Kaip „Azure“ žiniatinklio programa pasiekiama vietoje per VPN

Žiniatinklio programos išsiunčiamoji užklausa palieka darbuotoją, kurio niekada nematote, iš šaltinio, kurio nepasirinkote, o biuro užkarda turi ją priimti. Tai yra visa problema viename sakinyje. Regioninė VNet integracija suteikia užklausai kelią į virtualų tinklą, o VPN iš vienos vietos į kitą perduoda jį iš ten. Viskas, kas vėliau nepavyksta, priklauso nuo šaltinio diapazono ir maršruto, kurį iš tikrųjų naudojo paketas.

Ką darbuotojas iš tikrųjų siunčia

App Service paleidžia jūsų kodą darbuotojams, kurie nėra jūsų prenumeratos tinklo rodinyje. Įjungus regioninį integravimą, siunčiamasis srautas perduodamas deleguotam potinkliui VNet tame pačiame regione, o paketas pasirodo ten prieš tęsiant. Integracija neperkelia programos į VNet ir nekeičia jos gaunamo adreso. Tai tik suteikia kitokį pirmąjį šuolį išeinantiems srautams.

Pagal numatytuosius nustatymus šiuo keliu eina tik privati adresų erdvė, todėl įprastos interneto paskirties vietos vis tiek paliekamos tiesiai iš darbuotojo. Viską nukreipti per VNet yra atskiras nustatymas ir atskiras sprendimas, nes jis taip pat siunčia jūsų viešąsias priklausomybes per tunelį.

Konfigūracijos srautas, pvz., sudėtinio rodinio vaizdo ištraukimas paleidžiant, vadovaujasi savo maršruto parinkimo taisyklėmis ir gali nepavykti, kol bus sėkmingi API iškvietimai.

Integravimo potinklis yra šaltinis, kurį turite leisti

Biuras mato integravimo potinklio adresų diapazoną arba bet ką, į ką jį paverčia jūsų prietaisas, o ne programos viešuosius išsiunčiamuosius adresus. Įtraukite šį diapazoną į svetainės VPN srauto parinkiklius ir vietinės ugniasienės taisyklę. Jei tunelis pagrįstas politika, parinkikliai, kurie jo praleidžia, atmeta paketą, net jei maršrutas yra.

Neleiskite pastebėti nė vieno darbuotojo adreso. Atvejai keičiasi keičiant mastelį ir prižiūrint platformą, o vienam adresui prisegta taisyklė nutrūksta pačiu blogiausiu momentu.

Paskirties pusė turi būti siaura: viena paslauga, vienas prievadas, viena kryptis, aiškiai leidžiant atgalinį kelią.

Peeravimas ir tinklų sietuvas yra aiškūs

Jei VPN šliuzas yra koncentratoriaus virtualiajame tinkle, o integravimo potinklis – stipine, keliui reikalingas stebulės tarpusavio ryšys, o nuotolinio šliuzo naudojimas – įgalintas stipininio ryšio tinkle. Pats žiūrėjimas perkelia srautą tarp dviejų VNet ir nieko daugiau. Veiksmingi maršrutai integravimo potinklyje yra ten, kur jūs patvirtinate, kad kito šliuzo šliuzas tikrai yra.

Centrinis ir stipininis dizainas, kurio maršruto lentelė ugniasienei siunčia 0.0.0.0/0, yra įprastas variantas, todėl šiai ugniasienei reikia savo vietos priešdėlio taisyklės.

Prieš atidarydami bilietą su tinklo komanda ant popieriaus nubrėžkite kelią, nes taip sutaupysite spėlionių. Į brėžinį įtraukite grįžimo kryptį, nes tai yra pusė žmonių, kuriuos pamiršta.

Įeinantis privatus galutinis taškas yra kita kryptis

Privatus galutinis taškas leidžia pasiekti programą iš VNet. Tai nieko nedaro programos išsiunčiamam skambučiui į biurą, o komandos reguliariai konfigūruoja skambutį, o faktinis reikalavimas buvo priešingas.

Senesniuose dokumentuose aprašoma šliuzo reikalinga integracija, sukurta naudojant VPN, skirtą nuo taško iki svetainės, kuri yra kita funkcija, kuriai būdingi tam tikri reikalavimai. „Microsoft“ numato šios funkcijos pašalinimą 2027 m. kovo 31 d. ir vietoj jos rekomenduoja regioninę integraciją.

Nekopijuokite pasenusios taško į svetainę konfigūracijos vien todėl, kad ji naudojama sename pavyzdyje.

Patvirtinkite naudodami pačios programos kontekstą

Tikrinti naudodami įdiegtą programą, o ne iš nešiojamojo kompiuterio ir ne iš VM tame pačiame VNete. Atskirai užregistruokite išspręstą adresą, ryšio rezultatą ir programos lygio atsakymą, nes DNS gedimas, TCP skirtasis laikas ir autentifikavimo atmetimo taškas pas tris skirtingus savininkus. Jei pavadinimo išspręsti nepavyksta, prieš paliesdami tunelį pataisykite privatų VNet DNS.

Žalias tunelio būsena tik įrodo, kad vartai yra aukštyn. Jame nieko nesakoma apie parinkiklius, ugniasienės taisykles ar DNS.

Kai užklausa pagaliau veikia, į programos vykdymo knygą įrašykite šaltinio diapazoną, paskirties prievadą ir DNS zoną. Kitas asmuo, kuris tai derins, pradės nuo jūsų užrašo, o ne nuo šliuzo būsenos puslapio.