Privát Container Apps-alkalmazás elérése pont–hely VPN-en keresztül
Egy belső Container Apps-környezethez privát belépésre, egyező gazdanévre és a VPN által elérhető feloldóra van szükség. Futtassa végig az egyes lépéseket, majd ellenőrizze az elutasítást.
Ez az útmutató egy számítási feladatprofilokkal rendelkező Container Apps-környezetet ír le belső virtuális hálózati belépéssel, amelyet laptopról egy jóváhagyott pont–hely VPN-en keresztül ér el, az alkalmazás közvetlen FQDN-jét használva és környezetszintű HTTP-útvonalak nélkül. a környezet belépése a kliens felől elérhető, az alkalmazás bejövő forgalmának hatóköre beengedi a hívót, és a gazdanév a privát belépésre oldódik fel. Az alábbi lépések mindegyike ellenőrizhető eredményt és olyan visszaállítást hagy maga után, amely semmihez nem nyúl, amit nem módosított. A megadott sorrendben haladjon végig rajtuk, mert egyetlen későbbi lépés sem pótolhatja az 1. lépésben hibásan meghozott hatókör-döntést.
Mielőtt a DNS-hez nyúlna, tisztázza a belső szót. Ebben a termékben két különböző hatókörre használják, és felcserélésük a leggyakoribb oka annak, hogy egy működő név mégis semmi hasznosat nem ad vissza.
1. lépés: rögzítse a környezet és az alkalmazás hatókörét
Olvassa el az alkalmazás bejövő forgalmának konfigurációját, mielőtt bármely rekordot módosít:
| Setting | Boundary |
|---|---|
| Internal environment | The environment entry is reached through its private network arrangement |
| App with internal ingress | Callers from the environment VNet only; a VPN laptop qualifies once it has a route into that VNet and the domain resolves privately |
| App with external ingress in an internal environment | The app accepts outside traffic through the environment's private entry |
A belső bejövő forgalom a környezet belső terheléselosztóján érhető el a környezet VNetjén belül, tehát a kérdés nem az, hogy a laptop egy másik konténeralkalmazás-e, hanem hogy el tudja-e érni azt a VNetet. Egy VPN-kliens, amelynek útvonala van a VNetbe, és a környezet alapértelmezett tartománya a privát zónán keresztül oldódik fel, jogosult hívó, és pontosan ezt építik a további lépések. A nyilvános belépés nélküli belső környezet más tény, mint a belső bejövő forgalmú alkalmazás, és az alkalmazásszintű külső bejövő forgalom nem ad a környezetnek nyilvános ajtót. Írja be a hatókört a jegybe és a portálra is, mert a következő mérnök először a jegyet olvassa.
Erősítse meg ezt a hatókört a konfiguráció tulajdonosával, mielőtt folytatja, és tartsa szűken a kaput: ha nincs útvonal a környezet VNetjébe, vagy a környezet alapértelmezett tartománya nem oldódik fel a privát zónán keresztül, álljon meg, és először azt az útvonalat javítsa. Egyetlen későbbi lépés sem helyettesíthet egy olyan hívót, amely nem éri el a VNetet, vagy nem tudja feloldani a nevet.
2. lépés: gyűjtse össze a valódi gazdanevet és a belépési címet
Jegyezze fel a környezet alapértelmezett tartományát, statikus privát belépési címét és az alkalmazás beállított FQDN-jét, az erőforrásból véve, nem egy régi képernyőképről vagy wikilapról:
az containerapp env show -n ENV -g RG \
--query "{domain:properties.defaultDomain, ip:properties.staticIp}"
az containerapp show -n APP -g RG \
--query "properties.configuration.ingress.fqdn"A Container Apps privát belépéséről szóló útmutató a környezet tartományának a belső címéhez igazítását írja le, miközben az alkalmazás gazdanevei érintetlenek maradnak. Pontosan ezt a formát építi itt kézzel, ezért a zóna tartalmát ehhez igazítsa, ne találjon ki új elnevezési sémát.
Ha a beolvasott tartomány nem egyezik az alkalmazás által jelentett FQDN-nel, álljon meg, és most egyeztesse őket. Egy zóna rossz utótagra építése olyan gazdanevet ad, amely tökéletesen feloldódik, és mégis a rossz virtuális gazdára kerül.
