Řešení potíží s instalací privátního síťového konektoru

Konektor privátní sítě Microsoft Entra je interní komponenta domény, která používá odchozí připojení k navázání připojení z dostupného koncového bodu cloudu k interní doméně. Konektor se používá pro Microsoft Entra Private Access i aplikační proxy Microsoft Entra. Tento článek popisuje, jak řešit problémy s instalací konektoru a dalšími funkcemi.

Obecné problémové oblasti s instalací konektoru

Pokud instalace konektoru selže, hlavní příčinou je obvykle jedna z následujících oblastí. Jako prekurzor pro řešení potíží nezapomeňte konektor restartovat.

• Připojení – aby se dokončila úspěšná instalace, musí se nový konektor zaregistrovat a vytvořit budoucí vlastnosti důvěryhodnosti. Vztah důvěryhodnosti je vytvořen připojením ke cloudové službě proxy aplikací Microsoft Entra.
• Vytvoření důvěryhodnosti – nový konektor vytvoří certifikát podepsaný svým držitelem a zaregistruje se do cloudové služby.
• Ověřování správce – během instalace musí uživatel zadat přihlašovací údaje správce k dokončení instalace konektoru.

Poznámka:

Protokoly instalace konektoru najdete ve %TEMP% složce a můžou vám pomoct s dalšími informacemi o tom, co způsobuje selhání instalace.

Použijte nástroj Diagnostika konektoru k identifikaci problémů s instalací konektoru a sítí.

Diagnostický nástroj konektoru je exe aplikace příkazového řádku, která je součástí balíčku konektoru. Tento nástroj je navržený tak, aby diagnostikovali běžné chyby nastavení konektoru a modulu runtime za účelem identifikace problémů s instalací nebo sítí. Nástroj v současné době podporuje následující kontroly:

• Platnost certifikátu
• Přístupnost portů 80/443
• Konfigurace odchozího proxy serveru
• Přístupnost CRL
• Služba konektoru běží
• Přístupnost koncového bodu back-endové služby

Nástroj také poskytuje další informace, například podrobnosti o certifikátu (pokud je certifikát platný), ID tenanta a konektoru a verze PROTOKOLU TLS. Aby se zajistilo, že kvůli problémům se sítí nebo přerušovaným problémům nebudou zmeškané žádné kontroly, nástroj obsahuje opakované pokusy a vytiskne zprávy o výjimkách pro případ selhání připojení.

Jak nástroj získat: Nástroj pro diagnostiku konektoru je k dispozici v instalačním balíčku konektoru od verze 1.5.4287.0. Předchozí verze nástroj neobsahují. K získání nástroje je potřeba nová instalace konektoru, pokud používáte předchozí verzi. Uživatelské rozhraní je také zavedeno od verze 1.5.4522.0.

Jak používat nástroj: Po ověření instalace najdete nástroj ve složce instalace konektoru. Výchozí umístění je C:/Program Files/Microsoft Entra Private Network Connector. Vyberte aplikaci ConnectorDiagnosticsTool a spusťte nástroj.

Ukázkový výstup PowerShellu:

Ukázkový výstup uživatelského rozhraní (od verze 1.5.4522.0):

Ověření připojení ke službě proxy cloudových aplikací a přihlašovací stránce Microsoftu

Cíl: Ověřte, že se počítač konektoru může připojit ke koncovému bodu registrace proxy aplikace a přihlašovací stránce Microsoftu.

1. Na serveru konektoru spusťte test portu pomocí telnetu nebo jiného nástroje pro testování portů a ověřte, že jsou otevřené porty 443 a 80.

2. Ověřte, že firewall nebo backendový proxy server mají přístup k požadovaným doménám a portům, vizte konfiguraci konektorů.

3. Otevřete kartu prohlížeče a zadejte: https://login.microsoftonline.com. Ujistěte se, že se můžete přihlásit.

Ověření podpory certifikátů komponent počítače a back-endu

Cíl: Ověřte, že zařízení konektoru, proxy server backend a brána firewall podporují certifikát, který konektor vytvořil. Ověřte také platnost certifikátu.

Poznámka:

Konektor se pokusí vytvořit SHA512 certifikát, který podporuje protokol TLS (Transport Layer Security) 1.2. Pokud počítač nebo back-endová brána firewall a proxy server nepodporují protokol TLS 1.2, instalace se nezdaří.

