Як вэб-праграма Azure дасягае лакальнай сеткі праз VPN
Офісны брандмаўэр бачыць вашу інтэграцыйную падсетку, а не публічны адрас праграмы. Выпраўце зыходны дыяпазон, селектары і зваротны шлях, перш чым вінаваціць тунэль.
Выходны запыт вэб-праграмы пакідае працоўнага, якога вы ніколі не бачыце, з крыніцы, якую вы не выбіралі, і офісны брандмаўэр павінен яго прыняць. Вось і ўся праблема ў адным сказе. Рэгіянальная інтэграцыя VNet дае запыту шлях у віртуальную сетку, а VPN "сайт-сайт" пераносіць яго адтуль. Усё, што потым пойдзе не так, залежыць ад дыяпазону крыніцы і маршруту, які фактычна выкарыстоўваў пакет.
Што насамрэч дасылае рабочы
Служба прыкладанняў запускае ваш код на рабочых, якія знаходзяцца па-за сеткавым праглядам вашай падпіскі. Пры ўключанай рэгіянальнай інтэграцыі выходны трафік перадаецца ў дэлегаваную падсетку ў віртуальнай сетцы ў тым жа рэгіёне, і пакет з'яўляецца там перад тым, як працягнуць. Інтэграцыя не перамяшчае праграму ў віртуальную сетку і не змяняе яе ўваходны адрас. Гэта толькі дае выходным патокам іншы першы скачок.
Па змаўчанні гэты шлях праходзіць толькі прыватная адрасная прастора, так што звычайныя інтэрнэт-адрасы па-ранейшаму адпраўляюцца непасрэдна ад рабочага. Маршрутызацыя ўсяго праз VNet з'яўляецца асобнай наладай і асобным рашэннем, таму што яна таксама адпраўляе вашы агульнадаступныя залежнасці праз тунэль.
Трафік канфігурацыі, напрыклад спасылка выявы кантэйнера пры запуску, прытрымліваецца ўласных правілаў маршрутызацыі і можа выйсці з ладу, калі вашы выклікі API выконваюцца паспяхова.
Інтэграцыйная падсетка - гэта крыніца, якую вы павінны дазволіць
Офіс бачыць дыяпазон адрасоў падсеткі інтэграцыі або тое, у што ваша прылада перакладае яго, а не агульнадаступныя выходныя адрасы прыкладання. Змесціце гэты дыяпазон у селектары трафіку сайта VPN і ў правіла лакальнага брандмаўэра. Калі тунэль заснаваны на палітыцы, селектары, якія прапускаюць яго, адмяняюць пакет, нават калі існуе маршрут.
Не дазваляйце назіраць за адным адрасам работніка. Экземпляры змяняюцца з маштабаваннем і абслугоўваннем платформы, і правіла, замацаванае на адным адрасе, парушаецца ў самы горшы момант.
Трымайце бок прызначэння вузкім: адна служба, адзін порт, адзін кірунак, з выразным дазволам зваротнага шляху.
Пірінг і транзіт праз шлюз відавочныя
Калі шлюз VPN знаходзіцца ў віртуальнай сетцы-канцэнтратары, а інтэграцыйная падсетка - у вузлавой сеткі, для гэтага шляху патрабуецца дазвол транзіту праз шлюз на пірынгу-канцэнтратары і ўключэнне выкарыстання аддаленага шлюза на аднарангавым узроўні. Пірынг сам па сабе пераносіць трафік паміж двума віртуальнымі сеткамі і нічога больш. Эфектыўныя маршруты ў падсетцы інтэграцыі - гэта тыя месцы, дзе вы пацвярджаеце, што наступны шлюз сапраўды ёсць.
Распаўсюджаным варыянтам з'яўляецца канцэнтратар і спіца, табліца маршрутаў якой адпраўляе 0.0.0.0/0 на брандмаўэр, і тады брандмаўэр патрабуе ўласнага правіла для лакальнага прэфікса.
Намалюйце шлях на паперы перад адкрыццём білета з сеткавай камандай, таму што гэта зэканоміць дзень ад здагадак. Уключыце кірунак вяртання ў чарцёж, бо пра гэта палова людзей забывае.
Уваходная прыватная канчатковая кропка - іншы кірунак
Прыватная канчатковая кропка робіць праграму даступнай знутры віртуальнай сеткі. Ён нічога не робіць для выходных выклікаў праграмы ў офіс, і каманды рэгулярна наладжваюць адзін з іх, у той час як фактычнае патрабаванне было адваротным.
Старая дакументацыя апісвае неабходную для шлюза інтэграцыю, пабудаваную на базе VPN кропка-сайт, іншую функцыю з уласнымі патрабаваннямі. Microsoft запланавала спыненне гэтай функцыі на 31 сакавіка 2027 г. і рэкамендуе замест гэтага рэгіянальную інтэграцыю.
Не капіруйце старую канфігурацыю "кропка-сайт" толькі таму, што яна выкарыстоўвалася ў старым прыкладзе.
Праверце з уласным кантэкстам прыкладання
Праверце з разгорнутай праграмы, а не з ноўтбука і не з віртуальнай машыны ў той жа віртуальнай сетцы. Рэгіструйце развязаны адрас, вынік злучэння і адказ на ўзроўні прыкладання паасобку, таму што збой DNS, тайм-аўт TCP і адхіленне аўтэнтыфікацыі паказваюць на трох розных уладальнікаў. Калі раздзяленне імёнаў не атрымоўваецца, выпраўце прыватны DNS для віртуальнай сеткі, перш чым дакранацца да тунэлю.
Зялёны статус тунэля сведчыць толькі пра тое, што шлюз працуе. Тут нічога не сказана пра селектары, правілы брандмаўэра або DNS.
Калі запыт нарэшце спрацуе, запішыце зыходны дыяпазон, порт прызначэння і зону DNS у праграму Runbook. Наступны чалавек, які адладзіць гэта, пачне з вашай нататкі, а не са старонкі стану шлюза.