Rozwiązywanie problemów z łączeniem równorzędnych sieci wirtualnych

Podsumowanie

Ten przewodnik rozwiązywania problemów zawiera kroki pomagające rozwiązać większość problemów z peeringiem sieci wirtualnych.

Konfigurowanie połączenia równorzędnego między dwiema sieciami wirtualnymi

Czy sieci wirtualne znajdują się w tej samej subskrypcji, czy w różnych subskrypcjach?

Sieci wirtualne znajdują się w tej samej subskrypcji

Aby skonfigurować peering sieci wirtualnych dla sieci wirtualnych, które znajdują się w tej samej subskrypcji, skorzystaj z metod opisanych w poniższych artykułach:

• Jeśli sieci wirtualne znajdują się w tym samym regionie, zobacz artykuł Tworzenie połączenia równorzędnego.
• Jeśli sieci wirtualne znajdują się w różnych regionach, zobacz Peering sieci wirtualnych.

Sieci wirtualne znajdują się w różnych subskrypcjach lub dzierżawach Microsoft Entra

Aby skonfigurować komunikację równorzędną sieci wirtualnych dla sieci wirtualnych w różnych subskrypcjach lub dzierżawach firmy Microsoft Entra, zobacz Tworzenie komunikacji równorzędnej sieci wirtualnych między różnymi subskrypcjami.

Konfigurowanie komunikacji równorzędnej sieci wirtualnych z topologią piasty i szprych, która korzysta z zasobów lokalnych

W przypadku połączenia typu lokacja-lokacja lub połączenia usługi ExpressRoute

Wykonaj kroki opisane w temacie Konfigurowanie przesyłania bramy sieci VPN dla komunikacji równorzędnej sieci wirtualnych.

W przypadku połączeń typu punkt-lokacja

1. Wykonaj kroki opisane w Konfigurowanie przesyłu bramy VPN dla rówieśniczenia sieci wirtualnych.
2. Po ustanowieniu lub zmianie komunikacji równorzędnej sieci wirtualnej, pobierz i ponownie zainstaluj pakiet punkt-do-sieci, aby klienci punkt-do-sieci otrzymali zaktualizowane trasy do sieci wirtualnej typu szprychy.

Konfigurowanie peeringu sieci wirtualnych za pomocą sieci wirtualnej o topologii gwiazdy typu hub-spoke.

Sieci wirtualne znajdują się w tym samym regionie

1. W sieci wirtualnej koncentratora skonfiguruj wirtualne urządzenie sieciowe (WUS).
2. W sieciach wirtualnych szprych zastosuj trasy zdefiniowane przez użytkownika za pomocą wirtualnego urządzenia sieciowego typu następnego przeskoku.

Aby uzyskać więcej informacji, zobacz Łańcuch usług.

Aby uzyskać pomoc dotyczącą rozwiązywania problemów z konfiguracją i routingiem urządzenia NVA, zobacz Problemy z wirtualnym urządzeniem sieciowym na platformie Azure.

Sieci wirtualne znajdują się w różnych regionach

Tranzyt przez globalną komunikację równorzędną sieci wirtualnych jest teraz obsługiwany.

Rozwiązywanie problemów z połączeniem między dwiema równorzędnymi sieciami wirtualnymi

Zaloguj się do portalu Azure przy użyciu konta, które ma niezbędne role i uprawnienia. Wybierz sieć wirtualną, wybierz pozycję Peering, a następnie sprawdź pole Stan. Jaki jest stan?

Stan komunikacji równorzędnej to Połączono

Aby rozwiązać ten problem:

1. Sprawdź przepływy ruchu sieciowego:

   Użyj Rozwiązywania problemów z połączeniami i Weryfikacji przepływu IP ze źródłowej maszyny wirtualnej do docelowej maszyny wirtualnej w celu określenia, czy istnieje NSG lub UDR, które powodują interferencję w przepływach ruchu.

   Jeśli używasz zapory sieciowej lub urządzenia NVA:

   1. Udokumentuj parametry UDR, aby móc je przywrócić po zakończeniu tego kroku.
   2. Usuń trasę zdefiniowaną przez użytkownika z podsieci źródłowej maszyny wirtualnej lub karty sieciowej, która wskazuje NVA jako następny przeskok. Sprawdź łączność ze źródłowej maszyny wirtualnej bezpośrednio do miejsca docelowego, pomijając NVA. Jeśli ten krok nie zadziała, sprawdź narzędzie do rozwiązywania problemów NVA.

