Πώς μια εφαρμογή Ιστού Azure φτάνει στις εγκαταστάσεις μέσω ενός VPN

Το εξερχόμενο αίτημα της εφαρμογής Ιστού αφήνει έναν εργαζόμενο που δεν βλέπετε ποτέ, από μια πηγή που δεν επιλέξατε, και το τείχος προστασίας του γραφείου πρέπει να το αποδεχτεί. Αυτό είναι όλο το πρόβλημα σε μια φράση. Η περιφερειακή ενοποίηση VNet δίνει στο αίτημα μια διαδρομή σε ένα εικονικό δίκτυο και το VPN από τοποθεσία σε τοποθεσία τη μεταφέρει από εκεί. Όλα όσα πηγαίνουν στραβά στη συνέχεια αφορούν το εύρος της πηγής και ποια διαδρομή χρησιμοποίησε πραγματικά το πακέτο.

Τι πραγματικά στέλνει ο εργαζόμενος

Η Υπηρεσία Εφαρμογής εκτελεί τον κώδικά σας σε εργαζόμενους που βρίσκονται εκτός της προβολής δικτύου της συνδρομής σας. Με ενεργοποιημένη την τοπική ενοποίηση, η εξερχόμενη κυκλοφορία παραδίδεται σε ένα εξουσιοδοτημένο υποδίκτυο σε ένα VNet στην ίδια περιοχή και το πακέτο εμφανίζεται εκεί πριν συνεχιστεί. Η ενοποίηση δεν μετακινεί την εφαρμογή στο VNet και δεν αλλάζει την εισερχόμενη διεύθυνση. Δίνει μόνο στις εξερχόμενες ροές ένα διαφορετικό πρώτο βήμα.

Από προεπιλογή, μόνο ο χώρος ιδιωτικών διευθύνσεων ακολουθεί αυτή τη διαδρομή, επομένως οι συνηθισμένοι προορισμοί στο Διαδίκτυο εξακολουθούν να φεύγουν απευθείας από τον εργαζόμενο. Η δρομολόγηση των πάντων μέσω του VNet είναι μια ξεχωριστή ρύθμιση και μια ξεχωριστή απόφαση, επειδή στέλνει επίσης τις δημόσιες εξαρτήσεις σας στο τούνελ.

Η επισκεψιμότητα διαμόρφωσης, όπως η λήψη εικόνας κοντέινερ κατά την εκκίνηση, ακολουθεί τους δικούς της κανόνες δρομολόγησης και μπορεί να αποτύχει όσο οι κλήσεις σας API είναι επιτυχημένες.

Το υποδίκτυο ενοποίησης είναι η πηγή που πρέπει να επιτρέψετε

Το γραφείο βλέπει το εύρος διευθύνσεων του υποδικτύου ενσωμάτωσης ή ό,τι το μεταφράζει η συσκευή σας, όχι τις δημόσιες εξερχόμενες διευθύνσεις της εφαρμογής. Τοποθετήστε αυτό το εύρος στους επιλογείς επισκεψιμότητας του ιστότοπου VPN και στον κανόνα του τείχους προστασίας εσωτερικής εγκατάστασης. Εάν η σήραγγα βασίζεται σε πολιτικές, επιλογείς που την παραλείπουν απορρίπτουν το πακέτο ακόμα και όταν υπάρχει μια διαδρομή.

Μην επιτρέπετε ούτε μία διεύθυνση εργαζομένου που έτυχε να παρατηρήσετε. Τα στιγμιότυπα αλλάζουν με την κλιμάκωση και τη συντήρηση της πλατφόρμας και ένας κανόνας που είναι καρφιτσωμένος σε μία διεύθυνση σπάει τη χειρότερη στιγμή.

Διατηρήστε στενή την πλευρά προορισμού: μία υπηρεσία, μία θύρα, μία κατεύθυνση, με τη διαδρομή επιστροφής να επιτρέπεται ρητά.

