Sartu Container Apps aplikazio pribatu batera puntutik gunera VPN baten bidez
Container Apps ingurune interno batek sarrera pribatu bat, bat datozen ostalari-izena eta VPNak irits dezakeen ebazlea behar ditu. Exekutatu urrats bakoitza, eta gero egiaztatu ukoa.
Gida honek lan-karga profileko Container Apps ingurune bat estaltzen du, barne-sare birtualeko sarrera batekin, ordenagailu eramangarri batetik onartutako puntutik gunera VPN baten bidez iristen dena, aplikazioaren FQDN zuzena erabiliz eta ingurune mailako HTTP ibilbiderik gabe. inguruneko sarrera bezerotik irisgarria da, aplikazioaren sarrerako esparruak deitzailea onartzen du, eta ostalari-izena sarrera pribatura ebazten da. Beheko urrats bakoitzak egiaztagarria den emaitza bat eta aldatu ez duzun ezer ukitzen ez duen atzera-jotze bat uzten ditu. Zehaztutako ordenan egin behar dira, geroagoko inongo urratsek ezin duelako 1. urratsean gaizki hartutako esparru-erabakia konpentsatu.
DNS ukitu aurretik, argitu interno hitza. Produktu honetan bi esparru ezberdinetarako erabiltzen da, eta haiek trukatzea da funtzionatzen duen izen batek oraindik ezer erabilgarririk itzultzen ez duelako arrazoi ohikoena.
1. urratsa: finkatu ingurunearen eta aplikazioaren esparrua
Irakurri aplikazioaren sarrerako konfigurazioa edozein erregistro aldatu aurretik:
| Setting | Boundary |
|---|---|
| Internal environment | The environment entry is reached through its private network arrangement |
| App with internal ingress | Callers from the environment VNet only; a VPN laptop qualifies once it has a route into that VNet and the domain resolves privately |
| App with external ingress in an internal environment | The app accepts outside traffic through the environment's private entry |
Sarrera internua ingurunearen barneko karga-balantzeagailuan agertzen da ingurunearen VNet barruan, beraz, galdera ez da ordenagailu eramangarria beste kontainer-aplikazio bat den, baizik eta VNet horretara irits daitekeen. VNet-era ibilbidea duen eta ingurunearen domeinu lehenetsia zona pribatuaren bidez ebazten den VPN bezeroa deitzaile egokia da, eta gainerako urratsek horixe eraikitzen dute. Sarrera publikorik gabeko barne-ingurunea beste gertaera bat da sarrera internua duen aplikazio batena baino, eta aplikazio mailako kanpo-sarrerak ez dio inguruneari ate publikorik ematen. Idatzi esparrua tiketan zein atarian, hurrengo ingeniariak tiketa irakurtzen baitu lehenengo.
Egiaztatu esparru hori konfigurazioaren jabearekin jarraitu aurretik, eta eduki atea estu: ingurunearen VNet-era ibilbiderik ez badago, edo ingurunearen domeinu lehenetsia zona pribatuaren bidez ebazten ez bada, gelditu eta konpondu lehenengo bide hori. Geroagoko inongo urratsek ezin dute VNet-era iritsi edo izena ebatzi ezin duen deitzaile bat ordezkatu.
2. urratsa: bildu benetako ostalari-izena eta sarrera-helbidea
Idatzi ingurunearen domeinu lehenetsia, haren sarrera-helbide pribatu estatikoa eta aplikazioaren konfiguratutako FQDN, baliabidetik hartuta, ez pantaila-kaptura zahar batetik edo wiki orri batetik:
az containerapp env show -n ENV -g RG \
--query "{domain:properties.defaultDomain, ip:properties.staticIp}"
az containerapp show -n APP -g RG \
--query "properties.configuration.ingress.fqdn"Container Apps-en sarrera pribatuaren gidak ingurunearen domeinua haren barne-helbidearekin bat egitea deskribatzen du, aplikazioaren ostalari-izenak osorik mantenduz. Hori da hemen eskuz eraikitzen ari zaren forma zehatza, beraz, lerrokatu zonaren edukia harekin, izendatze-eskema berri bat asmatu beharrean.
Irakurri duzun domeinua aplikazioak ematen duen FQDNarekin bat ez badator, gelditu eta adostu orain. Sufix oker baten gainean zona eraikitzeak primeran ebazten den eta hala ere ostalari birtual okerrean lurreratzen den ostalari-izen bat sortzen du.
