Azure VPN öneki eklemek bağlantıyı neden keser

Yanlış Azure nesnesine eklenen bir önek, Connected bildiren ve hiçbir şey iletmeyen bir bağlantı üretir ve bu, bu yığındaki en pahalı hata türüdür. Üç kaynak devrededir ve bunlardan yalnızca biri uzak adres alanına sahiptir: sanal ağ geçidi, uzak tarafı tanımlayan yerel ağ geçidi ve ikisini birleştiren bağlantı. Önek yerel ağ geçidine aittir, değişikliğin yürürlüğe girmesi için bağlantının yeniden kurulması gerekir ve ağ geçidinin kendisi genellikle dokunulmadan bırakılır. Sıra tartışmaya açık değildir ve portal bunun yalnızca bir bölümünü gösterir.

Üç nesne, bunlardan biri öneği tutar

Sanal ağın adres alanı başka bir soruya yanıt verir: Azure'un içinde ne yaşar. Oraya uzak bir önek eklemek trafiği oraya yönlendirmez, yalnızca platformun kendisine ait saydığı alanı genişletir, bu da gerçek uzak aralıkla çakışabilir. Yerel ağ geçidi uzak önekleri tutan nesnedir ve bağlantı her iki ağ geçidine artı önceden paylaşılan bir anahtara başvurur.

Akılda tutulması gereken üçüncü bir koşul daha var. GatewaySubnet yönetilen ağ geçidi örneklerini barındırır, tam olarak bu adı taşımalıdır ve Basic olmayan SKU'lar için en az /27 olması beklenir.

Başka hiçbir şey o alt ağa ait değildir ve önek değişikliğinin ona dokunmak için bir nedeni yoktur. Yerel ağ geçidinde bulunmayan bir önek, bağlantı durumu ne derse desin erişilemezdir, çünkü ağ geçidi tüneli müzakere ederken yalnızca kendisine bildirilen önekleri sunar. Bu yüzden belirti asimetriktir: tünel ayaktadır, güvenlik ilişkisi yerindedir ve bir alt ağ trafik seçicilerinde hiç görünmez. Komşuları çalışırken tek bir uzak aralık eksikse, tünele bakmayı bırakın ve yerel ağ geçidini okuyun.

Neden bağlantı kaldırılır

Bağlantı nesnesi, müzakere edilen yapılandırmayı tüm ömrü boyunca sabitler. Bu nedenle belgelenen yordam önce bağlantıyı kaldırır, yerel ağ geçidini günceller ve ardından bağlantıyı aynı paylaşılan anahtarla yeniden oluşturur. Ağ geçidi örnekleri yalnızca önek değişikliği için yeniden kurulmaz, bu da kesintiyi ağ geçidinin yeniden dağıtımı yerine bağlantının sökülmesiyle sınırlar.

O silme kesintinin kendisidir, bu yüzden ona hızlı bir düzenleme yerine başlangıcı ve beklenen sonu olan planlı bir değişiklik olarak davranın. PowerShell'de sıra kısadır: Remove-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 -Force, ardından Set-AzLocalNetworkGateway yeni -AddressPrefix dizisiyle, ardından New-AzVirtualNetworkGatewayConnection aynı -SharedKey ve aynı ağ geçitleriyle. Anahtarı yeniden kullanmak önemlidir, çünkü uzak taraf yeniden yapılandırılmaz ve yeni anahtar uzak cihazın sahibiyle koordinasyon anlamına gelir. O cihazı başka bir ekip işletiyorsa, herhangi bir şeyi kaldırmadan önce zaman penceresini onlarla kararlaştırın.

Ağ geçidinin kendisi ne zaman yeniden kurulmalı

Bu sorunun etrafında dolaşan ikinci yanıt, ağ geçidinin yeniden oluşturulması ve anahtarın yeniden değiştirilmesi gerektiğini söyler. Bu başka bir işlem kümesi için doğrudur: ağ geçidi türünü veya SKU'yu değiştirmek, noktadan siteye ile siteden siteye arasında geçmek veya kendi yapılandırması yanlış olan bir ağ geçidini onarmak. Bu tür değişiklikler ağ geçidi kaynağını gerçekten değiştirir, bu yüzden yeniden kurma gerçekten gereklidir.

Noktadan siteye için oluşturulmuş bir ağ geçidine siteden siteye bağlantı basitçe verilemez. Noktadan siteye yapılandırması kaldırılmalı ve ağ geçidi yeniden oluşturulmalıdır; bu da yeni bir paylaşılan anahtar ve yeni bir istemci paketi üretir.

Noktadan siteye paketi süresi dolduğu için kendi notunu hak eder. Portal kısa ömürlü bir dosya üretir, bu yüzden pratik yaklaşım onu bir kez indirip istemci sertifikasıyla birlikte dağıtmaktır; kullanıcılara tıkladıklarında ölmüş olacak bir portal bağlantısı göndermek değil. Önek sorusu için bunların hiçbiri geçerli değildir. İki yordamı ayrı tutmak bütün disiplindir: önekler bağlantı düzeyinde bir değişikliktir ve ağ geçidi özellikleri ağ geçidi düzeyinde bir değişikliktir.

Durumu okuyun, portal rozetini değil

Durumu portaldaki rozetten değil, kaynaktan okuyun. Get-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 döndürür ConnectionStatus gelen ve giden bayt sayaçlarıyla birlikte, ve bağlı olup hiçbir şey taşımayan tüneli hiç kurulmamış olandan ayıran şey bu sayaçlardır.

Aktarımın ortasında artmayı durduran sayaçlar kimlik doğrulamaya değil, yola işaret eder. Hiç hareket etmeyen sayaçlar önek kümesine veya paylaşılan anahtara işaret eder.

Zamanlayıcılar, yanlışlıkla VPN'e atfedilen bir kopma sınıfını açıklar. Azure'un yük dengeleyicisi, yapılandırılmış zaman aşımından sonra boşta akışları kapatır; bu notlar yazıldığında varsayılan dört dakikadır ve yukarı doğru yapılandırılabilir, bu yüzden keepalive olmayan bir VM'deki OpenVPN sunucusu her birkaç dakikada bir düşebilirken her şey sağlıklı görünür. Platformun döngüsel olarak yeniden başlattığı bir ağ geçidi de VNet bağlantısını bir Web App'e kesebilir, ve bu arıza istemci yapılandırmasında değil, platform tarafındadır. İpucu, kopmanın sabit bir aralığı mı yoksa sizin yaptığınız bir değişikliği mi izlediğidir.

Üç nesneyi ve değerlerini tek bir kayıtta tutun: sanal ağın adres alanı, yerel ağ geçidinin önek listesi ve bağlantının paylaşılan anahtarına başvuru. siteden siteye PowerShell makalesi yerel ağ geçidinin komutlarını ve ait oldukları sırayı belgeler. Bir önek değişikliğini bellekle karşılaştırmak, çalışan bir tünelin iki kez yeniden kurulmasının yoludur.

Ardından değiştirdiğiniz sırayla doğrulayın: yerel ağ geçidi yeni önek listesini gösterir, bağlantı yeniden Connected olur ve yeni aralıktaki bir konağa trafik gönderdiğinizde sayaçlar hareket eder. İlk ikisi geçerken üçüncü adım başarısız olursa, uzak taraf yeni trafik seçicisini kabul etmemiştir ve uzak cihazın eşleşen 2. aşama girdisine ihtiyacı vardır. Bu, tünelin diğer ucuyla yapılan bir konuşmadır, Azure'da başka bir değişiklik değil.