پوائنٹ ٹو سائٹ VPN کے ذریعے نجی Container Apps ایپ تک رسائی حاصل کریں
اندرونی Container Apps ماحول کو نجی داخلہ، مماثل ہوسٹ نام اور ایسا حل کرنے والا درکار ہے جس تک VPN پہنچ سکے۔ ہر مرحلہ چلائیں، پھر انکار کی تصدیق کریں۔
یہ رہنما وی ورک لوڈ پروفائلز والے Container Apps ماحول اور اس کے اندرونی مجازی نیٹ ورک داخلے کا احاطہ کرتا ہے، جس تک لیپ ٹاپ سے منظور شدہ پوائنٹ ٹو سائٹ VPN کے ذریعے پہنچا جاتا ہے، ایپ کے براہ راست FQDN کا استعمال کرتے ہوئے اور ماحول کی سطح پر کسی HTTP راستے کے بغیر۔ ماحول کا داخلہ کلائنٹ سے قابل رسائی ہے، ایپ کا انگریس دائرہ کال کرنے والے کو قبول کرتا ہے، اور ہوسٹ نام نجی داخلے پر حل ہوتا ہے۔ نیچے کا ہر مرحلہ قابل تصدیق نتیجہ اور ایسا رول بیک چھوڑتا ہے جو اس کسی چیز کو نہیں چھوتا جو آپ نے تبدیل نہیں کی۔ انہیں دیے گئے ترتیب میں مکمل کریں، کیونکہ مرحلہ 1 میں غلط طور پر لیے گئے دائرے کے فیصلے کی تلافی کوئی بعد کا مرحلہ نہیں کر سکتا۔
DNS کو چھونے سے پہلے اندرونی لفظ واضح کریں۔ اس مصنوعات میں یہ دو مختلف دائروں کے لیے استعمال ہوتا ہے، اور انہیں بدل دینا ہی سب سے عام وجہ ہے کہ کام کرنے والا نام بھی ابھی تک کچھ مفید واپس نہیں کرتا۔
مرحلہ 1: ماحول اور ایپ کا دائرہ طے کریں
کوئی بھی ریکارڈ بدلنے سے پہلے ایپ کی انگریس ترتیب پڑھیں:
| Setting | Boundary |
|---|---|
| Internal environment | The environment entry is reached through its private network arrangement |
| App with internal ingress | Callers from the environment VNet only; a VPN laptop qualifies once it has a route into that VNet and the domain resolves privately |
| App with external ingress in an internal environment | The app accepts outside traffic through the environment's private entry |
اندرونی انگریس ماحول کے VNet کے اندر ماحول کے اندرونی لوڈ بیلنسر پر بے نقاب ہوتا ہے، اس لیے سوال یہ نہیں کہ لیپ ٹاپ کوئی دوسری کنٹینر ایپ ہے، بلکہ یہ ہے کہ کیا وہ اس VNet تک پہنچ سکتا ہے۔ وہ VPN کلائنٹ جس کے پاس VNet میں راستہ ہے اور ماحول کا ڈیفالٹ ڈومین نجی زون کے ذریعے حل ہوتا ہے، اہل کال کرنے والا ہے، اور باقی مراحل بالکل یہی بناتے ہیں۔ بغیر عوامی داخلے والا اندرونی ماحول اندرونی انگریس والی ایپ سے مختلف حقیقت ہے، اور ایپ کی سطح پر بیرونی انگریس ماحول کو عوامی دروازہ نہیں دیتا۔ دائرہ پورٹل کے ساتھ ساتھ ٹکٹ میں بھی لکھیں، کیونکہ اگلا انجینئر پہلے ٹکٹ پڑھتا ہے۔
