Nola iristen den Azure Web App bat VPN baten bidez lokaletara
Bulegoko suebakiak zure integrazio azpisarea ikusten du, ez aplikazioaren helbide publikoa. Konpondu iturri-barrutia, hautatzaileak eta itzulerako bidea tunelari errua bota aurretik.
Web aplikazioaren irteerako eskaerak inoiz ikusten ez duzun langile bat uzten du, zuk aukeratu ez duzun iturri batetik, eta bulegoko suebakiak onartu behar du. Hori da arazo osoa esaldi batean. Eskualdeko VNet integrazioak eskaerari sare birtualerako bidea ematen dio, eta gunez guneko VPNak hortik eramaten du. Ondoren gaizki ateratzen dena da paketeak benetan erabili duen iturburu-barrutiari eta zein bideri buruz.
Langileak benetan bidaltzen duena
App Service-k zure kodea exekutatzen du zure harpidetzaren sarearen ikuspegitik kanpo dauden langileetan. eskualdeko integrazioa gaituta dagoenez, irteerako trafikoa eskuordetutako azpisare batera pasatzen da eskualde bereko VNet batean, eta paketea bertan agertzen da jarraitu aurretik. Integrazioak ez du aplikazioa VNet-era mugitzen eta ez du bere sarrerako helbidea aldatzen. Irteerako fluxuei lehen salto desberdina baino ez zaie ematen.
Lehenespenez, helbide-espazio pribatuak bakarrik hartzen du bide hori, beraz, Interneteko helmuga arruntek langilearengandik zuzenean irteten dira oraindik. Dena VNet bidez bideratzea ezarpen bereizia eta erabaki bereizia da, zure menpekotasun publikoak tunelean zehar bidaltzen dituelako.
Konfigurazio-trafikoak, adibidez, edukiontzien irudiak abiaraztean, bere bideratze-arau propioak jarraitzen ditu eta huts egin dezake zure API deiak arrakastatsuak diren bitartean.
Integrazio azpisarea da baimendu behar duzun iturria
Bulegoak integrazio azpisarearen helbide-barrutia ikusten du, edo zure tresnak itzultzen duen edozein dela ere, ez aplikazioaren irteerako helbide publikoak. Jarri barruti hori guneko VPN-ren trafiko-hautatzaileetan eta lokaleko suebaki-arauan. Tunela politikan oinarritutakoa bada, hau kentzen duten hautatzaileek paketea botatzen dute ibilbide bat dagoenean ere.
Ez utzi behatzen duzun langile-helbide bakar bat. Instantziak eskalatzean eta plataformaren mantentzearekin aldatzen dira, eta helbide batean ainguratuta dagoen arau bat hautsi egiten da une txarrenean.
Mantendu helmuga estua: zerbitzu bat, ataka bat, norabide bat, itzulerako bidea esplizituki baimenduta.
Peering-a eta atebidearen garraioa esplizituak dira
VPN atebidea hub VNet batean kokatzen bada eta integrazio azpisarea spoke batean, bideak hub-parekatzean baimendutako atebidearen garraioa behar du eta urruneko atebidearen erabilera gaituta spoke peering-ean. Berez parekatzeak bi VNeten arteko trafikoa eramaten du eta ezer gehiago. Integrazio azpisareko ibilbide eraginkorrak hurrengo saltoa benetan han dagoela berresten duzun tokian daude.
Bere ibilbide-taulak 0.0.0.0/0 suebaki batera bidaltzen duen hub-and-spoke diseinua aldaera arrunta da, eta suebaki horrek bere araua behar du tokiko aurrizkiarentzat.
Marraztu bidea paperean sareko taldearekin txartela ireki aurretik, asmatzeko egun bat aurrezten baitu. Sartu itzulerako norabidea marrazkian, jendeak ahazten duen erdia baita.
Sarrerako amaiera-puntu pribatua beste norabidea da
Amaiera-puntu pribatu batek aplikazioa VNet baten barruan eskura daiteke. Ez du ezer egiten aplikazioak bulegorako irteerako deiak egiteko, eta taldeek aldizka konfiguratzen dute bat, benetako eskakizuna alderantzizkoa den bitartean.
Dokumentazio zaharragoek atebiderako beharrezkoa den integrazioa deskribatzen du puntutik guneko VPNn eraikitakoa, bere eskakizunak dituen beste funtzio bat. Microsoft-ek eginbide horren erretiroa 2027ko martxoaren 31rako programatzen du eta, horren ordez, eskualdeko integrazioa gomendatzen du.
Ez kopiatu puntuz guneko konfigurazio zaharra adibide zahar batek erabili zuelako soilik.
Egiaztatu aplikazioaren testuinguruarekin
Probatu inplementatutako aplikaziotik, ez zure ordenagailu eramangarritik eta ez VNet bereko VM batetik. Ebatzitako helbidea, konexioaren emaitza eta aplikazio-mailako erantzuna bereizita erregistratu, DNS hutsegite bat, TCP denbora-muga bat eta autentifikazio-ukatze-puntua hiru jabe desberdinetan. Izenaren ebazpenak huts egiten badu, konpondu DNS pribatua VNet-erako tunela ukitu aurretik.
Tunela berdearen egoerak atea martxan dagoela frogatzen du. Ez du ezer esaten hautatzaileei, suebaki-arauei edo DNS-i buruz.
Eskaerak azkenean funtzionatzen duenean, idatzi iturburu-barrutia, helmuga-ataka eta DNS eremua aplikazioaren runbook-en. Hau arazketa egingo duen hurrengo pertsona zure oharretik hasiko da atebidearen egoera-orritik beharrean.