2. Śledzenie sieci:

   1. Uruchom śledzenie sieci na docelowej maszynie wirtualnej. W przypadku Windows można użyć Netsh. W przypadku systemu Linux użyj protokołu TCPDump.

   2. Uruchom TcpPing lub PsPing ze źródła do docelowego adresu IP.

      To polecenie jest przykładem polecenia TcpPing : tcping64.exe -t <destination VM address> 3389

   3. Po zakończeniu TcpPing zatrzymaj śledzenie sieci na urządzeniu docelowym.

   4. Jeśli pakiety docierają ze źródła, nie ma problemu z siecią. Sprawdź zarówno zaporę maszyny wirtualnej (VM), jak i aplikację nasłuchującą na tym porcie, aby zlokalizować problem z konfiguracją.

Stan komunikacji równorzędnej to Rozłączono

Stan rozłączonej komunikacji równorzędnej oznacza, że jeden z dwóch łączy komunikacji równorzędnej jest usuwany. Ruch nie może przepływać między sieciami wirtualnymi, dopóki połączenie równorzędne nie zostanie ponownie nawiązane.

Typowe przyczyny

• Usuwanie ręczne: Usunąłeś link peeringu z jednej strony, ale nie z drugiej. Po usunięciu jednego linku pozostałe łącze przechodzi do rozłączonego.
• Zmiany przestrzeni adresowej: zmodyfikowano przestrzeń adresową równorzędnej sieci wirtualnej, ale nie zsynchronizowano połączenia równorzędnego. Ta zmiana może spowodować, że peering przejdzie w stan Rozłączony. Aby uzyskać informacje na temat synchronizacji po zmianach przestrzeni adresowej, zobacz Aktualizowanie przestrzeni adresowej dla równorzędnej sieci wirtualnej.
• Zmiany subskrypcji lub dzierżawy: sieć wirtualna została przeniesiona do innej subskrypcji lub dzierżawy. Ta zmiana może przerwać istniejące połączenia peeringowe.
• Wymuszanie zasad Azure Policy: Azure Policy ogranicza konfiguracje peeringowe lub sieciowe. Ta zasada może spowodować usunięcie lub zablokowanie połączenia peeringowego.

Diagnostyka stanów asymetrycznego peeringu

Stan komunikacji równorzędnej może stać się asymetryczny między dwiema sieciami wirtualnymi. Na przykład po jednej stronie jest wyświetlana opcja Połączono, a druga — Zainicjowano lub Rozłączono. Aby sprawdzić stan połączeń peeringowych po obu stronach:

1. W portalu Azure, przejdź do każdej sieci wirtualnej i wybierz pozycję Peering.

2. Porównaj pole Stan dla peeringu po obu stronach połączenia.

3. Aby sprawdzić użycie interfejsu wiersza polecenia platformy Azure, uruchom następujące polecenie dla każdej sieci wirtualnej:

   az network vnet peering show --resource-group <resource-group> --vnet-name <vnet-name> --name <peering-name> --query peeringState
   

Możliwe stany komunikacji równorzędnej to:

Resolution

1. Usuń pozostały link peeringowy z obu sieci wirtualnych. W portalu Azure przejdź do każdej sieci wirtualnej, wybierz opcję Peering i usuń wpis peeringu.

   Aby usunąć przy użyciu interfejsu wiersza polecenia platformy Azure:

   az network vnet peering delete --resource-group <resource-group> --vnet-name <vnet-name> --name <peering-name>
   

2. Utwórz ponownie peering pomiędzy obiema sieciami wirtualnymi. Upewnij się, że skonfigurowano prawidłowe ustawienia Zezwól na przesyłanie ruchu, Zezwalaj na tranzyt bram, i Używaj zdalnych bram po każdej stronie.

3. Sprawdź, czy po ponownym utworzeniu połączenie równorzędne ma status Połączono po obu stronach.

Rozwiązywanie problemów z łącznością między siecią wirtualną w modelu gwiazdy a zasobami lokalnymi

Czy Twoja sieć korzysta z urządzenia NVA innej firmy lub bramy sieci VPN?

Moja sieć używa zewnętrznego urządzenia NVA lub bramy sieci VPN

Aby rozwiązać problemy z łącznością, które mają wpływ na urządzenie NVA innej firmy lub bramę sieci VPN, zapoznaj się z następującymi artykułami:

• NVA troubleshooter
• Łączenie usług

Moja sieć nie korzysta z NVA innej firmy ani bramy VPN.

Czy sieć wirtualna typu hub i sieć wirtualna typu spoke mają bramę VPN?