Zkontrolujte požadované požadavky:

1. Ověřte, že počítač podporuje protokol TLS (Transport Layer Security) 1.2 – všechny verze Windows po roce 2012 R2 by měly podporovat protokol TLS 1.2. Pokud je vaše zařízení pro konektory ve verzi 2012 R2 nebo starší, ujistěte se, že jsou nainstalovány požadované aktualizace.

2. Obraťte se na správce sítě a požádejte o ověření, že back-endový proxy server a brána firewall neblokují SHA512 odchozí provoz.

Ověření klientského certifikátu:

Ověřte kryptografický otisk aktuálního klientského certifikátu. Úložiště certifikátů najdete v %ProgramData%\microsoft\Microsoft AAD private network connector\Config\TrustSettings.xmlsouboru .

<?xml version="1.0" encoding="utf-8"?>
<ConnectorTrustSettingsFile xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
  <CloudProxyTrust>
    <Thumbprint>4905CC64B2D81BBED60962ECC5DCF63F643CCD55</Thumbprint>
    <IsInUserStore>false</IsInUserStore>
  </CloudProxyTrust>
</ConnectorTrustSettingsFile>

Možné hodnoty IsInUserStore jsou true a false. Hodnota true znamená, že se certifikát automaticky obnoví a uloží v osobním kontejneru v úložišti certifikátů uživatele síťové služby. Hodnota false znamená, že se klientský certifikát vytvoří během instalace nebo registrace Register-MicrosoftEntraPrivateNetworkConnector . Certifikát je uložený v osobním kontejneru v úložišti certifikátů místního počítače.

Pokud je hodnota true, ověřte certifikát následujícím postupem:

1. Stáhněte si PsTools.zip.
2. Extrahujte příkaz PsExec z balíčku a spusťte příkaz psexec -i -u "nt authority\network service" cmd.exe z příkazového řádku se zvýšenými oprávněními.
3. V nově zobrazeném příkazovém řádku spusťte příkaz certmgr.msc .
4. V konzole pro správu rozbalte osobní kontejner a vyberte certifikáty.
5. Vyhledejte certifikát vydaný pro connectorregistrationca.msappproxy.net.

Pokud je hodnota false, ověřte certifikát následujícím postupem:

1. Spusťte certlm.msc.
2. V konzole pro správu rozbalte osobní kontejner a vyberte certifikáty.
3. Vyhledejte certifikát vydaný pro connectorregistrationca.msappproxy.net.

Obnovení klientského certifikátu:

Pokud konektor není připojený ke službě po dobu několika měsíců, můžou být jeho certifikáty zastaralé. Selhání obnovení certifikátu vede k vypršení platnosti certifikátu. Certifikát, jehož platnost vypršela, způsobí, že služba konektoru přestane fungovat. Do protokolu pro správu konektoru se zaznamená událost 1000:

Connector re-registration failed: The Connector trust certificate expired. Run the PowerShell cmdlet Register-MicrosoftEntraPrivateNetworkConnector on the computer on which the Connector is running to re-register your Connector.

V takovém případě odinstalujte a znovu nainstalujte konektor, aby se aktivovala registrace, nebo můžete spustit následující příkazy PowerShellu:

Import-module MicrosoftEntraPrivateNetworkConnectorPSModule
Register-MicrosoftEntraPrivateNetworkConnector

Další informace o Register-MicrosoftEntraPrivateNetworkConnector příkazu najdete v tématu Vytvoření bezobslužného instalačního skriptu pro konektor privátní sítě Microsoft Entra.

Ověřte, že správce je použit k instalaci konektoru

Cíl: Ověřte, že uživatel, který se pokouší nainstalovat konektor, je správce se správnými přihlašovacími údaji. V současné době musí být uživatel alespoň správcem aplikace, aby instalace uspěla.

Ověření správnosti přihlašovacích údajů:

Připojte se k https://login.microsoftonline.com a použijte stejné přihlašovací údaje. Ujistěte se, že přihlášení proběhlo úspěšně. Zkontrolujte roli uživatele: Přejděte na Microsoft Entra ID>Users and Groups>All Users.

