Bir Azure Web Uygulaması, VPN Aracılığıyla Şirket İçi Ortamlara Nasıl Ulaşır?

Web Uygulamasının giden isteği, hiç görmediğiniz bir çalışanın seçmediğiniz bir kaynaktan gelmesine neden olur ve ofis güvenlik duvarının bunu kabul etmesi gerekir. Tek cümlede bütün sorun budur. Bölgesel VNet entegrasyonu, isteğe sanal ağa giden bir yol verir ve siteden siteye VPN, isteği oradan taşır. Sonrasında ters giden her şey, paketin gerçekte hangi kaynak aralığı ve hangi rotayı kullandığıyla ilgilidir.

Çalışanın gerçekte gönderdiği şey

App Service, kodunuzu aboneliğinizin ağ görünümünün dışında bulunan çalışanlar üzerinde çalıştırır. bölgesel entegrasyon etkinleştirildiğinde, giden trafik aynı bölgedeki bir VNet'teki temsilci alt ağa aktarılır ve paket, devam etmeden önce orada görünür. Entegrasyon, uygulamayı VNet'e taşımaz ve gelen adresini değiştirmez. Yalnızca giden akışlara farklı bir ilk atlama sağlar.

Varsayılan olarak yalnızca özel adres alanı bu yolu kullanır; dolayısıyla sıradan internet hedefleri hâlâ doğrudan çalışandan ayrılır. Her şeyi VNet üzerinden yönlendirmek ayrı bir ayar ve ayrı bir karardır çünkü bu aynı zamanda genel bağımlılıklarınızı da tünel üzerinden gönderir.

Başlangıçta kapsayıcı görüntüsü çekme gibi yapılandırma trafiği, kendi yönlendirme kurallarına uyar ve API çağrılarınız başarılı olurken başarısız olabilir.

Entegrasyon alt ağı, izin vermeniz gereken kaynaktır

Ofis, uygulamanın genel giden adreslerini değil, entegrasyon alt ağının adres aralığını veya uygulamanızın bunu çevirdiği şeyi görür. Bu aralığı site VPN'inin trafik seçicilerine ve şirket içi güvenlik duvarı kuralına yerleştirin. Tünel politika tabanlıysa, bir rota mevcut olsa bile onu atlayan seçiciler paketi bırakır.

Gördüğünüz tek bir çalışan adresine izin vermeyin. Örnekler ölçeklendirme ve platform bakımıyla değişir ve bir adrese sabitlenen kural en kötü anda bozulur.

Hedef tarafı dar tutun: tek hizmet, tek bağlantı noktası, tek yön; dönüş yoluna açıkça izin verilir.

Eşleme ve ağ geçidi geçişi açıktır

VPN ağ geçidi bir hub VNet'te bulunuyorsa ve tümleştirme alt ağı bir bağlı bileşende yer alıyorsa, yol, hub eşlemesinde ağ geçidi geçişine izin verilmesini ve bağlı ağ eşlemesinde uzak ağ geçidi kullanımının etkinleştirilmesini gerektirir. Eşleme iki sanal ağ arasındaki trafiği tek başına taşır, başka bir şey değildir. Entegrasyon alt ağındaki etkili rotalar, bir sonraki atlama noktasının gerçekten orada olduğunu onayladığınız yerdir.

Yön tablosunun güvenlik duvarına 0.0.0.0/0 gönderdiği hub ve bağlı bileşen tasarımı yaygın bir değişkendir ve bu güvenlik duvarının şirket içi önek için kendi kuralına ihtiyacı vardır.

Ağ ekibiyle destek bildirimi açmadan önce yolu kağıt üzerine çizin, çünkü bu, bir gün tahmin yapmaktan tasarruf etmenizi sağlar. Dönüş yönünü çizime ekleyin, çünkü bu insanların unutacağı kısımdır.

Gelen özel uç nokta ise diğer yöndür

Özel bir uç nokta, uygulamanın bir VNet içinden erişilebilir olmasını sağlar. Uygulamanın ofise giden araması için hiçbir şey yapmaz ve ekipler düzenli olarak bir tane yapılandırırken asıl gereksinim tam tersiydi.

Eski belgeler, kendi gereksinimleri olan farklı bir özellik olan, noktadan siteye VPN üzerine kurulu, ağ geçidinin gerektirdiği entegrasyonu açıklamaktadır. Microsoft, bu özelliğin kullanımdan kaldırılmasını 31 Mart 2027 olarak planlıyor ve bunun yerine bölgesel entegrasyonu öneriyor.

Eski bir noktadan siteye yapılandırmasını sırf eski bir örnekte kullanıldı diye kopyalamayın.

Uygulamanın kendi bağlamıyla doğrulayın

Dizüstü bilgisayarınızdan veya aynı VNet'teki bir VM'den değil, dağıtılan uygulamadan test edin. Çözümlenen adresi, bağlantı sonucunu ve uygulama düzeyindeki yanıtı ayrı ayrı günlüğe kaydedin; çünkü DNS hatası, TCP zaman aşımı ve kimlik doğrulama reddi üç farklı sahipte ortaya çıkar. Ad çözümlemesi başarısız olursa tünele dokunmadan önce sanal ağ için özel DNS'yi düzeltin.

Yeşil tünel durumu yalnızca ağ geçidinin çalışır durumda olduğunu kanıtlar. Seçiciler, güvenlik duvarı kuralları veya DNS hakkında hiçbir şey söylenmiyor.

İstek nihayet işe yaradığında kaynak aralığını, hedef bağlantı noktasını ve DNS bölgesini uygulamanın runbook'una yazın. Bu hata ayıklama işlemini yapacak bir sonraki kişi, ağ geçidinin durum sayfası yerine notunuzdan başlayacaktır.