Nuqtadan saytga VPN orqali shaxsiy Container Apps ilovasiga kirish
Ichki Container Apps muhiti shaxsiy kirish, mos host nomi va VPN yetib boradigan hal qiluvchini talab qiladi. Har bir qadamni bajaring, so'ng rad etishni tekshiring.
Ushbu qo'llanma ish yuklamasi profillariga ega Container Apps muhitini va uning ichki virtual tarmoq kirishini qamrab oladi; unga noutbukdan tasdiqlangan nuqtadan saytga VPN orqali kiriladi, ilovaning to'g'ridan-to'g'ri FQDN manzilidan foydalaniladi va muhit darajasida HTTP marshrutlari yo'q. muhit kirishi mijozdan yetib borish mumkin, ilovaning kirish doirasi chaqiruvchini qabul qiladi va host nomi shaxsiy kirishga hal qilinadi. Quyidagi har bir qadam tekshiriladigan natija va siz o'zgartirmagan hech narsaga tegmaydigan qaytarishni qoldiradi. Ularni berilgan tartibda bajaring, chunki keyingi hech bir qadam 1-qadamda noto'g'ri qabul qilingan doira qarorini qoplay olmaydi.
DNS ga tegishdan oldin ichki so'zini aniqlang. Bu mahsulotda u ikki xil doira uchun ishlatiladi va ularni almashtirish ishlaydigan nom hali ham foydali hech narsa qaytarmasligining eng keng tarqalgan sababidir.
1-qadam: muhit va ilova doirasini belgilang
Har qanday yozuvni o'zgartirishdan oldin ilovaning kirish konfiguratsiyasini o'qing:
| Setting | Boundary |
|---|---|
| Internal environment | The environment entry is reached through its private network arrangement |
| App with internal ingress | Callers from the environment VNet only; a VPN laptop qualifies once it has a route into that VNet and the domain resolves privately |
| App with external ingress in an internal environment | The app accepts outside traffic through the environment's private entry |
Ichki kirish muhitning VNet ichidagi muhitning ichki yuk ko'taruvchi balanslagichida ochiladi, shuning uchun savol noutbuk boshqa konteyner ilovami yoki yo'qmi emas, balki u o'sha VNet ga yetib bora oladimi. VNet ga marshruti bo'lgan va muhitning standart domeni shaxsiy zona orqali hal qilinadigan VPN mijozi munosib chaqiruvchi hisoblanadi va qolgan qadamlar aynan shuni quradi. Ommaviy kirishsiz ichki muhit ichki kirishli ilovadan boshqa fakt va ilova darajasidagi tashqi kirish muhitga ommaviy eshik bermaydi. Doirani portal bilan birga biletga ham yozing, chunki keyingi muhandis avval biletni o'qiydi.
Davom etishdan oldin bu doirani konfiguratsiya egasi bilan tasdiqlang va darvozani tor tuting: agar muhitning VNet iga marshrut bo'lmasa yoki muhitning standart domeni shaxsiy zona orqali hal qilinmasa, to'xtang va avval o'sha yo'lni tuzating. VNet ga yetib bora olmaydigan yoki nomni hal qila olmaydigan chaqiruvchini keyingi hech bir qadam almashtira olmaydi.
2-qadam: haqiqiy host nomi va kirish manzilini to'plang
Muhitning standart domenini, uning statik shaxsiy kirish manzilini va ilovaning sozlangan FQDN ini yozib oling; ularni eski ekran surati yoki viki sahifasidan emas, resursdan oling:
az containerapp env show -n ENV -g RG \
--query "{domain:properties.defaultDomain, ip:properties.staticIp}"
az containerapp show -n APP -g RG \
--query "properties.configuration.ingress.fqdn"Container Apps uchun shaxsiy kirish bo'yicha qo'llanma ilovaning host nomlarini buzmasdan muhit domenini uning ichki manziliga moslashtirishni tavsiflaydi. Siz bu yerda qo'lda aynan shu shaklni quryapsiz, shuning uchun yangi nomlash sxemasini o'ylab topish o'rniga zona mazmunini unga moslang.
Agar o'qigan domeningiz ilova bildirgan FQDN bilan mos kelmasa, to'xtang va hozir ularni moslashtiring. Noto'g'ri qo'shimcha asosida zona qurish mukammal hal qilinadigan, ammo baribir noto'g'ri virtual hostga tushadigan host nomini hosil qiladi.
