Ako sa webová aplikácia Azure dostáva do lokálnych priestorov prostredníctvom VPN

Odchádzajúca požiadavka webovej aplikácie zanechá pracovníka, ktorého nikdy nevidíte, zo zdroja, ktorý ste si nevybrali, a kancelárska brána firewall ju musí prijať. To je celý problém v jednej vete. Regionálna integrácia VNet poskytuje žiadosti cestu do virtuálnej siete a sieť VPN medzi lokalitami ju prenáša odtiaľ. Všetko, čo sa potom pokazí, je o tom, ktorý zdrojový rozsah a ktorú cestu paket skutočne použil.

Čo pracovník skutočne posiela

Služba App Service spúšťa váš kód na pracovníkoch, ktorí sedia mimo zobrazenia siete vášho predplatného. Keď je povolená regionálna integrácia, odchádzajúca prevádzka je odovzdaná delegovanej podsieti vo virtuálnej sieti v rovnakej oblasti a paket sa tam zobrazí skôr, ako bude pokračovať. Integrácia nepresunie aplikáciu do virtuálnej siete a nezmení jej prichádzajúcu adresu. Odlišným prvým skokom dáva iba odchádzajúce toky.

V predvolenom nastavení prechádza touto cestou iba priestor súkromných adries, takže bežné internetové ciele stále odchádzajú priamo od pracovníka. Smerovanie všetkého cez VNet je samostatné nastavenie a samostatné rozhodnutie, pretože tiež posiela vaše verejné závislosti cez tunel.

Prenos konfigurácie, ako je napríklad stiahnutie obrázka kontajnera pri spustení, sa riadi vlastnými pravidlami smerovania a môže zlyhať, kým budú vaše volania rozhrania API úspešné.

Integračná podsieť je zdroj, ktorý musíte povoliť

Kancelária vidí rozsah adries integračnej podsiete alebo čokoľvek, čo to vaše zariadenie preloží, nie verejné odchádzajúce adresy aplikácie. Vložte tento rozsah do selektorov návštevnosti VPN lokality a do pravidla lokálnej brány firewall. Ak je tunel založený na pravidlách, selektory, ktoré ho vynechajú, zahodia paket, aj keď trasa existuje.

Nepovoľte adresu jedného pracovníka, ktorú ste náhodou spozorovali. Inštancie sa menia pri škálovaní a údržbe platformy a pravidlo pripnuté na jednu adresu sa poruší v najhoršom momente.

Udržiavajte úzku cieľovú stranu: jedna služba, jeden port, jeden smer s explicitne povolenou spiatočnou cestou.

Prenos partnerského vzťahu a brány sú explicitné

Ak je brána VPN umiestnená vo virtuálnej sieti rozbočovača a integračná podsieť v lúči, cesta vyžaduje, aby bol prechod brány povolený na partnerskom vzťahu rozbočovača a aby bolo povolené používanie vzdialenej brány na partnerskom vzťahu lúčov. Peering sám o sebe prenáša prenos medzi dvoma virtuálnymi sieťami a nič viac. Efektívne trasy v integračnej podsieti sú tam, kde potvrdíte, že ďalší skok brány tam skutočne je.

Dizajn typu hub-and-spoke, ktorého smerovacia tabuľka posiela 0.0.0.0/0 do brány firewall, je bežným variantom a táto brána firewall potom potrebuje svoje vlastné pravidlo pre lokálnu predponu.

Pred otvorením tiketu s tímom siete nakreslite cestu na papier, pretože to ušetrí deň hádania. Zahrňte do výkresu smer návratu, pretože na to ľudia zabúdajú.

Prichádzajúci súkromný koncový bod je opačným smerom

Súkromný koncový bod umožňuje, aby bola aplikácia dostupná z virtuálnej siete. Nerobí nič pre odchádzajúce hovory aplikácie do kancelárie a tímy ho pravidelne konfigurujú, zatiaľ čo skutočná požiadavka bola opačná.

Staršia dokumentácia popisuje integráciu vyžadovanú bránou postavenú na sieti VPN typu point-to-site, čo je odlišná funkcia s vlastnými požiadavkami. Microsoft plánuje ukončenie tejto funkcie na 31. marca 2027 a namiesto toho odporúča regionálnu integráciu.

Nekopírujte starú konfiguráciu typu point-to-site len preto, že ju používal starý príklad.

Overte pomocou vlastného kontextu aplikácie

Testujte z nasadenej aplikácie, nie z prenosného počítača a nie z virtuálneho počítača v rovnakej virtuálnej sieti. Samostatne zapíšte vyriešenú adresu, výsledok pripojenia a odpoveď na úrovni aplikácie, pretože zlyhanie DNS, časový limit TCP a odmietnutie overenia poukazujú na troch rôznych vlastníkov. Ak rozlíšenie názvov zlyhá, pred dotknutím sa tunela opravte súkromný DNS pre VNet.

Stav zeleného tunela iba dokazuje, že brána je zapnutá. Nehovorí nič o selektoroch, pravidlách brány firewall alebo DNS.

Keď požiadavka konečne funguje, zapíšte zdrojový rozsah, cieľový port a zónu DNS do runbooku aplikácie. Ďalšia osoba, ktorá to bude ladiť, začne od vašej poznámky, nie od stránky stavu brány.