Цэгээс сайт руу VPN-ээр хувийн Container Apps програм руу нэвтрэх

Энэхүү гарын авлага нь ажлын ачааллын профайл бүхий Container Apps орчин болон түүний дотоод виртуал сүлжээний нэвтрэх замыг хамарна; түүнд зөөврийн компьютерээс зөвшөөрөгдсөн цэгээс сайт руу VPN-ээр хүрдэг бөгөөд програмын шууд FQDN-ийг ашиглах ба орчны түвшинд HTTP маршрутгүй. орчны нэвтрэх зам нь клиентээс хүрч болохоор байна, програмын нэвтрэх хүрээ дуудагчийг зөвшөөрч, хост нэр нь хувийн нэвтрэх замд шийдэгдэнэ. Доорх алхам бүр шалгаж болох үр дүн болон таны өөрчлөөгүй зүйлд хүрэхгүй буцаалтыг үлдээнэ. Тэдгээрийг өгөгдсөн дарааллаар гүйцэтгэнэ үү, учир нь 1-р алхамд буруу гаргасан хүрээний шийдвэрийг дараагийн ямар ч алхам нөхөж чадахгүй.

DNS-д хүрэхээс өмнө дотоод гэдэг үгийг тодруулна уу. Энэ бүтээгдэхүүнд үүнийг хоёр өөр хүрээнд ашигладаг бөгөөд тэдгээрийг хольж хутгах нь ажиллаж буй нэр яагаад одоо ч хэрэгтэй зүйл буцаадаггүйг тайлбарлах хамгийн түгээмэл шалтгаан юм.

1-р алхам: орчин болон програмын хүрээг тогтоох

Аливаа бичлэгийг өөрчлөхөөс өмнө програмын нэвтрэх тохиргоог уншина уу:

Дотоод нэвтрэлт нь орчны VNet доторх орчны дотоод ачааллын тэнцвэржүүлэгчид илэрдэг тул асуулт нь зөөврийн компьютер өөр контейнер програм мөн эсэх биш, харин тэр VNet-д хүрч чадах эсэх юм. VNet рүү маршруттай, орчны өгөгдмөл домэйн хувийн бүсээр шийдэгддэг VPN клиент нь тохирох дуудагч бөгөөд үлдсэн алхмууд яг үүнийг бүтээдэг. Нийтийн нэвтрэх замгүй дотоод орчин нь дотоод нэвтрэлттэй программаас өөр баримт бөгөөд програмын түвшний гадаад нэвтрэлт орчинд нийтийн хаалга өгөхгүй. Хүрээг порталд төдийгүй тасагт бичиж үлдээгээрэй, учир нь дараагийн инженер эхлээд тасагт уншдаг.

Үргэлжлүүлэхийн өмнө энэ хүрээг тохиргооны эзэнтэй баталгаажуулж, хаалгыг нарийн барина уу: хэрэв орчны VNet рүү маршрут байхгүй, эсвэл орчны өгөгдмөл домэйн хувийн бүсээр шийдэгдэхгүй бол зогсоод эхлээд тэр замыг засаарай. VNet-д хүрч чадахгүй эсвэл нэрийг шийдэж чадахгүй дуудагчийг дараагийн ямар ч алхам орлож чадахгүй.

2-р алхам: бодит хост нэр болон нэвтрэх хаягийг цуглуулах

Орчны өгөгдмөл домэйн, түүний статик хувийн нэвтрэх хаяг болон програмын тохируулсан FQDN-ийг бичиж аваарай; тэдгээрийг хуучин дэлгэцийн зураг эсвэл вики хуудаснаас биш, нөөцөөс авна уу:

az containerapp env show -n ENV -g RG \
  --query "{domain:properties.defaultDomain, ip:properties.staticIp}"
az containerapp show -n APP -g RG \
  --query "properties.configuration.ingress.fqdn"

Container Apps-ын хувийн нэвтрэх замын заавар програмын хост нэрсийг хөндөхгүй хадгалж, орчны домэйныг түүний дотоод хаягтай тааруулахыг тайлбарладаг. Та энд яг ийм хэлбэрийг гараар бүтээж байгаа тул шинэ нэршилийн схем зохиохын оронд бүсийн агуулгыг түүнтэй уялдуулаарай.

Хэрэв уншсан домэйн программаас мэдээлсэн FQDN-тэй тохирохгүй бол зогсоод одоо тааруулаарай. Буруу дагавар дээр бүс бүтээх нь төгс шийдэгдэх боловч буруу виртуал хост дээр буух хост нэрийг үүсгэдэг.

