Hoe in Azure Web App Lokale berikt fia in VPN
De kantoarfirewall sjocht jo yntegraasjesubnet, net it iepenbiere adres fan 'e app. Fix it boarneberik, selectors en werompaad foardat jo de tunnel skuldich meitsje.
It útgeande fersyk fan 'e webapp lit in arbeider efter dy't jo noait sjogge, fan in boarne dy't jo net hawwe keazen, en de kantoarbrânmuorre moat it akseptearje. Dat is it hiele probleem yn ien sin. Regionale VNet-yntegraasje jout it fersyk in paad yn in firtuele netwurk, en de site-to-site VPN draacht it dêrwei. Alles wat dernei mis giet, giet oer hokker boarneberik en hokker rûte it pakket eins brûkt hat.
Wat de arbeider eins stjoert
App Service rint jo koade út op arbeiders dy't bûten de netwurkwerjefte fan jo abonnemint sitte. Mei regionale yntegraasje ynskeakele, wurdt útgeande ferkear oerlevere oan in delegearre subnet yn in VNet yn deselde regio, en it pakket ferskynt dêr foardat it trochgiet. De yntegraasje ferpleatst de app net yn it VNet en feroaret it ynkommende adres net. It jout allinich útgeande streamen in oare earste hop.
Standert nimt allinich privee adresromte dat paad, dus gewoane ynternetbestimmingen ferlitte noch direkt fan de arbeider. Alles troch it VNet routing is in aparte ynstelling en in apart beslút, om't it ek jo publike ôfhinklikens oer de tunnel stjoert.
Konfiguraasjeferkear, lykas in kontenerôfbylding pull by it opstarten, folget syn eigen routingregels en kin mislearje wylst jo API-oproppen slagje.
It yntegraasjesubnet is de boarne dy't jo tastean moatte
It kantoar sjocht it adresberik fan it yntegraasjesubnet, of wat jo apparaat it ek oerset, net de iepenbiere útgeande adressen fan de app. Set dat berik yn 'e ferkearselektors fan' e VPN fan 'e side en yn' e firewallregel op it terrein. As de tunnel beliedsbasearre is, litte selektors dy't it weilitte it pakket falle sels as der in rûte bestiet.
Lit gjin inkeld arbeidersadres ta dat jo tafallich observearje. Ynstânsjes feroarje mei skaalfergrutting en platfoarmûnderhâld, en in regel fêstmakke op ien adres brekt op it slimste momint.
Hâld de bestimmingskant smel: ien tsjinst, ien haven, ien rjochting, mei it weromreispaad eksplisyt tastien.
Peering en gatewaytransit binne eksplisyt
As de VPN-gateway yn in hub VNet sit en it yntegraasjesubnet yn in spoke, moat it paad gateway-transit tastien wurde op 'e hub-peering en remote gateway-gebrûk ynskeakele op' e spoke peering. Peering op himsels draacht ferkear tusken de twa VNets en neat mear. De effektive rûtes op it yntegraasje subnet binne wêr't jo befestigje dat de poarte neist hop der echt is.
In hub-en-spoke-ûntwerp wêrfan de rûtetabel 0.0.0.0/0 nei in brânmuorre stjoert, is in gewoane fariant, en dy brânmuorre hat dan in eigen regel nedich foar it prefix op it terrein.
Teken it paad op papier foardat jo in kaartsje iepenje mei it netwurkteam, om't it in dei fan rieden besparret. Meitsje de weromkommende rjochting yn 'e tekening, om't dat de helte minsken ferjitte.
Inbound privee einpunt is de oare rjochting
In privee einpunt makket de app berikber fan binnen in VNet. It docht neat foar de útgeande oprop fan 'e app nei it kantoar, en teams konfigurearje regelmjittich ien, wylst de eigentlike eask it omkearde wie.
Aldere dokumintaasje beskriuwt gateway-easke yntegraasje boud op point-to-site VPN, in oare funksje mei syn eigen easken. Microsoft plant it pensjoen fan dy funksje foar 31 maart 2027, en advisearret ynstee regionale yntegraasje.
Kopiearje gjin ferâldere punt-nei-side-konfiguraasje gewoan om't in âld foarbyld it brûkt.
Ferifiearje mei de eigen kontekst fan de app
Test fanút de ynset app, net fan jo laptop en net fan in VM yn itselde VNet. Log it oplost adres, it ferbiningsresultaat en it antwurd op applikaasjenivo apart yn, om't in DNS-flater, in TCP-timeout en in autentikaasje-ôfwizingspunt by trije ferskillende eigners. As nammeresolúsje mislearret, reparearje privee DNS foar it VNet foardat jo de tunnel oanreitsje.
In griene tunnelstatus bewiist allinich dat de poarte omheech is. It seit neat oer selectors, firewall regels of DNS.
As it fersyk einlings wurket, skriuw dan it boarneberik, de bestimmingspoarte en de DNS-sône yn it runbook fan de app. De folgjende persoan om dit te debuggen sil begjinne fan jo notysje ynstee fan fan 'e statusside fan' e gateway.