Жеке Container Apps колдонмосуна пункттан сайтка VPN аркылуу жетүү
Ички Container Apps чөйрөсүнө жеке кирүү, дал келген хост аты жана VPN жете алган чечүүчү керек. Ар бир кадамды аткарып, анан баш тартууну текшериңиз.
Бул колдонмо жумуш жүктөмү профилдери бар Container Apps чөйрөсүн жана ички виртуалдык тармак кирүүсүн камтыйт; ага ноутбуктан бекитилген пункттан сайтка VPN аркылуу жетүүгө болот, колдонмонун түз FQDN-и колдонулат жана чөйрө деңгээлинде HTTP маршруттары жок. чөйрөнүн кирүүсү кардар тараптан жеткиликтүү, колдонмонун кирүү алкагы чакыруучуну кабыл алат, жана хост аты жеке кирүүгө чечилет. Төмөндөгү ар бир кадам текшерилүүчү натыйжаны жана сиз өзгөртпөгөн эч нерсеге тийбеген артка кайтарууну калтырат. Аларды берилген тартипте аткарыңыз, анткени 1-кадамда туура эмес кабыл алынган алкак чечимин кийинки эч бир кадам ордун толтура албайт.
DNS-ке тийүүдөн мурун ички деген сөздү тактаңыз. Бул продуктта ал эки башка алкак үчүн колдонулат, жана аларды алмаштыруу иштеген аттын дагы эле пайдалуу эч нерсе кайтарбашынын эң кеңири тараган себеби.
1-кадам: чөйрөнүн жана колдонмонун алкагын бекитүү
Ар кандай жазууну өзгөртүүдөн мурун колдонмонун кирүү конфигурациясын окуңуз:
| Setting | Boundary |
|---|---|
| Internal environment | The environment entry is reached through its private network arrangement |
| App with internal ingress | Callers from the environment VNet only; a VPN laptop qualifies once it has a route into that VNet and the domain resolves privately |
| App with external ingress in an internal environment | The app accepts outside traffic through the environment's private entry |
Ички кирүү чөйрөнүн VNet ичиндеги чөйрөнүн ички жүктөө теңдештиргичинде ачылат, ошондуктан суроо ноутбуктун башка контейнер колдонмосу болушунда эмес, анын ошол VNet-ке жете алышында. VNet-ке маршруту бар жана чөйрөнүн демейки домени жеке аймак аркылуу чечилген VPN кардары жарактуу чакыруучу болуп саналат, жана калган кадамдар дал ушунү курат. Коомдук кирүүсү жок ички чөйрө ички кирүүсү бар колдонмодон башка факт, ал эми колдонмо деңгээлиндеги тышкы кирүү чөйрөгө коомдук эшик бербейт. Алкакты портал менен катар билетке да жазыңыз, анткени кийинки инженер адегенде билетти окуйт.
Улантуудан мурун бул алкакты конфигурация ээси менен ырастаңыз жана дарбазаны тар кармаңыз: эгер чөйрөнүн VNet-ине маршрут болбосо, же чөйрөнүн демейки домени жеке аймак аркылуу чечилбесе, токтоп, адегенде ошол жолду оңдоңуз. VNet-ке жете албаган же атты чече албаган чакыруучуну кийинки эч бир кадам алмаштыра албайт.
2-кадам: чыныгы хост атын жана кирүү дарегин чогултуу
Чөйрөнүн демейки доменин, анын статикалык жеке кирүү дарегин жана колдонмонун конфигурацияланган FQDN-ин жазып алыңыз; аларды эски скриншоттон же вики барактан эмес, ресурстан алыңыз:
az containerapp env show -n ENV -g RG \
--query "{domain:properties.defaultDomain, ip:properties.staticIp}"
az containerapp show -n APP -g RG \
--query "properties.configuration.ingress.fqdn"Container Apps үчүн жеке кирүү боюнча көрсөтмө колдонмонун хост аттарын бузбай сактап, чөйрөнүн доменин анын ички дарегине дал келтирүүнү сүрөттөйт. Сиз бул жерде дал ошол форманы кол менен куруп жатасыз, ошондуктан жаңы ат схемасын ойлоп табуунун ордуна аймактын мазмунун ага ылайыктаңыз.
Эгер окуган домен колдонмо билдирген FQDN-ге дал келбесе, токтоп, аларды азыр эле макулдаштырыңыз. Туура эмес уландыга аймак куруу мыкты чечилүүчү, бирок баары бир туура эмес виртуалдык хостко түшүүчү хост атын жаратат.