Zarówno sieć wirtualna centralna, jak i sieć wirtualna obwodowa mają bramę VPN.

Używanie bramy zdalnej nie jest obsługiwane.

Jeśli sieć wirtualna szprychy ma już bramę sieci VPN, opcja Użyj bramy zdalnej nie jest obsługiwana w sieci wirtualnej szprychy. To ograniczenie istnieje z powodu peeringu sieci wirtualnej.

Zarówno sieć wirtualna hubu, jak i sieć wirtualna szprychy nie mają bramy VPN

W przypadku połączeń typu lokacja-lokacja lub usługi Azure ExpressRoute sprawdź następujące główne przyczyny problemów z łącznością ze zdalną siecią wirtualną ze środowiska lokalnego:

• W sieci wirtualnej, która ma bramę, sprawdź, czy pole wyboru Zezwalaj na przekazywanie ruchu jest zaznaczone.
• W sieci wirtualnej, która nie ma bramy, sprawdź, czy zaznaczono pole wyboru Użyj bramy zdalnej .
• Administrator sieci musi sprawdzić urządzenia lokalne, aby sprawdzić, czy wszystkie mają dodaną zdalną przestrzeń adresową sieci wirtualnej.

W przypadku połączeń typu punkt-lokacja:

• W sieci wirtualnej, która ma bramę, sprawdź, czy pole wyboru Zezwalaj na przekazywanie ruchu jest zaznaczone.
• W sieci wirtualnej, która nie ma bramy, sprawdź, czy zaznaczono pole wyboru Użyj bramy zdalnej .
• Pobierz i ponownie zainstaluj pakiet klienta typu punkt-lokacja. Trasy sieci wirtualnej, które są nowo połączone równorzędnie, nie dodają automatycznie tras do klientów połączenia punkt-lokacja.

Rozwiązywanie problemów z błędami synchronizacji peeringu

Podczas modyfikowania przestrzeni adresowej sieci wirtualnej w stanie równorzędnym należy zsynchronizować komunikację peeringową dla każdej zdalnej sieci wirtualnej w stanie równorzędnym, aby uwzględnić zmiany. Jeśli nie wykonasz synchronizacji, ruch może nie być prawidłowo kierowany między równorzędnymi sieciami wirtualnymi.

Zweryfikuj stan peeringu po obu stronach

1. W portalu Azure, przejdź do każdej sieci wirtualnej i wybierz Peering. Sprawdź, czy w obszarze Stan jest wyświetlana wartość Połączono dla obu stron.

2. Aby sprawdzić stan peeringu i prefiksy adresów, użyj Azure CLI.

   az network vnet peering show \
     --resource-group <resource-group> \
     --vnet-name <vnet-name> \
     --name <peering-name> \
     --query "{state:peeringState, remoteAddressSpace:remoteAddressSpace.addressPrefixes}"
   

3. Aby sprawdzić stan peeringu i prefiksy adresów, użyj Azure PowerShell.

   Get-AzVirtualNetworkPeering -ResourceGroupName <resource-group> -VirtualNetworkName <vnet-name> | Select-Object Name, PeeringState, RemoteVirtualNetworkAddressSpace
   

Typowe problemy z synchronizacją

Synchronizuj peering po zmianie przestrzeni adresowej

Po dodaniu, zmodyfikowaniu lub usunięciu zakresów adresów w równorzędnej sieci wirtualnej, zsynchronizuj peering.

1. W witrynie Azure Portal przejdź do sieci wirtualnej, w której zmieniono przestrzeń adresową.
2. Wybierz pozycję Peering, a następnie zaznacz pole wyboru dla połączenia peering.
3. Wybierz pozycję Synchronizuj.
4. Powtórz dla każdej zdalnej równorzędnej sieci wirtualnej.

Aby przeprowadzić synchronizację przy użyciu interfejsu wiersza polecenia platformy Azure:

az network vnet peering sync --resource-group <resource-group> --vnet-name <vnet-name> --name <peering-name>

Rozwiązywanie konfliktów tabel tras w równorzędnych sieciach wirtualnych

Trasy zdefiniowane przez użytkownika (UDR) mogą zastąpić domyślne trasy systemowe tworzone przez platformę Azure dla równorzędnych sieci wirtualnych. To zastąpienie może powodować routing asymetryczny lub porzucony ruch w topologii piasty i szprych.

