Устранение неполадок Бастион Azure

Сводка

Эта статья помогает диагностировать и устранять распространенные проблемы с Бастион Azure.

Ознакомьтесь с этими распространенными проблемами и решениями перед обращением в службу поддержки. Мы регулярно обновляем эту информацию по мере того, как новые решения становятся доступными.

Проблемы с развертыванием и конфигурацией

В этом разделе описываются распространенные проблемы развертывания и конфигурации и их решения.

Проблема Описание Резолюция
Ошибка добавления подсети При попытке использовать "Развернуть бастион" на портале возникает ошибка "Не удалось добавить подсеть". В настоящее время для большинства адресных пространств необходимо добавить подсеть с именем AzureBastionSubnet в виртуальную сеть перед выбором " Развернуть бастион".
Сбои развертывания Развертывание Бастион Azure завершается ошибкой. Проверьте все сообщения об ошибках и создайте запрос на поддержку на портале Azure при необходимости. Сбои развертывания могут возникнуть из-за ограничений подписки Azure, квот и других ограничивающих факторов. В частности, клиенты могут столкнуться с ограничением на количество общедоступных IP-адресов, разрешенных для каждой подписки, что приводит к сбою развертывания Бастион Azure.
Перемещение виртуальной сети в другую группу ресурсов Вы хотите переместить виртуальную сеть в другую группу ресурсов. Перемещение виртуальной сети с использованием Bastion не поддерживается напрямую. Сначала необходимо удалить Бастион из виртуальной сети, а затем переместить виртуальную сеть в новую группу ресурсов. После того как виртуальная сеть перемещена в новую группу ресурсов, вы можете развернуть Bastion в виртуальной сети.
Принудительное туннелирование интернет-трафика Вы рекламизируете маршрут по умолчанию (0.0.0.0/0) через ExpressRoute или VPN. Принудительное туннелирование с помощью Бастион Azure не поддерживается, если вы рекламизируете маршрут по умолчанию через ExpressRoute или VPN. Бастион Azure необходимо взаимодействовать с определенными внутренними конечными узлами. Убедитесь, что виртуальная сеть узла не связана с частной зоной DNS с такими точными именами: management.azure.com, blob.core.windows.NET, core.windows.NET, vaultcore.windows.NET, vault.azure.NET или azure.com. Вы можете использовать частные зоны DNS, заканчивающиеся на эти имена (например, privatelink.blob.core.windows.NET). Бастион Azure не поддерживается с зонами Azure Частная зона DNS в национальных облаках.

Проблемы с обновлением номера SKU

В этом разделе описываются распространенные проблемы при обновлении SKU Бастион Azure и их устранение. Инструкции по обновлению см. в разделе Просмотр или обновление SKU Бастион Azure.

Проблема Описание Резолюция
Обновление не запускается При попытке обновить SKU Бастиона операция завершается сбоем сразу. Убедитесь, что у вас есть роль Участника или Владельца в группе ресурсов, содержащей Bastion host.
Сбой обновления с ошибкой подсети Обновление с SKU разработчика завершается ошибкой, связанной с подсетью. Создайте подсеть с именем AzureBastionSubnet с префиксом /26 или более крупным префиксом перед обновлением. SKU разработчика использует общую инфраструктуру, в то время как для базовой, стандартной и премиум требуется выделенная подсеть.
Время выполнения обновления истекло Операция обновления длится дольше, чем ожидалось, или истекает по времени. Процесс обновления обычно занимает около 10 минут. Подождите несколько минут и проверьте состояние хоста Бастиона в его портале. Если состояние показывает "обновление", подождите, пока оно не завершится. Если статус отображается как "неудача", повторите попытку обновления.
Функции, недоступные после обновления После обновления ожидаемые функции недоступны. Компоненты должны быть явно включены после обновления. Перейдите к узлу Бастиона, выберите "Конфигурация" и включите необходимые функции, доступные для нового уровня SKU.

В этом разделе описываются распространенные проблемы DNS и Приватный канал и их решения.

Проблема Описание Резолюция
privatelink.azure.com не удается преобразовать в management.privatelink.azure.com Разрешение DNS завершается ошибкой для management.privatelink.azure.com в зоне privatelink.azure.com. Эта проблема может возникать, когда частная зона DNS для privatelink.azure.com связана с виртуальной сетью Бастиона, что приводит к разрешению management.azure.com CNAMEs в management.privatelink.azure.com. Чтобы устранить эту проблему, создайте запись CNAME в зоне privatelink.azure.com для management.privatelink.azure.com arm-frontdoor-prod.trafficmanager.NET.

Проблемы с конфигурацией группы безопасности сети (NSG)

В этом разделе описываются распространенные проблемы конфигурации NSG и их решения.

