પોઈન્ટ-ટુ-સાઇટ VPN દ્વારા ખાનગી Container Apps એપ સુધી પહોંચો
આંતરિક Container Apps પર્યાવરણને ખાનગી પ્રવેશ, મેળ ખાતું હોસ્ટનામ અને એવું રિઝોલ્વર જોઈએ છે જે VPN સુધી પહોંચી શકે. દરેક પગલું ચલાવો, પછી નકાર ચકાસો.
આ રનબુક વર્કલોડ પ્રોફાઇલ સાથેના Container Apps પર્યાવરણને આવરી લે છે, જેમાં આંતરિક વર્ચ્યુઅલ-નેટવર્ક પ્રવેશ છે, જે સ્વીકૃત પોઈન્ટ-ટુ-સાઇટ VPN દ્વારા લેપટોપથી પહોંચવામાં આવે છે, એપના સીધા FQDN નો ઉપયોગ કરીને અને પર્યાવરણ-સ્તરે કોઈ HTTP રૂટ વિના. પર્યાવરણનો પ્રવેશ ક્લાયન્ટથી પહોંચી શકાય તેવો છે, એપનું ઇનગ્રેસ વ્યાપ્તિ કૉલરને સ્વીકારે છે, અને હોસ્ટનામ ખાનગી પ્રવેશમાં રિઝોલ્વ થાય છે. નીચેનું દરેક પગલું ચકાસી શકાય તેવું પરિણામ અને એવું રોલબેક છોડે છે જે તમે બદલ્યું ન હોય તેવું કંઈ સ્પર્શતું નથી. આપેલા ક્રમમાં તેમને પૂર્ણ કરો, કારણ કે પગલું 1 માં ખોટી રીતે લેવાયેલા વ્યાપ્તિ-નિર્ણયની ભરપાઈ પછીનું કોઈ પગલું કરી શકતું નથી.
DNS ને સ્પર્શ કરતા પહેલા આંતરિક શબ્દ સ્પષ્ટ કરો. આ ઉત્પાદનમાં તેનો ઉપયોગ બે અલગ વ્યાપ્તિઓ માટે થાય છે, અને તેમને અદલાબદલી કરવી એ જ સૌથી સામાન્ય કારણ છે કે કામ કરતું નામ પણ હજી કંઈ ઉપયોગી પરત આપતું નથી.
પગલું 1: પર્યાવરણ અને એપની વ્યાપ્તિ નિશ્ચિત કરો
કોઈપણ રેકોર્ડ બદલતા પહેલા એપની ઇનગ્રેસ રૂપરેખા વાંચો:
| Setting | Boundary |
|---|---|
| Internal environment | The environment entry is reached through its private network arrangement |
| App with internal ingress | Callers from the environment VNet only; a VPN laptop qualifies once it has a route into that VNet and the domain resolves privately |
| App with external ingress in an internal environment | The app accepts outside traffic through the environment's private entry |
આંતરિક ઇનગ્રેસ પર્યાવરણના VNet ની અંદર પર્યાવરણના આંતરિક લોડ બેલેન્સર પર ખુલ્લું છે, તેથી પ્રશ્ન એ નથી કે લેપટોપ બીજી કન્ટેનર એપ છે કે નહીં, પણ એ છે કે તે તે VNet સુધી પહોંચી શકે છે કે નહીં. VNet માં રૂટ ધરાવતો અને પર્યાવરણનું ડિફૉલ્ટ ડોમેન ખાનગી ઝોન દ્વારા રિઝોલ્વ થતું VPN ક્લાયન્ટ યોગ્ય કૉલર છે, અને બાકીનાં પગલાં બરાબર એ જ બનાવે છે. જાહેર પ્રવેશ વિનાનું આંતરિક પર્યાવરણ આંતરિક ઇનગ્રેસ ધરાવતી એપ કરતાં અલગ હકીકત છે, અને એપ સ્તરે બાહ્ય ઇનગ્રેસ પર્યાવરણને જાહેર દરવાજો આપતું નથી. વ્યાપ્તિ ટિકિટમાં અને પોર્ટલમાં પણ લખો, કારણ કે આગલો ઇજનેર પહેલા ટિકિટ વાંચે છે.
