Risolvere i problemi di connettività della rete

Questo articolo illustra come risolvere i problemi di connettività di rete usando Azure Migrate con endpoint privati.

Convalidare la configurazione degli endpoint privati

Assicurarsi che l'endpoint privato sia uno stato approvato.

1. Passare a Azure Migrate: pagina delle proprietà di Individuazione e valutazione e Migrazione e modernizzazione.

2. La pagina delle proprietà contiene l'elenco di endpoint privati e FQDN di collegamento privato creati automaticamente da Azure Migrate.

3. Selezionare l'endpoint privato da diagnosticare.
   a. Verificare che lo stato della connessione sia Approvato. b. Se la connessione si trova in uno stato In sospeso, è necessario ottenerla approvata. c. È anche possibile passare alla risorsa endpoint privato ed esaminare se la rete virtuale corrisponde alla rete virtuale dell'endpoint privato del progetto di migrazione.

   

Convalidare il flusso di dati attraverso gli endpoint privati

Esaminare le metriche del flusso di dati per verificare il flusso del traffico attraverso endpoint privati. Selezionare l'endpoint privato nella pagina Azure Migrate: pagina delle proprietà Valutazione server e Migrazione e modernizzazione. Verrà eseguito il reindirizzamento alla sezione panoramica dell'endpoint privato nel Centro collegamento privato di Azure. Nel menu a sinistra selezionare Metriche per visualizzare le informazioni Byte dati in e Byte dati out per visualizzare il flusso di traffico.

Verificare la risoluzione DNS

L'appliance locale (o il provider di replica) accederà alle risorse di Azure Migrate usando i nomi di dominio di collegamento privato completi (FQDN). Potrebbero essere necessarie impostazioni DNS aggiuntive per risolvere l'indirizzo IP privato degli endpoint privati dall'ambiente di origine. Vedere questo articolo per comprendere gli scenari di configurazione DNS che consentono di risolvere eventuali problemi di connettività di rete.

Per convalidare la connessione di collegamento privato, eseguire una risoluzione DNS degli endpoint delle risorse di Azure Migrate (FQDN risorsa collegamento privato) dal server locale che ospita l'appliance Migrate e assicurarsi che venga risolto in un indirizzo IP privato.

Per ottenere i dettagli dell'endpoint privato per verificare la risoluzione DNS:

1. I dettagli dell'endpoint privato e le informazioni sugli FQDN della risorsa collegamento privato sono disponibili nelle pagine delle proprietà individuazione e valutazione e modernizzazione. Selezionare Scarica impostazioni DNS per visualizzare l'elenco. Nota, di seguito sono elencati solo gli endpoint privati creati automaticamente da Azure Migrate.

   

2. Se è stato creato un endpoint privato per gli account di archiviazione per la replica in una rete privata, è possibile ottenere il nome di dominio completo e l'indirizzo IP del collegamento privato, come illustrato di seguito.

   • Passare a Account di archiviazione>Rete>Connessioni a endpoint privato e selezionare l'endpoint privato creato.

     

   • Passare a Impostazioni>Configurazione DNS per ottenere il nome di dominio completo dell'account di archiviazione e l'indirizzo IP privato.

     

Esempio illustrativo per la risoluzione DNS del nome di dominio completo del collegamento privato dell'account di archiviazione.

• Immettere nslookup <storage-account-name>_.blob.core.windows.net. Sostituisci <storage-account-name> con il nome dell'account di archiviazione usato per Azure Migrate.

  Verrà visualizzato un messaggio simile al seguente:

  

• Per il nome dell'account di archiviazione viene restituito l'indirizzo IP privato 10.1.0.5. Questo indirizzo appartiene alla subnet della rete virtuale dell'endpoint privato.

È possibile verificare la risoluzione DNS per altri artefatti di Azure Migrate usando un approccio simile.