آگے بڑھنے سے پہلے ترتیب کے مالک کے ساتھ اس دائرے کی تصدیق کریں، اور دروازہ تنگ رکھیں: اگر ماحول کے VNet تک کوئی راستہ نہیں، یا ماحول کا ڈیفالٹ ڈومین نجی زون کے ذریعے حل نہیں ہوتا، تو رک جائیں اور پہلے وہ راستہ درست کریں۔ جو کال کرنے والا VNet تک نہیں پہنچ سکتا یا نام حل نہیں کر سکتا، اس کا متبادل کوئی بعد کا مرحلہ نہیں بن سکتا۔
مرحلہ 2: اصل ہوسٹ نام اور داخلے کا پتہ جمع کریں
ماحول کا ڈیفالٹ ڈومین، اس کا مستقل نجی داخلہ پتہ اور ایپ کا ترتیب شدہ FQDN ریکارڈ کریں؛ یہ وسائل سے لیں، پرانے اسکرین شاٹ یا ویکی صفحے سے نہیں:
az containerapp env show -n ENV -g RG \
--query "{domain:properties.defaultDomain, ip:properties.staticIp}"
az containerapp show -n APP -g RG \
--query "properties.configuration.ingress.fqdn"Container Apps کے لیے نجی داخلے کی رہنمائی ایپلیکیشن کے ہوسٹ ناموں کو برقرار رکھتے ہوئے ماحول کے ڈومین کو اس کے اندرونی پتے سے ملانے کی وضاحت کرتی ہے۔ آپ یہاں ہاتھ سے بالکل یہی شکل بنا رہے ہیں، اس لیے نئی نام رکھنے کی اسکیم ایجاد کرنے کے بجائے زون کے مواد کو اس سے ہم آہنگ کریں۔
اگر آپ نے جو ڈومین پڑھا ہے وہ ایپ کے بتائے FQDN سے مطابقت نہیں رکھتا، تو رک جائیں اور ابھی انہیں ہم آہنگ کریں۔ غلط لاحقے پر زون بنانے سے ایسا ہوسٹ نام بنتا ہے جو مکمل طور پر حل ہوتا ہے اور پھر بھی غلط مجازی ہوسٹ پر اترتا ہے۔
مرحلہ 3: نجی زون کو VPN کے حل کنندہ راستے پر رکھیں
ماحول کے حقیقی ڈیفالٹ ڈومین کے لیے معاون نجی DNS زون بنائیں یا دوبارہ استعمال کریں، جس میں دستاویزی وائلڈ کارڈ اور پتہ ریکارڈ مستقل داخلے کی طرف اشارہ کریں۔ اس زون کو مناسب مجازی نیٹ ورک سے لنک کریں، اور لنک کافی ہے یہ فرض کرنے کے بجائے VPN کے منظور شدہ حل کنندہ راستے سے نجی اختیار کو قابل رسائی بنائیں۔
پوائنٹ ٹو سائٹ کلائنٹ کو اس زون تک پہنچنے کے لیے عام طور پر نجی حل کنندہ کا اندرونی اختتامی نقطہ یا معاون DNS فارورڈر درکار ہوتا ہے۔ زون لنک کرنا اس بات کو بدلتا ہے کہ Azure لنک شدہ نیٹ ورکس کے لیے کیا حل کرتا ہے؛ یہ ہر بیرونی لیپ ٹاپ کے عوامی حل کنندہ کو دوبارہ نہیں موڑتا۔ کسی دوسرے Container Apps نیٹ ورکنگ ماڈل سے مستعار لیے گئے نجی اختتامی نقطے کے DNS زون سے اسے نہ بدلیں، کیونکہ ریکارڈ نام اور زون کا لاحقہ مطابقت نہیں رکھیں گے۔
