Како веб-апликацијата Azure допира во просториите преку VPN

Излезното барање на веб-апликацијата остава работник што никогаш не го гледате, од извор што не сте го избрале, а канцеларискиот заштитен ѕид мора да го прифати. Тоа е целиот проблем во една реченица. Регионалната интеграција на VNet му дава на барањето патека во виртуелна мрежа, а VPN од локација до локација ја носи од таму. Сѐ што ќе тргне наопаку потоа е за тоа кој опсег на изворот и која рута всушност користел пакетот.

Што всушност праќа работникот

Услугата за апликации го извршува вашиот код на работници кои се наоѓаат надвор од мрежниот приказ на вашата претплата. Со овозможена регионална интеграција, излезниот сообраќај се предава на делегирана подмрежа во VNet во истиот регион, а пакетот се појавува таму пред да продолжи. Интеграцијата не ја преместува апликацијата во VNet и не ја менува нејзината влезна адреса. На излезните текови им дава само различен прв скок.

Стандардно, само приватниот адресен простор оди по тој пат, така што обичните интернет дестинации сѐ уште заминуваат директно од работникот. Рутирањето на сѐ преку VNet е посебна поставка и посебна одлука, бидејќи исто така ги испраќа вашите јавни зависности низ тунелот.

Сообраќајот за конфигурација, како што е повлекување слика од контејнер при стартување, ги следи сопствените правила за насочување и може да не успее додека вашите повици API да бидат успешни.

Подмрежата за интеграција е изворот што мора да го дозволите

Канцеларијата го гледа опсегот на адреси на интеграциската подмрежа или на што и да го преведе вашиот апарат, а не јавните излезни адреси на апликацијата. Ставете го тој опсег во избирачите на сообраќај на страницата VPN и во правилото за заштитен ѕид во просториите. Ако тунелот е базиран на политики, селекторите што го испуштаат го испуштаат пакетот дури и кога постои маршрута.

Не дозволувајте ниту една адреса на работникот што сте ја забележале. Примерите се менуваат со скалирање и одржување на платформата, а правилото закачено на една адреса се крши во најлош момент.

Дајте ја дестинационата страна тесна: една услуга, една порта, една насока, со експлицитно дозволена патека за враќање.

Гледањето и транзитот преку портал се експлицитни

Доколку портата VPN се наоѓа во хаб VNet, а подмрежата за интегрирање во говорница, на патеката треба да се дозволи транзит на портата при ѕиркање на централниот центар и овозможена употреба на далечинска порта на вртењето со звучници. Перењето само по себе носи сообраќај помеѓу двете VNet и ништо повеќе. Ефективните правци на подмрежата за интеграција се таму каде што потврдувате дека портата следниот хоп е навистина таму.

Дизајнот на центар и глас, чија табела за маршрути испраќа 0.0.0.0/0 до заштитен ѕид е вообичаена варијанта, а на тој заштитен ѕид потоа му треба свое правило за префиксот во просториите.

Нацртајте ја патеката на хартија пред да отворите билет со мрежниот тим, бидејќи заштедува ден на погодување. Вклучете ја насоката за враќање во цртежот, бидејќи тоа е половината што луѓето ја забораваат.

Влезната приватна крајна точка е другата насока

Приватната крајна точка ја прави апликацијата достапна од внатре во VNet. Не прави ништо за излезниот повик на апликацијата до канцеларијата, а тимовите редовно го конфигурираат додека вистинскиот услов беше обратен.

Постарата документација ја опишува интеграцијата потребна за портал, изградена на VPN од точка до локација, различна карактеристика со свои барања. Microsoft го закажува пензионирањето на таа функција за 31 март 2027 година и наместо тоа препорачува регионална интеграција.

Не копирајте стара конфигурација од точка до локација само затоа што ја користел стар пример.

Потврдете со сопствениот контекст на апликацијата

Тестирајте од распоредената апликација, не од вашиот лаптоп и не од VM во истата VNet. Забележете ја решената адреса, резултатот од врската и одговорот на ниво на апликација одделно, бидејќи има дефект на DNS, истек на TCP и точка за отфрлање на автентикација кај три различни сопственици. Ако резолуцијата на името не успее, поправете го приватниот DNS за VNet пред да го допрете тунелот.

Статусот на зелениот тунел само докажува дека портата е отворена. Не кажува ништо за селектори, правила за заштитен ѕид или DNS.

Кога барањето конечно ќе работи, напишете го опсегот на изворот, одредишната порта и зоната DNS во тендерот на апликацијата. Следното лице што ќе го дебагира ова ќе започне од вашата белешка наместо од статусната страница на порталот.