Site connection-lərdə nasazlıqları həll edin
Site-to-Site VPN-in ümumi problemlərini həll edin: rədd edilən yaratma və dəyişikliklər, istifadədə olan obyektlər, Active olmayan tunellər və keçməyən trafik.
Bu məqalədə Site-to-Site VPN ilə bağlı ümumi problemlər, onların səbəbləri və həlli yolları sadalanır. Platforma sorğunu rədd etdikdə konsol The request was refused başlığını platformanın mesajı ilə, ardınca isə (VALIDATION_FAILED) kimi kodla göstərir. Aşağıdakı mesajlar kodsuz verilir.
VPN regionda təklif olunmur
| Əlamət | Səbəb | Həll |
|---|---|---|
| Menyuda VPN bəndi yoxdur və ya VPN səhifəsində VPN-in regionda təklif olunmadığını yaxud əlçatan olmadığını bildirən bildiriş göstərilir | Layihənin (project) regionu Site-to-Site VPN xidmətini təklif etmir. | This project's region cannot be changed. To use it, open a project in a region that offers it. Anything you already have in other projects is unaffected. |
| “network/vpn is not available in region”, ardınca region | Eyni səbəb, sorğunu API rədd edir. | Site-to-Site VPN xidmətini təklif edən regiondakı layihədən istifadə edin. |
Obyektin yaradılması rədd edilir
Platforma sorğunu rədd etdikdə heç nə yaradılmır. Cədvəldə “sahənin altında” kimi qeyd olunan mesajlar nəsə göndərilməzdən əvvəl formada görünür.
| Mesaj | Səbəb | Həll |
|---|---|---|
| Marşrutlaşdırıcı (router) siyahısında No router with an external gateway | Layihədəki heç bir marşrutlaşdırıcının xarici şlüzü (external gateway) yoxdur. | Marşrutlaşdırıcıda xarici şlüz təyin edin. Xarici şlüzü təyin edin və ya silin bölməsinə baxın. |
| “the selected router has no external gateway; a VPN service can only terminate tunnels on a router that has one” | Marşrutlaşdırıcı xarici şlüzünü itirib və ya sorğuda xarici şlüzü olmayan marşrutlaşdırıcı göstərilib. | Xarici şlüzü olan marşrutlaşdırıcı seçin. |
| “a VPN site connection with this name already exists” və ya başqa tipli obyekt üçün eyni mesaj | Ad layihədəki eyni tipli obyekt tərəfindən, o cümlədən Error statusundakı obyekt tərəfindən tutulub. | Başqa ad daxil edin və ya köhnə obyekti silin. |
| 172.16.0.0/16 is listed twice — each subnet or CIDR can appear in a group only once., sahənin altında | Altşəbəkə (subnet) və ya CIDR qrupda iki dəfə göstərilib. | Təkrarlanan elementi silin. |
| “not a valid CIDR:”, ardınca element | Remote CIDRs sahəsindəki element etibarlı IP şəbəkəsi (network) deyil. | Hər uzaq şəbəkəni ünvan və prefiks uzunluğu kimi yazın, məsələn, 172.16.0.0/16. |
| Must be at least 8 characters., sahənin altında | Əvvəlcədən paylaşılan açar (pre-shared key) 8 simvoldan qısadır. | Daha uzun açar daxil edin. |
| “the selected local endpoint group is not provisioned yet; wait for it to become ready and try again” və ya başqa obyekt üçün eyni mesaj | Bağlantının istinad etdiyi obyektin yaradılması başa çatmayıb və ya uğursuz olub. | Obyekt Ready statusuna keçənə qədər gözləyin və yenidən cəhd edin. O, Error statusundadırsa, onu silin və yenidən yaradın. |
| Lokal son nöqtə qrupundakı (endpoint group) hər altşəbəkənin VPN xidmətinin (VPN service) marşrutlaşdırıcısına qoşulmalı olduğunu bildirən, “Not attached:” və altşəbəkə ID-ləri ilə bitən mesaj | Lokal son nöqtə qrupundakı altşəbəkə VPN xidmətinin işlədiyi marşrutlaşdırıcıya qoşulmayıb. | Altşəbəkəni həmin marşrutlaşdırıcıya qoşun və ya yalnız marşrutlaşdırıcının altşəbəkələrindən ibarət lokal son nöqtə qrupundan istifadə edin. |
| “dpdTimeout must be greater than dpdInterval” | Dead peer detection gözləmə müddəti (timeout) intervala bərabər və ya ondan kiçikdir. | İntervaldan böyük gözləmə müddəti daxil edin. |
| MTU-nun platformanın tenant şəbəkəsinin MTU-sunu aşmamalı olduğunu bildirən, mötərizədə rəqəm olan mesaj | MTU platformanın icazə verdiyindən böyükdür. | Həmin rəqəmi və ya daha kiçik rəqəm daxil edin. |
localId və ya peerId dəyərinin bu API vasitəsilə təyin edilə bilmədiyini bildirən mesaj | API sorğusu IKE kimliyini təyin edib. | Hər ikisini sorğuya daxil etməyin: kimliklər həmişə şlüzlərin (gateway) ünvanlarıdır. |
Addım-addım quraşdırma yarıda dayanıbsa, İcra yarıda dayanarsa bölməsinə baxın.
