Kuinka Azure Web App saavuttaa paikan päällä VPN:n kautta
Toimiston palomuuri näkee integraatioaliverkkosi, ei sovelluksen julkista osoitetta. Korjaa lähdealue, valitsimet ja paluupolku ennen tunnelin syyttämistä.
Web-sovelluksen lähtevä pyyntö jättää työntekijän, jota et koskaan näe, lähteestä, jota et ole valinnut, ja toimiston palomuurin on hyväksyttävä se. Siinä koko ongelma yhdessä lauseessa. Alueellinen VNet-integraatio antaa pyynnölle polun virtuaaliverkkoon, ja sivustojen välinen VPN kuljettaa sen sieltä. Kaikki, mikä menee pieleen jälkeenpäin, liittyy siihen, mitä lähdealuetta ja mitä reittiä paketti todella käytti.
Mitä työntekijä todella lähettää
App Service suorittaa koodisi työntekijöille, jotka ovat tilauksesi verkkonäkymän ulkopuolella. Kun alueellinen integraatio on käytössä, lähtevä liikenne ohjataan delegoituun aliverkkoon samalla alueella sijaitsevassa VNetissä, ja paketti näkyy siellä ennen kuin se jatkuu. Integrointi ei siirrä sovellusta VNetiin eikä muuta sen saapuvaa osoitetta. Se antaa lähteville virroille vain erilaisen ensimmäisen hypyn.
Oletusarvoisesti vain yksityinen osoiteavaruus käyttää tätä polkua, joten tavalliset Internet-kohteet lähtevät edelleen suoraan työntekijältä. Kaiken reitittäminen VNetin kautta on erillinen asetus ja erillinen päätös, koska se lähettää myös julkiset riippuvuutesi tunnelin yli.
Määritysliikenne, kuten säilön kuvan veto käynnistyksen yhteydessä, noudattaa omia reitityssääntöjään ja voi epäonnistua, kun API-kutsut onnistuvat.
Integroinnin aliverkko on lähde, joka sinun on sallittava
Toimisto näkee integraation aliverkon osoitealueen tai sen, mihin laite kääntää sen, ei sovelluksen julkisia lähteviä osoitteita. Lisää tämä alue sivuston VPN:n liikenteenvalitsimiin ja paikalliseen palomuurisääntöön. Jos tunneli perustuu käytäntöön, valitsimet, jotka jättävät sen pois, pudottavat paketin, vaikka reitti olisi olemassa.
Älä salli yhtäkään työntekijän osoitetta, jota sattuit tarkkailemaan. Esiintymät muuttuvat skaalauksen ja alustan ylläpidon myötä, ja yhteen osoitteeseen kiinnitetty sääntö katkeaa pahimmalla hetkellä.
Pidä kohdepuoli kapeana: yksi palvelu, yksi portti, yksi suunta, ja paluupolku on erikseen sallittu.
Peering- ja yhdyskäytäväliikenne ovat eksplisiittisiä
Jos VPN-yhdyskäytävä sijaitsee keskittimen VNetissä ja integraation aliverkko pinnassa, polku tarvitsee yhdyskäytävän siirtoa, joka on sallittu keskittimen liikenteenvaihdossa ja etäyhdyskäytävän käyttö on otettu käyttöön puhujaliikenteen vaihdossa. Peering itsessään kuljettaa liikennettä kahden VNetin välillä eikä mitään muuta. Integrointialiverkon tehokkaat reitit ovat siellä, missä voit varmistaa, että seuraavan hypyn yhdyskäytävä on todella olemassa.
Keskitin ja puoli -malli, jonka reittitaulukko lähettää 0.0.0.0/0 palomuurille, on yleinen muunnos, ja palomuuri tarvitsee sitten oman säännön paikalliselle etuliitteelle.
Piirrä polku paperille ennen kuin avaat lipun verkkotiimin kanssa, sillä se säästää päivän arvailulta. Sisällytä paluusuunta piirustukseen, koska se on puolikas, jonka ihmiset unohtavat.
Saapuva yksityinen päätepiste on toinen suunta
Yksityinen päätepiste tekee sovelluksesta tavoitettavissa virtuaaliverkon sisältä. Se ei tee mitään sovelluksen lähteville puheluille toimistoon, ja tiimit määrittävät puhelun säännöllisesti, vaikka todellinen vaatimus oli päinvastainen.
Vanhemmassa dokumentaatiossa kuvataan yhdyskäytävän edellyttämä integrointi, joka perustuu point-to-site VPN:ään, joka on eri ominaisuus, jolla on omat vaatimuksensa. Microsoft ajoittaa kyseisen ominaisuuden poistumisen 31. maaliskuuta 2027 ja suosittelee sen sijaan alueellista integraatiota.
Älä kopioi vanhaa point-to-site-määritystä vain siksi, että vanha esimerkki käytti sitä.
Tarkista sovelluksen omalla kontekstilla
Testaa käyttöönotetusta sovelluksesta, ei kannettavasta tietokoneesta tai virtuaalikoneesta samassa VNetissä. Kirjaa ratkaistu osoite, yhteyden tulos ja sovellustason vastaus erikseen, koska DNS-virhe, TCP-aikakatkaisu ja todennuksen hylkäyspiste kolmella eri omistajalla. Jos nimenselvitys epäonnistuu, korjaa VNetin yksityinen DNS ennen tunnelin koskettamista.
Vihreä tunnelin tila osoittaa vain, että yhdyskäytävä on pystyssä. Se ei kerro mitään valitsimista, palomuurisäännöistä tai DNS:stä.
Kun pyyntö lopulta toimii, kirjoita lähdealue, kohdeportti ja DNS-vyöhyke sovelluksen runbookiin. Seuraava henkilö, joka tekee virheenkorjauksen, aloittaa muistiinpanostasi yhdyskäytävän tilasivun sijaan.