V výsledné nabídce vyberte svůj uživatelský účet a potom roli adresáře. Ověřte, že vybraná role je Správce aplikace. Pokud v těchto krocích nemůžete získat přístup k žádné ze stránek, nemáte požadovanou roli.

Poznámka:

Během instalace konektoru byste měli být vyzváni k zadání přihlašovacích údajů správce prostřednictvím automaticky otevíraného okna. Pokud se vám automaticky otevírané okno nezobrazí, ujistěte se, že je v nastavení prohlížeče povolené automaticky otevíraná okna a JavaScript. Během dalšího pokusu o instalaci se zobrazí výzva k přidání webů do důvěryhodných webů. Po přidání lokalit do důvěryhodných lokalit znovu spusťte instalaci.

Chyby konektoru

Pokud se registrace během instalace průvodce konektorem nezdaří, existují dva způsoby, jak zobrazit důvod selhání. Buď se podívejte do protokolu událostí v části Windows Logs\Application (filter by Source = "Microsoft Entra private network connector" , nebo spusťte následující příkaz Windows PowerShellu:

Get-EventLog application –source "Microsoft Entra private network connector" –EntryType "Error" –Newest 1

Jakmile zjistíte chybu konektoru z protokolu událostí, vyřešte problém pomocí této tabulky běžných chyb:

Chyba	Doporučené kroky
Connector registration failed: Make sure you enabled application proxy in the Azure Management Portal and that you entered your Active Directory user name and password correctly. Error: 'One or more errors occurred.'	Pokud jste okno registrace zavřeli bez přihlášení k ID Microsoft Entra, spusťte znovu průvodce konektorem a zaregistrujte konektor. Pokud se otevře okno registrace a okamžitě se zavře, aniž byste se mohli přihlásit, zobrazí se chyba. K této chybě dochází v případě, že ve vašem systému dojde k chybě sítě. Ujistěte se, že se můžete připojit z prohlížeče k veřejnému webu a že jsou porty otevřené podle konfigurace konektorů.
Clear error is presented in the registration window. Cannot proceed	Pokud se zobrazí chyba a okno se zavře, zadali jste nesprávné uživatelské jméno nebo heslo. Zkuste to ještě jednou.
Connector registration failed: Make sure you enabled application proxy in the Azure Management Portal and that you entered your Active Directory user name and password correctly. Error: 'AADSTS50059: No tenant-identifying information found in either the request or implied by any provided credentials and search by service principal URI has failed.	Pokoušíte se přihlásit pomocí účtu Microsoft, a ne domény, která je součástí ID organizace adresáře, ke kterému se pokoušíte získat přístup. Správce musí být součástí stejného názvu domény jako doména tenanta. Pokud je doména například contoso.com Microsoft Entra, pak by měl být správce admin@contoso.com.
Failed to retrieve the current execution policy for running PowerShell scripts.	Pokud instalace konektoru selže, zkontrolujte, zda není zakázána zásada spouštění PowerShellu. 1. Otevřete Editor zásad skupiny. 2. Přejděte do Konfigurace počítače>Šablony pro správu>Součásti Windows>Windows PowerShell a poklikejte na Zapnout spouštění skriptů. 3. Zásady spouštění lze nastavit buď na Nenakonfigurováno , nebo Povoleno. Pokud je nastavená možnost Povoleno, ujistěte se, že v části Možnosti je zásada spouštění nastavená na Povolit místní skripty a vzdálené podepsané skripty nebo povolit všechny skripty.
Connector failed to download the configuration.	Platnost klientského certifikátu konektoru, který se používá k ověřování, vypršela. K tomuto problému dochází, pokud máte konektor nainstalovaný za proxy serverem. V takovém případě nemůže konektor přistupovat k internetu a nemůže poskytovat aplikace vzdáleným uživatelům. Obnovte důvěryhodnost ručně pomocí rutiny ve Windows PowerShellu Register-MicrosoftEntraPrivateNetworkConnector . Pokud je váš konektor za proxy serverem, je nutné udělit internetový přístup k účtům konektoru network services a local system. Udělení přístupu se provádí udělením přístupu k proxy serveru nebo obejitím proxy serveru.
Connector registration failed: Make sure you are an Application Administrator of your Active Directory to register the connector. Error: 'The registration request was denied.'	Alias, kterým se pokoušíte přihlásit, není správcem této domény. Váš konektor je vždy nainstalovaný pro adresář, který vlastní doménu uživatele. Ujistěte se, že účet správce, pomocí kterého se pokoušíte přihlásit, má alespoň oprávnění správce aplikace k tenantovi Microsoft Entra.
The connector was unable to connect to the service due to networking issues. The connector tried to access the following URL.	Konektor se nemůže připojit ke cloudové službě proxy aplikací. K tomuto problému dochází, pokud máte pravidlo brány firewall, které blokuje připojení. Povolte přístup ke správným portům a adresám URL uvedeným v konfiguracích konektorů.