اس مرحلے کا رول بیک زون لنک یا آپ کے شامل کردہ ریکارڈ کو ہٹانا ہے۔ لکھیں کہ ان میں سے کون سا تھا، کیونکہ ایک لنک کو کالعدم کرنے کے لیے مشترکہ زون حذف کرنا دوسرے ماحول کو توڑنے کا ایک معروف طریقہ ہے۔
مرحلہ 4: نام جانچیں، پھر مسترد شدہ سامعین
ہوسٹ نام اور TLS شناخت کو ساتھ جانچیں، صرف پتہ نہیں۔ قابو شدہ نام میپنگ تشخیص کے لیے آپ ہوسٹ نام برقرار رکھتے ہوئے پتہ پن کر سکتے ہیں:
curl --resolve app.ENVIRONMENT_DOMAIN:443:10.40.0.10 \
https://app.ENVIRONMENT_DOMAIN/ہوسٹ نام کو ایپ کے اصل FQDN سے اور پتے کو اصل اندرونی داخلے سے بدلیں۔ یہ صرف اسی ایک درخواست پر اثر ڈالتا ہے اور DNS پروویژننگ نہیں ہے۔ شناخت کی ناکامی کو دکھائی دینے والی کامیابی میں بدلنے کے لیے -k شامل نہ کریں، کیونکہ سرٹیفکیٹ کا عدم مطابق ہی علامت ہے کہ آپ غلط سننے والے کو ٹکر مار رہے ہیں۔
عددی پتہ براہ راست مانگنے سے غلط مجازی ہوسٹ منتخب ہو سکتا ہے یا TCP 443 کے جواب دینے کے باوجود توثیق ناکام ہو سکتی ہے، اس لیے کامیاب IP ٹیسٹ کو نیٹ ورک کے بارے میں ثبوت سمجھیں، اس سے زیادہ نہیں۔ مطلوبہ لیپ ٹاپ سے عام حل کنندہ راستہ کلائنٹ کا DNS فارورڈر یا زون کی میزبانی کرنے والے نجی حل کنندہ کا اندرونی اختتامی نقطہ ہے، اور وہاں ناکامی گمشدہ ریکارڈ نہیں بلکہ حل کنندہ تک رسائی کا مسئلہ ہے۔ تصدیق کریں کہ وہی درخواست اس راستے پر کامیاب ہوتی ہے، پھر تصدیق کریں کہ مسترد شدہ سامعین اب بھی مسترد ہیں۔
کیا ریکارڈ کرنا ہے اور کیا رول بیک کرنا ہے
کنٹینر کا ہدف پورٹ اور کلائنٹ کا HTTPS پورٹ الگ ترتیبات ہیں۔ کنٹینر وہیں سنتا ہے اس لیے اس کا ہدف پورٹ VPN پر شائع نہ کریں، اور پورٹ ٹیسٹ پاس ہونے کے لیے نیٹ ورک قاعدہ نہ بڑھائیں۔ دونوں تبدیلیاں واقعے کے بعد بھی باقی رہتی ہیں اور بعد میں ان کی نسبت کرنا مشکل ہوتا ہے۔
مطلوبہ لیپ ٹاپ سے اس کی مجاز شناخت اور معمول کے DNS کے ساتھ نئی ایپلیکیشن کارروائی پر ختم کریں، پھر جانچیں کہ غیر مجاز کال کرنے والا اب بھی ناکام ہوتا ہے۔ ایپ ترتیب میں رہتے ہوئے یہ بھی تصدیق کریں کہ ماحول کی سطح کا HTTP راستہ اس ایپ کو ہدف کے طور پر بے نقاب کرتا ہے یا نہیں، کیونکہ وہ راستہ دوسرا دروازہ ہے جسے انگریس دائرہ بیان نہیں کرتا۔
پانچ اقدار ساتھ ریکارڈ کریں: ماحول کا دائرہ، ایپ کا انگریس دائرہ، FQDN، نجی داخلہ پتہ اور حل کنندہ کا مالک۔ وہ پانچ پورا رسائی معاہدہ بیان کرتے ہیں، اور اسے ڈیبگ کرنے والا اگلا شخص بالکل وہی مانگے گا۔