Felsöka VPN-anslutningar via plats-till-platsTroubleshoot site-to-site VPN connections

Den här artikeln beskriver fel söknings steg som du kan vidta efter att du har konfigurerat en plats-till-plats-VPN-anslutning mellan ett lokalt nätverk och ett Azure Stack hubb virtuellt nätverk, och anslutningen plötsligt slutar fungera och inte går att ansluta igen.This article describes troubleshooting steps you can take after you configure a site-to-site (S2S) VPN connection between an on-premises network and an Azure Stack Hub virtual network, and the connection suddenly stops working and cannot be reconnected.

Om Azure Stack Hub-problemet inte åtgärdas i den här artikeln kan du gå till Azure Stack Hub MSDN-forumet.If your Azure Stack Hub issue is not addressed in this article, you can visit the Azure Stack Hub MSDN forum.

Du kan också skicka en support förfrågan för Azure.You also can submit an Azure support request. Se stöd för Azure Stack Hub.Please see Azure Stack Hub support.

Anteckning

Det går bara att skapa en plats-till-plats-VPN-anslutning mellan två Azure Stack hubb-distributioner.Only one site-to-site VPN connection can be created between two Azure Stack Hub deployments. Detta beror på en begränsning i plattformen som bara tillåter en enskild VPN-anslutning till samma IP-adress.This is due to a limitation in the platform that only allows a single VPN connection to the same IP address. Eftersom Azure Stack Hub använder en gateway för flera innehavare, som använder en enda offentlig IP-adress för alla VPN-gatewayer i Azure Stack Hub-systemet, kan det bara finnas en VPN-anslutning mellan två Azure Stack Hubbs system.Because Azure Stack Hub leverages the multi-tenant gateway, which uses a single public IP for all VPN gateways in the Azure Stack Hub system, there can be only one VPN connection between two Azure Stack Hub systems. Den här begränsningen gäller även för att ansluta mer än en VPN-anslutning från plats till plats till alla VPN-gatewayer som använder en enda IP-adress.This limitation also applies to connecting more than one site-to-site VPN connection to any VPN gateway that uses a single IP address. Azure Stack Hub tillåter inte att mer än en lokal nätverks-gateway-resurs skapas med samma IP-adress.Azure Stack Hub does not allow more than one local network gateway resource to be created using the same IP address.

Inledande felsökningsstegInitial troubleshooting steps

Standard parametrarna för Azure Stack Hub för IPsec/IKEV2 har ändrats från och med 1910 -versionen. kontakta din Azure Stack Hub-operatör om du vill ha mer information om build-versionen.The Azure Stack Hub default parameters for IPsec/IKEV2 have changed starting with the 1910 build Please contact your Azure Stack Hub operator for more information on the build version.

Viktigt

När du använder en S2S-tunnel inkapslas paketen ytterligare med ytterligare huvuden.When using an S2S tunnel, packets are further encapsulated with additional headers. Den här inkapslingen ökar paketets totala storlek.This encapsulation increases the overall size of the packet. I dessa fall måste du dessutom foga ihop TCP MSS1350.In these scenarios, you must clamp TCP MSS at 1350. Om VPN-enheterna inte stöder MSS-ihopfogning, kan du ange MTU för tunnel gränssnittet till 1400 byte i stället.If your VPN devices do not support MSS clamping, you can set the MTU on the tunnel interface to 1400 bytes instead. Mer information finns i virtuellt Network tcpip Performance fin justering.For more information, see Virutal Network TCPIP performance tuning.

  • Bekräfta att VPN-konfigurationen är Route-based (IKEv2).Confirm that the VPN configuration is route-based (IKEv2). Azure Stack Hub stöder inte principbaserade konfigurationer (IKEv1).Azure Stack Hub does not support policy-based (IKEv1) configurations.

  • Kontrol lera om du använder en verifierad VPN-enhet och operativ system version.Check whether you are using a validated VPN device and operating system version. Om enheten inte är en verifierad VPN-enhet kan du behöva kontakta enhets tillverkaren för att se om det finns något kompatibilitetsproblem.If the device is not a validated VPN device, you might have to contact the device manufacturer to see if there is a compatibility issue.

  • Kontrol lera att det inte finns några överlappande IP-intervall mellan Azure Stack hubb virtuellt nätverk och lokalt nätverk.Verify that there are no overlapping IP ranges between Azure Stack Hub virtual network and on-premises network. Detta kan orsaka anslutnings problem.This can cause connectivity issues.