Vývojový diagram problémů s konektory

Tento vývojový diagram vás provede postupem ladění některých nejběžnějších problémů s konektory. Podrobnosti o jednotlivých krocích najdete v tabulce podle vývojového diagramu.

Krok	Akce	Popis
1	Vyhledání skupiny konektorů přiřazené k aplikaci	Pravděpodobně máte nainstalovaný konektor na více serverech, v takovém případě by se konektory měly přiřadit ke skupině konektorů. Další informace o skupinách konektorů najdete v Understand Microsoft Entra private network connector groups.
2	Instalace konektoru a přiřazení skupiny	Pokud nemáte nainstalovaný konektor, přečtěte si téma Konfigurace konektorů. Pokud konektor není přiřazený ke skupině, přečtěte si téma Přiřazení konektoru ke skupině. Pokud není aplikace přiřazená ke skupině konektorů, přečtěte si téma Přiřazení aplikace ke skupině konektorů.
3	Proveďte test portu na konektorovém serveru	Na serveru konektoru spusťte test portu pomocí telnetu nebo jiného nástroje pro testování portů a zkontrolujte, jestli jsou porty správně nakonfigurované. Další informace najdete v tématu konfigurace konektorů.
4	Konfigurace domén a portů	Nakonfigurujte konektory pro konektor. Některé porty musí být otevřené a adresy URL, ke kterým musí mít váš server přístup. Další informace najdete v tématu konfigurace konektorů.
5	Kontrola, jestli se používá back-endový proxy server	Zkontrolujte, zda konektory používají back-endové proxy servery nebo je obcházejí. Podrobnosti najdete v tématu Řešení potíží s proxy konektorem a problémy s připojením ke službám.
6	Aktualizace nastavení konektoru a aktualizátoru pomocí informací o back-endovém proxy serveru	Pokud se používá back-endový proxy server, ujistěte se, že konektor používá stejný proxy server. Podrobnosti o řešení potíží a konfiguraci konektorů pro práci s proxy servery najdete v tématu Práce se stávajícími místními proxy servery.
7	Nahrajte interní URL aplikace na server konektoru	Na serveru konektoru zobrazte interní URL aplikace.
8	Kontrola interního síťového připojení	Ve vaší interní síti došlo k problému s připojením, který tento ladicí proces nedokáže diagnostikovat. Aby konektory fungovaly, musí být aplikace interně přístupná. Protokoly událostí konektoru můžete povolit a zobrazit podle popisu v privátních síťových konektorech.
9	Prodloužení hodnoty časového limitu na back-endu	V části Další nastavení aplikace změňte nastavení časového limitu back-endové aplikace na Long. Viz Přidání místní aplikace do MICROSOFT Entra ID.
10	Pokud problémy potrvají, odlaďte aplikace.	Ladění problémů s aplikací a proxy aplikací

Řešení potíží s funkcemi konektoru

Pokud instalace a registrace konektoru proběhne úspěšně, ale nemůžete získat přístup k privátním prostředkům, zkontrolujte následující:

