Tasal għal app Container Apps privata permezz ta' VPN minn punt għal sit
Ambjent intern Container Apps jeħtieġ daħla privata, isem tal-host li jaqbel u resolver li l-VPN tista' tilħaq. Mexxi kull pass, imbagħad ivverifika ċ-ċaħda.
Dan il-gwida jkopri ambjent Container Apps b'profili ta' tagħbija tax-xogħol u daħla interna tan-netwerk virtwali, li tintlaħaq minn laptop permezz ta' VPN minn punt għal sit approvata, bl-użu tal-FQDN dirett tal-app u mingħajr rotot HTTP fil-livell tal-ambjent. id-daħla tal-ambjent hija aċċessibbli mill-klijent, l-ambitu tal-ingress tal-app jammetti lill-sejjieħ, u l-isem tal-host jiġi riżolt fid-daħla privata. Kull pass hawn taħt iħalli riżultat verifikabbli u rollback li ma jmess xejn li ma biddiltx. Għaddihom fl-ordni mogħti, għax l-ebda pass aktar tard ma jista' jikkumpensa deċiżjoni ta' ambitu meħuda ħażin fil-pass 1.
Qabel ma tmiss id-DNS, iċċara l-kelma interna. Din tintuża għal żewġ ambjenti differenti f'dan il-prodott, u l-iskambju tagħhom huwa l-aktar raġuni komuni għaliex isem li jaħdem xorta ma jirritornax xejn utli.
Pass 1: iffissa l-ambitu tal-ambjent u tal-app
Aqra l-konfigurazzjoni tal-ingress tal-app qabel ma tibdel kwalunkwe rekord:
| Setting | Boundary |
|---|---|
| Internal environment | The environment entry is reached through its private network arrangement |
| App with internal ingress | Callers from the environment VNet only; a VPN laptop qualifies once it has a route into that VNet and the domain resolves privately |
| App with external ingress in an internal environment | The app accepts outside traffic through the environment's private entry |
L-ingress intern huwa espost fuq il-load balancer intern tal-ambjent ġewwa l-VNet tal-ambjent, għalhekk il-mistoqsija mhijiex jekk il-laptop huwiex app oħra tal-kontenitur, iżda jekk jistax jasal għal dik il-VNet. Klijent VPN b'rotta fil-VNet u d-dominju default tal-ambjent li jiġi riżolt permezz taż-żona privata huwa sejjieħ eliġibbli, u dan huwa eżattament dak li jibnu l-passi li jifdal. Ambjent intern mingħajr daħla pubblika huwa fatt differenti minn app b'ingress intern, u ingress estern fil-livell tal-app ma jagħtix lill-ambjent bieb pubbliku. Ikteb l-ambitu fit-ticket u wkoll fil-portal, għax l-inġinier li jmiss jaqra l-ewwel it-ticket.
Ikkonferma dak l-ambitu mas-sid tal-konfigurazzjoni qabel ma tkompli, u żomm il-bieb dejjaq: jekk ma tezistix rotta fil-VNet tal-ambjent, jew id-dominju default tal-ambjent ma jiġix riżolt permezz taż-żona privata, waqaf u sewwi l-ewwel dak il-passaġġ. L-ebda pass aktar tard ma jista' jissostitwixxi sejjieħ li ma jistax jasal għall-VNet jew ma jistax jiżżolvi l-isem.
Pass 2: iġbor l-isem tal-host veru u l-indirizz tad-daħla
Irreġistra d-dominju default tal-ambjent, l-indirizz statiku privat tad-daħla tiegħu u l-FQDN konfigurat tal-app, meħuda mir-riżors u mhux minn screenshot antik jew paġna wiki:
az containerapp env show -n ENV -g RG \
--query "{domain:properties.defaultDomain, ip:properties.staticIp}"
az containerapp show -n APP -g RG \
--query "properties.configuration.ingress.fqdn"Il-gwida għad- daħla privata ta' Container Apps tiddeskrivi kif tqabbel id-dominju tal-ambjent mal-indirizz intern tiegħu filwaqt li żżomm l-ismijiet tal-host tal-applikazzjoni intatti. Din hija eżattament il-forma li qed tibni bl-idejn hawn, għalhekk allinja l-kontenut taż-żona magħha minflok ma toħloq skema ġdida ta' ismijiet.
Jekk id-dominju li qrajt ma jaqbilx mal-FQDN li tirrapporta l-app, waqaf u rrikonċiljahom issa. Li tibni żona fuq is-suffiss ħażin jipproduċi isem tal-host li jiġi riżolt b'mod perfett u xorta jinżel fuq il-host virtwali ħażin.
