Hoe 'n Azure Web App op die perseel bereik deur 'n VPN

Die webtoepassing se uitgaande versoek laat 'n werker wat jy nooit sien nie, van 'n bron wat jy nie gekies het nie, en die kantoorbrandmuur moet dit aanvaar. Dit is die hele probleem in een sin. Streeks-VNet-integrasie gee die versoek 'n pad na 'n virtuele netwerk, en die werf-tot-werf VPN dra dit van daar af. Alles wat agterna verkeerd loop, gaan oor watter bronreeks en watter roete die pakkie werklik gebruik het.

Wat die werker eintlik stuur

Toepassingdiens laat jou kode loop op werkers wat buite jou intekening se netwerkaansig sit. Met streeksintegrasie geaktiveer, word uitgaande verkeer aan 'n gedelegeerde subnet in 'n VNet in dieselfde streek oorgedra, en die pakkie verskyn daar voordat dit voortgaan. Die integrasie skuif nie die toepassing in die VNet in nie en verander nie sy inkomende adres nie. Dit gee net uitgaande vloei 'n ander eerste hop.

By verstek neem slegs private adresspasie daardie pad, so gewone internetbestemmings vertrek steeds direk vanaf die werker. Om alles deur die VNet te stuur, is 'n aparte instelling en 'n aparte besluit, want dit stuur ook jou publieke afhanklikhede deur die tonnel.

Konfigurasieverkeer, soos 'n houerprenttrek by opstart, volg sy eie roeteerreëls en kan misluk terwyl jou API-oproepe slaag.

Die integrasie-subnet is die bron wat jy moet toelaat

Die kantoor sien die integrasie-subnet se adresreeks, of waarna jou toestel dit ook al vertaal, nie die toepassing se publieke uitgaande adresse nie. Plaas daardie reeks in die webwerf-VPN se verkeerkiesers en in die firewall-reël op die perseel. As die tonnel beleid-gebaseerd is, laat kiesers wat dit weglaat, die pakkie los selfs wanneer 'n roete bestaan.

Moenie toelaat dat 'n enkele werkeradres wat jy toevallig waargeneem het nie. Gevalle verander met skaal en platforminstandhouding, en 'n reël wat aan een adres vasgespeld is, breek op die ergste oomblik.

Hou die bestemmingskant smal: een diens, een hawe, een rigting, met die terugkeerpad uitdruklik toegelaat.

Loer en poortvervoer is eksplisiet

As die VPN-poort in 'n spilpunt-VNet sit en die integrasie-subnet in 'n speek, moet die pad poortvervoer toegelaat word op die spilpunt-luer en afgeleë poortgebruik geaktiveer op die speek-luer. Peering op sigself dra verkeer tussen die twee VNets en niks meer nie. Die effektiewe roetes op die integrasie-subnet is waar jy bevestig die gateway next hop is regtig daar.

'n Spil-en-speek-ontwerp waarvan die roetetabel 0.0.0.0/0 na 'n brandmuur stuur, is 'n algemene variant, en daardie brandmuur benodig dan sy eie reël vir die voorvoegsel op die perseel.

Teken die pad op papier voordat jy 'n kaartjie met die netwerkspan oopmaak, want dit spaar 'n dag van raai. Sluit die terugkeerrigting by die tekening in, aangesien dit die helfte is wat mense vergeet.

Inkomende private eindpunt is die ander rigting

'n Privaat eindpunt maak die toepassing bereikbaar van binne 'n VNet. Dit doen niks vir die toepassing se uitgaande oproep na die kantoor nie, en spanne konfigureer gereeld een terwyl die werklike vereiste die omgekeerde was.

Ouer dokumentasie beskryf gateway-vereiste integrasie gebou op punt-tot-werf VPN, 'n ander kenmerk met sy eie vereistes. Microsoft skeduleer daardie kenmerk se aftrede vir 31 Maart 2027, en beveel eerder streeksintegrasie aan.

Moenie 'n verouderde punt-tot-werf-opstelling kopieer net omdat 'n ou voorbeeld dit gebruik het nie.

Verifieer met die toepassing se eie konteks

Toets vanaf die ontplooide toepassing, nie vanaf jou skootrekenaar nie en nie vanaf 'n VM in dieselfde VNet nie. Teken die opgeloste adres, die verbindingresultaat en die toepassingsvlak-reaksie afsonderlik aan, want 'n DNS-fout, 'n TCP-time-out en 'n stawingverwerpingspunt by drie verskillende eienaars. As naamresolusie misluk, maak privaat DNS vir die VNet reg voor jy aan die tonnel raak.

'n Groen tonnelstatus bewys net dat die poort op is. Dit sê niks oor keurders, firewall-reëls of DNS nie.

Wanneer die versoek uiteindelik werk, skryf die bronreeks, die bestemmingpoort en die DNS-sone in die toepassing se runbook. Die volgende persoon om dit te ontfout, sal vanaf jou nota begin in plaas van vanaf die poort se statusbladsy.