Kufikia programu ya Container Apps ya faragha kupitia VPN ya uhakika-hadi-mahali

Mwongozo huu unashughulikia mazingira ya Container Apps yenye wasifu wa mzigo wa kazi na kiingilio cha ndani cha mtandao pepe, kinachofikiwa kutoka kwa kompyuta mpakato kupitia VPN ya uhakika-hadi-mahali iliyoidhinishwa, kwa kutumia FQDN ya moja kwa moja ya programu na bila njia za HTTP katika ngazi ya mazingira. kiingilio cha mazingira kinafikiwa kutoka kwa mteja, upeo wa kiingilio wa programu unakubali mwito, na jina la mwenyeji linatatuliwa hadi kiingilio cha faragha. Kila hatua hapa chini inaacha matokeo yanayoweza kuthibitishwa na kurudi nyuma kusikogusa kitu ambacho hukubadilisha. Zitekeleze kwa mpangilio uliotolewa, kwa sababu hakuna hatua ya baadaye inayoweza kufidia uamuzi wa upeo uliofanywa vibaya katika hatua 1.

Kabla ya kugusa DNS, fafanua neno la ndani. Katika bidhaa hii linatumika kwa upeo mbili tofauti, na kuzibadilisha ndiyo sababu ya kawaida zaidi kwa nini jina linalofanya kazi bado halirudishi kitu chochote chenye manufaa.

Hatua 1: weka upeo wa mazingira na programu

Soma usanidi wa kiingilio wa programu kabla ya kubadilisha rekodi yoyote:

Kiingilio cha ndani kinawekwa wazi kwenye kisawazisha mzigo cha ndani cha mazingira ndani ya VNet ya mazingira, kwa hivyo swali si kama kompyuta mpakato ni programu nyingine ya kontena, bali kama inaweza kufikia VNet hiyo. Mteja wa VPN aliye na njia ndani ya VNet na kikoa chaguo-msingi cha mazingira kinachotatuliwa kupitia eneo la faragha ni mwito anayestahili, na ndiyo hasa hatua zilizobaki zinajenga. Mazingira ya ndani yasiyo na kiingilio cha umma ni ukweli tofauti na programu yenye kiingilio cha ndani, na kiingilio cha nje katika ngazi ya programu hakipi mazingira mlango wa umma. Andika upeo kwenye tikiti na pia kwenye tovuti, kwa sababu mhandisi anayefuata husoma tikiti kwanza.

Thibitisha upeo huo na mmiliki wa usanidi kabla ya kuendelea, na uweke lango jembamba: ikiwa hakuna njia ndani ya VNet ya mazingira, au kikoa chaguo-msingi cha mazingira hakitatuuliwi kupitia eneo la faragha, simama na urekebishe njia hiyo kwanza. Hakuna hatua ya baadaye inayoweza kuchukua nafasi ya mwito asiyeweza kufikia VNet au kutatua jina.

Hatua 2: kusanya jina halisi la mwenyeji na anwani ya kiingilio

Rekodi kikoa chaguo-msingi cha mazingira, anwani yake tuli ya faragha ya kiingilio na FQDN iliyosanidiwa ya programu, zilizochukuliwa kutoka kwa rasilimali na si kutoka kwa picha ya skrini ya zamani au ukurasa wa wiki:

az containerapp env show -n ENV -g RG \
  --query "{domain:properties.defaultDomain, ip:properties.staticIp}"
az containerapp show -n APP -g RG \
  --query "properties.configuration.ingress.fqdn"

Mwongozo wa kiingilio cha faragha cha Container Apps unaeleza ulinganishaji wa kikoa cha mazingira na anwani yake ya ndani huku majina ya mwenyeji ya programu yakibaki bila kubadilika. Hiyo ndiyo umbo unalojenga kwa mkono hapa, kwa hivyo linganisha maudhui ya eneo nayo badala ya kubuni mpango mpya wa majina.

Ikiwa kikoa ulichokisoma hakiendani na FQDN ambayo programu inaripoti, simama na upatanishi sasa. Kujenga eneo kwenye kiambishi kisicho sahihi hutoa jina la mwenyeji linalotatuliwa kikamilifu na bado kutua kwenye mwenyeji pepe asiye sahihi.