3. urratsa: jarri zona pribatua VPNaren ebazle-bidean
Sortu edo erabili berriro ingurunearen benetako domeinu lehenetsirako onartutako DNS zona pribatua, dokumentatutako komodin eta helbide erregistroek sarrera estatikoa seinalatzen dutela. Lotu zona hori dagokion sare birtualarekin, eta egin autoritate pribatua irisgarri VPNaren onartutako ebazle-bidearen bidez, lotura nahikoa dela suposatu beharrean.
Puntutik gunera bezero batek normalean ebazle pribatu baten sarrerako amaiera-puntua edo onartutako DNS birbidaltzailea behar ditu zona horretara iristeko. Zona bat lotzeak Azurek lotutako sareetarako ebazten duena aldatzen du; ez du kanpoko ordenagailu eramangarri bakoitzaren ebazle publikoa birbideratzen. Ez ordezkatu Container Apps sare-eredu ezberdin batetik mailegatutako amaiera-puntu pribatuko DNS zona batekin, erregistroen izenak eta zonaren sufixoa ez baitira bat etorriko.
Urrats honen atzera-jotzea gehitu duzun zona-lotura edo erregistroa kentzea da. Idatzi bietatik zein zen, zona partekatu bat ezabatzea lotura bakarra desegiteko bigarren ingurune bat hausteko modu ezaguna baita.
4. urratsa: probatu izena, gero ukatutako publikoa
Probatu ostalari-izena eta TLS identitatea elkarrekin, ez helbidea soilik. Izen-mapping diagnostiko kontrolatu baterako helbidea aingura dezakezu ostalari-izena mantenduz:
curl --resolve app.ENVIRONMENT_DOMAIN:443:10.40.0.10 \
https://app.ENVIRONMENT_DOMAIN/Ordeztu ostalari-izena aplikazioaren benetako FQDNarekin eta helbidea benetako barne-sarrerarekin. Honek eskaera hori baino ez du eragiten eta ez da DNS hornikuntza. Ez gehitu -k identitate-hutsegite bat itxurazko arrakasta bihurtzeko, ziurtagiriaren desadostasuna entzule okerra jotzen ari zarelako seinalea baita.
Helbide numerikoa zuzenean eskatzeak ostalari birtual okerra hautatu dezake edo balidazioak huts egin dezake TCP 443 erantzuten ari den bitartean ere, beraz, hartu IP proba arrakastatsu bat sareari buruzko froga gisa eta ez gehiago. Xedatutako ordenagailu eramangarritik, ebazle-bide normala bezeroaren DNS birbidaltzailea edo zona ostatatzen duen ebazle pribatuaren sarrerako amaiera-puntua da, eta hango hutsegitea ebazlearen irisgarritasun arazoa da, ez falta den erregistro bat. Egiaztatu eskaera bera bide horretan arrakastatsua dela, eta gero egiaztatu ukatutako publikoa oraindik ukatuta dagoela.
Zer erregistratu eta zer atzera bota
Kontainerraren helburu-portua eta bezeroaren HTTPS portua ezarpen bereiziak dira. Ez argitaratu kontainerraren helburu-portua VPNaren bidez kontainerrak han entzuten duelako, eta ez zabaldu sare-arau bat portu-proba bat pasa dadin. Bi aldaketek gertaeraren ondoren irauten dute eta geroago zailak dira egiaztatzeko.
Amaitu aplikazio-eragiketa berri batekin xedatutako ordenagailu eramangarritik, haren identitate baimendua eta DNS normala erabiliz, eta gero egiaztatu baimenik gabeko deitzaile batek oraindik huts egiten duela. Aplikazioaren konfigurazioan zauden bitartean, egiaztatu ere ingurune mailako HTTP ibilbide batek aplikazio hau helburu gisa agertzen duen, ibilbide hori sarrerako esparruak deskribatzen ez duen bigarren ate bat baita.
Idatzi bost balio elkarrekin: ingurunearen esparrua, aplikazioaren sarrerako esparrua, FQDN, sarrera-helbide pribatua eta ebazlearen jabea. Bost horiek sarbide-kontratu osoa deskribatzen dute, eta hau araztuko duen hurrengo pertsonak zehazki horiek eskatuko ditu.