Azure P2S VPN xususiy so'nggi nuqta nomini hal qila olmaydi

Point-to-site tunnelni ulaysiz, xususiy manzilga ping qilasiz, ilovani ochasiz va uning o'rniga 403 yoki sertifikat xatosini olasiz. Ikkala belgi ham DNS ga ishora qiladi, ammo ular har xil nosozliklar: biri mijoz ommaviy manzilni hal qilganini, ikkinchisi xususiy manzilni hal qilib, keyin sertifikat qamramaydigan nomni taklif qilganini bildiradi. Quyidagi tekshiruvlarni ketma-ket bajaring va birinchi muvaffaqiyatsizlikda to'xtang, chunki hosts yozuvi yoki keshdagi javob keyingi har bir tekshiruvni noto'g'ri sabab bilan o'tkazishi mumkin. Bu tartibni VPN profillarim yonidagi matn faylida saqlayman, chunki tuzatish tunnelda hech narsani o'zgartirmaydi va mijoz biladigan narsalarning barchasini o'zgartiradi.

Mijoz haqiqatan oladigan manzildan boshlang

Ilovaga ishonish o'rniga hal qiluvchidan to'g'ridan-to'g'ri so'rang. Windows da nslookup adminuidev-fedqcubyd9bfb2bq.canadacentral-01.azurewebsites.net mijoz qaysi ko'rinishni olganini ko'rsatadi. Ommaviy javob pastda hech narsa so'nggi nuqtaga yetmasligini bildiradi; so'nggi nuqtaning xususiy manzili DNS tugaganini va keyingi tekshiruv ulanishning o'zi ekanini bildiradi.

Xususiy so'nggi nuqta xizmat nomini o'zgartirmaydi. Hisob yoki ilova odatdagi to'liq nomini saqlaydi, so'nggi nuqta esa faqat virtual tarmoq ichidagi mijozlar uchun bu nom hal qilinadigan manzilni o'zgartiradi. Shu sababli bir xil xost nomi tarmoqdagi VM dan xususiy, xususiy ko'rinish berilmagan noutbukdan esa ommaviy tarzda hal qilinadi.

Tunneldan oldin zonani, uning aloqasini va yozuvni tekshiring

Uch shart birga bajarilishi kerak: xususiy zona mavjud, u VPN shlyuzi va mijozlar Azure ga kiradigan virtual tarmoqqa bog'langan va unda so'nggi nuqta uchun xususiy manzilga ishora qiluvchi A yozuvi bor. Zonani aloqasiz tarmoqqa bog'lasangiz, shlyuz ommaviy yozuvni hal qilishda davom etadi, tunnelda hamma narsa sog'lom ko'rinadi.

Zona nomlari xizmatlarga tegishli, umuman xususiy ulanishlarga emas. App Service odatda privatelink.azurewebsites.net dan foydalanadi, saqlash va SQL ning o'z nom joylari bor, boshqa xizmat zonasini qarzga olish esa mavjud bo'lgan, ammo foydali hech narsaga javob bermaydigan zona hosil qiladi.

Mijozga haqiqatan yetib boradigan hal qiluvchi bering

168.63.129.16 Azure virtual mashinalaridan javob beradi va point-to-site tunnelning narigi tomonidagi noutbuk uchun DNS server emas. Mijozga tunnel orqali yetib boriladigan hal qiluvchi kerak: Azure DNS Private Resolver ning kiruvchi so'nggi nuqtasi, virtual tarmoq ichidagi uzatuvchi yoki VPN mijoz profilida olib yuriladigan DNS server yozuvlari, shunda mijoz virtual tarmoqdan to'g'ridan-to'g'ri so'raydi.

Sozlangan, ammo yetib bo'lmaydigan hal qiluvchi hech qanday hal qiluvchi yo'qdek ishlaydi va belgi noto'g'ri javob emas, vaqt tugashi, shu sababli u firewall muammosi deb noto'g'ri o'qiladi. Uni tunnel olib o'tishi kerak bo'lgan so'rov bilan sinang, mahalliy aloqa orqali baribir o'tadigan ommaviy nom bilan emas.

Sozlamalarni itarish o'rniga uzatayotgan bo'lsangiz, xususiy zonaga tegishli nom maydonini uzating, butun azurewebsites.net o'rniga privatelink.azurewebsites.net. Butun ota-ona qo'shimchasini yutib yuboradigan shartli uzatuvchi xizmatning har bir qidiruvini Azure ga yuboradi, mahalliy qolishi kerak bo'lganlarni ham.

