Sut Mae Ap Gwe Azure yn Cyrraedd Ar y Safle Trwy VPN

Mae cais allan y Web App yn gadael gweithiwr na welwch chi byth, o ffynhonnell na wnaethoch chi ei dewis, ac mae'n rhaid i wal dân y swyddfa ei dderbyn. Dyna’r broblem gyfan mewn un frawddeg. Mae integreiddio VNet rhanbarthol yn rhoi llwybr i'r cais i rwydwaith rhithwir, ac mae'r VPN safle-i-safle yn ei gludo oddi yno. Mae popeth sy'n mynd o'i le wedyn yn ymwneud â pha ystod ffynhonnell a pha lwybr a ddefnyddiodd y pecyn mewn gwirionedd.

Beth mae'r gweithiwr yn ei anfon mewn gwirionedd

Mae App Service yn rhedeg eich cod ar weithwyr sy'n eistedd y tu allan i olwg rhwydwaith eich tanysgrifiad. Gyda integration rhanbarthol wedi'i alluogi, mae traffig allan yn cael ei drosglwyddo i is-rwydwaith dirprwyedig mewn VNet yn yr un rhanbarth, ac mae'r pecyn yn ymddangos yno cyn iddo barhau. Nid yw'r integreiddiad yn symud yr ap i'r VNet ac nid yw'n newid ei gyfeiriad i mewn. Dim ond hop cyntaf gwahanol y mae'n ei roi i lifau allan.

Yn ddiofyn dim ond gofod cyfeiriad preifat sy'n cymryd y llwybr hwnnw, felly mae cyrchfannau rhyngrwyd cyffredin yn dal i adael yn uniongyrchol oddi wrth y gweithiwr. Mae llwybro popeth trwy'r VNet yn osodiad ar wahân ac yn benderfyniad ar wahân, oherwydd mae hefyd yn anfon eich dibyniaethau cyhoeddus ar draws y twnnel.

Mae traffig ffurfweddu, megis tyniad delwedd cynhwysydd wrth gychwyn, yn dilyn ei reolau llwybro ei hun a gall fethu tra bod eich galwadau API yn llwyddo.

Yr is-rwydwaith integreiddio yw'r ffynhonnell y mae'n rhaid i chi ei chaniatáu

Mae'r swyddfa'n gweld ystod cyfeiriadau'r is-rwydwaith integreiddio, neu beth bynnag y mae'ch teclyn yn ei gyfieithu iddo, nid cyfeiriadau allanol cyhoeddus yr ap. Rhowch yr ystod honno i mewn i ddetholwyr traffig VPN y wefan ac yn y rheol wal dân ar y safle. Os yw'r twnnel yn seiliedig ar bolisi, mae dewiswyr sy'n ei hepgor yn gollwng y pecyn hyd yn oed pan fo llwybr yn bodoli.

Peidiwch â chaniatáu cyfeiriad gweithiwr sengl y digwyddoch ei arsylwi. Mae achosion yn newid gyda graddio a chynnal a chadw platfformau, ac mae rheol sydd wedi'i phennu i un cyfeiriad yn torri ar y funud waethaf.

Cadwch ochr y cyrchfan yn gul: un gwasanaeth, un porth, un cyfeiriad, gyda'r llwybr dychwelyd yn cael ei ganiatáu yn benodol.

Mae'r sbecian a'r tramwyfa porth yn amlwg

Os yw porth VPN yn eistedd mewn canolbwynt VNet a'r is-rwydwaith integreiddio mewn adain, mae'r llwybr angen tramwy porth a ganiateir ar yr hyb yn sbecian a defnyddio porth o bell wedi'i alluogi ar y sbecian. Mae edrych ar ei ben ei hun yn cludo traffig rhwng y ddau VNets a dim byd mwy. Y llwybrau effeithiol ar yr is-rwydwaith integreiddio yw lle rydych chi'n cadarnhau bod y porth nesaf yno mewn gwirionedd.

Mae dyluniad canolbwynt-a-siarad y mae ei dabl llwybr yn anfon 0.0.0.0/0 i wal dân yn amrywiad cyffredin, ac mae angen ei reol ei hun wedyn ar y wal dân honno ar gyfer y rhagddodiad ar y safle.

Lluniwch y llwybr ar bapur cyn agor tocyn gyda thîm y rhwydwaith, oherwydd ei fod yn arbed diwrnod o ddyfalu. Cynhwyswch y cyfeiriad dychwelyd yn y llun, gan mai dyna'r hanner mae pobl yn anghofio.

Pwynt terfyn preifat i mewn yw'r cyfeiriad arall

Mae diweddbwynt preifat yn gwneud yr ap yn gyraeddadwy o'r tu mewn i VNet. Nid yw'n gwneud dim ar gyfer galwad allanol yr ap i'r swyddfa, ac mae timau'n ffurfweddu un yn rheolaidd tra bod y gofyniad gwirioneddol i'r gwrthwyneb.

Mae dogfennaeth hŷn yn disgrifio integreiddio sy'n ofynnol wrth borth wedi'i adeiladu ar VPN pwynt-i-safle, nodwedd wahanol â'i gofynion ei hun. Mae Microsoft yn amserlennu ymddeoliad y nodwedd honno ar gyfer Mawrth 31, 2027, ac yn argymell integreiddio rhanbarthol yn lle hynny.

Peidiwch â chopïo ffurfweddiad pwynt-i-safle etifeddiaeth dim ond oherwydd bod hen enghraifft wedi ei ddefnyddio.

Gwiriwch gyda chyd-destun yr ap ei hun

Profwch o'r ap a ddefnyddir, nid o'ch gliniadur ac nid o VM yn yr un VNet. Cofnodwch y cyfeiriad a ddatryswyd, canlyniad y cysylltiad a'r ymateb lefel cais ar wahân, oherwydd methiant DNS, terfyn amser TCP a phwynt gwrthod dilysu mewn tri pherchennog gwahanol. Os bydd datrysiad yr enw yn methu, trwsio DNS preifat ar gyfer y VNet cyn cyffwrdd â'r twnnel.

Mae statws twnnel gwyrdd yn profi bod y porth ar ben. Nid yw'n dweud dim am ddetholwyr, rheolau mur cadarn na DNS.

Pan fydd y cais yn gweithio o'r diwedd, ysgrifennwch yr ystod ffynhonnell, y porthladd cyrchfan a'r parth DNS i lyfr rhedeg yr ap. Bydd y person nesaf i ddadfygio hwn yn cychwyn o'ch nodyn yn hytrach nag o dudalen statws y porth.