Se la risoluzione DNS non è corretta, seguire questa procedura:

Consigliato: aggiornare manualmente i record DNS dell'ambiente di origine modificando il file host DNS nell'appliance locale con gli FQDN della risorsa collegamento privato e gli indirizzi IP privati associati.

• Se si usa un DNS personalizzato, esaminare le impostazioni DNS personalizzate e verificare che la configurazione DNS sia corretta. Per indicazioni, vedere Panoramica dell'endpoint privato: Configurazione DNS.
• Se si usano server DNS forniti da Azure, vedere la sezione seguente per altre informazioni sulla risoluzione dei problemi.

Convalidare la zona DNS privato

Se la risoluzione DNS non funziona come descritto nella sezione precedente, potrebbe essere presente un problema con la zona DNS privata.

Verificare che la risorsa Zona DNS privato richiesta esista

Per impostazione predefinita, Azure Migrate crea anche una zona DNS privata corrispondente al sottodominio privatelink per ogni tipo di risorsa. La zona DNS privata viene creata nello stesso gruppo di risorse di Azure del gruppo di risorse dell'endpoint privato. Il gruppo di risorse di Azure deve contenere risorse della zona DNS privato con il formato seguente:

• privatelink.vaultcore.azure.net per l'insieme di credenziali delle chiavi
• privatelink.blob.core.windows.net per l'account di archiviazione
• privatelink.siterecovery.windowsazure.com per l'insieme di credenziali dei servizi di ripristino (per le repliche basate su hyper-V e agente)
• privatelink.prod.migration.windowsazure.com: eseguire la migrazione del progetto, del progetto di valutazione e del sito di individuazione.

Azure Migrate crea automaticamente la zona DNS privata, ad eccezione dell'account di archiviazione cache/replica selezionato dall'utente. È possibile individuare la zona DNS privata collegata passando alla pagina dell'endpoint privato e selezionando configurazioni DNS. Qui dovrebbe essere visualizzata la zona DNS privata nella sezione integrazione DNS privata.

Se la zona DNS non è presente (come illustrato di seguito), creare una nuova risorsa zona DNS privata.

Verificare che la rete virtuale sia collegata alla Zona DNS privata sia collegata alla rete virtuale

La zona DNS privata deve essere collegata alla rete virtuale che contiene l'endpoint privato per la query DNS per risolvere l'indirizzo IP privato dell'endpoint della risorsa. Se la zona DNS privata non è collegata alla rete virtuale corretta, qualsiasi risoluzione DNS da tale rete virtuale ignorerà la zona DNS privata.

Passare alla risorsa zona DNS privata nel portale di Azure e selezionare Collegamenti di rete virtuale dal menu a sinistra. Verranno visualizzate le reti virtuali collegate.

Viene visualizzato un elenco di collegamenti, ognuno con il nome di una rete virtuale nella sottoscrizione. La rete virtuale che contiene la risorsa Endpoint privato deve essere elencata qui. In caso contrario, seguire questo articolo per collegare la zona DNS privata a una rete virtuale.

Dopo che la zona DNS privata è collegata alla rete virtuale, le richieste DNS provenienti dalla rete virtuale cercheranno i nomi nella zona DNS privata. Questa operazione è necessaria per la risoluzione degli indirizzi corretta nella rete virtuale in cui è stato creato l'endpoint privato.

Verificare che la zona DNS privata contenga i record A corretti

Passare alla zona DNS privata che si vuole risolvere i problemi. La pagina Panoramica mostra tutti i record DNS per la zona DNS privata. Verificare che esista un record DNS A per la risorsa. Il valore del record A (l'indirizzo IP) deve essere l'indirizzo IP privato delle risorse. Se si trova il record A con l'indirizzo IP errato, è necessario rimuovere l'indirizzo IP errato e aggiungerne uno nuovo. È consigliabile rimuovere l'intero record A e aggiungerne uno nuovo ed eseguire uno scaricamento DNS nell'appliance di origine locale.