3-qadam: shaxsiy zonani VPN hal qiluvchisi yo'liga qo'ying
Muhitning haqiqiy standart domeni uchun qo'llab-quvvatlanadigan shaxsiy DNS zonasini yarating yoki qayta ishlating, hujjatlashtirilgan joker va manzil yozuvlari statik kirishga ishora qilsin. O'sha zonani tegishli virtual tarmoqqa bog'lang va shaxsiy hokimiyatni havola yetarli deb hisoblash o'rniga VPN ning tasdiqlangan hal qiluvchi yo'li orqali yetib borish mumkin qilib qo'ying.
Nuqtadan saytga mijozi odatda o'sha zonaga yetib borish uchun shaxsiy hal qiluvchining kiruvchi tugash nuqtasi yoki qo'llab-quvvatlanadigan DNS uzatgichini talab qiladi. Zonani bog'lash Azure bog'langan tarmoqlar uchun hal qiladigan narsani o'zgartiradi; u har bir tashqi noutbukning ommaviy hal qiluvchisini qayta yo'naltirmaydi. Boshqa Container Apps tarmoq modelidan olingan shaxsiy tugash nuqtasi DNS zonasiga almashtirmang, chunki yozuv nomlari va zona qo'shimchasi mos kelmaydi.
Bu qadamning qaytarilishi zona havolasini yoki siz qo'shgan yozuvni olib tashlashdir. Ulardan qaysi biri bo'lganini yozib qo'ying, chunki bitta havolani bekor qilish uchun umumiy zonani o'chirish ikkinchi muhitni buzishning ma'lum usulidir.
4-qadam: nomni, so'ng rad etilgan auditoriyani sinab ko'ring
Host nomi va TLS identifikatsiyasini birga sinab ko'ring, faqat manzilni emas. Boshqariladigan nom xaritalash diagnostikasi uchun host nomini saqlab, manzilni mahkamlashingiz mumkin:
curl --resolve app.ENVIRONMENT_DOMAIN:443:10.40.0.10 \
https://app.ENVIRONMENT_DOMAIN/Host nomini ilovaning haqiqiy FQDN manziliga, manzilni esa haqiqiy ichki kirishga almashtiring. Bu faqat o'sha bitta so'rovga ta'sir qiladi va DNS ta'minoti emas. Identifikatsiya xatosini ko'rinadigan o'tishga aylantirish uchun -k qo'shmang, chunki sertifikat nomuvofiqligi noto'g'ri tinglovchiga urilayotganingizning belgisidir.
Raqamli manzilni to'g'ridan-to'g'ri so'rash TCP 443 javob berayotganda ham noto'g'ri virtual hostni tanlashi yoki tekshiruvdan o'tmasligi mumkin, shuning uchun muvaffaqiyatli IP sinovini tarmoq haqidagi dalil deb biling, undan ortiq emas. Mo'ljallangan noutbukdan oddiy hal qiluvchi yo'li mijozning DNS uzatgichi yoki zonani joylashtirgan shaxsiy hal qiluvchining kiruvchi tugash nuqtasidir, va u yerdagi xato yo'qolgan yozuv emas, hal qiluvchiga yetib borish muammosidir. Xuddi shu so'rov o'sha yo'lda muvaffaqiyatli bo'lishini tasdiqlang, so'ng rad etilgan auditoriya hali ham rad etilishini tasdiqlang.
Nimani yozib olish va nimani qaytarish kerak
Konteynerning maqsad porti va mijozning HTTPS porti alohida sozlamalar. Konteyner o'sha yerda tinglagani uchun uning maqsad portini VPN orqali e'lon qilmang va port sinovi o'tishi uchun tarmoq qoidasini kengaytirmang. Ikkala o'zgarish ham hodisadan keyin yashaydi va keyinchalik ularni bog'lash qiyin.
Mo'ljallangan noutbukdan uning ruxsat etilgan identifikatsiyasi va oddiy DNS i bilan yangi ilova operatsiyasi bilan tugating, so'ng ruxsatsiz chaqiruvchi hali ham muvaffaqiyatsiz bo'lishini tekshiring. Ilova konfiguratsiyasida bo'lganingizda, muhit darajasidagi HTTP marshruti bu ilovani maqsad sifatida ochib beradimi-yo'qmi, buni ham tasdiqlang, chunki o'sha marshrut kirish doirasi tavsiflamaydigan ikkinchi eshikdir.
Besh qiymatni birga yozib oling: muhit doirasi, ilovaning kirish doirasi, FQDN, shaxsiy kirish manzili va hal qiluvchi egasi. O'sha beshtasi butun kirish shartnomasini tavsiflaydi va buni tuzatadigan keyingi odam aynan ularni so'raydi.