Azure Web App کس طرح VPN کے ذریعے آن پریمیسس تک پہنچتا ہے۔

ویب ایپ کی آؤٹ باؤنڈ درخواست ایک ایسے کارکن کو چھوڑ دیتی ہے جسے آپ نے کبھی نہیں دیکھا، جس ذریعہ سے آپ نے انتخاب نہیں کیا، اور آفس فائر وال کو اسے قبول کرنا ہوگا۔ یہ ایک جملہ میں سارا مسئلہ ہے۔ علاقائی VNet انضمام درخواست کو ورچوئل نیٹ ورک میں راستہ فراہم کرتا ہے، اور سائٹ سے سائٹ VPN اسے وہاں سے لے جاتا ہے۔ اس کے بعد جو کچھ بھی غلط ہو جاتا ہے وہ اس بارے میں ہوتا ہے کہ پیکٹ نے اصل میں کس سورس کی حد اور کون سا راستہ استعمال کیا ہے۔

کارکن اصل میں کیا بھیجتا ہے

ایپ سروس آپ کا کوڈ ان کارکنوں پر چلاتی ہے جو آپ کے سبسکرپشن کے نیٹ ورک ویو سے باہر بیٹھتے ہیں۔ علاقائی انضمام کو فعال کرنے کے ساتھ، آؤٹ باؤنڈ ٹریفک کو اسی خطے میں VNet میں ایک ڈیلیگیٹڈ سب نیٹ کے حوالے کیا جاتا ہے، اور پیکٹ جاری ہونے سے پہلے وہاں ظاہر ہوتا ہے۔ انضمام ایپ کو VNet میں منتقل نہیں کرتا ہے اور اس کا ان باؤنڈ ایڈریس تبدیل نہیں کرتا ہے۔ یہ صرف آؤٹ باؤنڈ فلو کو ایک مختلف فرسٹ ہاپ دیتا ہے۔

بطور ڈیفالٹ صرف پرائیویٹ ایڈریس اسپیس ہی اس راستے کو لیتا ہے، اس لیے عام انٹرنیٹ منزلیں اب بھی براہ راست کارکن سے جاتی ہیں۔ VNet کے ذریعے ہر چیز کو روٹ کرنا ایک الگ ترتیب اور الگ فیصلہ ہے، کیونکہ یہ آپ کے عوامی انحصار کو بھی سرنگ کے پار بھیجتا ہے۔

کنفیگریشن ٹریفک، جیسے کہ سٹارٹ اپ پر کنٹینر امیج پل، اپنے روٹنگ کے اصولوں کی پیروی کرتا ہے اور آپ کی API کالز کے کامیاب ہونے پر ناکام ہو سکتا ہے۔

انٹیگریشن سب نیٹ وہ ذریعہ ہے جس کی آپ کو اجازت دینی چاہیے

آفس انٹیگریشن سب نیٹ کے ایڈریس رینج کو دیکھتا ہے، یا جو بھی آپ کا آلہ اس کا ترجمہ کرتا ہے، ایپ کے عوامی آؤٹ باؤنڈ ایڈریس کو نہیں۔ اس حد کو سائٹ VPN کے ٹریفک سلیکٹرز اور آن پریمیسس فائر وال رول میں ڈالیں۔ اگر ٹنل پالیسی پر مبنی ہے تو، جو منتخب کرنے والے اسے چھوڑ دیتے ہیں وہ پیکٹ چھوڑ دیتے ہیں یہاں تک کہ جب کوئی راستہ موجود ہو۔

کارکن کے ایک بھی ایسے پتے کی اجازت نہ دیں جس کا آپ نے مشاہدہ کیا ہو۔ اسکیلنگ اور پلیٹ فارم کی دیکھ بھال کے ساتھ مثالیں بدل جاتی ہیں، اور ایک ایڈریس پر پن لگا ہوا اصول بدترین لمحے پر ٹوٹ جاتا ہے۔

منزل کا رخ تنگ رکھیں: ایک سروس، ایک بندرگاہ، ایک سمت، واپسی کے راستے کے ساتھ واضح طور پر اجازت دی گئی ہے۔

