пут, затим га уклоните и поправите узрок.

Повежите зону и поделите резолвер

Два услова морају важити истовремено. Приватна зона мора бити повезана са виртуелном мрежом у којој крајња тачка живи, а клијент мора да шаље упите серверу који може да чита ту зону. Долазни крајња тачка DNS Private Resolver пружа такву адресу унутар мреже и одговара на упите који пристижу кроз тунел. Ставите ту адресу у VPN профил и додајте приватни суфикс који клијент треба да примени.

Постојећи локални резолвер може добити исти исход кроз условни прослеђивач усмерен на зону.

Мрежна правила на резолверу вреде колико и усмеравање. Ако долазно правило искључује опсег VPN клијената, упити истичу уместо да врате погрешан одговор. Управо тај истек шаље људе назад на табелу рута у којој ништа није погрешно.

Проверите име, порт и идентитет по реду

Радите по реду: разрешите име, потврдите да је одговор приватан, отворите порт, затим упутите аутентификовани захтев. Свака фаза има свог власника и свој потпис квара.

Приватни одговор након којег следи истек упућује на руту или заштитни зид. Јавни одговор упућује на резолвер. Завршена веза која враћа грешку идентитета припада услузи.

Још један квар припада овом списку. Заштитни зид услуге који допушта адресу клијента престаје да се подудара када базен након поновног повезивања додели ту адресу другој сесији. Читајте адресу позиваоца коју је услуга забележила, а не ону за коју клијент мисли да је има. Њих две се разилазе чешће него што људи очекују. Смернице за Azure DNS Private Resolver покривају везу са зоном и распоред прослеђивања.