3-кадам: жеке аймакты VPN-дин чечүүчүсүнүн жолуна коюу
Чөйрөнүн чыныгы демейки домени үчүн колдоого алынган жеке DNS аймагын түзүңүз же кайра колдонуңуз, документтелген алмаштыргыч жана дарек жазуулары статикалык кирүүгө шилтеме кылсын. Ошол аймакты тиешелүү виртуалдык тармакка байланыштырыңыз жана жеке бийликти VPN-дин бекитилген чечүүчү жолу аркылуу жеткиликтүү кылыңыз, байланыш жетиштүү деп болжобой.
Пункттан сайтка кардары адатта ошол аймакка жетүү үчүн жеке чечүүчүнүн кирүү акыркы чекитин же колдоого алынган DNS кайра жөнөтүүчүсүн талап кылат. Аймакты байланыштыруу Azure байланышкан тармактар үчүн чечкен нерсени өзгөртөт; ал ар бир тышкы ноутбуктун коомдук чечүүчүсүн кайра багыттабайт. Башка Container Apps тармак моделинен алынган жеке акыркы чекит DNS аймагы менен алмаштырбаңыз, анткени жазуу аттары жана аймак уландысы дал келбейт.
Бул кадамдын артка кайтаруусу — аймак байланышын же сиз кошкон жазууну алып салуу. Алардын кайсынысы болгонун жазып коюңуз, анткени бир байланышты жокко чыгаруу үчүн жалпы аймакты өчүрүү экинчи чөйрөнү бузуунун белгилүү жолу.
4-кадам: атты, анан баш тартылган аудиторияны текшерүү
Хост атын жана TLS инсандыгын чогуу текшериңиз, жалгыз даректи эмес. Көзөмөлдөнгөн аттарды салыштыруу диагностикасы үчүн хост атын сактап, даректи бекитүүгө болот:
curl --resolve app.ENVIRONMENT_DOMAIN:443:10.40.0.10 \
https://app.ENVIRONMENT_DOMAIN/Хост атын колдонмонун чыныгы FQDN-и менен, ал эми даректи чыныгы ички кирүү менен алмаштырыңыз. Бул бир гана сурамжылоого таасир этет жана DNS камсыздоо эмес. Инсандык катасын көрүнгөн өтүүгө айландыруу үчүн -k кошпоңуз, анткени сертификаттын дал келбестиги туура эмес угуучуга тийип жатканыңыздын белгиси.
Сандык даректи түз суроо TCP 443 жооп берсе да туура эмес виртуалдык хостту тандашы же текшерүүдөн өтпөй калышы мүмкүн, ошондуктан ийгиликтүү IP сынагын тармак жөнүндө далил деп эсептеңиз, андан ашык эмес. Максаттуу ноутбуктан кадимки чечүүчү жолу — кардардын DNS кайра жөнөтүүчүсү же аймакты кармаган жеке чечүүчүнүн кирүү акыркы чекити, ал эми ал жердеги ийгиликсиздик жоголгон жазуу эмес, чечүүчүгө жетүү маселеси. Ошол жолдо дал ушул сурамжылоо ийгиликтүү болорун ырастаңыз, анан баш тартылган аудитория дагы эле баш тартылганын ырастаңыз.
Эмнени жазуу керек жана эмнени артка кайтаруу керек
Контейнердин максаттуу порту жана кардардын HTTPS порту өзүнчө жөндөөлөр. Контейнер ошол жерде угуп жаткандыктан, анын максаттуу портун VPN аркылуу жарыялабаңыз, жана порт сынагы өтүшү үчүн тармак эрежесин кеңейтпеңиз. Эки өзгөртүү тең окуядан кийин жашайт жана кийин аларды таандык кылуу кыйын.
Максаттуу ноутбуктан анын уруксат берилген инсандыгы жана кадимки DNS-и менен жаңы колдонмо операциясы менен бүтүрүңүз, анан уруксат берилбеген чакыруучу дагы эле ийгиликсиз болорун текшериңиз. Колдонмо конфигурациясында жүргөндө, чөйрө деңгээлиндеги HTTP маршруту бул колдонмону максат катары ачабы, аны да ырастаңыз, анткени ошол маршрут — кирүү алкагы сүрөттөбөгөн экинчи эшик.
Беш маанини чогуу жазыңыз: чөйрөнүн алкагы, колдонмонун кирүү алкагы, FQDN, жеке кирүү дареги жана чечүүчүнүн ээси. Ошол бешөө бүткүл кирүү келишимин сүрөттөйт, жана аны оңдогон кийинки адам дал ошолорду сурайт.