Bagaimana Aplikasi Web Azure Menjangkau Lokal Melalui VPN

Permintaan keluar Aplikasi Web meninggalkan pekerja yang tidak pernah Anda lihat, dari sumber yang tidak Anda pilih, dan firewall kantor harus menerimanya. Itulah keseluruhan masalahnya dalam satu kalimat. Integrasi VNet regional memberi permintaan jalur ke jaringan virtual, dan VPN situs-ke-situs membawanya dari sana. Segala sesuatu yang salah setelahnya adalah tentang rentang sumber mana dan rute mana yang sebenarnya digunakan paket tersebut.

Apa yang sebenarnya dikirim oleh pekerja

App Service menjalankan kode Anda pada pekerja yang berada di luar tampilan jaringan langganan Anda. Dengan integrasi regional diaktifkan, lalu lintas keluar diserahkan ke subnet yang didelegasikan di VNet di wilayah yang sama, dan paket muncul di sana sebelum dilanjutkan. Integrasi tidak memindahkan aplikasi ke VNet dan tidak mengubah alamat masuknya. Ini hanya memberikan aliran keluar lompatan pertama yang berbeda.

Secara default, hanya ruang alamat pribadi yang mengambil jalur tersebut, sehingga tujuan internet biasa tetap berangkat langsung dari pekerja. Merutekan semuanya melalui VNet merupakan pengaturan terpisah dan keputusan terpisah, karena hal ini juga mengirimkan dependensi publik Anda ke seluruh terowongan.

Lalu lintas konfigurasi, seperti penarikan gambar container saat startup, mengikuti aturan peruteannya sendiri dan bisa gagal saat panggilan API Anda berhasil.

Subnet integrasi adalah sumber yang harus Anda izinkan

Kantor melihat rentang alamat subnet integrasi, atau apa pun terjemahan peralatan Anda, bukan alamat keluar publik aplikasi. Masukkan rentang tersebut ke dalam pemilih lalu lintas VPN situs dan ke dalam aturan firewall lokal. Jika terowongan berbasis kebijakan, pemilih yang menghilangkannya akan membuang paket bahkan ketika ada rute.

Jangan izinkan satu alamat pekerja pun yang kebetulan Anda amati. Instance berubah seiring dengan penskalaan dan pemeliharaan platform, dan aturan yang disematkan ke satu alamat akan rusak pada saat terburuk.

Jaga sisi tujuan tetap sempit: satu layanan, satu port, satu arah, dengan jalur kembali diperbolehkan secara eksplisit.

Peering dan transit gateway bersifat eksplisit

Jika gateway VPN berada di VNet hub dan subnet integrasi di spoke, jalur memerlukan transit gateway yang diizinkan pada peering hub dan penggunaan gateway jarak jauh diaktifkan pada peering spoke. Peering dengan sendirinya membawa lalu lintas antara dua VNet dan tidak lebih. Rute efektif pada subnet integrasi adalah tempat Anda mengonfirmasi bahwa gateway hop berikutnya benar-benar ada.

Desain hub-and-spoke yang tabel rutenya mengirimkan 0.0.0.0/0 ke firewall adalah varian yang umum, dan firewall tersebut kemudian memerlukan aturannya sendiri untuk awalan lokal.

Gambarkan jalur di atas kertas sebelum membuka tiket dengan tim jaringan, karena ini menghemat waktu untuk menebak. Sertakan arah pulang dalam gambar, karena itulah separuh yang dilupakan orang.

Titik akhir privat masuk adalah arah lain

Titik akhir privat membuat aplikasi dapat dijangkau dari dalam VNet. Ini tidak melakukan apa pun untuk panggilan keluar aplikasi ke kantor, dan tim secara rutin mengonfigurasinya, sedangkan persyaratan sebenarnya adalah sebaliknya.

Dokumentasi lama menjelaskan integrasi yang diperlukan gateway yang dibangun pada VPN titik-ke-situs, sebuah fitur berbeda dengan persyaratannya sendiri. Microsoft menjadwalkan penghentian fitur tersebut pada tanggal 31 Maret 2027, dan sebagai gantinya merekomendasikan integrasi regional.

Jangan menyalin konfigurasi titik-ke-situs lama hanya karena contoh lama menggunakannya.

Verifikasi dengan konteks aplikasi itu sendiri

Uji dari aplikasi yang disebarkan, bukan dari laptop Anda dan bukan dari VM di VNet yang sama. Catat alamat yang diselesaikan, hasil koneksi, dan respons tingkat aplikasi secara terpisah, karena kegagalan DNS, batas waktu TCP, dan titik penolakan autentikasi di tiga pemilik berbeda. Jika resolusi nama gagal, perbaiki DNS pribadi untuk VNet sebelum menyentuh terowongan.

Status terowongan hijau hanya membuktikan gateway aktif. Ia tidak menjelaskan apa pun tentang penyeleksi, aturan firewall, atau DNS.

Saat permintaan akhirnya berhasil, tulis rentang sumber, port tujuan, dan zona DNS ke dalam runbook aplikasi. Orang berikutnya yang melakukan debug ini akan memulai dari catatan Anda, bukan dari halaman status gateway.