Sertifikat berilgan nomdan foydalaning

Manzil to'g'ri bo'lganda ikkinchi nosozlik yuzaga chiqadi. Saqlash va App Service privatelink taxallusini e'lon qiladi va bu taxallus sertifikatdagi nom bo'lishi shart emas. privatelink.blob.core.windows.net manziliga yuborilgan AzCopy yuklamasi tekshiruvdan o'tmadi; xuddi shu yuklama <account>.blob.core.windows.net/<container> manziliga xususiy manzilga hal qilindi va o'tdi, shuning uchun u hech qanday chetlab o'tishsiz xususiy yo'lda qoldi.

Qoida brauzerda va App Service uchun ham amal qiladi: sertifikat qamraydigan xost nomi bilan ulaning va xususiy manzilni DNS bersin. Tekshiruvni chetlab o'tishga urinmang, chunki u nomlash xatosini xavfsizlik regressiyasiga aylantiradi. Muvaffaqiyatli ping yo'lni isbotlaydi va qo'l berib ko'rishish ichidagi nom haqida hech narsa demaydi, shu sababli bular alohida tekshiruvlar bo'lib qoladi.

Har bir qatlamni ajratadigan to'rt qadamli tartib

1. VPN mijozida point-to-site hovuzidan manzil va so'nggi nuqtaning xususiy manziliga yo'l borligini tasdiqlang.
2. Ilova ishlatadigan aniq nomni hal qiling va javobni so'nggi nuqta manzili bilan solishtiring.
3. Xizmat portida so'nggi nuqtaga TCP ulanish oching, so'ng o'sha ulanishda taqdim etilgan sertifikat nomini o'qing.
4. Avtorizatsiyani faqat hozir sinang, chunki ishlaydigan yo'l va amaldagi sertifikat hali resursga kirish bermaydi.

Manzil to'g'ri bo'lganda rad etilgan ulanish DNS ga emas, tarmoq xavfsizlik guruhiga yoki xususiy so'nggi nuqta ulanish holatiga ishora qiladi, shuning uchun hal qiluvchi sozlamalarini qayta tahrirlashdan oldin ularni tekshiring. TLS nomining mos kelmasligi sizni URL dagi xost nomi va sertifikatning subject maydoniga qaytaradi. Hal qilish natijasini, sertifikat nomini va aniq URL ni birga saqlang; bu uch qiymat shlyuzga tegmasdan bu holatlarning ko'pini izohlaydi.

Nazorat sifatida virtual tarmoq ichidagi VM dan foydalaning. Nom u yerda xususiy, tunneldan esa ommaviy hal qilinsa, zona va yozuv to'g'ri va yagona farq mijozning hal qiluvchi yo'li, buni so'nggi nuqta konfiguratsiyasini yana bir bor ko'zdan kechirishdan tezroq tasdiqlash mumkin.

Mijozlar ham keshlaydi. O'n daqiqa oldin ommaviy javob bergan yozuv zonani tuzatgandan keyin ham javob berishda davom etadi, shuning uchun qayta sinashdan oldin keshni tozalang. Windows da ipconfig /flushdns mijoz keshini tozalaydi; nom hal qilish siyosati qoidalari qoladi, qaysi qo'shimcha qaysi serverga borishini belgilaydi va nom maydonini hozir almashtirgan hal qiluvchiga yuborishda davom etishi mumkin.

hosts yozuvi qayerda bo'lishi kerak

So'nggi nuqta manzilini hosts fayliga qo'shish yaxshi diagnostika va yomon dizayn. Bu nom va manzil mosligi yetishmayotgan qism ekanini isbotlaydi va shu qadamdan keyingi hamma narsani sinash imkonini beradi, ammo foydalanuvchilaringizga ko'rinmaydi, so'nggi nuqta manzili o'zgarganda buziladi va javob berishi kerak bo'lgan zonani yashiradi.

Qolgan sinov yozuvi eskirgan keshdan ham yomonroq, chunki xatoning yo'nalishiga qarab tuzatilgan yo'lni buzilgan yoki buzilgan yo'lni tuzatilgan qilib ko'rsatishi mumkin. Uni oxirgi yurgizishdan oldin olib tashlang va faqat ishlab chiqarish hal qiluvchisi bilan hal qiling.

Qisqa nomlar qidiruv qo'shimchasini talab qiladi, to'liq nomlar esa yo'q, shuning uchun avval to'liq nomni sinang, keyin ish oqimiga mijoz profilidan itariladigan qo'shimcha kerakmi-yo'qmi qaror qiling. Microsoft har bir xizmat uchun zona nomlari va yozuv shakllarini o'zining xususiy so'nggi nuqtalar uchun DNS yo'riqnomasida hujjatlashtiradi; boshqa xizmatdan zona nusxalash o'rniga o'z xizmatingiz yozuvini o'qing.