Azure nuqtadan saytga ulanadi, lekin hech bir xususiy resurs javob bermaydi
Ulanish faqat tunnel ko‘tarilganini bildiradi. Shlyuz nimalarni tashiy olishini tekshiring, manzil bo‘shliqlarini solishtiring, so‘ng nomni hal qiling va xizmatning o‘zini sinab ko‘ring.
Ulangan — bu tunnelning holati, yetib borish haqidagi bayonot emas. Nuqtadan saytga mijozi IKE ni tugatib, manzil olib, baribir hech narsaga yetib bormasligi mumkin, chunki shlyuz faqat VNet allaqachon biladigan tarmoqlar uchun trafikni uzatadi. Ushbu beshta tekshiruvni tartib bilan bajaring va birinchi muvaffaqiyatsizlikda to‘xtang. Oldinga sakrash — DNS muammosini bir soat davomida firewall muammosi sifatida ko‘rib chiqish usuli.
Tartib ro‘yxatdan muhimroq.
Tekshiruv 1: tunnel nimalarni tashishi kerakligini aniqlang
Azure VPN Gateway tunnelni tugatadi va VNet ga tegishli trafikni uzatadi; uumumiy internet chiqishi emas. Agar foydalanuvchilar brauzerlari Azure orqali chiqishini kutsa, har qanday mijoz sozlamasi paydo bo‘lishidan oldin dizayn noto‘g‘ri. split tunneling ni yoqing, shunda mahalliy internet mahalliy yo‘lda qolsin va haqiqatan qat’iy chiqish manzili kerak bo‘lganda NAT nusxasi yoki saytdan saytga tunnel ishlatilsin.
Biror narsani sinab ko‘rishdan oldin mijoz qayerga yetishi kerakligini yozing. Bu ro‘yxatsiz har bir qisman natija taraqqiyotdek ko‘rinadi.
Tekshiruv 2: sertifikatlardan oldin manzil bo‘shliqlarini solishtiring
Qoplanish kengroq diapazonlar bo‘yicha baholanadi, shuning uchun subnet darajasida boshqacha ko‘rinadigan ikki tarmoq ham ota-bloklari ustma-ust tushsa to‘qnashadi. Shlyuz subneti ajratilgan va SKU uchun yetarlicha katta bo‘lishi kerak, mijoz manzillari hovuzi esa VNet yoki peering orqali yetib boriladigan narsa bilan to‘qnashmasligi lozim. Rejani o‘zgartirib, qayta joylashtiring, chunki qoplash uchun marshrutlar qo‘shish ba’zi manzillar uchun ishlaydigan, boshqalari uchun esa tushuntirib bo‘lmaydigan tarzda ishlamaydigan tunnel yaratadi. Bu yerda ta’minlash baland ovozda muvaffaqiyatsiz bo‘ladi va bu yaxshi holat.
Autentifikatsiya keyingi darvoza. Sertifikat, RADIUS va Entra ID profillari bir-birini almashtirmaydi, mijoz paketi esa har biri uchun farq qiladi.
Tekshiruv 3: xususiy nomni ichkaridan hal qiling
Mijoz o‘z hal qiluvchisini saqlaydi, agar yuklab olingan profil VNet ning DNS serverlarini olib yurmasa, va bu ro‘yxat yuklab olish paytida joylashtiriladi. VNet ichiga forwarder qo‘shing, uni VNet ning DNS serveri qilib belgilang, so‘ng mijoz paketini qayta yuklab olib, import qiling. Eski paketni qayta ishlatish faqat eski hal qiluvchilar ro‘yxatini sinaydi.
Avval manzilni sinab ko‘ring, chunki bu marshrutlashni nomlashdan bir qadamda ajratadi: Test-NetConnection 10.20.1.4 -Port 3389.
Manzil javob berib, nom bermasa, hal qiluvchidan to‘g‘ridan-to‘g‘ri so‘rang: Resolve-DnsName files.corp.example -Server 10.20.0.4. Ikkalasi ham muvaffaqiyatsiz bo‘lsa, xato DNS da emas va DNS sozlamalarini tahrirlashni to‘xtatishingiz kerak. 168.63.129.16 manzilidagi Azure platformasi DNS faqat VNet ichidan javob beradi, shuning uchun tashqaridagi mijoz bu manzilni hal qiluvchi sifatida ishlata olmaydi.
Tekshiruv 4: tunnel orqasidagi xizmatni sinang
Sog‘lom tunnel va yopiq port mijoz tomondan bir xil ko‘rinadi. Mehmon firewall ini, so‘ng subnet yoki NIC dagi tarmoq xavfsizlik guruhini, so‘ng xizmat faqat loopback da emas, xususiy manzilda tinglayotganini tekshiring. Internetga qoida ochish o‘rniga mijoz hovuziga manba sifatida ruxsat bering va Azure Files ga SMB uchun xususiy endpoint yo‘li tunneldan o‘tishi kerakligini unutmang. Resurs IP bo‘yicha javob berib, nom bo‘yicha bermasa, shlyuzga tegmasdan tekshiruv 3 ga qayting.
Ish paytida bitta jadval qatlamlarni alohida tutadi:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Tekshiruv 5: eskalatsiyadan oldin profilni yozib qo‘ying
Tiketga shlyuz turini, tunnel turini, autentifikatsiya usulini va mijoz operatsion tizimini yozing. Sertifikatli IKEv2 profili va RADIUS profili turli sabablarga ko‘ra muvaffaqiyatsiz bo‘ladi, boshqa tunnel turi uchun qurilgan mijoz esa faqat shlyuz mos protokol taklif qilganda ulanadi.
Kichik jamoa uchun barqaror dizayn — bitta VNet, bitta DNS forwarder va hujjatlashtirilgan split-tunnel mijozi. Agar talab qat’iy ommaviy chiqish bo‘lsa, o‘zingiz boshqaradigan firewall da saytdan saytga tunnelni tugatib, internet trafigini o‘sha yerga yo‘naltiring, nuqtadan saytga shlyuzidan u hech qachon qurilmagan ishni so‘rash o‘rniga.