Esempio illustrativo per il record A del DNS dell'account di archiviazione nella zona DNS privata:

Esempio illustrativo per i record A del DNS dell'insieme di credenziali di Servizi di ripristino nella zona DNS privata:

Elementi che potrebbero influire sulla connettività dei collegamenti privati

Questo è un elenco non esaustivo di elementi disponibili in scenari avanzati o complessi:

• Impostazioni del firewall, Firewall di Azure connesso alla rete virtuale o una soluzione firewall personalizzata che distribuisce nel computer appliance.
• Peering di rete, che può influire su quali server DNS vengono usati e su come viene instradato il traffico.
• Soluzioni di gateway personalizzato (NAT), che potrebbero influire sul modo in cui viene instradato il traffico, incluso il traffico dalle query DNS.

Per altre informazioni, vedere la guida alla risoluzione dei problemi di connettività dell'endpoint privato.

Problemi comuni durante l'uso di Azure Migrate con endpoint privati

In questa sezione verranno elencati alcuni dei problemi che si verificano comunemente e verranno suggeriti i passaggi di risoluzione dei problemi da eseguire manualmente per risolvere il problema.

La registrazione dell'appliance ha esito negativo e viene visualizzato l'errore ForbiddenToAccessKeyVault

L'operazione di creazione o aggiornamento di Azure Key Vault non è riuscita per <KeyVaultName> a causa dell'errore <ErrorMessage>

Possibili cause

Questo problema può verificarsi se l'account Azure usato per registrare l'appliance non dispone delle autorizzazioni necessarie o l'appliance di Azure Migrate non può accedere all'insieme di credenziali delle chiavi.

Correzione

Passaggi per risolvere i problemi di accesso a Key Vault:

1. Assicurarsi che nell'account utente di Azure usato per registrare l'appliance siano presenti almeno le autorizzazioni Collaboratore nella sottoscrizione.
2. Assicurarsi che l'utente che tenta di registrare l'appliance abbia accesso all'insieme di credenziali delle chiavi e abbia un criterio di accesso assegnato nella sezione Criteri di accesso>Key Vault. Ulteriori informazioni

• Altre informazioni sui ruoli e le autorizzazioni di Azure necessari.

Procedura per risolvere i problemi di connettività di Key Vault: se l'appliance è stata abilitata per la connettività dell'endpoint privato, seguire questa procedura per risolvere i problemi di connettività di rete:

• Assicurarsi che l'appliance sia ospitata nella stessa rete virtuale o sia connessa alla rete virtuale di Azure di destinazione (in cui è stato creato l'endpoint privato di Key Vault) tramite un collegamento privato. L'endpoint privato di Key Vault viene creato nella rete virtuale selezionata durante l'esperienza di creazione del progetto. È possibile verificare i dettagli della rete virtuale nella pagina Proprietà > di Azure Migrate.

• Assicurarsi che l'appliance disponga della connettività di rete all'insieme di credenziali delle chiavi tramite un collegamento privato. Per convalidare la connettività del collegamento privato, eseguire una risoluzione DNS dell'endpoint della risorsa di Key Vault dal server locale che ospita l'appliance e assicurarsi che venga risolto in un indirizzo IP privato.

• Passare ad Proprietà >Azure Migrate: Individuazione e valutazione per trovare i dettagli degli endpoint privati per le risorse come l'insieme di credenziali delle chiavi creato durante il passaggio di generazione delle chiavi.

• Selezionare Scarica impostazioni DNS per scaricare i mapping DNS.

