Como chega unha aplicación web de Azure a través dunha VPN

A solicitude de saída da aplicación web deixa un traballador que nunca ves, dunha fonte que non escolliches, e o firewall da oficina ten que aceptalo. Ese é todo o problema nunha frase. A integración da rede virtual rexional dálle á solicitude un camiño cara a unha rede virtual e a VPN de sitio a sitio lévaa desde alí. Todo o que salga mal despois é sobre o intervalo de orixe e a ruta que utilizou realmente o paquete.

O que realmente envía o traballador

O servizo de aplicacións executa o teu código nos traballadores que se atopan fóra da vista de rede da túa subscrición. Coa integración rexional activada, o tráfico de saída entrégase a unha subrede delegada nunha rede virtual da mesma rexión e o paquete aparece alí antes de continuar. A integración non move a aplicación á rede virtual e non cambia o seu enderezo de entrada. Só dá aos fluxos de saída un primeiro salto diferente.

Por defecto só o espazo de enderezos privado toma ese camiño, polo que os destinos comúns de Internet aínda saen directamente do traballador. Encamiñar todo a través da rede virtual é unha configuración separada e unha decisión separada, porque tamén envía as túas dependencias públicas a través do túnel.

O tráfico de configuración, como unha extracción de imaxes de contedores ao inicio, segue as súas propias regras de enrutamento e pode fallar mentres as chamadas da API se realizan correctamente.

A subrede de integración é a fonte que debes permitir

A oficina ve o intervalo de enderezos da subrede de integración ou o que o traduza a súa aplicación, non os enderezos públicos de saída da aplicación. Coloca ese intervalo nos selectores de tráfico da VPN do sitio e na regra do firewall local. Se o túnel está baseado en políticas, os selectores que o omiten soltan o paquete mesmo cando exista unha ruta.

Non permitas un só enderezo de traballador que observaches. As instancias cambian coa escala e o mantemento da plataforma, e unha regra fixada nun enderezo rompe no peor momento.

Mantén o lado do destino estreito: un servizo, un porto, unha dirección, permitíndose explícitamente o camiño de retorno.

O peering e o tránsito de pasarela son explícitos

Se a pasarela VPN atópase nunha rede virtual de concentrador e a subrede de integración nun radio, a ruta precisa que se permita o tránsito de pasarela no emparejamento do concentrador e o uso da pasarela remota activado no emparejamento con radio. O peering por si só leva tráfico entre as dúas redes virtuales e nada máis. As rutas efectivas na subrede de integración son onde confirmas que a pasarela seguinte salto está realmente alí.

Un deseño de hub-and-spoke cuxa táboa de rutas envía 0.0.0.0/0 a un firewall é unha variante común, e ese firewall necesita entón a súa propia regra para o prefixo local.

Debuxa o camiño en papel antes de abrir un ticket co equipo da rede, porque aforra un día de adiviñas. Incluír a dirección de retorno no debuxo, xa que esa é a metade que a xente esquece.

O punto final privado de entrada é a outra dirección

Un punto final privado fai que a aplicación sexa accesible desde unha rede virtual. Non fai nada para as chamadas de saída da aplicación á oficina, e os equipos configuran unha regularmente mentres o requisito real era o contrario.

A documentación máis antiga describe a integración requirida pola pasarela construída nunha VPN punto a sitio, unha función diferente cos seus propios requisitos. Microsoft programa a retirada desta función para o 31 de marzo de 2027 e recomenda no seu lugar a integración rexional.

Non copie unha configuración herdada de punto a sitio só porque a utilizase un exemplo antigo.

Verifica co propio contexto da aplicación

Proba desde a aplicación implementada, non desde o teu portátil nin desde unha máquina virtual da mesma rede virtual. Rexistra o enderezo resolto, o resultado da conexión e a resposta a nivel de aplicación por separado, porque un fallo de DNS, un tempo de espera TCP e un rexeitamento da autenticación apuntan a tres propietarios diferentes. Se a resolución de nomes falla, corrixe o DNS privado para a rede virtual antes de tocar o túnel.

Un estado de túnel verde só demostra que a pasarela está activada. Non di nada sobre selectores, regras de firewall ou DNS.

Cando finalmente funcione a solicitude, escriba o intervalo de orixe, o porto de destino e a zona DNS no runbook da aplicación. A seguinte persoa que depure isto comezará desde a túa nota en lugar de desde a páxina de estado da pasarela.