Проблема Описание Резолюция
Не удалось создать группу безопасности сети (NSG) в AzureBastionSubnet При попытке создать группу безопасности сети в подсети Бастион Azure вы получите следующую ошибку: 'Группа безопасности сети <NSG name> не имеет необходимых правил для Бастион Azure Подсети AzureBastionSubnet". Если вы создаете и применяете группу безопасности сети к AzureBastionSubnet, добавьте необходимые правила в группу безопасности сети. Для списка требуемых правил см. раздел Работа с доступом NSG и Бастион Azure. Если вы не добавите эти правила, создание или обновление группы безопасности сети не удастся.

Пример правил NSG см. в шаблоне быстрого запуска. Дополнительные сведения см. в руководстве NSG для Бастион Azure.

Проблемы аутентификации

В этом разделе описываются распространенные проблемы проверки подлинности и их решения.

Проблема Описание Резолюция
Не удается использовать ключ SSH с Бастион Azure При попытке просмотреть файл ключа SSH вы получите следующую ошибку: "Закрытый ключ SSH должен начинаться с -----BEGIN RSA/DSA/OPENSH PRIVATE KEY----- и заканчивается -----END RSA/DSA/OPENSH PRIVATE KEY-----". Бастион Azure в настоящее время поддерживает закрытые ключи RSA, DSA и OPENSH. Убедитесь, что вы просматриваете файл ключа, который является закрытым ключом RSA, DSA или OPENSH для SSH, с открытым ключом, подготовленным на целевой виртуальной машине.

Например, для создания нового ключа RSA SSH можно использовать следующую команду:

ssh-keygen -t rsa -b 4096 -C "email@domain.com"

Пример выходных данных см. в примере создания ключей SSH.
Не удалось войти в виртуальную машину, присоединенную к домену Windows Не удается подключиться к виртуальной машине Windows, присоединенной к домену. Бастион Azure поддерживает вход в виртуальные машины, присоединённые к домену, только для доменного входа на основе имени пользователя и пароля. При указании учетных данных домена на портале Azure используйте формат имени участника-пользователя (username@domain) вместо domain\username для входа. Это поддерживается для виртуальных машин, присоединенных к домену или гибридно присоединенных (как к домену, так и к Microsoft Entra). Поддержка отсутствует для виртуальных машин, которые подключены только к Microsoft Entra.

Пример создания ключей SSH

В следующем примере показаны выходные данные при создании нового ключа SSH RSA:

ashishj@dreamcatcher:~$ ssh-keygen -t rsa -b 4096 -C "email@domain.com"
Generating public/private rsa key pair.
Enter file in which to save the key (/home/ashishj/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/ashishj/.ssh/id_rsa.
Your public key has been saved in /home/ashishj/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:c+SBciKXnwceaNQ8Ms8C4h46BsNosYx+9d+AUxdazuE email@domain.com
The key's randomart image is:
+---[RSA 4096]----+
|      .o         |
| .. ..oo+. +     |
|=.o...B==.O o    |
|==o  =.*oO E     |
|++ .. ..S =      |
|oo..   + =       |
|...     o o      |
|         . .     |
|                 |
+----[SHA256]-----+

Проблемы с подключением

В этом разделе описываются распространенные проблемы с подключением и их решения.

Проблема Описание Резолюция
Не удается подключиться к виртуальной машине Вы не можете подключиться к виртуальной машине (и вы не столкнулись с другими проблемами, перечисленными в этой статье). Вы можете устранить проблемы с подключением, перейдя на вкладку Соединение устранение неполадок (в разделе Help) ресурса Бастион Azure на портале Azure. Наблюдатель за сетями для устранения неполадок подключения предоставляет возможность проверить прямое TCP-подключение из одной виртуальной машины на другую, заданное полное доменное имя (FQDN), URI или IPv4-адрес. Чтобы начать, выберите источник для запуска подключения и назначения, к которому вы хотите подключиться, и нажмите кнопку "Проверить". Дополнительные сведения см. в разделе "Устранение неполадок подключения".

