Eng privat Container Apps-App iwwer Punkt-zu-Site-VPN erreechen

Eng intern Container Apps-Ëmfeld brauch en private Zougang, en passenden Hostnumm an en Resolver, deen de VPN erreeche kann. Féiert all Schrëtt aus a verifizéiert duerno d'Oflehnung.

Dësen Guide deckt eng Container Apps-Ëmfeld mat Workload-Profilen an engem internen virtuellen-Netzwierk-Zougang of, deen een vu engem Laptop iwwer e guttgeheescht Punkt-zu-Site-VPN erreecht, mat dem direkte FQDN vun der App an ouni HTTP-Routen op Ëmfeldniveau. den Zougang zum Ëmfeld ass vum Client aus erreechbar, de Scope vum Ingress vun der App léisst den Uruffer zou, an den Hostnumm gëtt op de privaten Zougang opgeléist. All Schrëtt hei drënner hannerléisst en iwwerpréifbaren Resultat an eng Réckroll, déi näischt beréiert, wat Dir net geännert hutt. Schafft se an der uginnener Reihenfolg duerch, well keen spéidere Schrëtt eng falsch getraffe Scope-Entscheedung am Schrëtt 1 kompenséiere kann.

Ier Dir DNS beréiert, kloert d'Wuert intern. Et gëtt an dësem Produkt fir zwee verschidde Scopen anzesat, an se ze verwiesselen ass dee heefegste Grond, firwat en funktionéierenden Numm nach ëmmer näischt Nëtzleches zréckgëtt.

Schrëtt 1: de Scope vum Ëmfeld an der App festleeën

Liest d'Ingress-Konfiguratioun vun der App, ier Dir en Rekord ännert:

SettingBoundary
Internal environmentThe environment entry is reached through its private network arrangement
App with internal ingressCallers from the environment VNet only; a VPN laptop qualifies once it has a route into that VNet and the domain resolves privately
App with external ingress in an internal environmentThe app accepts outside traffic through the environment's private entry

Internen Ingress gëtt um internen Load Balancer vum Ëmfeld bannent dem VNet vum Ëmfeld exponéiert, also ass d'Fro net, ob de Laptop eng aner Container-App ass, mä ob en dee VNet erreeche kann. E VPN-Client mat enger Route an de VNet an dem Standard-Domän vum Ëmfeld, deen iwwer déi privat Zone opgeléist gëtt, ass en zoulässegen Uruffer, an genau dat bauen déi reschtlech Schrëtter. En internen Ëmfeld ouni ëffentlechen Zougang ass eng aner Tatsaach wéi eng App mat internem Ingress, an externen Ingress op App-Niveau gëtt dem Ëmfeld keng ëffentlech Dier. Schreift de Scope an den Ticket souwéi an de Portal, well den nächsten Ingenieur liest den Ticket als éischt.

Bestätegt dee Scope mam Konfiguratiounsbesëtzer, ier Dir weidergitt, a haalt d'Paart schmuel: wann et keng Route an de VNet vum Ëmfeld gëtt, oder den Standard-Domän vum Ëmfeld net iwwer déi privat Zone opgeléist gëtt, stoppt a fléckt dëse Wee fir d'éischt. Kee spéidere Schrëtt kann en Uruffer ersetzen, deen de VNet net erreeche kann oder den Numm net opléist.

Schrëtt 2: den echte Hostnumm an d'Adress vum Zougang sammelen

Notéiert den Standard-Domän vum Ëmfeld, seng statesch privat Adress vum Zougang an den konfiguréierte FQDN vun der App, geholl aus der Ressource an net vun engem ale Screenshot oder enger Wiki-Säit:

az containerapp env show -n ENV -g RG \
  --query "{domain:properties.defaultDomain, ip:properties.staticIp}"
az containerapp show -n APP -g RG \
  --query "properties.configuration.ingress.fqdn"

D'Leitfaden fir de private Zougang vun Container Apps beschreift d'Domeine vum Ëmfeld mat senger interner Adress ze passen, wärend d'Hostnimm vun der Applikatioun intakt bleiwen. Dat ass genau d'Form, déi Dir hei vun Hand baut, also riicht de Inhalt vun der Zone domat aus, amplaz en neit Nummplang ze erfinden.

Wann den Domän, deen Dir geliest hutt, net mam FQDN iwwereneen ass, deen d'App mellt, stoppt a versöhnt se elo. Eng Zone op den falschen Suffix ze bauen ergëtt en Hostnumm, dee perfekt opgeléist gëtt an awer um falschen virtuelle Host landt.

