Azure Veb Tətbiqi VPN vasitəsilə Yerlilərə necə çatır

Veb Tətbiqin gedən sorğusu heç vaxt görmədiyiniz işçini seçmədiyiniz mənbədən buraxır və ofis təhlükəsizlik duvarı onu qəbul etməlidir. Bir cümlədə bütün problem budur. Regional VNet inteqrasiyası sorğuya virtual şəbəkəyə yol verir və saytdan sayta VPN onu oradan daşıyır. Daha sonra səhv gedən hər şey paketin əslində hansı mənbə diapazonu və hansı marşrutdan istifadə etdiyi ilə bağlıdır.

İşçinin əslində nə göndərdiyi

Tətbiq Xidməti kodunuzu abunəliyiniz şəbəkə görünüşündən kənarda oturan işçilər üzərində işlədir. regional inteqrasiya aktiv olduqda, gedən trafik eyni bölgədəki VNet-də səlahiyyət verilmiş alt şəbəkəyə verilir və paket davam etməzdən əvvəl orada görünür. İnteqrasiya proqramı VNet-ə köçürmür və onun daxil olan ünvanını dəyişmir. O, yalnız gedən axınlara fərqli ilk sıçrayış verir.

Defolt olaraq yalnız şəxsi ünvan sahəsi bu yolu tutur, ona görə də adi internet təyinatları hələ də birbaşa işçidən ayrılır. Hər şeyi VNet vasitəsilə yönləndirmək ayrıca parametr və ayrıca qərardır, çünki o, həm də ictimai asılılıqlarınızı tunel üzrə göndərir.

Başlanğıcda konteyner şəklinin çəkilməsi kimi konfiqurasiya trafiki öz marşrutlaşdırma qaydalarına əməl edir və API zəngləriniz uğurlu olduqda uğursuz ola bilər.

İnteqrasiya alt şəbəkəsi icazə verməli olduğunuz mənbədir

Ofis inteqrasiya alt şəbəkəsinin ünvan diapazonunu və ya cihazınızın onu hansı dilə tərcümə etməsindən asılı olmayaraq, tətbiqin ictimai çıxış ünvanlarını deyil, görür. Həmin diapazonu saytın VPN trafik seçicilərinə və yerli təhlükəsizlik divarı qaydasına daxil edin. Tunel siyasətə əsaslanırsa, marşrut mövcud olsa belə, onu buraxan seçicilər paketi buraxırlar.

Təsadüfən müşahidə etdiyiniz bir işçi ünvanına icazə verməyin. Nümunələr miqyaslaşdırma və platformaya texniki qulluq ilə dəyişir və bir ünvana bərkidilmiş qayda ən pis anda pozulur.

Təyinat tərəfini dar saxlayın: bir xidmət, bir port, bir istiqamət, qayıdış yoluna açıq şəkildə icazə verilir.

Peering və gateway tranziti açıqdır

VPN şlüzü mərkəzi VNet-də və inteqrasiya alt şəbəkəsi spikerdə yerləşirsə, yola hub-peering-də icazə verilən şlüz tranziti və spiker peerinqində aktivləşdirilmiş uzaq şlüz istifadəsi lazımdır. Peering özü iki VNet arasında trafik daşıyır və başqa heç nə yoxdur. İnteqrasiya alt şəbəkəsindəki effektiv marşrutlar, növbəti keçidin həqiqətən orada olduğunu təsdiqlədiyiniz yerdir.

Marşrut cədvəli firewall-a 0.0.0.0/0 göndərən hub-and-spoke dizaynı ümumi variantdır və həmin firewall daha sonra yerli prefiks üçün öz qaydasına ehtiyac duyur.

Şəbəkə komandası ilə bilet açmadan əvvəl yolu kağız üzərində çəkin, çünki bu, bir gün təxmin etməyə qənaət edir. Qaytma istiqamətini rəsmə daxil edin, çünki insanların yarısı bunu unudur.

Gələn şəxsi son nöqtə digər istiqamətdir

Şəxsi son nöqtə tətbiqi VNet daxilindən əlçatan edir. O, tətbiqin ofisə gedən zəngi üçün heç nə etmir və faktiki tələb əksinə olduğu halda komandalar müntəzəm olaraq birini konfiqurasiya edir.

Köhnə sənədlər öz tələbləri ilə fərqli xüsusiyyət olan nöqtədən-sayta VPN-də qurulmuş şlüz tələb olunan inteqrasiyanı təsvir edir. Microsoft bu xüsusiyyətin 2027-ci il martın 31-nə çıxmasını planlaşdırır və bunun əvəzinə regional inteqrasiyanı tövsiyə edir.

Köhnə bir nümunə istifadə etdiyi üçün köhnə nöqtədən sayta konfiqurasiyanı kopyalamayın.

Tətbiqin öz konteksti ilə doğrulayın

Laptopunuzdan və eyni VNet-dəki VM-dən deyil, yerləşdirilmiş tətbiqdən sınayın. DNS xətası, TCP fasiləsi və üç fərqli sahibdə autentifikasiyadan imtina nöqtəsi olduğu üçün həll edilmiş ünvanı, əlaqə nəticəsini və tətbiq səviyyəsində cavabı ayrıca qeyd edin. Ad həlli uğursuz olarsa, tunelə toxunmazdan əvvəl VNet üçün şəxsi DNS-ni düzəldin.

Yaşıl tunel statusu yalnız şlüzün açıq olduğunu sübut edir. Seçicilər, təhlükəsizlik duvarı qaydaları və ya DNS haqqında heç nə demir.

Sorğu nəhayət işə düşdükdə proqramın runbook-a mənbə diapazonunu, təyinat portunu və DNS zonasını yazın. Bunu aradan qaldıracaq növbəti şəxs şlüzün status səhifəsindən deyil, sizin qeydinizdən başlayacaq.