Azure punkt-till-plats ansluter men ingen privat resurs svarar
Ansluten betyder bara att tunneln är uppe. Kontrollera vad gatewayen kan bära, jämför adressrymderna och lös sedan upp ett namn och testa själva tjänsten.
Ansluten är ett tillstånd hos tunneln, inte ett påstående om nåbarhet. En punkt-till-plats-klient kan slutföra IKE, ta emot en adress och ändå inte nå något, eftersom gatewayen bara vidarebefordrar trafik för nätverk som VNet redan känner till. Gå igenom de här fem kontrollerna i ordning och stanna vid första felet. Att hoppa framåt är hur ett DNS-problem behandlas som ett brandväggsproblem i en timme.
Ordningen spelar större roll än listan.
Kontroll 1: avgör vad tunneln ska bära
Azure VPN Gateway avslutar tunneln och vidarebefordrar trafik som hör till VNet; den ärinte en allmän internetutgång. Om användarna förväntar sig att deras surfning ska gå ut via Azure är designen fel innan någon klientinställning kommer in i bilden. Slå på split tunneling så att det lokala internetet stannar på den lokala vägen, och använd en NAT-instans eller en plats-till-plats-tunnel när en fast utgående adress verkligen behövs.
Skriv ned vad klienten ska nå innan du testar något. Utan den listan ser varje delresultat ut som framsteg.
Kontroll 2: jämför adressrymderna före certifikaten
Överlapp bedöms på de bredare intervallen, så två nätverk som ser olika ut på subnätnivå krockar ändå om deras överordnade block överlappar. Gateway-subnätet måste vara dedikerat och tillräckligt stort för SKU:n, och klientens adresspool får inte krocka med VNet eller med något som nås via en peering. Ändra planen och distribuera om, eftersom att lägga till rutter som kompensation ger en tunnel som fungerar för vissa mål och oförklarligt inte för andra. Etableringen misslyckas högljutt här, vilket är det goda fallet.
Autentisering är nästa port. Certifikat-, RADIUS- och Entra ID-profiler är inte utbytbara, och klientpaketet skiljer sig för varje.
Kontroll 3: lös upp ett privat namn inifrån
Klienten behåller sin egen resolver om inte den nedladdade profilen innehåller VNet:s DNS-servrar, och den listan bäddas in vid nedladdningen. Lägg till en forwarder i VNet, ange den som VNet:s DNS-server och ladda sedan ned och importera klientpaketet igen. Att återanvända det gamla paketet testar bara den gamla resolverlistan.
Testa en adress först, eftersom det skiljer routing från namngivning i ett steg: Test-NetConnection 10.20.1.4 -Port 3389.
Om adressen svarar och namnet inte, fråga resolvern direkt med Resolve-DnsName files.corp.example -Server 10.20.0.4. Om båda misslyckas är felet inte DNS och du bör sluta redigera DNS-inställningar. Azure-plattformens DNS på 168.63.129.16 svarar bara inifrån VNet, så en klient utanför kan inte använda den adressen som resolver.
Kontroll 4: testa tjänsten bakom tunneln
En frisk tunnel och en stängd port ser identiska ut från klienten. Kontrollera gästens brandvägg, sedan nätverkssäkerhetsgruppen på subnätet eller NIC:en, och sedan om tjänsten lyssnar på den privata adressen i stället för bara på loopback. Tillåt klientpoolen som källa i stället för att öppna en regel mot internet, och kom ihåg att SMB till Azure Files behöver den privata slutpunktens väg routad genom tunneln. När en resurs svarar på IP men inte på namn, gå tillbaka till kontroll 3 i stället för att röra gatewayen.
En tabell håller lagren åtskilda medan du arbetar:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Kontroll 5: registrera profilen innan du eskalerar
Sätt gatewaytyp, tunneltyp, autentiseringsmetod och klientens operativsystem i ärendet. En certifikat-IKEv2-profil och en RADIUS-profil misslyckas av olika skäl, och en klient byggd för en annan tunneltyp ansluter bara när gatewayen erbjuder ett kompatibelt protokoll.
För ett litet team är den hållbara designen ett VNet, en DNS-forwarder och en dokumenterad split-tunnel-klient. Om kravet är en fast offentlig utgång, avsluta en plats-till-plats-tunnel på en brandvägg du kontrollerar och routa internettrafiken dit, i stället för att be punkt-till-plats-gatewayen göra något den aldrig byggdes för.