  • Verifiera VPN peer IP-adresser:Verify the VPN peer IPs:

    • IP-definitionen i objektet lokal nätverksgateway i Azure Stack Hub måste matcha IP-adressen för den lokala enheten.The IP definition in the Local Network Gateway object in Azure Stack Hub should match the on-premises device IP.

    • Den Azure Stack Hubbs-gatewayens IP-definition som anges på den lokala enheten ska matcha IP för Azure Stack Hub-Gateway.The Azure Stack Hub gateway IP definition that is set on the on-premises device should match the Azure Stack Hub gateway IP.

Status "inte ansluten" – tillfälliga från kopplingarStatus "Not Connected" - intermittent disconnects

  • Jämför den delade nyckeln för den lokala VPN-enheten med VPN-AzSH för virtuella nätverk för att kontrol lera att nycklarna matchar.Compare the shared key for the on-premises VPN device to the AzSH virtual network VPN to make sure that the keys match. Använd någon av följande metoder för att visa den delade nyckeln för AzSH VPN-anslutningen:To view the shared key for the AzSH VPN connection, use one of the following methods:

    • Azure Stack hubb-klient portal: gå till VPN-gatewayens plats-till-plats-anslutning som du skapade.Azure Stack Hub tenant portal: Go to the VPN gateway site-to-site connection that you created. I avsnittet Inställningar väljer du delad nyckel.In the Settings section, select Shared key.

      VPN-anslutning

    • Azure PowerShell: Använd följande PowerShell-kommando:Azure PowerShell: Use the following PowerShell command:

Get-AzVirtualNetworkGatewayConnectionSharedKey -Name <Connection name> -ResourceGroupName <Resource group>

Status "ansluten" – trafik flödar inteStatus "Connected" - traffic not flowing

  • Sök efter och ta bort den användardefinierade dirigeringen (UDR) och nätverks säkerhets grupper (NSG: er) i Gateway-undernätet och testa sedan resultatet.Check for, and remove the user-defined routing (UDR) and network security groups (NSGs) on the gateway subnet, and then test the result. Om problemet är löst kontrollerar du inställningarna som UDR eller NSG tillämpas på.If the problem is resolved, validate the settings that UDR or NSG applied.

    En användardefinierad väg i Gateway-undernätet kan begränsa viss trafik och tillåta annan trafik.A user-defined route on the gateway subnet may be restricting some traffic and allowing other traffic. Detta gör att VPN-anslutningen inte är tillförlitlig för viss trafik och att andra kan användas.This makes it appear that the VPN connection is unreliable for some traffic, and good for others.

  • Kontrol lera den lokala VPN-enhetens externa gränssnitts adress.Check the on-premises VPN device external interface address.

    • Om VPN-enhetens IP-adress på Internet ingår i den lokala nätverks definitionen i Azure Stack hubb, kan det uppstå sporadiska från kopplingar.If the internet-facing IP address of the VPN device is included in the Local network definition in Azure Stack Hub, you might experience sporadic disconnections.

    • Enhetens externa gränssnitt måste vara direkt på Internet.The device's external interface must be directly on the internet. Det får inte finnas någon Network Address Translation eller brand vägg mellan Internet och enheten.There should be no network address translation or firewall between the internet and the device.

    • Om du vill konfigurera brand Väggs kluster att ha en virtuell IP-adress måste du bryta klustret och exponera VPN-installationen direkt till ett offentligt gränssnitt som gatewayen kan gränssnitts Visa.To configure firewall clustering to have a virtual IP, you must break the cluster and expose the VPN appliance directly to a public interface with which the gateway can interface.

  • Kontrol lera att undernät matchar exakt.Verify that the subnets match exactly.

    • Kontrol lera att adress utrymmena för det virtuella nätverket matchar exakt mellan Azure Stack hubbens virtuella nätverk och lokala definitioner.Verify that the virtual network address space(s) match exactly between the Azure Stack Hub virtual network and on-premises definitions.

    • Kontrol lera att under näten matchar exakt mellan den lokala Nätverksgatewayen och lokala definitioner för det lokala nätverket.Verify that the subnets match exactly between the Local Network Gateway and on-premises definitions for the on-premises network.

Skapa ett supportärendeCreate a support ticket

Om inget av stegen ovan löser problemet, skapar du ett support ärende och använder logg samlings verktyget på begäran för att tillhandahålla loggar.If none of the preceding steps resolve your issue, please create a support ticket and use the on demand log collection tool to provide logs.