Ná í einkaaðgang að Container Apps-forriti um punkt-til-staðar-VPN

Þessi handbók fjallar um Container Apps umhverfi með vinnuálagsprófílum og innri inngangi á sýndarneti, sem náð er í frá fartölvu um samþykkt punkt-til-staðar-VPN, með beinu FQDN forritsins og án HTTP slóða á umhverfisstigi. inngangur umhverfisins er aðgengilegur frá biðlaranum, inngangsumfang forritsins hleypir inn kallaranum og hýsilnafnið leysist í einkaaðganginn. Hvert skref hér að neðan skilur eftir sannanlegt niðurstöðu og afturköllun sem snertir ekkert sem þú breyttir ekki. Farðu í gegnum þau í tilgreindri röð, því ekkert síðara skref getur bætt upp umfangsákvörðun sem tekin var rangt í skrefi 1.

Áður en þú snertir DNS skaltu skýra orðið innra. Það er notað fyrir tvö ólík umföng í þessari vöru, og að skipta þeim er algengasta ástæðan fyrir því að virkt nafn skilar samt engu gagnlegu.

Skref 1: festu umfang umhverfisins og forritsins

Lestu inngangsstillingar forritsins áður en þú breytir einhverri færslu:

Innri inngangur er birtur á innri hleðsludreifara umhverfisins innan VNet umhverfisins, svo spurningin er ekki hvort fartölvan sé annað gámaforrit heldur hvort hún komist að því VNet. VPN-biðlari með slóð inn í VNet og sjálfgefið lén umhverfisins sem leysist um einkasvæðið er gjaldgengur kallari, og það er einmitt það sem hin skrefin byggja. Innra umhverfi án opinbers inngangs er önnur staðreynd en forrit með innri inngang, og ytri inngangur á forritstigi gefur umhverfinu ekki opinbera hurð. Skrifaðu umfangið í miðann sem og í gáttina, því næsti verkfræðingur les miðann fyrst.

Staðfestu það umfang við eiganda stillinganna áður en þú heldur áfram, og haltu hliðinu þröngu: ef engin slóð er inn í VNet umhverfisins, eða sjálfgefið lén umhverfisins leysist ekki um einkasvæðið, stöðvaðu og lagaðu þá slóð fyrst. Ekkert síðara skref getur komið í stað kallara sem kemst ekki að VNetinu eða leysir ekki nafnið.

Skref 2: safnaðu raunverulega hýsilnafninu og heimilisfangi inngangsins

Skráðu sjálfgefið lén umhverfisins, kyrrstætt einkaaðgangs heimilisfang þess og stillta FQDN forritsins, tekin úr tilfanginu en ekki af gömlum skjáskoti eða wikisíðu:

az containerapp env show -n ENV -g RG \
  --query "{domain:properties.defaultDomain, ip:properties.staticIp}"
az containerapp show -n APP -g RG \
  --query "properties.configuration.ingress.fqdn"

Leiðbeiningarnar um einkaaðgang Container Apps lýsa því að samræma lén umhverfisins við innri heimilisfang þess á meðan hýsilnöfn forritsins haldast ósnortin. Það er einmitt það form sem þú byggir hér með höndunum, svo samræmdu innihald svæðisins við það í stað þess að finna upp nýja nafnakerfi.

Ef lénið sem þú lasst passar ekki við FQDN sem forritið greinir frá, stöðvaðu og samræmdu þau núna. Að byggja svæði á röngu viðskeyti framleiðir hýsilnafn sem leysist fullkomlega og lendir samt á röngum sýndarhýsli.

Skref 3: settu einkasvæðið á upplausnarslóð VPN-sins

Búðu til eða endurnotaðu studda einkasvæðið fyrir DNS fyrir raunverulegt sjálfgefið lén umhverfisins, með skjalfestum villimerkja- og heimilisfangsfærslum sem benda á kyrrstæða innganginn. Tentu svæðið við viðeigandi sýndarnet og gerðu einkavaldið aðgengilegt um samþykkta upplausnarslóð VPN-sins í stað þess að gera ráð fyrir að tengingin nægi.

Punkt-til-staðar-biðlari þarf venjulega innkomna endastöð einkaupplausnara eða studdan DNS framsendingaraðila til að komast að því svæði. Að tengja svæði breytir því sem Azure leysir fyrir tengd net; það beinir ekki opinberum upplausnara hverrar ytri fartölvu á annan stað. Ekki skipta út fyrir DNS-svæði einkenduðar sem fengið er að láni frá öðru Container Apps netkerfismódeli, því færsluheiti og viðskeyti svæðisins munu ekki passa saman.

Afturköllun þessa skrefs er að fjarlægja svæðistenginguna eða færsluna sem þú bættir við. Skráðu hvort það var, því að eyða sameiginlegu svæði til að afturkalla eina tengingu er þekkt leið til að brjóta annað umhverfi.

Skref 4: prófaðu nafnið og svo höfnuðu áhorfendurna

Prófaðu hýsilnafnið og TLS-auðkennina saman, ekki bara heimilisfangið. Fyrir stýrða greiningu á nafnavörpun geturðu fest heimilisfangið á meðan hýsilnafnið helst:

curl --resolve app.ENVIRONMENT_DOMAIN:443:10.40.0.10 \
    https://app.ENVIRONMENT_DOMAIN/

Skiptu hýsilnafninu út fyrir raunverulegt FQDN forritsins og heimilisfanginu fyrir raunverulega innri innganginn. Þetta hefur aðeins áhrif á þá einu beiðni og er ekki DNS úthlutun. Ekki bæta við -k til að breyta auðkennisbresti í sýnilegt pass, því misræmi skírteinis er merkið um að þú sért að hitta rangan hlustanda.

Að biðja beint um tölulega heimilisfangið getur valið rangan sýndarhýsil eða látið sannvottun mistakast jafnvel þegar TCP 443 svarar, svo líttu á árangursríkt IP próf sem sönnun um netið og ekkert meira. Frá tilætlaðri fartölvu er venjulega upplausnarslóðin DNS framsendingaraðili biðlarans eða innkomin endastöð einkaupplausnarans sem hýsir svæðið, og brestur þar er aðgengisvandamál upplausnarans en ekki vantar færslu. Staðfestu að sama beiðni takist á þeirri slóð, og staðfestu svo að höfnuðu áhorfendurnir séu enn hafnaðir.

Hvað á að skrá og hverju á að afturkalla

Markport gámans og HTTPS port biðlarans eru aðskildar stillingar. Ekki birta markport gámans um VPN-ið vegna þess að gámurinn hlustar þar, og ekki víkka netreglu til að láta portpróf standast. Báðar breytingarnar lifa atvikið af og er erfitt að rekja þær síðar.

Ljúktu með nýrri forritaaðgerð frá tilætlaðri fartölvu, með leyfðri auðkennu hennar og venjulegu DNS, og athugaðu svo að óheimill kallari mistakist enn. Meðan þú ert í stillingum forritsins skaltu einnig staðfesta hvort HTTP slóð á umhverfisstigi birtir þetta forrit sem skotmark, því sú slóð er önnur hurð sem inngangsumfangið lýsir ekki.

Skráðu fimm gildi saman: umfang umhverfisins, inngangsumfang forritsins, FQDN, einkaaðgangs heimilisfang og eiganda upplausnarans. Þessi fimm lýsa allri aðgangssamningnum, og næsta manneskja sem kembir honum mun biðja um þau nákvæmlega.