Cara Apl Web Azure Mencapai Di Premis Melalui VPN

Permintaan keluar Apl Web meninggalkan pekerja yang tidak pernah anda lihat, daripada sumber yang tidak anda pilih dan tembok api pejabat perlu menerimanya. Itulah keseluruhan masalah dalam satu ayat. Penyepaduan VNet serantau memberikan permintaan laluan ke rangkaian maya, dan VPN tapak ke tapak membawanya dari sana. Segala-galanya yang tidak kena selepas itu ialah mengenai julat sumber dan laluan mana yang sebenarnya digunakan oleh paket.

Apa yang sebenarnya dihantar oleh pekerja

Perkhidmatan Apl menjalankan kod anda pada pekerja yang duduk di luar paparan rangkaian langganan anda. Dengan integrasi serantau didayakan, trafik keluar diserahkan kepada subnet yang diwakilkan dalam VNet di rantau yang sama dan paket itu muncul di sana sebelum ia diteruskan. Penyepaduan tidak memindahkan apl ke dalam VNet dan tidak menukar alamat masuknya. Ia hanya memberikan aliran keluar lompatan pertama yang berbeza.

Secara lalai, hanya ruang alamat peribadi yang mengambil laluan itu, jadi destinasi internet biasa masih keluar terus daripada pekerja. Menghalakan segala-galanya melalui VNet ialah tetapan yang berasingan dan keputusan yang berasingan, kerana ia juga menghantar kebergantungan awam anda merentasi terowong.

Trafik konfigurasi, seperti tarikan imej kontena pada permulaan, mengikut peraturan penghalaannya sendiri dan boleh gagal semasa panggilan API anda berjaya.

Subnet integrasi ialah sumber yang anda mesti benarkan

Pejabat melihat julat alamat subnet integrasi, atau apa sahaja alat anda menterjemahkannya, bukan alamat keluar awam apl. Letakkan julat itu ke dalam pemilih trafik VPN tapak dan ke dalam peraturan tembok api di premis. Jika terowong adalah berasaskan dasar, pemilih yang meninggalkannya menggugurkan paket walaupun laluan wujud.

Jangan benarkan satu alamat pekerja yang kebetulan anda perhatikan. Kejadian berubah dengan penskalaan dan penyelenggaraan platform, dan peraturan yang disematkan pada satu alamat terputus pada saat yang paling teruk.

Pastikan bahagian destinasi sempit: satu perkhidmatan, satu port, satu arah, dengan laluan kembali dibenarkan secara eksplisit.

Transit peering dan get laluan adalah eksplisit

Jika get laluan VPN terletak dalam VNet hab dan subnet penyepaduan dalam jejari, laluan tersebut memerlukan transit get laluan yang dibenarkan pada peering hub dan penggunaan get laluan jauh didayakan pada peering jejari. Mengintai dengan sendirinya membawa trafik antara dua VNet dan tidak lebih. Laluan berkesan pada subnet penyepaduan ialah tempat anda mengesahkan laluan laluan seterusnya benar-benar ada.

Reka bentuk hab-and-spoke yang jadual laluannya menghantar 0.0.0.0/0 ke firewall ialah varian biasa dan firewall itu kemudiannya memerlukan peraturannya sendiri untuk awalan di premis.

Lukis laluan di atas kertas sebelum membuka tiket dengan pasukan rangkaian, kerana ia menjimatkan hari meneka. Sertakan arah kembali dalam lukisan, kerana itu adalah separuh orang terlupa.

Titik akhir peribadi masuk ialah arah lain

Titik akhir peribadi menjadikan apl boleh dicapai dari dalam VNet. Ia tidak melakukan apa-apa untuk panggilan keluar apl ke pejabat dan pasukan kerap mengkonfigurasi panggilan sementara keperluan sebenar adalah sebaliknya.

Dokumentasi lama menerangkan integrasi yang diperlukan gerbang yang dibina pada VPN titik ke tapak, ciri berbeza dengan keperluannya sendiri. Microsoft menjadualkan persaraan ciri itu pada 31 Mac 2027 dan sebaliknya mengesyorkan penyepaduan serantau.

Jangan salin konfigurasi titik ke tapak warisan hanya kerana contoh lama menggunakannya.

Sahkan dengan konteks apl sendiri

Ujian daripada apl yang digunakan, bukan daripada komputer riba anda dan bukan daripada VM dalam VNet yang sama. Log alamat yang diselesaikan, hasil sambungan dan respons peringkat aplikasi secara berasingan, kerana kegagalan DNS, tamat masa TCP dan titik penolakan pengesahan pada tiga pemilik berbeza. Jika resolusi nama gagal, betulkan DNS peribadi untuk VNet sebelum menyentuh terowong.

Status terowong hijau hanya membuktikan pintu masuk sudah siap. Ia tidak mengatakan apa-apa tentang pemilih, peraturan tembok api atau DNS.

Apabila permintaan akhirnya berfungsi, tulis julat sumber, port destinasi dan zon DNS ke dalam buku jalan apl. Orang seterusnya untuk menyahpepijat ini akan bermula dari nota anda dan bukannya dari halaman status get laluan.