3. lépés: tegye a privát zónát a VPN feloldójának útvonalára
Hozza létre vagy használja újra a támogatott privát DNS-zónát a környezet tényleges alapértelmezett tartományához, a dokumentált helyettesítő és címrekordokkal, amelyek a statikus belépésre mutatnak. Kapcsolja a zónát a megfelelő virtuális hálózathoz, és tegye a privát hatóságot elérhetővé a VPN jóváhagyott feloldóútvonalán keresztül, ahelyett hogy feltételezné, hogy a kapcsolat elég.
A pont–hely kliensnek általában egy privát feloldó bejövő végpontjára vagy egy támogatott DNS-továbbítóra van szüksége, hogy elérje azt a zónát. Egy zóna összekapcsolása megváltoztatja, mit old fel az Azure a kapcsolt hálózatokhoz; nem irányítja át minden külső laptop nyilvános feloldóját. Ne helyettesítse egy másik Container Apps-hálózati modellből kölcsönzött privát végponti DNS-zónával, mert a rekordnevek és a zóna utótagja nem fognak egyezni.
Ennek a lépésnek a visszaállítása a zónakapcsolat vagy a hozzáadott rekord eltávolítása. Jegyezze fel, melyik volt, mert egy megosztott zóna törlése egyetlen kapcsolat visszavonásához jól ismert módja egy második környezet tönkretételének.
4. lépés: tesztelje a nevet, majd az elutasított közönséget
A gazdanevet és a TLS-identitást együtt tesztelje, ne csak a címet. Ellenőrzött névleképezési diagnosztikához rögzítheti a címet, miközben megőrzi a gazdanevet:
curl --resolve app.ENVIRONMENT_DOMAIN:443:10.40.0.10 \
https://app.ENVIRONMENT_DOMAIN/Cserélje ki a gazdanevet az alkalmazás valódi FQDN-jére, a címet pedig a valódi belső belépésre. Ez csak azt az egy kérést érinti, és nem DNS-kiépítés. Ne adjon hozzá -k, hogy egy identitáshibát látszólagos sikerre fordítson, mert a tanúsítvány eltérése annak a jele, hogy a rossz figyelőt találja el.
A numerikus cím közvetlen kérése rossz virtuális gazdát választhat, vagy a validálás meghiúsulhat akkor is, amikor a TCP 443 válaszol, ezért egy sikeres IP-tesztet a hálózatról szóló bizonyítéknak tekintsen, és semmi többnek. A szándékolt laptopról a szokásos feloldóútvonal a kliens DNS-továbbítója vagy a zónát üzemeltető privát feloldó bejövő végpontja, és az ottani hiba a feloldó elérhetőségének problémája, nem hiányzó rekord. Erősítse meg, hogy ugyanaz a kérés sikeres ezen az útvonalon, majd erősítse meg, hogy az elutasított közönség továbbra is elutasított.
Mit kell rögzíteni, és mit kell visszaállítani
A konténer célportja és a kliens HTTPS-portja külön beállítások. Ne tegye közzé a konténer célportját a VPN-en keresztül, mert a konténer ott figyel, és ne szélesítsen hálózati szabályt egy portteszt átengedéséhez. Mindkét változás túléli az incidenst, és később nehéz őket visszavezetni.
Fejezze be egy friss alkalmazásművelettel a szándékolt laptopról, annak engedélyezett identitásával és szokásos DNS-ével, majd ellenőrizze, hogy egy jogosulatlan hívó továbbra is meghiúsul. Miközben az alkalmazás konfigurációjában van, azt is erősítse meg, hogy egy környezetszintű HTTP-útvonal célként teszi-e közzé ezt az alkalmazást, mert az az útvonal egy második ajtó, amelyet a bejövő forgalom hatóköre nem ír le.
Rögzítsen öt értéket együtt: a környezet hatóköre, az alkalmazás bejövő forgalmának hatóköre, az FQDN, a privát belépési cím és a feloldó tulajdonosa. Ez az öt írja le a teljes hozzáférési szerződést, és a következő ember, aki ezt hibakeresni fogja, pontosan ezeket fogja kérni.