Cách ứng dụng web Azure tiếp cận tại chỗ thông qua VPN

Yêu cầu gửi đi của Ứng dụng Web để lại một nhân viên mà bạn không bao giờ nhìn thấy, từ một nguồn bạn không chọn và tường lửa văn phòng phải chấp nhận yêu cầu đó. Đó là toàn bộ vấn đề trong một câu. Tích hợp VNet khu vực cung cấp cho yêu cầu một đường dẫn vào mạng ảo và VPN site-to-site sẽ đưa yêu cầu đó từ đó. Mọi vấn đề xảy ra sau đó đều liên quan đến phạm vi nguồn và tuyến đường mà gói thực sự được sử dụng.

Những gì nhân viên thực sự gửi

Dịch vụ ứng dụng chạy mã của bạn trên các nhân viên nằm ngoài chế độ xem mạng của đăng ký của bạn. Khi tích hợp khu vực được bật, lưu lượng truy cập đi sẽ được chuyển đến mạng con được ủy quyền trong VNet ở cùng khu vực và gói sẽ xuất hiện ở đó trước khi tiếp tục. Việc tích hợp không chuyển ứng dụng vào VNet và không thay đổi địa chỉ gửi đến của ứng dụng. Nó chỉ cung cấp cho các luồng đi một bước nhảy đầu tiên khác.

Theo mặc định, chỉ có không gian địa chỉ riêng mới đi theo đường dẫn đó, vì vậy các điểm đến Internet thông thường vẫn xuất phát trực tiếp từ nhân viên. Định tuyến mọi thứ thông qua VNet là một cài đặt riêng và một quyết định riêng vì nó cũng gửi các phần phụ thuộc công khai của bạn qua đường hầm.

Lưu lượng cấu hình, chẳng hạn như kéo hình ảnh vùng chứa khi khởi động, tuân theo các quy tắc định tuyến riêng và có thể không thành công trong khi lệnh gọi API của bạn thành công.

Mạng con tích hợp là nguồn bạn phải cho phép

Văn phòng nhìn thấy dải địa chỉ của mạng con tích hợp hoặc bất cứ thứ gì mà thiết bị của bạn dịch nó sang, chứ không phải các địa chỉ gửi đi công khai của ứng dụng. Đặt phạm vi đó vào bộ chọn lưu lượng truy cập của VPN trang web và vào quy tắc tường lửa tại chỗ. Nếu đường hầm dựa trên chính sách, các bộ chọn bỏ qua nó sẽ loại bỏ gói ngay cả khi có tuyến đường tồn tại.

Không cho phép một địa chỉ công nhân duy nhất mà bạn tình cờ quan sát được. Các trường hợp thay đổi theo quy mô và bảo trì nền tảng, đồng thời quy tắc được ghim vào một địa chỉ sẽ bị hỏng vào thời điểm tồi tệ nhất.

Giữ cho phía đích thu hẹp: một dịch vụ, một cổng, một hướng, với đường trở về được cho phép rõ ràng.

Truyền tải ngang hàng và cổng là rõ ràng

Nếu cổng VPN nằm trong một trung tâm VNet và mạng con tích hợp trong một nan hoa, thì đường dẫn cần được phép truyền cổng trên tính năng ngang hàng trung tâm và kích hoạt sử dụng cổng từ xa trên tính năng tiên phong nan hoa. Peering tự nó mang lưu lượng giữa hai VNet và không có gì hơn. Các tuyến hiệu quả trên mạng con tích hợp là nơi bạn xác nhận cổng tiếp theo thực sự ở đó.

Thiết kế hub-and-spoke có bảng định tuyến gửi 0.0.0.0/0 tới tường lửa là một biến thể phổ biến và khi đó, tường lửa đó cần có quy tắc riêng cho tiền tố tại chỗ.

Hãy vẽ đường dẫn ra giấy trước khi mở vé với nhóm mạng, vì như vậy sẽ tiết kiệm được một ngày đoán mò. Bao gồm hướng quay lại trong bản vẽ, vì đó là một nửa mà mọi người quên.

Điểm cuối riêng gửi đến là hướng khác

Điểm cuối riêng tư giúp ứng dụng có thể truy cập được từ bên trong VNet. Điều này không ảnh hưởng gì đến cuộc gọi đi đến văn phòng của ứng dụng và các nhóm thường xuyên định cấu hình một cuộc gọi trong khi yêu cầu thực tế lại ngược lại.

Tài liệu cũ hơn mô tả tính năng tích hợp cần có cổng được xây dựng trên VPN điểm-điểm, một tính năng khác với các yêu cầu riêng. Microsoft lên kế hoạch ngừng sử dụng tính năng này vào ngày 31 tháng ba năm 2027 và thay vào đó đề xuất tích hợp khu vực.

Không sao chép cấu hình điểm tới trang cũ chỉ vì một ví dụ cũ đã sử dụng cấu hình đó.

Xác minh bằng ngữ cảnh của chính ứng dụng

Kiểm tra từ ứng dụng đã triển khai, không phải từ máy tính xách tay của bạn và không phải từ máy ảo trong cùng VNet. Ghi lại địa chỉ đã giải quyết, kết quả kết nối và phản hồi cấp ứng dụng một cách riêng biệt do lỗi DNS, hết thời gian chờ TCP và điểm từ chối xác thực tại ba chủ sở hữu khác nhau. Nếu việc phân giải tên không thành công, hãy sửa DNS riêng cho VNet trước khi chạm vào đường hầm.

Trạng thái đường hầm màu xanh lá cây chỉ chứng tỏ cổng đã hoạt động. Nó không nói gì về bộ chọn, quy tắc tường lửa hoặc DNS.

Khi yêu cầu cuối cùng đã hoạt động, hãy ghi phạm vi nguồn, cổng đích và vùng DNS vào sổ ghi chép của ứng dụng. Người tiếp theo gỡ lỗi này sẽ bắt đầu từ ghi chú của bạn thay vì từ trang trạng thái của cổng.