આગળ વધતા પહેલા કન્ફિગરેશન માલિક સાથે તે વ્યાપ્તિની પુષ્ટિ કરો, અને દરવાજો સાંકડો રાખો: જો પર્યાવરણના VNet માં કોઈ રૂટ ન હોય, અથવા પર્યાવરણનું ડિફૉલ્ટ ડોમેન ખાનગી ઝોન દ્વારા રિઝોલ્વ ન થાય, તો થોભો અને પહેલા તે માર્ગ સુધારો. જે કૉલર VNet સુધી પહોંચી શકતું નથી અથવા નામ રિઝોલ્વ કરી શકતું નથી તેનો વિકલ્પ પછીનું કોઈ પગલું આપી શકતું નથી.
પગલું 2: વાસ્તવિક હોસ્ટનામ અને પ્રવેશ સરનામું એકત્ર કરો
પર્યાવરણનું ડિફૉલ્ટ ડોમેન, તેનું સ્થિર ખાનગી પ્રવેશ સરનામું અને એપનું ગોઠવાયેલું FQDN નોંધો, જે સંસાધનમાંથી લેવાં જોઈએ, જૂના સ્ક્રીનશૉટ અથવા વિકિ પૃષ્ઠમાંથી નહીં:
az containerapp env show -n ENV -g RG \
--query "{domain:properties.defaultDomain, ip:properties.staticIp}"
az containerapp show -n APP -g RG \
--query "properties.configuration.ingress.fqdn"Container Apps માટેની ખાનગી પ્રવેશ માર્ગદર્શિકા એપના હોસ્ટનામ અકબંધ રાખીને પર્યાવરણના ડોમેનને તેના આંતરિક સરનામા સાથે મેળવવાનું વર્ણન કરે છે. તમે અહીં હાથથી બરાબર એ જ આકાર બનાવી રહ્યા છો, તેથી નવી નામકરણ યોજના શોધવાને બદલે ઝોનની સામગ્રી તેની સાથે સુસંગત કરો.
તમે વાંચેલું ડોમેન એપ જે FQDN જણાવે છે તેની સાથે મેળ ખાતું ન હોય, તો થોભો અને હવે તેમને સુસંગત કરો. ખોટા પ્રત્યય પર ઝોન બનાવવાથી એવું હોસ્ટનામ બને છે જે સંપૂર્ણ રીતે રિઝોલ્વ થાય છે અને તોપણ ખોટા વર્ચ્યુઅલ હોસ્ટ પર ઉતરે છે.
પગલું 3: ખાનગી ઝોનને VPN ના રિઝોલ્વર માર્ગ પર મૂકો
પર્યાવરણના વાસ્તવિક ડિફૉલ્ટ ડોમેન માટે સમર્થિત ખાનગી DNS ઝોન બનાવો અથવા ફરી વાપરો, જેમાં દસ્તાવેજીકૃત વાઇલ્ડકાર્ડ અને સરનામા રેકોર્ડ સ્થિર પ્રવેશ તરફ ઇશારો કરે. તે ઝોનને યોગ્ય વર્ચ્યુઅલ નેટવર્ક સાથે લિંક કરો, અને લિંક પૂરતી છે એમ ધારવાને બદલે VPN ના મંજૂર રિઝોલ્વર માર્ગ દ્વારા ખાનગી સત્તાને પહોંચી શકાય તેવી બનાવો.
પોઈન્ટ-ટુ-સાઇટ ક્લાયન્ટને તે ઝોન સુધી પહોંચવા માટે સામાન્ય રીતે ખાનગી રિઝોલ્વરનું ઇનબાઉન્ડ એન્ડપોઈન્ટ અથવા સમર્થિત DNS ફોરવર્ડર જોઈએ છે. ઝોન લિંક કરવાથી લિંક થયેલા નેટવર્ક માટે Azure જે રિઝોલ્વ કરે છે તે બદલાય છે; તે દરેક બાહ્ય લેપટોપના જાહેર રિઝોલ્વરને રીડાયરેક્ટ કરતું નથી. બીજા Container Apps નેટવર્કિંગ મૉડલમાંથી ઉછીના લીધેલા ખાનગી-એન્ડપોઈન્ટ DNS ઝોન સાથે તેને બદલો નહીં, કારણ કે રેકોર્ડના નામ અને ઝોનનો પ્રત્યય મેળ ખાશે નહીં.
આ પગલા માટેનું રોલબેક ઝોન લિંક અથવા તમે ઉમેરેલો રેકોર્ડ દૂર કરવાનું છે. તેમાંથી કયું હતું તે નોંધો, કારણ કે એક લિંક રદ કરવા માટે વહેંચાયેલ ઝોન ડિલીટ કરવી એ બીજું પર્યાવરણ તોડવાની જાણીતી રીત છે.