3-р алхам: хувийн бүсийг VPN-ийн шийдвэрлэгчийн замд байрлуулах

Орчны бодит өгөгдмөл домэйнд зориулсан дэмжигдсэн хувийн DNS бүсийг үүсгэх эсвэл дахин ашиглах бөгөөд баримтжуулсан орлуулагч болон хаягийн бичлэгүүд статик нэвтрэх зам руу заана. Тэр бүсийг тохирох виртуал сүлжээнд холбож, холбоос хангалттай гэж таамаглахын оронд VPN-ийн зөвшөөрөгдсөн шийдвэрлэгчийн замаар хувийн эрх мэдлийг хүрч болохоор болгоорой.

Цэгээс сайт руу клиентэд тэр бүсэд хүрэхийн тулд ихэвчлэн хувийн шийдвэрлэгчийн ирж буй төгсгөлийн цэг эсвэл дэмжигдсэн DNS дамжуулагч хэрэгтэй. Бүс холбох нь Azure холбогдсон сүлжээнд шийдэх зүйлийг өөрчилдөг; энэ нь гадаад зөөврийн компьютер бүрийн нийтийн шийдвэрлэгчийг дахин чиглүүлэхгүй. Өөр Container Apps сүлжээний загвараас зээлсэн хувийн төгсгөлийн цэгийн DNS бүсээр орлуулж болохгүй, учир нь бичлэгийн нэр болон бүсийн дагавар тохирохгүй.

Энэ алхмын буцаалт нь бүсийн холбоос эсвэл таны нэмсэн бичлэгийг устгах явдал юм. Аль нь байсныг бичиж үлдээгээрэй, учир нь нэг холбоосыг цуцлахад хуваалцсан бүсийг устгах нь хоёр дахь орчинг эвдэх алдартай арга юм.

4-р алхам: нэрийг, дараа нь татгалзсан үзэгчдийг шалгах

Хост нэр болон TLS таних тэмдгийг хамт шалга, зөвхөн хаягийг биш. Хяналттай нэр зураглалын оношилгоонд зориулж хост нэрийг хадгалан хаягийг тогтоож болно:

curl --resolve app.ENVIRONMENT_DOMAIN:443:10.40.0.10 \
    https://app.ENVIRONMENT_DOMAIN/

Хост нэрийг програмын бодит FQDN-ээр, хаягийг бодит дотоод нэвтрэх замаар солино уу. Энэ нь зөвхөн тэр нэг хүсэлтэд нөлөөлдөг бөгөөд DNS нийлүүлэлт биш. Таних тэмдгийн алдааг харагдах амжилт болгохын тулд -k нэмэхгүй байгаарай, учир нь гэрчилгээний зөрүү нь та буруу сонсогчид хүрч байгаа дохио юм.

Тоон хаягийг шууд хүсэх нь TCP 443 хариу өгч байсан ч буруу виртуал хост сонгох эсвэл баталгаажуулалт бүтэлгүйтэх боломжтой тул амжилттай IP шалгалтыг сүлжээний талаарх нотолгоо гэж үзээд, үүнээс хэтрүүлж болохгүй. Зорилтот зөөврийн компьютерээс ердийн шийдвэрлэгчийн зам нь клиентийн DNS дамжуулагч эсвэл бүсийг байршуулж буй хувийн шийдвэрлэгчийн ирж буй төгсгөлийн цэг бөгөөд тэндхийн бүтэлгүйтэл нь алга болсон бичлэг биш, шийдвэрлэгчид хүрэх асуудал юм. Мөн тэр хүсэлт тэр замд амжилттай болохыг баталгаажуулж, дараа нь татгалзсан үзэгчид хараахан татгалзагдсаар байгааг баталгаажуулаарай.

Юу бүртгэх, юу буцаах

Контейнерын зорилтот порт болон клиентийн HTTPS порт нь тусдаа тохиргоо юм. Контейнер тэнд сонсож байгаа учраас зорилтот портыг VPN-ээр нийтэлж болохгүй, портын шалгалтыг давуулахын тулд сүлжээний дүрмийг өргөжүүлж болохгүй. Хоёр өөрчлөлт хоёулаа ослын дараа ч үлдэж, дараа нь тэдгээрийг хамааруулахад хэцүү.

Зорилтот зөөврийн компьютерээс түүний эрх бүхий таних тэмдэг болон ердийн DNS-ээр шинэ програмын үйлдлээр дуусгаж, дараа нь эрхгүй дуудагч одоо ч бүтэлгүйтэж байгааг шалгаарай. Програмын тохиргоонд байхдаа орчны түвшний HTTP маршрут энэ програмыг зорилт болгон ил гаргаж байгаа эсэхийг мөн баталгаажуулаарай, учир нь тэр маршрут нь нэвтрэх хүрээ тайлбарладаггүй хоёр дахь хаалга юм.

Таван утгыг хамт бүртгээрэй: орчны хүрээ, програмын нэвтрэх хүрээ, FQDN, хувийн нэвтрэх хаяг болон шийдвэрлэгчийн эзэн. Тэр тав нь бүх нэвтрэх гэрээг дүрсэлдэг бөгөөд үүнийг засварлах дараагийн хүн яг тэдгээрийг асуух болно.