Dəyişiklik və ya silmə rədd edilir
| Mesaj və ya əlamət | Səbəb | Həll |
|---|---|---|
| This policy is referenced by 1 site connection, so the platform refuses every change to it. Delete the connections that use it, or create a new policy instead. | Site connection-lər siyasətdən (policy) istifadə edir. İstifadədə olan siyasəti dəyişmək, hətta adını dəyişmək belə olmaz. | Yeni siyasət yaradın, onun əsasında yeni site connection yaradın və köhnə bağlantını silin. |
| Delete əməliyyatı əlçatan deyil və Referenced by 1 site connection — while that is true the platform refuses to delete it, and refuses to change a policy. izahı göstərilir | Site connection-lər obyektə istinad edir. Saya Error statusundakı bağlantılar da daxildir. | Əvvəlcə həmin site connection-ləri silin. |
| “this VPN service cannot be deleted while 1 site connection(s) use it” və ya başqa obyekt üçün eyni mesaj, Blocked by 1 site connection: başlığı və bağlantılarla birlikdə | Site connection-lər obyektdən istifadə edir. | Delete those site connections first — the platform releases the object as soon as nothing references it. |
| “this VPN site connection is busy and cannot be updated yet” və ya başqa obyekt yaxud əməliyyat üçün eyni mesaj | Obyektin əvvəlki əməliyyatı hələ davam edir. | Onun statusu artıq gözləmə vəziyyətində olmayana qədər gözləyin və yenidən cəhd edin. |
ikePolicyId və ya localEndpointGroupId kimi sahənin bağlantı yaradıldıqdan sonra dəyişdirilə bilmədiyini bildirən mesaj | API sorğusu yaradılarkən sabitlənən sahəni dəyişməyə cəhd edib. | İstədiyiniz obyektlərlə yeni site connection yaradın və köhnəsini silin. |
| “Your role is read-only — ask an owner to grant write access.” | Rolunuz, məsələn, Reader rolu, dəyişikliklərə icazə vermir. | Owner və ya Contributor rolunu, yaxud Networking üzrə Manage girişi olan fərdi rolu (custom role) istəyin. |
Obyektləri dəyişmək və silmək addımları üçün VPN obyektlərini redaktə edin, qeyri-aktiv edin və silin səhifəsinə baxın.
Tunel əməliyyatı əlçatan deyil
| Əməliyyatdakı izah | Səbəb | Həll |
|---|---|---|
| Already enabled — there is nothing to enable. | Bağlantı aktivləşdirilib. | Heç nə etmək lazım deyil. |
| Already disabled — there is nothing to disable. | Bağlantı qeyri-aktiv edilib. | Tuneli bərpa etmək üçün Enable düyməsini seçin. |
| The connection is disabled, so there is no tunnel to restart. | Bağlantı qeyri-aktiv edilib. | Enable düyməsini seçin; aktivləşdirmə zamanı tunel üçün danışıqlar yenidən aparılır. |
| İzah yoxdur və əməliyyat əlçatan deyil | Bağlantının son əməliyyatı hələ davam edir. | Onun təchizat statusu (provisioning status) artıq gözləmə vəziyyətində olmayana qədər gözləyin. |
Hər əməliyyatın nə etdiyini öyrənmək üçün Tuneli qeyri-aktiv edin, aktivləşdirin və ya yenidən başladın bölməsinə baxın.