પગલું 4: નામ ચકાસો, પછી નકારાયેલા પ્રેક્ષકો
હોસ્ટનામ અને TLS ઓળખ સાથે ચકાસો, ફક્ત સરનામું નહીં. નિયંત્રિત નામ-મેપિંગ નિદાન માટે તમે હોસ્ટનામ જાળવીને સરનામું પિન કરી શકો છો:
curl --resolve app.ENVIRONMENT_DOMAIN:443:10.40.0.10 \
https://app.ENVIRONMENT_DOMAIN/હોસ્ટનામને એપના વાસ્તવિક FQDN સાથે અને સરનામાને વાસ્તવિક આંતરિક પ્રવેશ સાથે બદલો. આ ફક્ત તે એક વિનંતીને અસર કરે છે અને DNS પ્રોવિઝનિંગ નથી. ઓળખની નિષ્ફળતાને દેખીતી સફળતામાં ફેરવવા -k ઉમેરો નહીં, કારણ કે પ્રમાણપત્રની અસંગતિ એ સંકેત છે કે તમે ખોટા શ્રોતાને અથડાવી રહ્યા છો.
સંખ્યાત્મક સરનામું સીધું માંગવાથી ખોટું વર્ચ્યુઅલ હોસ્ટ પસંદ થઈ શકે છે અથવા TCP 443 જવાબ આપતું હોવા છતાં માન્યતા નિષ્ફળ થઈ શકે છે, તેથી સફળ IP પરીક્ષણને નેટવર્ક વિશેનો પુરાવો ગણો, તેનાથી વધુ કંઈ નહીં. ઇચ્છિત લેપટોપથી, સામાન્ય રિઝોલ્વર માર્ગ ક્લાયન્ટનો DNS ફોરવર્ડર અથવા ઝોન હોસ્ટ કરતા ખાનગી રિઝોલ્વરનું ઇનબાઉન્ડ એન્ડપોઈન્ટ છે, અને ત્યાં નિષ્ફળતા એ ગુમ થયેલો રેકોર્ડ નહીં પણ રિઝોલ્વર સુધી પહોંચવાની સમસ્યા છે. તે માર્ગ પર એ જ વિનંતી સફળ થાય તેની પુષ્ટિ કરો, પછી નકારાયેલા પ્રેક્ષકો હજી નકારાયેલા છે તેની પુષ્ટિ કરો.
શું નોંધવું અને શું રોલબેક કરવું
કન્ટેનરનો લક્ષ્ય પોર્ટ અને ક્લાયન્ટનો HTTPS પોર્ટ અલગ સેટિંગ્સ છે. કન્ટેનર ત્યાં સાંભળે છે તેથી તેનો લક્ષ્ય પોર્ટ VPN પર પ્રકાશિત કરો નહીં, અને પોર્ટ પરીક્ષણ પાસ થાય તે માટે નેટવર્ક નિયમ પહોળો કરો નહીં. બંને ફેરફારો ઘટનાને પછી પણ ટકે છે અને પછીથી તેમને આભારી ઠેરવવું મુશ્કેલ છે.
ઇચ્છિત લેપટોપથી તેની અધિકૃત ઓળખ અને સામાન્ય DNS વાપરીને તાજી એપ્લિકેશન કામગીરી સાથે સમાપ્ત કરો, પછી અનધિકૃત કૉલર હજી નિષ્ફળ થાય છે તે ચકાસો. એપ કન્ફિગરેશનમાં હોવા દરમિયાન, એ પણ ચકાસો કે પર્યાવરણ-સ્તરનો HTTP રૂટ આ એપને લક્ષ્ય તરીકે ખુલ્લી કરે છે કે નહીં, કારણ કે તે રૂટ એ બીજો દરવાજો છે જે ઇનગ્રેસ વ્યાપ્તિ વર્ણવતું નથી.
પાંચ મૂલ્યો સાથે નોંધો: પર્યાવરણની વ્યાપ્તિ, એપની ઇનગ્રેસ વ્યાપ્તિ, FQDN, ખાનગી પ્રવેશ સરનામું અને રિઝોલ્વરનો માલિક. તે પાંચ આખો પ્રવેશ કરાર વર્ણવે છે, અને આને ડિબગ કરનાર આગલી વ્યક્તિ બરાબર એ જ માંગશે.