Если включен JIT, может потребоваться добавить дополнительные назначения ролей для подключения к Бастиону. Добавьте разрешения, перечисленные в таблице разрешений JIT , пользователю, а затем попробуйте повторно подключиться к Бастиону. Дополнительные сведения см. в Включение JIT-доступа на виртуальных машинах.
Передача файлов не работает Передача файлов не работает должным образом с Бастион Azure. Бастион Azure поддерживает передачу файлов между целевой виртуальной машиной и локальным компьютером с помощью Бастиона и собственного клиента RDP или SSH. В настоящее время вы не можете отправлять или скачивать файлы с помощью PowerShell или на портале Azure. Дополнительные сведения см. в статье Отправка и скачивание файлов с помощью собственного клиента.
Черный экран на портале Azure При попытке подключиться с помощью Бастион Azure вы не можете подключиться к целевой виртуальной машине, и на портале Azure появится черный экран. Это происходит при возникновении проблемы с сетевым подключением между веб-браузером и Бастион Azure (брандмауэр интернета клиента может блокировать трафик WebSockets или аналогичный), либо между Бастион Azure и целевой виртуальной машиной. В большинстве случаев NSG применяется либо к AzureBastionSubnet, либо к целевой подсети виртуальной машины, которая блокирует трафик RDP/SSH в виртуальной сети. Разрешите трафик WebSockets на клиентском брандмауэре Интернета и проверьте группы безопасности сети в целевой подсети виртуальной машины. См. строку Не удалось подключиться к виртуальной машине в этой таблице, чтобы узнать, как использовать Устранение неполадок подключения для решения проблем с подключением.
Ошибка: сессия истекла Вы получите сообщение об ошибке "Срок действия сеанса истекло" перед началом сеанса Бастиона. Если вы перешли по URL-адресу непосредственно из другого сеанса браузера или вкладки, эта ошибка закономерна. Это помогает обеспечить более безопасный доступ к сеансу и доступ к нему можно только через портал Azure. Войдите на портал Azure и снова начните сеанс.

Разрешения JIT

В следующей таблице перечислены разрешения, необходимые для доступа just-in-time (JIT):

Setting Описание
Майкрософт. Security/locations/jitNetworkAccessPolicies/read Возвращает политики доступа к сети с функцией Just-In-Time (JIT).
Майкрософт. Security/locations/jitNetworkAccessPolicies/write Создает новую политику JIT-доступа к сети или обновляет существующую.

В этом разделе описываются распространенные проблемы с общими ссылками и их решения.

Проблема Описание Резолюция
Пользовательские домены не поддерживаются Пользовательские домены не поддерживаются с общими ссылками Bastion. Пользовательские домены не поддерживаются с общими ссылками Bastion. Пользователи получают ошибку сертификата при попытке добавить определенные домены в CN/SAN сертификата узла Бастиона. Это текущее ограничение.
Сброс пароля недоступен для пользователей, использующих общие ссылки Кнопка сброса пароля отображается, но не работает для локальных пользователей, подключающихся через общую ссылку. Некоторые организации имеют политики компании, требующие сброса пароля при первом входе пользователя в локальную учетную запись. При использовании общих ссылок вы не можете изменить пароль, даже если может появиться кнопка "Сброс пароля". Это известное ограничение.

Проблемы пиринга между виртуальными сетями

В этом разделе описываются распространенные проблемы пиринга между виртуальными сетями и их решения.

Проблема Описание Резолюция
Не удается просмотреть виртуальную машину в одноранговой виртуальной сети У вас есть доступ к одноранговой виртуальной сети, но вы не видите развернутую там виртуальную машину. Убедитесь, что у вас есть доступ на чтение как к виртуальной машине, так и к одноранговой виртуальной сети. Кроме того, проверьте в IAM, есть ли у вас доступ на чтение к следующим ресурсам:

* Роль читателя на виртуальной машине
* Роль читателя в сетевом адаптере с частным IP-адресом виртуальной машины
* Роль читателя в ресурсе Бастион Azure
* Роль читателя в виртуальной сети (не требуется, если нет пиринговой виртуальной сети)

Полный список необходимых разрешений см. в таблице разрешений пиринга виртуальной сети.

Разрешения пиринга виртуальной сети

В следующей таблице перечислены разрешения, необходимые для доступа к виртуальным машинам в одноранговых виртуальных сетях:

Разрешения Описание Тип разрешения
Майкрософт. Network/bastionHosts/read Получение сервера-бастиона Действие
Майкрософт.Network/virtualNetworks/BastionHosts/action Получает ссылки на экземпляры Bastion Host в виртуальной сети. Действие
Майкрософт. Network/virtualNetworks/бастионHosts/default/action Получает ссылки на экземпляры Bastion Host в виртуальной сети. Действие
Майкрософт. Network/networkInterfaces/read Возвращает определение сетевого интерфейса. Действие
Майкрософт. Network/networkInterfaces/ipconfigurations/read Возвращает определение IP-конфигурации сетевого интерфейса. Действие
Майкрософт. Network/virtualNetworks/read Получите определение виртуальной сети. Действие
Майкрософт.Network/virtualNetworks/subnets/virtualMachines/read Возвращает ссылки на все виртуальные машины в подсети виртуальной сети. Действие
Майкрософт. Network/virtualNetworks/virtualMachines/read Возвращает ссылки на все виртуальные машины в виртуальной сети. Действие

Дальнейшие действия

  • Last updated on