• Selhání připojení ke cloudové službě: Váš konektor může mít problémy s připojením ke cloudové službě Microsoft Entra Private Access. I když se stav konektoru v Centru pro správu Microsoft Entra může zobrazovat jako Aktivní, může mít konektor stále problémy s připojením ke koncovým bodům cloudové služby. Zkontrolujte u svého síťového týmu, jestli nedošlo k neúspěšným pokusům o připojení z IP adresy konektoru.
• Nepodařilo se ověřit řetězec certifikátu: Tato chyba se zobrazí v rozšířeném protokolování konektoru, když není ověřen řetězec certifikátů pro certifikát služby Global Secure Access, jako je například *.msappproxy.net. Často k tomu dochází v případě, že je na MicrosoftEntraPrivateNetworkConnectorService.exe.config nakonfigurovaný proxy server, ale není nakonfigurovaný také systémový proxy server. Systémový proxy server můžete nastavit pomocí příkazu netsh winhttp set proxy address:port.
• Kontrola protokolu TLS je nakonfigurovaná: Kontrola protokolu TLS není podporována u provozu konektoru privátní sítě. Pokus o kontrolu protokolu TLS u tohoto provozu koliduje s možností konektoru připojit se ke službě Globální zabezpečený přístup, a proto koliduje s jeho schopností obsluhovat požadavky na privátní přístup. Zajistěte, aby síťová zařízení povolovaná internetový přístup k vašemu privátnímu síťovému konektoru neprovádí kontrolu protokolu TLS.
• Proxy server existuje mezi konektorem a prostředkem: Konektor vyžaduje připojení k prostředku a nemůže fungovat, pokud mezi konektorem a prostředkem existuje proxy server. Pokud chcete ověřit, otestujte připojení z konektoru k prostředku, který jste definovali v aplikaci Globální zabezpečený přístup, jako je sdílená složka nebo server RDP, a ujistěte se, že konektor má přístup k prostředku. Pokud se nemůžete připojit k prostředku ze serveru konektoru, budete muset vyřešit problém se síťovým připojením mezi serverem konektoru a prostředkem, který může zahrnovat přemístění konektoru na síťové umístění, které má přímý přístup k prostředku.

Povolení rozšířeného protokolování konektoru

Pokud se k prostředku můžete připojit ze serveru, ale ne z klienta globálního zabezpečeného přístupu, můžou se s konektorem vyskytovat další problémy. Pokud chcete zjistit, povolte rozšířené protokolování konektoru úpravou souboru MicrosoftEntraPrivateNetworkConnectorService.exe.config umístěné v instalační složce konektoru (ve výchozím nastavení C:\Program Files\Microsoft Entra private network connector). Vyhledejte následující sekci v souboru, odstraňte značky komentáře, které začínají a končí tento oddíl, a ověřte, že odkazovaná složka existuje.

Obsah souboru by měl vypadat takto:

Po povolení protokolování se pokuste o přístup k prostředku z klienta globálního zabezpečeného přístupu, aby se chyba reprodukovala. Pak zkontrolujte chyby v souboru protokolu.

Nejčastější dotazy

Proč můj konektor stále používá starší verzi a neupgraduje se na nejnovější verzi?

Toto chování může být způsobeno tím, že služba aktualizátoru nefunguje správně nebo pokud nejsou k dispozici žádné nové aktualizace, které může služba nainstalovat.

Služba aktualizátoru je v pořádku, pokud je spuštěná a v protokolu událostí se nezaznamenají žádné chyby (protokoly aplikací a služeb –> Microsoft –> Privátní síť Microsoft Entra –> Updater –> Admin).

Důležité

Pro automatický upgrade se vydávají pouze hlavní verze. Konektor doporučujeme aktualizovat ručně jenom v případě, že je to potřeba. Například nemůžete čekat na hlavní verzi, protože musíte opravit známý problém nebo chcete použít novou funkci. Další informace o nových verzích, typ vydané verze (stažení, automatický upgrade), opravy chyb a nové funkce najdete v tématu Microsoft Entra Private Network Connector: Historie verzí.

Ruční upgrade konektoru:

• Stáhněte si nejnovější verzi konektoru. (Najdete ho v Centru pro správu Microsoft Entra na adrese Global Secure Access>Connect>Connectors)
• Instalační program restartuje služby konektoru privátní sítě Microsoft Entra. V některých případech může být vyžadováno restartování serveru, pokud instalační program nemůže nahradit všechny soubory. Proto doporučujeme zavřít všechny aplikace (tj. Prohlížeč událostí) před zahájením upgradu.
• Spusťte instalační program. Proces upgradu je rychlý a nevyžaduje zadání přihlašovacích údajů a konektor se znovu nezaregistruje.

Můžou služby privátního síťového konektoru běžet v jiném kontextu uživatele, než je výchozí?