Jak trasy przekazywania współdziałają z trasami peeringowymi

Podczas tworzenia komunikacji równorzędnej sieci wirtualnej platforma Azure automatycznie dodaje trasy systemowe z typem następnego przeskoku Komunikacja równorzędna sieci wirtualnych dla każdej przestrzeni adresowej w równorzędnej sieci wirtualnej. Jeśli trasa zdefiniowana przez użytkownika w tabeli tras ma ten sam prefiks adresu co trasa równorzędna, trasa zdefiniowana przez użytkownika ma pierwszeństwo i zastępuje trasę systemową równorzędną. To zachowanie może spowodować, że ruch zostanie skierowany do urządzenia NVF lub odrzucony, zamiast płynąć bezpośrednio do równorzędnej sieci wirtualnej.

Aby uzyskać więcej informacji na temat priorytetu wyboru trasy, zobacz How Azure selects a route (Jak platforma Azure wybiera trasę).

Diagnozowanie routingu asymetrycznego w topologii piasty i szprych.

W topologiach piasta-szprycha, gdzie urządzenie NVA w piastce analizuje ruch, zazwyczaj używasz UDR w podsieciach szprych do kierowania ruchu przez urządzenie NVA. Jeśli ścieżka powrotna z miejsca docelowego nie przebiega tą samą trasą przez NVA, tworzy to trasę asymetryczną, co może powodować błędy połączeń.

Aby zdiagnozować routing asymetryczny:

1. Sprawdź obowiązujące trasy w interfejsie sieciowym maszyny wirtualnej w podsieci szprych: a. W witrynie Azure Portal przejdź do maszyny wirtualnej, wybierz pozycję Sieć, wybierz interfejs sieciowy, a następnie wybierz pozycję Obowiązujące trasy. b. Wyszukaj trasy, które mają typ następnego przeskoku równorzędne połączenie sieci wirtualnych, i porównaj je z dowolnymi wpisami zdefiniowanymi przez użytkownika, które mogą je nadpisać.

2. Użyj interfejsu wiersza polecenia platformy Azure, aby wyświetlić obowiązujące trasy:

   az network nic show-effective-route-table --resource-group <resource-group> --name <nic-name> --output table
   

3. Sprawdź, czy trasy zdefiniowane przez użytkownika (UDR) w podsieciach źródłowych i docelowych tworzą ścieżkę symetryczną za pośrednictwem NVA. Jeśli urządzenie NVA widzi ruch tylko w jednym kierunku, stanowa zapora może odrzucić ruch powrotny.

Typowe scenariusze konfliktów tablicy routingu

Rozwiązywanie problemów z nakładaniem się przestrzeni adresowych w równorzędnych sieciach wirtualnych

Platforma Azure nie zezwala na peering sieci wirtualnych między dwiema sieciami wirtualnymi, które mają nakładające się przestrzenie adresowe. Jeśli spróbujesz utworzyć połączenie równorzędne z nakładającymi się zakresami CIDR (Classless Inter-Domain Routing), operacja zakończy się niepowodzeniem.

Typowe komunikaty o błędach

Podczas próby utworzenia peeringu z nakładającymi się przestrzeniami adresowymi mogą wystąpić błędy, na przykład następujące komunikaty:

• Przestrzeń adresowa <> sieci wirtualnej nakłada się na przestrzeń adresową już równorzędnej sieci wirtualnej.
• Nie można utworzyć ani zaktualizować peeringu, ponieważ przestrzenie adresowe sieci wirtualnych nakładają się.

Identyfikowanie nakładających się zakresów CIDR

Aby zidentyfikować nakładające się przestrzenie adresowe:

1. W witrynie Azure Portal przejdź do każdej sieci wirtualnej i wybierz pozycję Przestrzeń adresowa w obszarze Ustawienia.

2. Porównaj zakresy adresów między dwiema sieciami wirtualnymi, aby znaleźć zakresy CIDR, które nakładają się.

3. Użyj interfejsu wiersza polecenia platformy Azure, aby wyświetlić listę przestrzeni adresowych:

   az network vnet show --resource-group <resource-group> --name <vnet-name> --query "addressSpace.addressPrefixes"
   

Dwa zakresy CIDR nakładają się, jeśli jakakolwiek część zakresów adresów IP przecina się. Na przykład 10.0.0.0/16 i 10.0.1.0/24 nakładają się na siebie, ponieważ 10.0.1.0/24 jest podzbiorem 10.0.0.0/16.

Resolution

Aby rozwiązać nakładające się przestrzenie adresowe, wybierz jedną z następujących metod:

• Zmień rozmiar jednej z sieci wirtualnych: usuń lub zmodyfikuj nakładający się zakres adresów, aby dwie sieci wirtualne nie współużytkują żadnych zakresów CIDR. Aby uzyskać więcej informacji, zobacz Zaktualizuj przestrzeń adresową dla połączonej sieci wirtualnej.

