როგორ აღწევს Azure ვებ აპი შიდა შენობაში VPN-ის საშუალებით

ვებ აპლიკაციის გამავალი მოთხოვნა ტოვებს მუშაკს, რომელსაც ვერასოდეს ხედავთ, წყაროდან, რომელიც თქვენ არ აირჩიეთ, და ოფისის ფაირვოლმა უნდა მიიღოს იგი. ეს არის მთელი პრობლემა ერთ წინადადებაში. რეგიონალური VNet ინტეგრაცია თხოვნას აძლევს გზას ვირტუალურ ქსელში და საიტიდან საიტზე VPN ატარებს მას იქიდან. ყველაფერი, რაც შემდეგ არასწორია, არის იმის შესახებ, თუ რომელი წყაროს დიაპაზონი და რომელი მარშრუტი გამოიყენა პაკეტმა.

რას აგზავნის მუშაკი

App Service გაუშვებს თქვენს კოდს მუშებზე, რომლებიც სხედან თქვენი გამოწერის ქსელის ხედის მიღმა. თუ ჩართულია რეგიონული ინტეგრაცია, გამავალი ტრაფიკი გადაეცემა დელეგირებულ ქვექსელს VNet-ში იმავე რეგიონში და პაკეტი გამოჩნდება იქ, სანამ ის გაგრძელდება. ინტეგრაცია არ გადააქვს აპლიკაციას VNet-ში და არ ცვლის მის შემომავალ მისამართს. ის მხოლოდ გამავალ ნაკადებს აძლევს განსხვავებულ პირველ ხვრელს.

ნაგულისხმევად, მხოლოდ პირადი მისამართების სივრცე მიდის ამ გზაზე, ამიტომ ჩვეულებრივი ინტერნეტ მიმართულებები მაინც პირდაპირ თანამშრომლისგან მიდის. VNet-ის მეშვეობით ყველაფრის მარშრუტირება არის ცალკე პარამეტრი და ცალკე გადაწყვეტილება, რადგან ის ასევე აგზავნის თქვენს საჯარო დამოკიდებულებებს გვირაბში.

კონფიგურაციის ტრაფიკი, როგორიცაა კონტეინერის გამოსახულების ამოღება გაშვებისას, მიჰყვება მარშრუტიზაციის საკუთარ წესებს და შეიძლება წარუმატებელი იყოს, სანამ თქვენი API ზარები წარმატებული იქნება.

ინტეგრაციის ქვექსელი არის წყარო, რომელიც უნდა დაუშვათ

ოფისი ხედავს ინტეგრაციის ქვექსელის მისამართების დიაპაზონს ან რასაც თქვენი მოწყობილობა თარგმნის და არა აპის საჯარო გამავალ მისამართებს. ჩადეთ ეს დიაპაზონი საიტის VPN-ის ტრაფიკის სელექტორებში და შიდა firewall-ის წესში. თუ გვირაბი დაფუძნებულია პოლიტიკაზე, სელექტორები, რომლებიც გამოტოვებენ მას, ჩამოაგდებენ პაკეტს მაშინაც კი, როცა მარშრუტი არსებობს.

არ დაუშვათ თანამშრომლის ერთი მისამართი, რომელიც თქვენ შენიშნეთ. ინსტანციები იცვლება სკალირებისა და პლატფორმის შენარჩუნებით და ერთ მისამართზე მიმაგრებული წესი იშლება ყველაზე ცუდ მომენტში.

დანიშნულების გვერდი ვიწრო შეინახეთ: ერთი სერვისი, ერთი პორტი, ერთი მიმართულება, დაბრუნების გზა ცალსახად დაშვებულია.

თანხმობა და კარიბჭის ტრანზიტი აშკარაა

თუ VPN კარიბჭე დგას ჰაბში VNet-ში, ხოლო ინტეგრაციის ქვექსელი სპიკერში, ბილიკს სჭირდება კარიბჭის ტრანზიტი დაშვებული ჰაბის პიერინგის დროს და დისტანციური კარიბჭის გამოყენება ჩართულია სპიკერის შესატყვისზე. პიერინგი თავისთავად ატარებს ტრაფიკს ორ VNet-ს შორის და მეტი არაფერი. ეფექტური მარშრუტები ინტეგრაციის ქვექსელზე არის ის, სადაც თქვენ ადასტურებთ, რომ შემდეგი ჰოპ კარიბჭე ნამდვილად არსებობს.

საერთაშორისო და სპიკერის დიზაინი, რომლის მარშრუტების ცხრილი აგზავნის 0.0.0.0/0 ფაირვოლს, ჩვეულებრივი ვარიანტია და შემდეგ ამ ფაიერ კედელს სჭირდება საკუთარი წესი შიდა პრეფიქსისთვის.

დახაზეთ ბილიკი ქაღალდზე ბილეთის გახსნამდე ქსელის გუნდთან ერთად, რადგან ეს დაზოგავს გამოცნობის დღეს. შეიტანეთ დაბრუნების მიმართულება ნახაზში, რადგან ეს არის ის ნახევარი, რაც ადამიანებს ავიწყდებათ.

შემავალი პირადი საბოლოო წერტილი არის სხვა მიმართულება

პირადი ბოლო წერტილი აპს ხელმისაწვდომს ხდის VNet-ის შიგნიდან. ის არაფერს აკეთებს აპლიკაციის ოფისში გამავალი ზარისთვის და გუნდები რეგულარულად აკონფიგურირებენ ერთს, მაშინ როცა რეალური მოთხოვნა საპირისპირო იყო.

ძველი დოკუმენტაცია აღწერს კარიბჭისთვის საჭირო ინტეგრაციას, რომელიც აგებულია წერტილიდან საიტის VPN-ზე, განსხვავებულ ფუნქციას თავისი მოთხოვნებით. Microsoft გეგმავს ამ ფუნქციის გასვლას 2027 წლის 31 მარტს და ამის ნაცვლად რეკომენდაციას უწევს რეგიონულ ინტეგრაციას.

არ დააკოპიროთ ძველი წერტილიდან საიტის კონფიგურაცია მხოლოდ იმიტომ, რომ ძველმა მაგალითმა გამოიყენა იგი.

დაადასტურეთ აპის საკუთარი კონტექსტით

ტესტი განლაგებული აპიდან, არა თქვენი ლეპტოპიდან და არა VM-დან იმავე VNet-ში. დაარეგისტრირეთ გადაჭრილი მისამართი, კავშირის შედეგი და აპლიკაციის დონის პასუხი ცალ-ცალკე, რადგან DNS წარუმატებლობა, TCP ვადაა და ავთენტიფიკაციის უარყოფის წერტილი სამ სხვადასხვა მფლობელზე. თუ სახელის გარჩევადობა ვერ ხერხდება, შეასწორეთ VNet-ის პირადი DNS გვირაბთან შეხებამდე.

მწვანე გვირაბის სტატუსი მხოლოდ ადასტურებს კარიბჭის გახსნას. ის არაფერს ამბობს სელექტორებზე, ფაირვოლ-ის წესებსა თუ DNS-ზე.

როდესაც მოთხოვნა საბოლოოდ იმუშავებს, ჩაწერეთ წყაროს დიაპაზონი, დანიშნულების პორტი და DNS ზონა აპლიკაციის წიგნში. შემდეგი პირი, რომელიც გამართავს ამას, დაიწყება თქვენი ჩანაწერიდან და არა კარიბჭის სტატუსის გვერდიდან.