  

• Aprire la riga di comando ed eseguire il comando nslookup seguente per verificare la connettività di rete all'URL di Key Vault indicato nel file di impostazioni DNS.

  nslookup <your-key-vault-name>.vault.azure.net
  

  Se si esegue il comando ns lookup per risolvere l'indirizzo IP di un insieme di credenziali delle chiavi su un endpoint pubblico, verrà visualizzato un risultato simile al seguente:

  c:\ >nslookup <your-key-vault-name>.vault.azure.net
  
  Non-authoritative answer:
  Name:    
  Address:  (public IP address)
  Aliases:  <your-key-vault-name>.vault.azure.net
  

  Se si esegue il comando ns lookup per risolvere l'indirizzo IP di un insieme di credenziali delle chiavi su un endpoint privato, verrà visualizzato un risultato simile al seguente:

  c:\ >nslookup your_vault_name.vault.azure.net
  
  Non-authoritative answer:
  Name:    
  Address:  10.12.4.20 (private IP address)
  Aliases:  <your-key-vault-name>.vault.azure.net
            <your-key-vault-name>.privatelink.vaultcore.azure.net
  

  Il comando nslookup deve essere risolto in un indirizzo IP privato, come indicato in precedenza. L'indirizzo IP privato deve corrispondere a quello elencato nel file di impostazioni DNS.

Se la risoluzione DNS non è corretta, seguire questa procedura:

1. Aggiornare manualmente i record DNS dell'ambiente di origine modificando il file host DNS nell'appliance locale con i mapping DNS e gli indirizzi IP privati associati. Questa opzione è consigliata per i test.

   

2. Se si usa un server DNS personalizzato, esaminare le impostazioni DNS personalizzate e verificare che la configurazione DNS sia corretta. Per indicazioni, vedere Panoramica dell'endpoint privato: Configurazione DNS.

3. Considerazioni sul server proxy: se l'appliance usa un server proxy per la connettività in uscita, potrebbe essere necessario convalidare le impostazioni e le configurazioni di rete per assicurarsi che gli URL di collegamento privato siano raggiungibili e possano essere instradati come previsto.

   • Se il server proxy è per la connettività Internet, potrebbe essere necessario aggiungere server d'inoltro del traffico o regole per ignorare il server proxy per i nomi di dominio completi del collegamento privato. Altre informazioni su come aggiungere regole di bypass proxy.
   • In alternativa, se il server proxy è per tutto il traffico in uscita, assicurarsi che il server proxy possa risolvere i nomi di dominio completi del collegamento privato nei rispettivi indirizzi IP privati. Per una soluzione alternativa rapida, è possibile aggiornare manualmente i record DNS nel server proxy con i mapping DNS e gli indirizzi IP privati associati, come illustrato in precedenza. Questa opzione è consigliata per i test.

4. Se il problema persiste, fare riferimento a questa sezione per altre informazioni sulla risoluzione dei problemi.

Dopo aver verificato la connettività, ripetere il processo di registrazione.

Convalidare la connettività di rete degli endpoint privati

È possibile usare il comando Test-NetConnection in PowerShell per verificare se la porta è raggiungibile dall'appliance all'endpoint privato. Assicurarsi di poter risolvere l'account di archiviazione e l'insieme di credenziali delle chiavi per il progetto Azure Migrate usando l'indirizzo IP privato.

L'avvio dell'individuazione ha esito negativo e viene visualizzato l'errore AgentNotConnected

L'appliance non è in grado di avviare l'individuazione perché l'agente locale non è in grado di comunicare con l'endpoint del servizio Azure Migrate: <URLname> in Azure.

Possibili cause

Questo problema può verificarsi se l'appliance non riesce a raggiungere gli endpoint di servizio indicati nel messaggio di errore.

Correzione

Assicurarsi che l'appliance disponga di connettività direttamente o tramite proxy e di risolvere l'endpoint di servizio fornito nel messaggio di errore.

Se l'appliance è stata abilitata per la connettività dell'endpoint privato, assicurarsi che l'appliance sia connessa alla rete virtuale di Azure tramite un collegamento privato e risolvere gli endpoint di servizio forniti nel messaggio di errore.

Procedura per risolvere i problemi di connettività dei collegamenti privati agli endpoint di servizio di Azure Migrate:

Se l'appliance è stata abilitata per la connettività dell'endpoint privato, seguire questa procedura per risolvere i problemi di connettività di rete:

• Assicurarsi che l'appliance sia ospitata nella stessa rete virtuale o sia connessa alla rete virtuale di Azure di destinazione (in cui sono stati creati gli endpoint privati) tramite un collegamento privato. Gli endpoint privati per i servizi di Azure Migrate vengono creati nella rete virtuale selezionata durante l'esperienza di creazione del progetto. È possibile verificare i dettagli della rete virtuale nella pagina Proprietà > di Azure Migrate.