Pass 3: poġġi ż-żona privata fuq il-passaġġ tar-resolver tal-VPN
Oħloq jew uża mill-ġdid iż-żona DNS privata appoġġata għad-dominju default attwali tal-ambjent, bir-rekords wildcard u tal-indirizz dokumentati li jindikaw lejn id-daħla statika. Ikkollega dik iż-żona man-netwerk virtwali xieraq, u agħmel l-awtorità privata aċċessibbli permezz tal-passaġġ tar-resolver approvat tal-VPN minflok ma tassumi li l-kollegament huwa biżżejjed.
Klijent minn punt għal sit normalment jeħtieġ punt tat-tarf tar-resolver privat jew forwarder DNS appoġġat biex jasal għal dik iż-żona. Li tikkollega żona tbiddel dak li Azure tiżżolvi għan-netwerks kollegati; ma teridirixxix ir-resolver pubbliku ta' kull laptop estern. Tissostitwixxihiex b'żona DNS ta' punt tat-tarf privat mislufa minn mudell ieħor tan-netwerk ta' Container Apps, għax l-ismijiet tar-rekords u s-suffiss taż-żona ma jaqblux.
Ir-rollback għal dan il-pass huwa li tneħħi l-kollegament taż-żona jew ir-rekord li żidt. Innota liema minnhom kien, għax li tħassar żona maqsuma biex tħassar kollegament wieħed huwa mod magħruf kif tkisser it-tieni ambjent.
Pass 4: ittestja l-isem, imbagħad l-udjenza miċħuda
Ittestja l-isem tal-host u l-identità TLS flimkien, mhux l-indirizz biss. Għal dijanjostika kkontrollata tal-mapping tal-ismijiet tista' tiffissa l-indirizz filwaqt li żżomm l-isem tal-host:
curl --resolve app.ENVIRONMENT_DOMAIN:443:10.40.0.10 \
https://app.ENVIRONMENT_DOMAIN/Issostitwixxi l-isem tal-host bl-FQDN veru tal-app u l-indirizz bid-daħla interna vera. Dan jaffettwa biss dik it-talba waħda u mhuwiex provvista tad-DNS. Tżidx -k biex iddawwar falliment tal-identità f'għadd li jidher, għax nuqqas ta' qbil taċ-ċertifikat huwa s-sinjal li qed tolqot il-listener ħażin.
Li titlob l-indirizz numeriku direttament jista' jagħżel il-host virtwali ħażin jew ifalli l-validazzjoni anke meta TCP 443 twieġeb, għalhekk ittratta test IP b'suċċess bħala evidenza dwar in-netwerk u xejn aktar. Mil-laptop maħsub, il-passaġġ normali tar-resolver huwa l-forwarder DNS tal-klijent jew il-punt tat-tarf tar-resolver privat li jospita ż-żona, u falliment hemmhekk huwa problema ta' aċċessibilità tar-resolver, mhux rekord nieqes. Ikkonferma li l-istess talba tirnexxi fuq dak il-passaġġ, imbagħad ikkonferma li l-udjenza miċħuda għadha miċħuda.
X'għandu jiġi rreġistrat u x'għandu jiġi rrolljat lura
Il-port fil-mira tal-kontenitur u l-port HTTPS tal-klijent huma settings separati. Tippubblikax il-port fil-mira tal-kontenitur tul il-VPN għax il-kontenitur jisma' hemmhekk, u tespandix regola tan-netwerk biex jgħaddi test tal-port. Iż-żewġ bidliet jgħixu wara l-inċident u aktar tard ikunu diffiċli li jiġu attribwiti.
Iffinalizza b'operazzjoni ġdida tal-applikazzjoni mil-laptop maħsub, bl-identità awtorizzata tiegħu u d-DNS normali tiegħu, imbagħad iċċekkja li sejjieħ mhux awtorizzat għadu jfalli. Waqt li tkun fil-konfigurazzjoni tal-app, ikkonferma wkoll jekk rotta HTTP fil-livell tal-ambjent tesponix din l-app bħala mira, għax dik ir-rotta hija t-tieni bieb li l-ambitu tal-ingress ma jiddeskrivix.
Irreġistra ħames valuri flimkien: l-ambitu tal-ambjent, l-ambitu tal-ingress tal-app, l-FQDN, l-indirizz privat tad-daħla u s-sid tar-resolver. Dawk il-ħamsa jiddeskrivu l-kuntratt kollu tal-aċċess, u l-persuna li jmiss li se tiddibuggjah se titlob eżattament dawk.