Ne, tento scénář není podporovaný. Výchozí nastavení jsou:

• Konektor privátní sítě Microsoft Entra – WAPCSvc – Síťová služba
• Aktualizace konektoru privátní sítě Microsoft Entra – WAPCUpdaterSvc – NT Authority\System

Může uživatel typu host s aktivním přiřazením role správce zaregistrovat konektor pro tenanta (hosta)?

Ne, v současné době to není možné. Pokus o registraci se vždy provádí v domovském tenantovi uživatele.

Back-endová aplikace je hostovaná na několika webových serverech a vyžaduje trvalost uživatelských relací (stálost). Jak můžu dosáhnout trvalosti relace?

Doporučení najdete v tématu Vysoká dostupnost a vyrovnávání zatížení vašich privátních síťových konektorů a aplikací.

Je u provozu od serverů konektoru k Azure podporována terminace TLS (kontrola nebo akcelerace TLS/HTTPS)?

Konektor privátní sítě provádí ověřování na základě certifikátů do Azure. Ukončení protokolu TLS (kontrola nebo akcelerace protokolu TLS/HTTPS) přeruší tuto metodu ověřování a nepodporuje se. Provoz z konektoru do Azure musí obejít všechna zařízení, která provádějí ukončení protokolu TLS.

Vyžaduje se TLS 1.2 pro všechna připojení?

Ano. Abychom našim zákazníkům poskytli nejlepší šifrování ve třídě, omezuje služba proxy aplikací přístup pouze na protokoly TLS 1.2. Tyto změny byly postupně zaváděny a účinné od 31. srpna 2019. Ujistěte se, že všechny kombinace klientských serverů a prohlížečů jsou aktualizované tak, aby používaly protokol TLS 1.2 k udržování připojení ke službě proxy aplikací. Patří sem klienti, které uživatelé používají pro přístup k aplikacím publikovaným prostřednictvím proxy aplikací. Užitečné reference a zdroje informací najdete v tématu Příprava na tls 1.2 v Office 365 .

Můžu mezi servery konektorů a back-endovým aplikačním serverem umístit předávací proxy zařízení?

Tento scénář je podporován od verze konektoru 1.5.1526.0 pro proxy aplikace Microsoft Entra, ale není podporován pro Microsoft Entra Private Access. Další informace o této podpoře pro App Proxy najdete v tématu Práce se stávajícími místními proxy servery.

Mám vytvořit vyhrazený účet pro registraci konektoru u proxy aplikací Microsoft Entra?

Neexistuje žádný důvod k vytvoření vyhrazeného účtu. Jakýkoli účet s rolí Správce aplikací funguje. Přihlašovací údaje zadané během instalace se po registraci nepoužívají. Místo toho se pro konektor vydá certifikát, který se použije k ověřování od tohoto okamžiku.

Jak můžu monitorovat výkon privátního síťového konektoru Microsoft Entra?

K dispozici jsou čítače sledování výkonu, které se instalují spolu s konektorem. Postup při jejich zobrazení:

1. Vyberte Start, zadejte "Perfmon" a stiskněte ENTER.
2. Vyberte Sledování výkonu a vyberte zelenou + ikonu.
3. Přidejte čítače privátního síťového konektoru Microsoft Entra, které chcete monitorovat.

Musí být síťový konektor Microsoft Entra soukromý a ve stejné podsíti jako prostředek?

Konektor nemusí být ve stejné podsíti. Ale potřebuje rozlišení názvů, jako je DNS nebo soubor hostitelů, a potřebné síťové připojení, jako je směrování k prostředku, otevřené porty na prostředku atd. Doporučení najdete v tématu Důležité informace o topologii sítě při používání proxy aplikací Microsoft Entra.

Proč se konektor stále zobrazuje v Centru pro správu Microsoft Entra po odinstalaci konektoru ze serveru?

Když je konektor spuštěný, zůstane aktivní, protože se připojuje ke službě. Odinstalované nebo nepoužívané konektory jsou označené jako neaktivní a odeberou se po 10 dnech nečinnosti z Centra pro správu Microsoft Entra. Neexistuje způsob, jak ručně odebrat neaktivní konektor z Centra pro správu Microsoft Entra.

Další kroky

• Pochopte konektory privátní sítě Microsoft Entra