Wéi eng Azure Web App Lokal duerch e VPN erreecht

D'Ausgaangsfro vun der Web App léisst en Aarbechter deen Dir ni gesinn, vun enger Quell déi Dir net gewielt hutt, an d'Büro Firewall muss et akzeptéieren. Dat ass de ganze Problem an engem Saz. Regional VNet Integratioun gëtt der Ufro e Wee an e virtuellt Netzwierk, an de Site-to-Site VPN dréit et vun do aus. Alles wat duerno falsch geet ass iwwer wéi eng Quellberäich a wéi eng Streck de Paket tatsächlech benotzt huet.

Wat den Aarbechter eigentlech schéckt

App Service leeft Äre Code op Aarbechter déi ausserhalb vun Ärem Netzsiicht vun Ärem Abonnement sëtzen. Mat regional Integratioun aktivéiert, gëtt den ausgaangegen Traffic un en delegéierten Subnet an engem VNet an der selwechter Regioun iwwerginn, an de Paket erschéngt do ier et weider geet. D'Integratioun réckelt d'App net an d'VNet an ännert seng Agangsadress net. Et gëtt nëmmen Ausgaangsflux eng aner éischt Hop.

Par défaut hëlt nëmme privat Adressraum dee Wee, sou datt normal Internetdestinatiounen ëmmer nach direkt vum Aarbechter verloossen. Routing alles duerch de VNet ass eng separat Astellung an eng separat Entscheedung, well et och Är ëffentlech Ofhängegkeeten iwwer den Tunnel schéckt.

Konfiguratiounsverkéier, sou wéi e Containerbild beim Startup, follegt seng eege Routingregelen a ka versoen wann Är API Uriff erfollegräich sinn.

Den Integratiouns-Subnet ass d'Quell déi Dir erlaabt

De Büro gesäit d'Adressberäich vun der Integratioun-Subnet, oder wat och ëmmer Ären Apparat et iwwersetzt, net déi ëffentlech Ausgaangsadressen vun der App. Setzt dës Gamme an de Site VPN's Verkehrsselektoren an an d'on-premises Firewall Regel. Wann den Tunnel Politik-baséiert ass, falen Selektoren, déi et ausléisen, de Paket erof och wann e Wee existéiert.

Erlaabt net eng eenzeg Aarbechteradress déi Dir geschitt ass ze observéieren. D'Instanzen änneren mat Skaléieren an Ënnerhalt vun der Plattform, an eng Regel, déi op eng Adress gepecht ass, brécht am schlëmmste Moment.

Halen der Destinatioun Säit schmuel: ee Service, eent port, eng Richtung, mat der Retour Wee explizit erlaabt.

Peering an Gateway Transit sinn explizit

Wann de VPN Gateway an engem Hub VNet sëtzt an den Integratiouns-Subnet an engem Speech, brauch de Wee Gateway Transit erlaabt op der Hub Peering a Remote Gateway Notzung aktivéiert op der Speech Peering. Peering selwer féiert Traffic tëscht den zwee VNets an näischt méi. Déi effektiv routes op der Integratioun Subnet sinn wou Dir confirméiert de Paart nächste Hop wierklech do ass.

En Hub-a-geschwat Design deem säi Route Dësch 0.0.0.0/0 op eng Firewall schéckt ass eng gemeinsam Variant, an déi Firewall brauch dann seng eege Regel fir de Präfix op der Plaz.

Zeechnen de Wee op Pabeier ier Dir en Ticket mat der Réseau Team opmaacht, well et spuert en Dag ze roden. D'Richtung zréck an der Zeechnung enthalen, well dat ass déi hallef Leit vergiessen.

Inbound privaten Endpunkt ass déi aner Richtung

E privaten Endpunkt mécht d'App erreechbar vu bannent engem VNet. Et mécht näischt fir den Ausgaangsuruff vun der App op de Büro, an d'Equipen konfiguréieren regelméisseg een, während déi aktuell Ufuerderung de Géigendeel war.

Eeler Dokumentatioun beschreift Gateway-erfuerderlech Integratioun op Point-to-Site VPN gebaut, eng aner Feature mat sengen eegenen Ufuerderungen. Microsoft plangt d'Pensioun vun dëser Feature fir den 31. Mäerz 2027, a recommandéiert amplaz regional Integratioun.

Kopéiert net eng legacy Point-to-Site Konfiguratioun just well en aalt Beispill et benotzt huet.

Verifizéiert mat dem eegene Kontext vun der App

Test vun der ofgebauter App, net vun Ärem Laptop an net vun engem VM am selwechte VNet. Log déi geléist Adress, d'Verbindungsresultat an d'Applikatiounsniveau Äntwert separat, well en DNS-Feeler, en TCP-Timeout an en Authentifikatiouns-Oflehnungspunkt bei dräi verschiddene Besëtzer. Wann d'Nummresolutioun feelt, fixéiert privat DNS fir de VNet ier Dir den Tunnel beréiert.

E gréngen Tunnelstatus beweist nëmmen datt d'Paart op ass. Et seet näischt iwwer Selektoren, Firewall Regelen oder DNS.

Wann d'Ufro endlech funktionnéiert, schreift d'Quellberäich, den Destinatiounsport an d'DNS-Zone an d'Runbook vun der App. Déi nächst Persoun fir dëst ze debuggen fänkt vun Ärer Notiz un anstatt vun der Gateway Status Säit.