Kuidas Azure'i veebirakendus VPN-i kaudu kohapealse jõuab

Veebirakenduse väljaminev päring jätab töötaja, keda te kunagi ei näe, allikast, mida te ei valinud, ja kontori tulemüür peab selle vastu võtma. Selles on kogu probleem ühes lauses. Piirkondlik VNeti integreerimine annab päringule tee virtuaalsesse võrku ja saitidevaheline VPN kannab selle sealt edasi. Kõik, mis hiljem valesti läheb, puudutab seda, millist allikavahemikku ja millist marsruuti pakett tegelikult kasutas.

Mida töötaja tegelikult saadab

App Service käitab teie koodi töötajatel, kes asuvad väljaspool teie tellimuse võrguvaadet. Kui piirkondlik integratsioon on lubatud, suunatakse väljaminev liiklus sama piirkonna VNeti delegeeritud alamvõrku ja pakett kuvatakse seal enne selle jätkamist. Integreerimine ei teisalda rakendust VNeti ega muuda selle sissetulevat aadressi. See annab ainult väljuvatele voogudele erineva esimese hüppe.

Vaikimisi kasutab seda teed ainult privaatne aadressiruum, nii et tavalised Interneti-sihtkohad lahkuvad ikkagi otse töötajalt. Kõikide VNeti kaudu marsruutimine on eraldi seade ja eraldi otsus, kuna see saadab ka teie avalikud sõltuvused üle tunneli.

Konfiguratsiooniliiklus, nagu konteineri kujutise tõmbamine käivitamisel, järgib oma marsruutimisreegleid ja võib teie API-kutsete õnnestumise ajal nurjuda.

Integratsiooni alamvõrk on allikas, mille peate lubama

Kontor näeb integratsiooni alamvõrgu aadressivahemikku või seda, milleks teie seade selle tõlgib, mitte rakenduse avalikke väljaminevaid aadresse. Lisage see vahemik saidi VPN-i liikluse valijatesse ja asutusesisese tulemüüri reeglisse. Kui tunnel on poliitikapõhine, kukutavad valijad, mis selle välja jätavad, paketi isegi siis, kui marsruut on olemas.

Ära luba ühtki töötaja aadressi, mida juhtusid jälgima. Eksemplarid muutuvad skaleerimise ja platvormi hooldusega ning ühele aadressile kinnitatud reegel puruneb halvimal hetkel.

Hoidke sihtkoha pool kitsas: üks teenus, üks sadam, üks suund, kusjuures tagasitee on selgesõnaliselt lubatud.

Peering ja lüüsi transiit on selgesõnalised

Kui VPN-lüüs asub jaoturi VNetis ja integratsiooni alamvõrk kodaras, vajab tee lüüsi transiiti, mis on lubatud jaoturi ühisturul ja kauglüüsi kasutamine on kodarvõrgus lubatud. Piilumine iseenesest viib liikluse kahe VNeti vahel ja ei midagi enamat. Integratsiooni alamvõrgu tõhusad marsruudid on koht, kus kinnitate, et järgmise hüppe lüüs on tõesti olemas.

Jaoturi ja kodaraga kujundus, mille marsruuditabel saadab tulemüürile 0.0.0.0/0, on levinud variant ja see tulemüür vajab siis asutusesisese eesliite jaoks oma reeglit.

Enne võrgumeeskonnaga pileti avamist joonistage paberile tee, sest see säästab päeva äraarvamistest. Kaasake joonisele tagasipöördumissuund, kuna see on pool, mille inimesed unustavad.

Sissetulev privaatne lõpp-punkt on teine suund

Privaatne lõpp-punkt muudab rakenduse VNeti seest juurdepääsetavaks. See ei mõjuta rakenduse kontorisse väljamineva kõne puhul midagi ja meeskonnad konfigureerivad seda regulaarselt, kuigi tegelik nõue oli vastupidine.

Vanemas dokumentatsioonis kirjeldatakse lüüsi nõutavat integratsiooni, mis on üles ehitatud punkt-saidi VPN-ile, mis on erinev funktsioon, millel on oma nõuded. Microsoft ajastab selle funktsiooni kasutusest kõrvaldamise 31. märtsiks 2027 ja soovitab selle asemel piirkondlikku integratsiooni.

Ärge kopeerige pärand-punkt-saidi konfiguratsiooni lihtsalt sellepärast, et seda kasutas vana näide.

Kinnitage rakenduse enda kontekstis

Testige juurutatud rakendusest, mitte sülearvutist ega sama VNeti virtuaalmasinast. Logige lahendatud aadress, ühenduse tulemus ja rakendustaseme vastus eraldi, kuna DNS-i tõrge, TCP ajalõpp ja autentimise tagasilükkamise punkt kolmel erineval omanikul. Kui nime lahendamine ebaõnnestub, parandage enne tunneli puudutamist VNeti privaatne DNS.

Roheline tunneli olek näitab ainult, et lüüs on üleval. See ei ütle midagi selektorite, tulemüürireeglite ega DNS-i kohta.

Kui taotlus lõpuks toimib, kirjutage allika vahemik, sihtport ja DNS-tsoon rakenduse käsiraamatusse. Järgmine inimene, kes seda silub, alustab teie märkusest, mitte lüüsi olekulehelt.