Schrëtt 3: déi privat Zone op de Resolverwee vum VPN setzen

Erstellt oder benotzt déi ënnerstëtzt privat DNS-Zone fir den tatsächlechen Standard-Domän vum Ëmfeld nees, mat den dokumentéierte Wildcard- an Adressrekorden, déi op den stateschen Zougang weisen. Verknäppt déi Zone mam passenden virtuelle Netzwierk, a maacht déi privat Autoritéit iwwer de guttgeheeschten Resolverwee vum VPN erreechbar, amplaz unzehuelen, datt d'Verknäppung genüügt.

E Punkt-zu-Site-Client brauch normalerweis en abege Punkt vun engem private Resolver oder e ënnerstëtzte DNS-Forwarder, fir déi Zone z'erreechen. Eng Zone verknäppen ännert, wat Azure fir verknäppt Netzwierker opléist; et leet net de ëffentleche Resolver vun all externem Laptop ëm. Ersetzt se net duerch eng DNS-Zone fir privat Ennpunkte, déi aus engem aneren Container Apps-Netzwierkmodel geléint ass, well d'Rekordnimm an de Suffix vun der Zone net iwwerenee passen.

D'Réckroll fir dëse Schrëtt ass d'Verknäppung vun der Zone oder den Rekord ze läschen, deen Dir bäigefüügt hutt. Notéiert, wéi eng vun deenen zwee et war, well eng gedeelt Zone läschen, fir eng eenzeg Verknäppung z'ënnerbriechen, en bekannte Wee ass, en zweet Ëmfeld ze briechen.

Schrëtt 4: den Numm testen, dann dat ofgeleente Publikum

Testt den Hostnumm an d'TLS-Identitéit zesummen, net nëmmen d'Adress. Fir eng kontrolléiert Numm-Mapping-Diagnostik kënnt Dir d'Adress festleeën, wärend Dir den Hostnumm behält:

curl --resolve app.ENVIRONMENT_DOMAIN:443:10.40.0.10 \
    https://app.ENVIRONMENT_DOMAIN/

Ersetzt den Hostnumm duerch den echte FQDN vun der App an d'Adress duerch den echte internen Zougang. Dëst betrëfft nëmmen déi eng eenzeg Ufro an ass keng DNS-Provisionéierung. Füügt -k net bäi, fir en Identitéitsfehler an en anscheinend Bestoen ëmzewandelen, well eng Zertifikatsofwäichung ass d'Sigel, datt Dir de falsche Listener trëfft.

D'numeresch Adress direkt unzefroen kann de falschen virtuelle Host auswielen oder d'Validéierung feelen, och wärend TCP 443 äntwert, also behandelt en erfollegräichen IP-Test als Beweis iwwer d'Netzwierk an näischt méi. Vum geplangte Laptop aus ass den normale Resolverwee den DNS-Forwarder vum Client oder den abege Punkt vum private Resolver, deen d'Zone hostt, an e Feeler do ass en Erreechbarkeetsproblem vum Resolver, net e fehlende Rekord. Bestätegt, datt déi selwecht Ufro op deem Wee erfollegräich ass, dann bestätegt, datt dat ofgeleente Publikum nach ëmmer ofgeleent gëtt.

Wat opzehuelen an wat zréckzerullen

Den Zilport vum Container an den HTTPS-Port vum Client sinn getrennte Astellungen. Veröffentlicht den Zilport vum Container net iwwer de VPN, well den Container do lauschtert, a verbreet keng Netzwierkregel, fir en Porttest duerchzekréien. Béid Ännerungen iwwerliewe den Tëschefall a sinn duerno schwéier zouzeschreiwen.

Schléisst mat enger fräscher Applikatiounsoperatioun vum geplangte Laptop of, mat senger autoriséierter Identitéit a sengem normale DNS, a kontrolléiert dann, datt en net-autoriséierten Uruffer nach ëmmer feelt. Wärend Dir an der App-Konfiguratioun sidd, bestätegt och, ob eng HTTP-Route op Ëmfeldniveau dës App als Zil exponéiert, well déi Route eng zweet Dier ass, déi de Scope vum Ingress net beschreift.

Notéiert fënnef Wäerter zesummen: de Scope vum Ëmfeld, de Scope vum Ingress vun der App, den FQDN, d'privat Adress vum Zougang an den Eigentümer vum Resolver. Déi fënnef beschreiwen de ganzen Zougangscontrat, an déi nächst Persoun, déi dat debuggë wäert, freet genau déi.

Ähnlech Artikelen