Si një aplikacion në ueb Azure arrin në ambiente përmes një VPN

Kërkesa dalëse e aplikacionit në ueb lë një punonjës që nuk e shihni kurrë, nga një burim që nuk e keni zgjedhur dhe muri i zjarrit i zyrës duhet ta pranojë atë. Ky është i gjithë problemi në një fjali. Integrimi rajonal VNet i jep kërkesës një shteg në një rrjet virtual dhe VPN-ja nga faqja në sit e bartë atë nga atje. Gjithçka që shkon keq më pas ka të bëjë me vargun e burimit dhe cilën rrugë ka përdorur në të vërtetë paketa.

Çfarë dërgon në të vërtetë punëtori

Shërbimi i aplikacionit ekzekuton kodin tuaj te punonjësit që qëndrojnë jashtë pamjes së rrjetit të abonimit tuaj. Me integrimin rajonal të aktivizuar, trafiku në dalje i dorëzohet një nënrrjeti të deleguar në një VNet në të njëjtin rajon dhe paketa shfaqet aty përpara se të vazhdojë. Integrimi nuk e zhvendos aplikacionin në VNet dhe nuk e ndryshon adresën e tij hyrëse. Ai u jep vetëm flukseve dalëse një hop të parë të ndryshëm.

Si parazgjedhje vetëm hapësira e adresave private merr atë rrugë, kështu që destinacionet e zakonshme të internetit ende largohen drejtpërdrejt nga punonjësi. Drejtimi i çdo gjëje përmes VNet-it është një cilësim i veçantë dhe një vendim i veçantë, sepse ai dërgon gjithashtu varësitë tuaja publike nëpër tunel.

Trafiku i konfigurimit, si p.sh. tërheqja e imazhit të kontejnerit gjatë nisjes, ndjek rregullat e veta të rrugëtimit dhe mund të dështojë ndërsa thirrjet tuaja API kanë sukses.

Nënrrjeti i integrimit është burimi që duhet të lejoni

Zyra sheh gamën e adresave të nënrrjetit të integrimit ose çfarëdo gjëje në të cilën pajisja juaj e përkthen, jo adresat publike dalëse të aplikacionit. Vendoseni atë diapazon në përzgjedhësit e trafikut të sajtit VPN dhe në rregullin e murit të zjarrit në ambiente. Nëse tuneli bazohet në politika, përzgjedhësit që e lënë jashtë e heqin paketën edhe kur ekziston një itinerar.

Mos lejoni një adresë të vetme punonjësi që ju ka ndodhur të vëzhgoni. Rastet ndryshojnë me shkallëzimin dhe mirëmbajtjen e platformës dhe një rregull i ngjitur në një adresë prishet në momentin më të keq.

Mbaje të ngushtë anën e destinacionit: një shërbim, një port, një drejtim, me shtegun e kthimit të lejuar në mënyrë eksplicite.

Përshtatja dhe tranziti i portës janë të qarta

Nëse porta VPN ndodhet në një shpërndarës VNet dhe nënrrjeti i integrimit në një fole, shtegu ka nevojë për kalimin e portës së lejuar në peering të shpërndarësit dhe përdorimin e portës në distancë të aktivizuar në peering me fole. Peering në vetvete sjell trafik midis dy VNet-ve dhe asgjë më shumë. Rrugët efektive në nënrrjetin e integrimit janë aty ku ju konfirmoni se porta e hyrjes së ardhshme është vërtet aty.

Një dizajn hub-and-spoke, tabela e itinerarit të të cilit dërgon 0.0.0.0/0 në një mur zjarri është një variant i zakonshëm dhe ai mur zjarri më pas ka nevojë për rregullin e tij për prefiksin e brendshëm.

Vizatoni shtegun në letër përpara se të hapni një biletë me ekipin e rrjetit, sepse kursen një ditë hamendjeje. Përfshi drejtimin e kthimit në vizatim, pasi kjo është gjysma që njerëzit harrojnë.

Pika e fundit private hyrëse është drejtimi tjetër

Një pikë fundore private e bën aplikacionin të arritshëm nga brenda një VNet. Nuk bën asgjë për thirrjen dalëse të aplikacionit në zyrë dhe ekipet e konfigurojnë rregullisht një të tillë ndërsa kërkesa aktuale ishte e kundërta.

Dokumentacioni më i vjetër përshkruan integrimin e kërkuar nga gateway i ndërtuar në VPN pikë-në-site, një veçori e ndryshme me kërkesat e veta. Microsoft planifikon daljen në pension të kësaj veçorie për 31 mars 2027 dhe rekomandon integrimin rajonal në vend të kësaj.

Mos kopjoni një konfigurim të trashëguar "point-to-site" vetëm sepse një shembull i vjetër e përdori atë.

Verifiko me kontekstin e vetë aplikacionit

Testoni nga aplikacioni i vendosur, jo nga laptopi juaj dhe jo nga një VM në të njëjtin VNet. Regjistro adresën e zgjidhur, rezultatin e lidhjes dhe përgjigjen e nivelit të aplikacionit veçmas, për shkak të një dështimi të DNS, një afat kohor të TCP dhe një pikë refuzimi të vërtetimit në tre pronarë të ndryshëm. Nëse rezolucioni i emrit dështon, rregulloni DNS private për VNet përpara se të prekni tunelin.

Statusi i tunelit të gjelbër vetëm vërteton se porta është hapur. Nuk thotë asgjë për përzgjedhësit, rregullat e murit të zjarrit ose DNS.

Kur kërkesa të funksionojë më në fund, shkruani vargun e burimit, portën e destinacionit dhe zonën DNS në librin e ekzekutimit të aplikacionit. Personi tjetër që do të korrigjojë këtë do të fillojë nga shënimi juaj në vend të nga faqja e statusit të portës.