پیئرنگ اور گیٹ وے ٹرانزٹ واضح ہیں

اگر VPN گیٹ وے کسی حب VNet میں بیٹھتا ہے اور اسپاک میں انٹیگریشن سب نیٹ، پاتھ کو حب پیئرنگ پر اجازت یافتہ گیٹ وے ٹرانزٹ اور سپوک پیئرنگ پر ریموٹ گیٹ وے کے استعمال کو فعال کرنے کی ضرورت ہے۔ خود سے پیئرنگ دو VNets کے درمیان ٹریفک لے جاتی ہے اور اس سے زیادہ کچھ نہیں۔ انٹیگریشن سب نیٹ پر موثر راستے وہ ہیں جہاں آپ تصدیق کرتے ہیں کہ گیٹ وے اگلی ہاپ واقعی وہاں ہے۔

ایک حب اور اسپوک ڈیزائن جس کا روٹ ٹیبل 0.0.0.0/0 کو فائر وال کو بھیجتا ہے ایک عام قسم ہے، اور اس فائر وال کو پھر آن پریمیسس کے سابقہ کے لیے اپنے اصول کی ضرورت ہوتی ہے۔

نیٹ ورک ٹیم کے ساتھ ٹکٹ کھولنے سے پہلے کاغذ پر راستہ کھینچیں، کیونکہ یہ اندازہ لگانے کا ایک دن بچاتا ہے۔ ڈرائنگ میں واپسی کی سمت شامل کریں ، کیونکہ یہ آدھے لوگ بھول جاتے ہیں۔

ان باؤنڈ نجی اختتامی نقطہ دوسری سمت ہے

ایک پرائیویٹ اینڈ پوائنٹ ایپ کو VNet کے اندر سے قابل رسائی بناتا ہے۔ یہ ایپ کے دفتر میں آنے والی کال کے لیے کچھ نہیں کرتا، اور ٹیمیں باقاعدگی سے ایک کو ترتیب دیتی ہیں جب کہ اصل ضرورت اس کے برعکس تھی۔

پرانی دستاویزات پوائنٹ ٹو سائٹ VPN پر بنائے گئے گیٹ وے کے لیے مطلوبہ انضمام کی وضاحت کرتی ہے، جو کہ اس کی اپنی ضروریات کے ساتھ ایک مختلف خصوصیت ہے۔ Microsoft اس خصوصیت کی ریٹائرمنٹ 31 مارچ 2027 کو شیڈول کرتا ہے، اور اس کے بجائے علاقائی انضمام کی سفارش کرتا ہے۔

لیگیسی پوائنٹ ٹو سائٹ کنفیگریشن کو صرف اس لیے کاپی نہ کریں کہ ایک پرانی مثال نے اسے استعمال کیا ہے۔

ایپ کے اپنے سیاق و سباق کے ساتھ تصدیق کریں

تعینات کردہ ایپ سے ٹیسٹ کریں، اپنے لیپ ٹاپ سے نہیں اور اسی VNet میں VM سے نہیں۔ حل شدہ ایڈریس، کنکشن کا نتیجہ اور ایپلیکیشن لیول کے جواب کو الگ الگ لاگ کریں، کیونکہ DNS ناکامی، TCP ٹائم آؤٹ اور تین مختلف مالکان پر ایک توثیق مسترد کرنے کا مقام۔ اگر نام کی ریزولوشن ناکام ہو جاتی ہے، تو سرنگ کو چھونے سے پہلے VNet کے لیے نجی DNS کو ٹھیک کریں۔

سبز ٹنل کی حیثیت صرف یہ ثابت کرتی ہے کہ گیٹ وے اوپر ہے۔ یہ سلیکٹرز، فائر وال رولز یا DNS کے بارے میں کچھ نہیں کہتا۔

جب درخواست آخر کار کام کرتی ہے تو ایپ کی رن بک میں سورس رینج، ڈیسٹینیشن پورٹ اور DNS زون لکھیں۔ اس کو ڈیبگ کرنے والا اگلا شخص گیٹ وے کے اسٹیٹس پیج کے بجائے آپ کے نوٹ سے شروع ہوگا۔