Ինչպես է Azure վեբ հավելվածը VPN-ի միջոցով հասնում տարածք

Վեբ հավելվածի ելքային հարցումը թողնում է աշխատողի, որը դուք երբեք չեք տեսնում, ձեր չընտրած աղբյուրից, և գրասենյակի firewall-ը պետք է ընդունի այն։ Սա է ամբողջ խնդիրը մեկ նախադասությամբ. Տարածաշրջանային VNet ինտեգրումը հարցումին տալիս է ուղի դեպի վիրտուալ ցանց, և կայքից կայք VPN-ն այն տեղափոխում է այնտեղից։ Այն ամենը, ինչ այնուհետև սխալվում է, կապված է այն բանի հետ, թե որ աղբյուրի տիրույթը և որ երթուղին է իրականում օգտագործել փաթեթը։

Ինչ է իրականում ուղարկում աշխատողը

Հավելվածի ծառայությունը գործարկում է ձեր կոդը աշխատողների վրա, որոնք գտնվում են ձեր բաժանորդագրության ցանցի տեսադաշտից դուրս։ Եթե միացված է տարածաշրջանային ինտեգրումը, ելքային տրաֆիկը փոխանցվում է նույն տարածաշրջանի VNet-ի պատվիրակված ենթացանցին, և փաթեթը հայտնվում է այնտեղ, մինչև այն շարունակվի։ Ինտեգրումը չի տեղափոխում հավելվածը VNet և չի փոխում դրա մուտքային հասցեն։ Այն միայն ելքային հոսքերին տալիս է այլ առաջին թռիչք։

Լռելյայնորեն միայն մասնավոր հասցեների տարածքն է անցնում այդ ճանապարհը, ուստի սովորական ինտերնետային ուղղությունները դեռևս հեռանում են անմիջապես աշխատողից։ VNet-ի միջոցով ամեն ինչ երթուղավորելը առանձին կարգավորում է և առանձին որոշում, քանի որ այն նաև ուղարկում է ձեր հանրային կախվածությունները թունելով։

Կազմաձևման երթևեկը, ինչպիսին է կոնտեյների պատկերը գործարկման ժամանակ, հետևում է իր երթուղային կանոններին և կարող է ձախողվել, մինչ ձեր API-ի զանգերը հաջողվում են։

Ինտեգրման ենթացանցն այն աղբյուրն է, որը դուք պետք է թույլ տաք

Գրասենյակը տեսնում է ինտեգրման ենթացանցերի հասցեների տիրույթը կամ այն, ինչ ձեր սարքը թարգմանում է այն, ոչ թե հավելվածի հանրային ելքային հասցեները։ Տեղադրեք այդ տիրույթը կայքի VPN-ի երթևեկության ընտրիչների մեջ և ներկառուցված firewall կանոնի մեջ։ Եթե թունելը հիմնված է քաղաքականության վրա, այն բաց թողած ընտրիչները թողնում են փաթեթը նույնիսկ երբ երթուղի կա։

Մի թույլ մի տվեք աշխատողի մեկ հասցե, որը դուք պատահաբար նկատել եք։ Օրինակները փոխվում են մասշտաբների և հարթակի պահպանման հետ, և մեկ հասցեին ամրացված կանոնը խախտում է ամենավատ պահին։

Նպատակակետը նեղ պահեք՝ մեկ ծառայություն, մեկ նավահանգիստ, մեկ ուղղություն՝ հստակորեն թույլատրված վերադարձի ճանապարհով։

Փիրինգը և դարպասի փոխադրումը հստակ են

Եթե VPN դարպասը տեղադրված է հանգույց VNet-ում, իսկ ինտեգրման ենթացանցը` խոսակցականում, ապա ուղուն անհրաժեշտ է, որ երթուղին թույլատրվի մուտքի անցում դեպի հանգույց, իսկ հեռավոր դարպասի օգտագործումը միացված է խոսակցական պիրինգի վրա։ Պիրինգն ինքնին տեղափոխում է երթևեկություն երկու VNet-ների միջև և ոչ ավելին։ Ինտեգրման ենթացանցում արդյունավետ երթուղիներն այն վայրերն են, որտեղ դուք հաստատում եք, որ հաջորդ ալիքի դարպասն իսկապես այնտեղ է։

Հանգույցի և խոսափողի դիզայնը, որի երթուղիների աղյուսակը 0.0.0.0/0 է ուղարկում firewall-ին, սովորական տարբերակ է, և այդ firewall-ին անհրաժեշտ է իր սեփական կանոնը ներքին նախածանցի համար։

Ցանցային թիմի հետ տոմս բացելուց առաջ գծեք ուղին թղթի վրա, քանի որ դա խնայում է գուշակությունների մեկ օր։ Նկարում ներառեք վերադարձի ուղղությունը, քանի որ դա այն կեսն է, որը մարդիկ մոռանում են։

Մուտքային մասնավոր վերջնակետը մյուս ուղղությունն է

Անձնական վերջնակետը հավելվածին հասանելի է դարձնում VNet-ի ներսից։ Այն ոչինչ չի անում հավելվածի ելքային զանգի համար գրասենյակ, և թիմերը կանոնավոր կերպով կարգավորում են մեկը, մինչդեռ իրական պահանջը հակառակն էր։

Ավելի հին փաստաթղթերը նկարագրում են դարպասների համար պահանջվող ինտեգրումը, որը կառուցված է կետից կայք VPN-ի վրա, որը տարբեր առանձնահատկություն է՝ իր պահանջներով։ Microsoft-ը պլանավորում է այդ հատկանիշի հրաժարումը 2027 թվականի մարտի 31-ին և փոխարենը առաջարկում է տարածաշրջանային ինտեգրում։

Մի պատճենեք ժառանգական կետից կայք կազմաձևումը միայն այն պատճառով, որ հին օրինակն այն օգտագործել է։

Հաստատեք հավելվածի սեփական համատեքստով

Փորձեք տեղակայված հավելվածից, ոչ թե ձեր նոութբուքից և ոչ նույն VNet-ում VM-ից։ Մուտքագրեք լուծված հասցեն, կապի արդյունքը և հավելվածի մակարդակի պատասխանը առանձին, քանի որ DNS-ի ձախողում, TCP-ի ժամանակի ավարտ և նույնականացման մերժման կետ երեք տարբեր սեփականատերերի մոտ։ Եթե անվան լուծումը ձախողվի, նախքան թունելին դիպչելը շտկեք VNet-ի անձնական DNS-ը։

Կանաչ թունելի կարգավիճակը միայն ապացուցում է, որ դարպասը բաց է։ Այն ոչինչ չի ասում ընտրիչների, firewall-ի կանոնների կամ DNS-ի մասին։

Երբ հարցումը վերջապես աշխատի, գրեք սկզբնաղբյուրի տիրույթը, նպատակակետի միացքը և DNS գոտին հավելվածի աշխատաթերթում։ Հաջորդ անձը, ով կվրիպազերծի սա, կսկսի ձեր նշումից, այլ ոչ թե դարպասի կարգավիճակի էջից։