Kā Azure tīmekļa lietotne sasniedz lokālo, izmantojot VPN

Tīmekļa lietotnes izejošais pieprasījums atstāj darbinieku, kuru jūs nekad neredzat, no avota, kuru neesat izvēlējies, un biroja ugunsmūrim tas ir jāpieņem. Tā ir visa problēma vienā teikumā. Reģionālā VNet integrācija nodrošina pieprasījumam ceļu uz virtuālo tīklu, un vietņu VPN to pārnes no turienes. Viss, kas pēc tam noiet greizi, ir saistīts ar to, kurš avota diapazons un maršruts faktiski tika izmantots.

Ko darbinieks faktiski sūta

App Service palaiž jūsu kodu darbiniekiem, kuri atrodas ārpus jūsu abonementa tīkla skata. Ja ir iespējota reģionālā integrācija, izejošā datplūsma tiek nodota deleģētam apakštīklam tā paša reģiona virtuālajā tīklā, un pakete parādās tur, pirms tā turpinās. Integrācija nepārvieto lietotni virtuālajā tīklā un nemaina tās ienākošo adresi. Tas tikai piešķir izejošajām plūsmām atšķirīgu pirmo lēcienu.

Pēc noklusējuma šo ceļu izmanto tikai privātā adrešu telpa, tāpēc parastos interneta galamērķus joprojām atstāj tieši darbinieks. Visa maršrutēšana caur virtuālo tīklu ir atsevišķs iestatījums un atsevišķs lēmums, jo tas pāri tunelim nosūta arī jūsu publiskās atkarības.

Konfigurācijas datplūsma, piemēram, konteinera attēla izvilkšana startēšanas laikā, atbilst saviem maršrutēšanas noteikumiem un var neizdoties, kamēr jūsu API izsaukumi ir veiksmīgi.

Integrācijas apakštīkls ir avots, kas jums ir jāatļauj

Birojs redz integrācijas apakštīkla adrešu diapazonu vai citu, ko jūsu ierīce to pārveido, nevis lietotnes publiskās izejošās adreses. Ievietojiet šo diapazonu vietnes VPN trafika atlasītājos un lokālā ugunsmūra kārtulā. Ja tunelis ir balstīts uz politiku, atlasītāji, kas to izlaiž, atmet paketi pat tad, ja maršruts pastāv.

Neļaujiet novērot nevienu darbinieka adresi. Gadījumi mainās līdz ar mērogošanu un platformas uzturēšanu, un vienai adresei piesprausta kārtula tiek sabojāta sliktākajā brīdī.

Saglabājiet galamērķa pusi šauru: viens pakalpojums, viena osta, viens virziens ar skaidri atļautu atgriešanās ceļu.

Peing un vārtejas tranzīts ir nepārprotami

Ja VPN vārteja atrodas centrmezgla virtuālajā tīklā un integrācijas apakštīkls spieķī, ceļam ir nepieciešams vārtejas tranzīts, kas ir atļauts centrmezgla peering un attālās vārtejas izmantošana ir iespējota spieķu savienojumam. Pārlūkošana pati par sevi nodrošina trafiku starp diviem virtuālajiem tīkliem un neko vairāk. Efektīvie maršruti integrācijas apakštīklā ir tie, kur jūs apstiprināt, ka vārteja patiešām ir pieejama.

Rumbu un spieķu dizains, kura maršruta tabula ugunsmūrim nosūta 0.0.0.0/0, ir izplatīts variants, un tad šim ugunsmūrim ir nepieciešams savs lokālajam prefiksam paredzētais kārtulas.

Pirms biļetes atvēršanas ar tīkla komandu uzzīmējiet ceļu uz papīra, jo tas ietaupa dienu no minējumiem. Iekļaujiet zīmējumā atgriešanās virzienu, jo tā ir puse, ko cilvēki aizmirst.

Ienākošais privātais galapunkts ir otrs virziens

Privāts galapunkts padara lietotni sasniedzamu no virtuālās tīkla iekšpuses. Tas neko neietekmē lietotnes izejošajiem zvaniem uz biroju, un komandas regulāri konfigurē zvanu, kamēr faktiskā prasība bija pretēja.

Vecākā dokumentācijā ir aprakstīta vārtejai nepieciešamā integrācija, kas balstīta uz VPN — cita funkcija ar savām prasībām. Microsoft plāno šī līdzekļa darbības pārtraukšanu 2027. gada 31. martā un tā vietā iesaka reģionālo integrāciju.

Nekopējiet mantoto konfigurāciju no vienas vietnes uz otru tikai tāpēc, ka tā tika izmantota kādā vecā piemērā.

Pārbaudiet, izmantojot pašas lietotnes kontekstu

Pārbaudiet no izvietotās lietotnes, nevis no klēpjdatora un nevis no virtuālās mašīnas tajā pašā virtuālajā tīklā. Reģistrējiet atrisināto adresi, savienojuma rezultātu un lietojumprogrammas līmeņa atbildi atsevišķi, jo DNS kļūme, TCP noildze un autentifikācijas noraidīšanas punkts pie trim dažādiem īpašniekiem. Ja nosaukuma atrisināšana neizdodas, pirms pieskaršanās tunelim izlabojiet privāto DNS VNet.

Zaļais tuneļa statuss tikai pierāda, ka vārteja ir atvērta. Tajā nekas nav minēts par atlasītājiem, ugunsmūra noteikumiem vai DNS.

Kad pieprasījums beidzot darbojas, ierakstiet avota diapazonu, galamērķa portu un DNS zonu lietotnes izpildgrāmatā. Nākamā persona, kas to atkļūdos, sāks no jūsu piezīmes, nevis vārtejas statusa lapas.