Tunelin statusu Active deyil
Təchizat statusu Error kimi göstərilirsə, Bağlantı Error statusu göstərir bölməsinə baxın. Əks halda, Not reported yet və ya gözləmə vəziyyətindəki tunel statusu provayderin hələ sabit status bildirmədiyini göstərir. Platforma statusu müntəzəm intervallarla provayderdən oxuyur; Refresh düyməsi yalnız platformanın qeydini yenidən yükləyir. Gözləyin və yenidən yoxlayın.
Uzaq qurğunun hər parametrini site connection, onun siyasətləri və son nöqtə qrupları ilə müqayisə edin: şlüz ünvanları, əvvəlcədən paylaşılan açar, IKE versiyası və 1-ci mərhələ rejimi, alqoritmlər, PFS qrupları, ömür müddətləri və hər iki tərəfdəki şəbəkələr. Qarşı tərəfin qurğusunu konfiqurasiya edin bölməsinə baxın.
Initiator sahəsinin dəyəri response-only olarsa, danışıqları uzaq qurğu başlatmalıdır.
Uzaq qurğuda parametri düzəltdikdən sonra bağlantının səhifəsində Restart düyməsini seçin. The tunnel is dropped and renegotiated. Traffic to the peer network stops until the new security association comes up.
Platforma tərəfində parametri düzəltmək üçün Site connection-i dəyişin bölməsinə baxın. Bağlantı siyasətlərdən istifadə etdiyi müddətdə onları dəyişmək olmaz; bunun əvəzinə yeni siyasət və yeni bağlantı yaradın. Təkrar istifadə və dəyişikliklər bölməsinə baxın.
Bağlantı Error statusu göstərir
| Səhifədə nə göstərilir | Səbəb | Həll |
|---|---|---|
| Provayderin öz mesajı ilə What the provider reported bölməsi | Son yaratma, dəyişmə və ya silmə provayderdə uğursuz olub. | Mesajda göstərilən səbəbi aradan qaldırın. Yaratma uğursuz olubsa, bağlantını silin və yenisini yaradın. |
| “neutron reported the connection ERROR at import” mesajı ilə What the provider reported bölməsi | Provayder bağlantının xəta vəziyyətində olduğunu bildirir. | Hər iki tərəfdəki parametrləri yoxlayın və Restart düyməsini seçin. Xəta qalırsa, bağlantını silin və yenidən yaradın. |
| Operation cancelled — leftover resources may remain | Yaratma başladıqdan sonra ləğv edilib. | Clean up düyməsini seçin. |
Tunel Active statusundadır, lakin trafik keçmir
| Əlamət | Səbəb | Həll |
|---|---|---|
| Eyni qarşı tərəfin şlüzünə (peer gateway) ikinci site connection status göstərir, lakin heç nə daşımır. | Eyni iki şlüz arasındakı iki bağlantı bir IKE seansını paylaşır və ikincinin tuneli rədd edilir. | Həmin qarşı tərəfə (peer) bağlantıları silin və lokal son nöqtə qrupunda qarşı tərəfə çatmalı olan bütün altşəbəkələr olan bir bağlantı yaradın. |
| Altşəbəkələrinizdən birindən gələn trafik uzaq şəbəkəyə çatmır. | Altşəbəkə bağlantının lokal son nöqtə qrupunda deyil. Son nöqtə qruplarını dəyişmək olmaz. | Bağlantını silin və bütün altşəbəkələrin olduğu lokal son nöqtə qrupu əsasında yenisini yaradın. |
| Kiçik paketlər keçir, böyük paketlər isə uğursuz olur. | ESP hər paketə başlıq, quyruq hissəsi və autentifikasiya məlumatları əlavə edir, buna görə tunelə sığan paketlər onun MTU-sundan kiçik olur. Həddindən artıq böyük paket xəta ilə uğursuz olur. | İş yüklərinin MTU-sunu azaldın və ya onların TCP MSS dəyərini məhdudlaşdırın. |
| Uzaq şəbəkədən gələn trafik serverlərinizə çatmır. | Təhlükəsizlik qrupları (security group) serverlərinizə gələn trafiki süzgəcdən keçirir. | Serverlərin təhlükəsizlik qruplarının uzaq CIDR-lərdən gələn trafikə icazə verdiyini yoxlayın. Security Groups səhifəsinə baxın. |