Cyrraedd ap Container Apps preifat dros VPN pwynt-i-safle
Mae amgylchedd mewnol Container Apps angen mynedfa breifat, enw gwesteiwr cyfatebol a datryswr y gall y VPN ei gyrraedd. Rhedegwch bob cam, yna gwiriwch y gwrthodiad.
Mae'r llawlyfr hwn yn ymdrin ag amgylchedd Container Apps â phroffiliau llwyth gwaith ac â mynedfa rhwydwaith rhithwir fewnol, y ceir mynediad iddo o liniadur dros VPN pwynt-i-safle a gymeradwywyd, gan ddefnyddio FQDN uniongyrchol yr ap a heb lwybrau HTTP ar lefel amgylchedd. mae mynedfa'r amgylchedd yn gyraeddadwy o'r cleient, mae cwmpas ingress yr ap yn derbyn y galwr, ac mae enw'r gwesteiwr yn datrys i'r fynedfa breifat. Mae pob cam isod yn gadael canlyniad gwirio a neilltuo nad yw'n cyffwrdd â dim na wnaethoch ei newid. Gweithiwch drwyddynt yn y drefn a roddwyd, oherwydd ni all unrhyw gam diweddarach wneud iawn am benderfyniad cwmpas a wnaed yn anghywir yng ngham 1.
Cyn i chi gyffwrdd â DNS, setlwch y gair mewnol. Fe'i defnyddir ar gyfer dau gwmpas gwahanol yn y cynnyrch hwn, a'r ffordd fwyaf cyffredin y mae enw gweithio yn dal i ddychwelyd dim defnyddiol yw eu cyfnewid.
Cam 1: sefydlu cwmpas yr amgylchedd a'r ap
Darllenwch ffurfweddiad ingress yr ap cyn newid unrhyw gofnod:
| Setting | Boundary |
|---|---|
| Internal environment | The environment entry is reached through its private network arrangement |
| App with internal ingress | Callers from the environment VNet only; a VPN laptop qualifies once it has a route into that VNet and the domain resolves privately |
| App with external ingress in an internal environment | The app accepts outside traffic through the environment's private entry |
Mae ingress mewnol yn cael ei ddatguddio ar falansydd llwyth mewnol yr amgylchedd y tu mewn i VNet yr amgylchedd, felly nid yw'r cwestiwn ynghylch a yw'r liniadur yn ap cynhwysydd arall, ond a all gyrraedd y VNet honno. Mae cleient VPN sydd â llwybr i mewn i'r VNet ac â pharth diofyn yr amgylchedd yn datrys trwy'r parth preifat yn alwr cymwys, a dyna'n union y mae'r camau sy'n weddill yn ei adeiladu. Mae amgylchedd mewnol heb fynedfa gyhoeddus yn ffaith wahanol i ap ag ingress mewnol, ac nid yw ingress allanol ar lefel ap yn rhoi drws cyhoeddus i'r amgylchedd. Ysgrifennwch y cwmpas yn y tocyn yn ogystal â'r porth, oherwydd mae'r peiriannydd nesaf yn darllen y tocyn yn gyntaf.
Cadarnhewch y cwmpas hwnnw gyda pherchennog y ffurfweddiad cyn parhau, a chadwch y giât yn gul: os nad oes llwybr i mewn i VNet yr amgylchedd, neu os nad yw parth diofyn yr amgylchedd yn datrys trwy'r parth preifat, stopiwch a thrwsiwch y llwybr hwnnw gyntaf. Ni all unrhyw gam diweddarach gynnig yn lle alwr na all gyrraedd y VNet na datrys yr enw.
Cam 2: casglu'r gwir enw gwesteiwr a chyfeiriad y fynedfa
Cofnodwch barth diofyn yr amgylchedd, ei gyfeiriad mynedfa breifat statig a FQDN ffurfweddedig yr ap, wedi'u cymryd o'r adnodd yn hytrach nag o sgrinlun hen neu dudalen wici:
az containerapp env show -n ENV -g RG \
--query "{domain:properties.defaultDomain, ip:properties.staticIp}"
az containerapp show -n APP -g RG \
--query "properties.configuration.ingress.fqdn"Mae'r canllaw mynedfa breifat Container Apps yn disgrifio paru parth yr amgylchedd â'i gyfeiriad mewnol tra'n cadw enwau gwesteiwr y cymhwysiad yn gyfan. Dyma'n union y siâp yr ydych yn ei adeiladu â llaw yma, felly aliniwch gynnwys y parth ag ef yn lle dyfeisio cynllun enwi newydd.
Os nad yw'r parth a ddarllenoch yn cyfateb i'r FQDN y mae'r ap yn ei adrodd, stopiwch a chymodwch nhw nawr. Mae adeiladu parth ar y rhagddodiad anghywir yn cynhyrchu enw gwesteiwr sy'n datrys yn berffaith ac yn dal i lanio ar y gwesteiwr rhithwir anghywir.
