چگونه یک برنامه وب Azure از طریق VPN به داخل محل دسترسی پیدا می کند

درخواست خروجی برنامه وب کاری را می‌گذارد که هرگز نمی‌بینید، از منبعی که شما انتخاب نکرده‌اید، و فایروال دفتر باید آن را بپذیرد. تمام مشکل در یک جمله همین است. ادغام منطقه ای VNet به درخواست یک مسیر به یک شبکه مجازی می دهد و VPN سایت به سایت آن را از آنجا حمل می کند. هر چیزی که بعداً اشتباه می‌شود مربوط به محدوده منبع و مسیری است که بسته واقعاً از آن استفاده کرده است.

آنچه کارگر واقعاً ارسال می کند

App Service کد شما را روی کارگرانی که خارج از نمای شبکه اشتراک شما قرار دارند اجرا می کند. با فعال کردن ادغام منطقه ای ، ترافیک خروجی به یک زیرشبکه واگذار شده در یک VNet در همان منطقه تحویل داده می شود و بسته قبل از ادامه آن در آنجا ظاهر می شود. ادغام برنامه را به VNet منتقل نمی کند و آدرس ورودی آن را تغییر نمی دهد. این فقط به جریان های خروجی یک پرش اول متفاوت می دهد.

به‌طور پیش‌فرض، فقط فضای آدرس خصوصی این مسیر را طی می‌کند، بنابراین مقاصد اینترنتی معمولی همچنان مستقیماً از کارگر خارج می‌شوند. مسیریابی همه چیز از طریق VNet یک تنظیم جداگانه و یک تصمیم جداگانه است، زیرا وابستگی های عمومی شما را نیز در سراسر تونل ارسال می کند.

ترافیک پیکربندی، مانند کشیدن تصویر کانتینر در هنگام راه‌اندازی، از قوانین مسیریابی خود پیروی می‌کند و ممکن است در زمانی که تماس‌های API شما موفقیت آمیز باشد، شکست بخورد.

زیر شبکه یکپارچه سازی منبعی است که باید به آن اجازه دهید

دفتر محدوده آدرس زیرشبکه ادغام یا هر چیزی که دستگاه شما آن را به آن ترجمه می کند را می بیند، نه آدرس های خروجی عمومی برنامه را. آن محدوده را در انتخابگرهای ترافیک سایت VPN و قانون دیوار آتش در محل قرار دهید. اگر تونل مبتنی بر خط مشی است، انتخاب‌کنندگانی که آن را حذف می‌کنند، بسته را رها می‌کنند حتی زمانی که مسیری وجود دارد.

به یک آدرس کارگری که اتفاقاً مشاهده کردید اجازه ندهید. نمونه‌ها با مقیاس‌بندی و نگهداری پلت‌فرم تغییر می‌کنند و قاعده‌ای که به یک آدرس سنجاق می‌شود در بدترین لحظه شکسته می‌شود.

سمت مقصد را باریک نگه دارید: یک سرویس، یک پورت، یک جهت، با مسیر بازگشت به صراحت مجاز است.

همتاسازی و عبور از دروازه صریح است

اگر دروازه VPN در یک هاب VNet و زیرشبکه یکپارچه سازی در یک اسپیکر قرار دارد، مسیر نیاز به ترانزیت دروازه مجاز در همتاسازی هاب و استفاده از دروازه راه دور در همتاسازی اسپیکی فعال است. Peering به خودی خود ترافیک بین دو VNet را حمل می کند و نه چیزی بیشتر. مسیرهای مؤثر در زیرشبکه ادغام جایی است که شما تأیید می‌کنید که دروازه بعدی واقعاً آنجاست.

طراحی هاب و اسپک که جدول مسیر آن 0.0.0.0/0 را به یک فایروال ارسال می کند، یک نوع رایج است، و سپس آن فایروال به قانون خود برای پیشوند داخلی نیاز دارد.

قبل از باز کردن بلیط با تیم شبکه، مسیر را روی کاغذ بکشید، زیرا یک روز حدس زدن را ذخیره می کند. جهت بازگشت را در نقاشی لحاظ کنید ، زیرا این نیمه‌ای است که مردم فراموش می‌کنند.

نقطه پایانی خصوصی ورودی جهت دیگر است

یک نقطه پایانی خصوصی، برنامه را از داخل یک VNet قابل دسترسی می‌کند. هیچ کاری برای تماس خروجی برنامه با دفتر انجام نمی‌دهد، و تیم‌ها مرتباً یکی را پیکربندی می‌کنند در حالی که نیاز واقعی برعکس بود.

مستندات قدیمی‌تر ادغام مورد نیاز دروازه را توصیف می‌کنند که بر روی VPN نقطه به سایت ساخته شده است، یک ویژگی متفاوت با الزامات خاص خود. مایکروسافت بازنشستگی این ویژگی را برای 31 مارس 2027 برنامه ریزی کرده و به جای آن ادغام منطقه ای را توصیه می کند.

پیکربندی نقطه به سایت قدیمی را فقط به این دلیل کپی نکنید که یک نمونه قدیمی از آن استفاده کرده است.

با زمینه خود برنامه تأیید کنید

از برنامه مستقر شده تست کنید، نه از لپ تاپ خود و نه از VM در همان VNet. آدرس حل‌شده، نتیجه اتصال و پاسخ در سطح برنامه را جداگانه ثبت کنید، زیرا خرابی DNS، مهلت زمانی TCP و نقطه رد احراز هویت در سه مالک مختلف. اگر وضوح نام ناموفق بود، DNS خصوصی VNet را قبل از لمس تونل اصلاح کنید.

وضعیت تونل سبز تنها ثابت می کند که دروازه فعال است. در مورد انتخابگرها، قوانین فایروال یا DNS چیزی نمی گوید.

وقتی درخواست در نهایت کار کرد، محدوده منبع، پورت مقصد و منطقه DNS را در runbook برنامه بنویسید. نفر بعدی که این را اشکال زدایی می کند، به جای اینکه از صفحه وضعیت دروازه شروع شود، از یادداشت شما شروع می کند.