---
id: case-hybrid-no-route
title: "Hybrid: tunnel Up, subnet không tới"
shortTitle: "Hybrid route"
track: cases
trackTitle: "Bài toán thực tế DevOps"
order: 1
level: core
status: published
estimatedMinutes: 25
prerequisites:
  - ccna-troubleshoot-layers
next: case-service-unreachable
reviewedAgainst: 2026-10-29
sources: []
---

# Hybrid: tunnel Up, subnet không tới

Ticket mẫu: VPN **Connected**, team DC ping `10.30.2.10` timeout. Firewall “đã mở hết”. Thường là route hoặc prefix chưa advertise — kiểm route trước NSG.

## Triệu chứng

Tunnel xanh; ping IP workload cloud fail; đôi khi ping được IP “tunnel” nhưng không vào subnet app.

## Làm một vòng

<div class="net-flow">
<div class="net-step" style="--layer:#dbeafe"><b>Route</b><span>DC có prefix cloud?</span></div>
<div class="net-arrow">→</div>
<div class="net-step" style="--layer:#fef3c7"><b>Cloud</b><span>effective routes về DC?</span></div>
<div class="net-arrow">→</div>
<div class="net-step" style="--layer:#dcfce7"><b>NSG</b><span>sau khi route ok</span></div>
</div>

1. `traceroute -n` từ DC — dừng hop nào?
2. Effective routes trên NIC VM Azure.
3. BGP/static: prefix hai chiều có trong bảng không?
4. NSG/ICMP — chỉ sau khi route đúng.

## Thẻ ôn

### case-hybrid-no-route-key
kind: decide
cue: "tunnel up" + "subnet unreachable"

Q: Bước đầu sau khi thấy Up?

A: Route/advertise hai chiều, không mở NSG trước.

## Tiếp theo

[Pod OK, user không vào Service](./02-service-unreachable.md)