• Assicurarsi che l'appliance disponga della connettività di rete agli URL dell'endpoint di servizio e ad altri URL, indicati nel messaggio di errore, tramite una connessione di collegamento privato. Per convalidare la connettività dei collegamenti privati, eseguire una risoluzione DNS degli URL dal server locale che ospita l'appliance e assicurarsi che venga risolta in indirizzi IP privati.

• Passare ad Proprietà >Azure Migrate: Individuazione e valutazione per trovare i dettagli degli endpoint privati per gli endpoint di servizio creati durante il passaggio di generazione delle chiavi.

• Selezionare Scarica impostazioni DNS per scaricare i mapping DNS.

  

Oltre agli URL precedenti, l'appliance deve accedere agli URL seguenti tramite Internet, direttamente o tramite proxy.

• Aprire la riga di comando ed eseguire il comando nslookup seguente per verificare la connettività privatelink agli URL elencati nel file di impostazioni DNS. Ripetere questo passaggio per tutti gli URL nel file di impostazioni DNS.

  Illustrazione: verifica della connettività di collegamento privato all'endpoint del servizio di individuazione

  nslookup 04b8c9c73f3d477e966c8d00f352889c-agent.cus.disc.privatelink.prod.migration.windowsazure.com
  

  Se la richiesta può raggiungere l'endpoint del servizio di individuazione su un endpoint privato, verrà visualizzato un risultato simile al seguente:

  nslookup 04b8c9c73f3d477e966c8d00f352889c-agent.cus.disc.privatelink.prod.migration.windowsazure.com
  
  Non-authoritative answer:
  Name:    
  Address:  10.12.4.23 (private IP address)
  Aliases:  04b8c9c73f3d477e966c8d00f352889c-agent.cus.disc.privatelink.prod.migration.windowsazure.com
            prod.cus.discoverysrv.windowsazure.com
  

  Il comando nslookup deve essere risolto in un indirizzo IP privato, come indicato in precedenza. L'indirizzo IP privato deve corrispondere a quello elencato nel file di impostazioni DNS.

Se la risoluzione DNS non è corretta, seguire questa procedura:

1. Aggiornare manualmente i record DNS dell'ambiente di origine modificando il file host DNS nell'appliance locale con i mapping DNS e gli indirizzi IP privati associati. Questa opzione è consigliata per i test.

   

2. Se si usa un server DNS personalizzato, esaminare le impostazioni DNS personalizzate e verificare che la configurazione DNS sia corretta. Per indicazioni, vedere Panoramica dell'endpoint privato: Configurazione DNS.

3. Considerazioni sul server proxy: se l'appliance usa un server proxy per la connettività in uscita, potrebbe essere necessario convalidare le impostazioni e le configurazioni di rete per assicurarsi che gli URL di collegamento privato siano raggiungibili e possano essere instradati come previsto.

   • Se il server proxy è per la connettività Internet, potrebbe essere necessario aggiungere server d'inoltro del traffico o regole per ignorare il server proxy per i nomi di dominio completi del collegamento privato. Altre informazioni su come aggiungere regole di bypass proxy.
   • In alternativa, se il server proxy è per tutto il traffico in uscita, assicurarsi che il server proxy possa risolvere i nomi di dominio completi del collegamento privato nei rispettivi indirizzi IP privati. Per una soluzione alternativa rapida, è possibile aggiornare manualmente i record DNS nel server proxy con i mapping DNS e gli indirizzi IP privati associati, come illustrato in precedenza. Questa opzione è consigliata per i test.

4. Se il problema persiste, fare riferimento a questa sezione per altre informazioni sulla risoluzione dei problemi.

Dopo aver verificato la connettività, ripetere il processo di individuazione.