  Ważna

  Przed usunięciem zakresu adresów upewnij się, że w tym zakresie nie są wdrażane żadne podsieci ani zasoby.

• Użyj usługi Azure Virtual Network Manager: jeśli zarządzasz wieloma równorzędnymi sieciami wirtualnymi, użyj usługi Azure Virtual Network Manager z właściwością ustawioną ConnectedGroupAddressOverlap na Wartość Niedozwolone , aby zapobiec nakładaniu się przestrzeni adresowych w topologii siatki.

• Planowanie przestrzeni adresowych przed połączeniem równorzędnym: przed nawiązaniem połączenia równorzędnego, przejrzyj alokację adresów dla wszystkich sieci wirtualnych. Użyj scentralizowanego rozwiązania do zarządzania adresami IP (IPAM), aby uniknąć przyszłych konfliktów.

Diagnozowanie problemów z łącznością w sieci typu hub-and-spoke między sieciami wirtualnymi typu spoke w tym samym regionie

Sieć koncentratora musi zawierać NVA. Skonfiguruj trasy zdefiniowane przez użytkownika w odnogach, które mają wirtualny sprzęt sieciowy ustawiony jako następny przeskok, i włącz opcję Zezwalaj na ruch przekazywany w wirtualnej sieci koncentratora.

Aby uzyskać więcej informacji, zobacz Łańcuch usług i omów te wymagania z wybranym dostawcą urządzenia NVA.

Rozwiązywanie problemów z łącznością sieciową w topologii hub-spoke między sieciami wirtualnymi typu spoke w różnych regionach

Tranzyt przez globalną komunikację równorzędną sieci wirtualnych jest teraz obsługiwany.

Aby uzyskać więcej informacji, zobacz Różne topologie sieci VPN.

Rozwiązywanie problemów z łącznością w sieci typu hub and spoke między aplikacją internetową a wirtualną siecią szprych (spoke).

Aby rozwiązać ten problem:

1. Zaloguj się do portalu Azure.
2. W aplikacji internetowej wybierz pozycję Sieć , a następnie wybierz pozycję Integracja z siecią wirtualną.
3. Sprawdź, czy jest widoczna zdalna sieć wirtualna. Ręcznie wprowadź zdalną przestrzeń adresową sieci wirtualnej (Synchronizuj sieć i Dodaj trasy).

Aby uzyskać więcej informacji, zobacz następujące artykuły:

• Integrowanie aplikacji z siecią wirtualną Azure
• Informacje o routingu sieci VPN typu punkt-lokacja

Rozwiązywanie problemów z komunikatem o błędzie konfiguracji peeringu sieci wirtualnej

Bieżący tenant <TENANT ID> nie jest uprawniony do dostępu do połączonej subskrypcji

Aby rozwiązać ten problem, zobacz w Tworzenie peeringu sieci wirtualnej między różnymi subskrypcjami.

Nie połączono

Aby rozwiązać ten problem, usuń peering z obu sieci wirtualnych, a następnie utwórz je ponownie.

Nie można nawiązać połączenia równorzędnego z wirtualną siecią Databricks.

Aby rozwiązać ten problem, skonfiguruj peering sieci wirtualnych w usłudze Azure Databricks, a następnie określ docelową sieć wirtualną, używając identyfikatora zasobu. Aby uzyskać więcej informacji, zobacz Połącz sieć wirtualną usługi Databricks z zdalną siecią wirtualną.

Zdalna sieć wirtualna nie ma bramy

Ten problem występuje, gdy łączysz sieci wirtualne z różnych dzierżaw i później chcesz skonfigurować Use Remote Gateways. Portal Azure nie może sprawdzić, czy w sieci wirtualnej innego najemcy istnieje brama wirtualnej sieci.

Aby rozwiązać ten problem, możesz:

• Usuń komunikację równorzędną i wybierz opcję Use Remote Gateways podczas tworzenia nowej komunikacji równorzędnej.
• Użyj programu PowerShell lub interfejsu wiersza polecenia zamiast witryny Azure Portal, aby włączyć usługę Use Remote Gateways.

Dalsze kroki

• Rozwiązywanie problemów z łącznością między maszynami wirtualnymi Azure
• Omówienie usługi Network Watcher — używanie narzędzi do rozwiązywania problemów z połączeniem, weryfikacji przepływu adresów IP, kolejnego przeskoku i skutecznych tras w celu diagnozy problemów z łącznością peerów.