Η ανταλλαγή απόψεων και η μεταφορά πύλης είναι σαφείς

Εάν η πύλη VPN βρίσκεται σε έναν διανομέα VNet και το υποδίκτυο ενσωμάτωσης σε μια ακτίνα, η διαδρομή πρέπει να επιτρέπεται η μεταφορά πύλης στην ομότιμη κίνηση του διανομέα και η χρήση απομακρυσμένης πύλης να είναι ενεργοποιημένη στην ομοτίμηση ακτίνας. Το peering από μόνο του μεταφέρει κίνηση μεταξύ των δύο VNet και τίποτα περισσότερο. Οι αποτελεσματικές διαδρομές στο υποδίκτυο ενσωμάτωσης είναι εκεί που επιβεβαιώνετε ότι η πύλη του επόμενου άλματος είναι πραγματικά εκεί.

Ένα σχέδιο hub-and-spoke του οποίου ο πίνακας δρομολογίων στέλνει 0.0.0.0/0 σε ένα τείχος προστασίας είναι μια κοινή παραλλαγή και αυτό το τείχος προστασίας χρειάζεται στη συνέχεια τον δικό του κανόνα για το πρόθεμα εσωτερικής εγκατάστασης.

Σχεδιάστε τη διαδρομή σε χαρτί πριν ανοίξετε ένα εισιτήριο με την ομάδα του δικτύου, γιατί εξοικονομεί μια μέρα εικασιών. Συμπεριλάβετε την κατεύθυνση επιστροφής στο σχέδιο, καθώς αυτό είναι το μισό που ξεχνούν οι άνθρωποι.

Το εισερχόμενο ιδιωτικό τελικό σημείο είναι η άλλη κατεύθυνση

Ένα ιδιωτικό τελικό σημείο καθιστά την εφαρμογή προσβάσιμη μέσα από ένα VNet. Δεν κάνει τίποτα για την εξερχόμενη κλήση της εφαρμογής στο γραφείο και οι ομάδες διαμορφώνουν τακτικά μία ενώ η πραγματική απαίτηση ήταν το αντίστροφο.

Η παλαιότερη τεκμηρίωση περιγράφει την ενσωμάτωση που απαιτείται για την πύλη που βασίζεται σε VPN από σημείο σε τοποθεσία, μια διαφορετική δυνατότητα με τις δικές της απαιτήσεις. Η Microsoft προγραμματίζει την απόσυρση αυτής της δυνατότητας για τις 31 Μαρτίου 2027 και προτείνει την περιφερειακή ενοποίηση.

Μην αντιγράψετε μια παλαιού τύπου διαμόρφωση point-to-site μόνο και μόνο επειδή τη χρησιμοποιούσε ένα παλιό παράδειγμα.

Επαληθεύστε με το περιβάλλον της εφαρμογής

Δοκιμάστε από την αναπτυγμένη εφαρμογή, όχι από τον φορητό υπολογιστή σας και όχι από εικονική μηχανή στο ίδιο VNet. Καταγράψτε την επιλυμένη διεύθυνση, το αποτέλεσμα σύνδεσης και την απόκριση σε επίπεδο εφαρμογής ξεχωριστά, επειδή αποτυχία DNS, χρονικό όριο TCP και σημείο απόρριψης ελέγχου ταυτότητας σε τρεις διαφορετικούς κατόχους. Εάν η ανάλυση ονόματος αποτύχει, διορθώστε το ιδιωτικό DNS για το VNet πριν αγγίξετε τη σήραγγα.

Η κατάσταση πράσινης σήραγγας αποδεικνύει μόνο ότι η πύλη είναι ανοιχτή. Δεν λέει τίποτα για επιλογείς, κανόνες τείχους προστασίας ή DNS.

Όταν τελικά το αίτημα λειτουργήσει, γράψτε την περιοχή προέλευσης, τη θύρα προορισμού και τη ζώνη DNS στο βιβλίο εκτέλεσης της εφαρμογής. Το επόμενο άτομο που θα διορθώσει αυτό το σφάλμα θα ξεκινήσει από τη σημείωσή σας αντί από τη σελίδα κατάστασης της πύλης.