La richiesta di importazione/esportazione ha esito negativo e viene visualizzato l'errore "403: questa richiesta non è autorizzata a eseguire questa operazione"

La richiesta di report di esportazione/importazione/download ha esito negativo e viene visualizzato l'errore "403: questa richiesta non è autorizzata a eseguire questa operazione" per i progetti con connettività dell'endpoint privato.

Possibili cause

Questo errore può verificarsi se la richiesta di esportazione/importazione/download non è stata avviata da una rete autorizzata. Ciò può verificarsi se la richiesta di importazione/esportazione/download è stata avviata da un client che non è connesso al servizio Azure Migrate (rete virtuale di Azure) su una rete privata.

Correzione

Opzione 1 (scelta consigliata):

Per risolvere questo errore, ripetere l'operazione di importazione/esportazione/download da un client che risiede in una rete virtuale connessa ad Azure tramite un collegamento privato. È possibile aprire il portale di Azure nella rete locale o nella macchina virtuale dell'appliance e ripetere l'operazione.

Opzione 2:

La richiesta di importazione/esportazione/download effettua una connessione a un account di archiviazione per caricare/scaricare report. È anche possibile modificare le impostazioni di rete dell'account di archiviazione usato per l'operazione di importazione/esportazione/download e consentire l'accesso all'account di archiviazione tramite altre reti (reti pubbliche).

Per configurare l'account di archiviazione per la connettività dell'endpoint pubblico,

1. Individuare l'account di archiviazione: il nome dell'account di archiviazione è disponibile nella pagina delle proprietà di Individuazione e valutazione di Azure Migrate. Il nome dell'account di archiviazione avrà il suffisso usa.

2. Passare all'account di archiviazione e modificare le proprietà di rete dell'account di archiviazione per consentire l'accesso da tutte le altre reti.

   

3. In alternativa, è possibile limitare l'accesso alle reti selezionate e aggiungere l'indirizzo IP pubblico del client da cui si sta tentando di accedere al portale di Azure.

   

L'uso di endpoint privati per la replica richiede l'esecuzione dei servizi dell'appliance di Azure Migrate nelle versioni seguenti

Possibili cause

Questo problema può verificarsi se i servizi in esecuzione nell'appliance non sono in esecuzione nella versione più recente. L'agente DRA orchestra la replica del server e coordina la comunicazione tra server replicati e Azure. L'agente del gateway invia i dati replicati ad Azure.

Correzione

1. Verificare che i servizi in esecuzione nell'appliance vengano aggiornati alle versioni più recenti.

   A tale scopo, avviare Gestione configurazione appliance dal server dell'appliance e selezionare Visualizza i servizi dell'appliance nel pannello Prerequisiti di installazione. L'appliance e i relativi componenti vengono aggiornati automaticamente. In caso contrario, seguire le istruzioni per aggiornare manualmente i servizi dell'appliance.

   

Impossibile salvare la configurazione: timeout del gateway 504

Possibili cause

Questo problema può verificarsi se l'appliance di Azure Migrate non riesce a raggiungere l'endpoint di servizio fornito nel messaggio di errore.

Correzione

Per convalidare la connessione di collegamento privato, eseguire una risoluzione DNS degli endpoint di servizio di Azure Migrate (FQDN risorsa collegamento privato) dal server locale che ospita l'appliance migrate e assicurarsi che vengano risolti in indirizzi IP privati.

Per ottenere i dettagli dell'endpoint privato per verificare la risoluzione DNS:

I dettagli dell'endpoint privato e le informazioni sul nome di dominio completo della risorsa collegamento privato sono disponibili nelle pagine delle proprietà individuazione e valutazione e migrazione e modernizzazione. Selezionare Scarica impostazioni DNS in entrambe le pagine delle proprietà per visualizzare l'elenco completo.

Fare quindi riferimento a queste indicazioni per verificare la risoluzione DNS.