Cam 3: rhoi'r parth preifat ar lwybr datryswr y VPN
Crëwch neu ailddefnyddiwch y parth DNS preifat a gefnogir ar gyfer gwir barth diofyn yr amgylchedd, gyda'r cofnodion nod gwyllt a chyfeiriad dogfennedig yn pwyntio at y fynedfa statig. Cysylltwch y parth hwnnw â'r rhwydwaith rhithwir priodol, a gwnewch yr awdurdod preifat yn gyraeddadwy trwy lwybr datryswr cymeradwy'r VPN yn hytrach na chymryd yn ganiataol bod y cyswllt yn ddigon.
Mae cleient pwynt-i-safle fel arfer angen pwynt terfyn mewnol datryswr preifat neu anfonwr DNS a gefnogir i gyrraedd y parth hwnnw. Mae cysylltu parth yn newid yr hyn y mae Azure yn ei ddatrys ar gyfer rhwydweithiau cysylltiedig; nid yw'n ailgyfeirio datryswr cyhoeddus pob liniadur allanol. Peidiwch ag amnewid parth DNS pwynt terfyn preifat a fenthycwyd o fodel rhwydwaith Container Apps gwahanol, oherwydd ni fydd enwau'r cofnodion a rhagddodiad y parth yn cyd-fynd.
Y neilltuo ar gyfer y cam hwn yw tynnu cyswllt y parth neu'r cofnod a ychwanegoch. Cadwch nodyn o ba un oedd hi, oherwydd mae dileu parth a rennir i ddatwneud un cyswllt yn ffordd adnabyddus o dorri ail amgylchedd.
Cam 4: profi'r enw, yna'r gynulleidfa a wrthodwyd
Profwch yr enw gwesteiwr a hunaniaeth TLS gyda'i gilydd, nid y cyfeiriad yn unig. Ar gyfer diagnosteg mapio enwau a reolir gallwch binio'r cyfeiriad tra'n cadw'r enw gwesteiwr:
curl --resolve app.ENVIRONMENT_DOMAIN:443:10.40.0.10 \
https://app.ENVIRONMENT_DOMAIN/Amnewidiwch yr enw gwesteiwr â gwir FQDN yr ap a'r cyfeiriad â'r wir fynedfa fewnol. Mae hyn yn effeithio ar yr un cais hwnnw ac nid yw'n darparu DNS. Peidiwch ag ychwanegu -k i droi methiant hunaniaeth yn bas ymddangosiadol, oherwydd anghysondeb tystysgrif yw'r arwydd eich bod yn taro'r gwrandawr anghywir.
Gall gofyn am y cyfeiriad rhifol yn uniongyrchol ddewis y gwesteiwr rhithwir anghywir neu fethu â dilysu hyd yn oed tra bod TCP 443 yn ateb, felly triniwch brawf IP llwyddiannus fel tystiolaeth am y rhwydwaith a dim mwy. O'r liniadur arfaethedig, y llwybr datryswr arferol yw anfonwr DNS y cleient neu bwynt terfyn mewnol y datryswr preifat sy'n cynnal y parth, ac mae methiant yno'n broblem cyraeddadwyedd datryswr yn hytrach na chofnod ar goll. Cadarnhewch fod yr un cais yn llwyddo ar y llwybr hwnnw, yna cadarnhewch fod y gynulleidfa a wrthodwyd yn dal i gael ei gwrthod.
Beth i'w gofnodi, a beth i'w neilltuo
Mae porthladd targed y cynhwysydd a phorthladd HTTPS y cleient yn osodiadau ar wahân. Peidiwch â chyhoeddi porthladd targed y cynhwysydd ar draws y VPN oherwydd bod y cynhwysydd yn gwrando yno, a pheidiwch ag ymestyn rheol rhwydwaith i wneud i brawf porthladd basio. Mae'r ddau newid yn goroesi'r digwyddiad ac yn anodd eu priodoli yn ddiweddarach.
Gorffennwch â gweithrediad cymhwysiad newydd o'r liniadur arfaethedig, gan ddefnyddio ei hunaniaeth awdurdodedig a'i DNS arferol, yna gwiriwch fod alwr heb awdurdod yn dal i fethu. Tra byddwch yn ffurfweddiad yr ap, cadarnhewch hefyd a yw llwybr HTTP ar lefel amgylchedd yn datguddio'r ap hwn fel targed, oherwydd mae'r llwybr hwnnw'n ail ddrws nad yw cwmpas ingress yn ei ddisgrifio.
Cofnodwch bum gwerth gyda'i gilydd: cwmpas yr amgylchedd, cwmpas ingress yr ap, FQDN, cyfeiriad y fynedfa breifat a pherchennog y datryswr. Mae'r pump hynny'n disgrifio'r contract mynediad cyfan, a bydd y person nesaf i'w dadfygio yn gofyn amdanynt yn union.