Hatua 3: weka eneo la faragha kwenye njia ya kitatuzi cha VPN

Unda au tumia tena eneo la DNS la faragha linalotumika kwa kikoa halisi chaguo-msingi cha mazingira, na rekodi za wildcard na anwani zilizoandikwa zikielekea kiingilio tuli. Unganisha eneo hilo na mtandao pepe unaofaa, na ufanye mamlaka ya faragha ifikiwe kupitia njia ya kitatuzi iliyoidhinishwa ya VPN badala ya kudhani kuwa kiungo kinatosha.

Mteja wa uhakika-hadi-mahali kwa kawaida huhitaji kituo cha mwisho cha kuingia cha kitatuzi cha faragha au kipitisho cha DNS kinachotumika ili kufikia eneo hilo. Kuunganisha eneo hubadilisha kile Azure inatatua kwa mitandao iliyounganishwa; haielekezi upya kitatuzi cha umma cha kila kompyuta mpakato ya nje. Usibadilishe na eneo la DNS la kituo cha mwisho cha faragha lililoazimwa kutoka kwa muundo mwingine wa mtandao wa Container Apps, kwa sababu majina ya rekodi na kiambishi cha eneo hayatalingana.

Kurudi nyuma kwa hatua hii ni kuondoa kiungo cha eneo au rekodi uliyoongeza. Andika ni kipi kati ya hivyo viwili kilikuwa, kwa sababu kufuta eneo la pamoja ili kubatilisha kiungo kimoja ni njia inayojulikana ya kuvunja mazingira ya pili.

Hatua 4: jaribu jina, kisha hadhira iliyokataliwa

Jaribu jina la mwenyeji na utambulisho wa TLS pamoja, si anwani pekee. Kwa uchunguzi unaodhibitiwa wa ramani ya majina unaweza kubandika anwani huku ukihifadhi jina la mwenyeji:

curl --resolve app.ENVIRONMENT_DOMAIN:443:10.40.0.10 \
    https://app.ENVIRONMENT_DOMAIN/

Badilisha jina la mwenyeji na FQDN halisi ya programu na anwani na kiingilio halisi cha ndani. Hii inaathiri ombi hilo moja tu na si utoaji wa DNS. Usiongeze -k ili kubadilisha kushindwa kwa utambulisho kuwa kupita kwa kudhaniwa, kwa sababu kutolingana kwa cheti ndiyo ishara kwamba unagonga msikilizaji asiye sahihi.

Kuomba anwani ya nambari moja kwa moja kunaweza kuchagua mwenyeji pepe asiye sahihi au kushindwa uthibitishaji hata wakati TCP 443 inajibu, kwa hivyo chukua jaribio la IP lililofanikiwa kama ushahidi kuhusu mtandao na si zaidi. Kutoka kwa kompyuta mpakato inayokusudiwa, njia ya kawaida ya kitatuzi ni kipitisho cha DNS cha mteja au kituo cha mwisho cha kuingia cha kitatuzi cha faragha kinachopangisha eneo, na kushindwa hapo ni tatizo la ufikivu wa kitatuzi, si rekodi inayokosekana. Thibitisha kuwa ombi lilelile linafanikiwa kwenye njia hiyo, kisha thibitisha kuwa hadhira iliyokataliwa bado imekataliwa.

Nini cha kurekodi na nini cha kurudisha nyuma

Bandari lengwa ya kontena na bandari ya HTTPS ya mteja ni mipangilio tofauti. Usichapishe bandari lengwa ya kontena kupitia VPN kwa sababu kontena husikiliza hapo, na usipanue kanuni ya mtandao ili jaribio la bandari lipite. Mabadiliko yote mawili yanaishi baada ya tukio na baadaye ni vigumu kuyahusisha.

Maliza kwa operesheni mpya ya programu kutoka kwa kompyuta mpakato inayokusudiwa, kwa utambulisho wake ulioidhinishwa na DNS yake ya kawaida, kisha angalia kuwa mwito asiyeidhinishwa bado unashindwa. Ukiwa kwenye usanidi wa programu, thibitisha pia kama njia ya HTTP katika ngazi ya mazingira inaweka programu hii wazi kama lengo, kwa sababu njia hiyo ni mlango wa pili ambao upeo wa kiingilio hautuelezi.

Rekodi thamani tano pamoja: upeo wa mazingira, upeo wa kiingilio wa programu, FQDN, anwani ya faragha ya kiingilio na mmiliki wa kitatuzi. Tano hizo zinaelezea mkataba wote wa ufikiaji, na mtu anayefuata kurekebisha hili atauliza hasa hizo.