Share via

Kimenő forgalom szabályozása felhasználó által megadott útvonalakkal

  • Cikk

Feljegyzés

Ez a funkció csak a számítási feladatprofilok környezettípusához támogatott. A felhasználó által megadott útvonalak csak belső Azure Container Apps-környezettel működnek.

Ez a cikk bemutatja, hogyan használhat felhasználó által definiált útvonalakat (UDR) az Azure Firewall használatával a Container Appsből a háttérbeli Azure-erőforrásokba vagy más hálózati erőforrásokba irányuló kimenő forgalom zárolásához.

Az Azure létrehoz egy alapértelmezett útvonaltáblát a létrehozásnál használt virtuális hálózatokhoz. Felhasználó által definiált útvonaltábla implementálásával szabályozhatja, hogy a forgalom hogyan legyen irányítva a virtuális hálózaton belül. Ebben az útmutatóban a Container Apps virtuális hálózatának beállítási UDR-jét kell beállítania az Azure Firewall kimenő forgalmának korlátozásához.

Az Azure Firewall helyett NAT-átjárót vagy bármely más külső berendezést is használhat.

További információkért tekintse meg az UDR azure firewallmalvaló konfigurálását az Azure Container Apps hálózatkezelésében.

Előfeltételek

  • Számításifeladat-profilok környezete: Egy egyéni virtuális hálózattal integrált számításiprofil-környezet. További információ: útmutató tárolóalkalmazás-környezet létrehozásához a számítási feladatprofilok környezetében.

  • curl támogatás: A tárolóalkalmazásnak olyan tárolóval kell rendelkeznie, amely támogatja curl a parancsokat. Ebben az útmutatóban a tárolóalkalmazás megfelelő üzembe helyezésének ellenőrzésére használható curl . Ha nincs üzembe helyezett tárolóalkalmazása curl , a következő tárolót helyezheti üzembe, amely támogatja curla következőt mcr.microsoft.com/k8se/quickstart:latest.

A tűzfal alhálózatának létrehozása

Egy AzureFirewallSubnet nevű alhálózatra van szükség ahhoz, hogy tűzfalat telepítsen az integrált virtuális hálózatba.

  1. Nyissa meg az alkalmazással integrált virtuális hálózatot az Azure Portalon.

  2. A bal oldali menüben válassza az Alhálózatok, majd az + Alhálózat lehetőséget.

  3. Írja be a következő értékeket:

    Beállítás Művelet
    Név Adja meg az AzureFirewallSubnetet.
    Alhálózati címtartomány Használja az alapértelmezett értéket, vagy adjon meg egy /26 vagy nagyobb alhálózati tartományt.

  4. Válassza a Mentés lehetőséget

A tűzfal üzembe helyezése

  1. Az Azure Portal menüjében vagy a kezdőlapon válassza az Erőforrás létrehozása lehetőséget.

  2. Keressen rá a tűzfalra.

  3. Válassza a Tűzfal lehetőséget.

  4. Válassza a Létrehozás lehetőséget.

  5. A Tűzfal létrehozása lapon konfigurálja a tűzfalat az alábbi beállításokkal.

    Beállítás Művelet
    Erőforráscsoport Adja meg ugyanazt az erőforráscsoportot, mint az integrált virtuális hálózat.
    Név Adja meg a választott nevet
    Régió Válassza ki ugyanazt a régiót, mint az integrált virtuális hálózat.
    Tűzfalszabályzat Hozzon létre egyet az Új hozzáadása gombra kattintva.
    Virtuális hálózat Válassza ki az integrált virtuális hálózatot.
    Nyilvános IP-cím Válasszon ki egy meglévő címet, vagy hozzon létre egyet az Új hozzáadása gombra kattintva.

  6. Válassza az Áttekintés + létrehozás lehetőséget. Az ellenőrzés befejezése után válassza a Létrehozás lehetőséget. Az érvényesítési lépés végrehajtása eltarthat néhány percig.

  7. Az üzembe helyezés befejezése után válassza az Erőforrás megnyitása lehetőséget.

  8. A tűzfal Áttekintés lapján másolja ki a tűzfal privát IP-címét. Ez az IP-cím lesz a következő ugrási cím a virtuális hálózat útválasztási szabályának létrehozásakor.

Az összes forgalom átirányítása a tűzfalra

Az Azure-beli virtuális hálózatok alapértelmezett útvonaltáblái a hálózat létrehozásakor vannak érvényben. Felhasználó által definiált útvonaltábla implementálásával szabályozhatja, hogy a forgalom hogyan legyen irányítva a virtuális hálózaton belül. A következő lépésekben létrehoz egy UDR-t, amely az összes forgalmat az Azure Firewallra irányítja.

  1. Az Azure Portal menüjében vagy a kezdőlapon válassza az Erőforrás létrehozása lehetőséget.

  2. Útvonaltáblák keresése.

  3. Válassza az Útvonaltáblák lehetőséget.

  4. Válassza a Létrehozás lehetőséget.

  5. Írja be a következő értékeket:

    Beállítás Művelet
    Régió Válassza ki a régiót virtuális hálózatként.
    Név Adjon meg egy nevet.
    Átjáróútvonalak propagálása Válassza a Nem lehetőséget

  6. Válassza az Áttekintés + létrehozás lehetőséget. Az ellenőrzés befejezése után válassza a Létrehozás lehetőséget.

  7. Az üzembe helyezés befejezése után válassza az Erőforrás megnyitása lehetőséget.

  8. A bal oldali menüben válassza az Útvonalak lehetőséget, majd válassza a Hozzáadás lehetőséget egy új útvonaltábla létrehozásához

  9. Konfigurálja az útvonaltáblát a következő beállításokkal:

    Beállítás Művelet
    Címelőtag Adja meg a 0.0.0.0/0 értéket
    Következő ugrási típus Virtuális berendezés kiválasztása
    Következő ugrási cím Adja meg a tűzfal üzembe helyezésében mentett privát tűzfal IP-címét.

  10. Válassza a Hozzáadás lehetőséget az útvonal létrehozásához.

  11. A bal oldali menüben válassza az Alhálózatok lehetőséget, majd a Társítás lehetőséget az útvonaltábla a tárolóalkalmazás alhálózatához való társításához.

  12. Az alhálózat társítása a következő értékekkel konfigurálható:

    Beállítás Művelet
    Virtuális hálózat Válassza ki a tárolóalkalmazás virtuális hálózatát.
    Alhálózat Válassza ki a tárolóalkalmazás alhálózatát.

  13. Kattintson az OK gombra.

Tűzfalszabályzatok konfigurálása

Feljegyzés

Ha az UDR-t azure-tűzfallal használja az Azure Container Appsben, bizonyos teljes tartománynév- és szolgáltatáscímkéket kell hozzáadnia a tűzfal engedélyezési listájához. A szükséges szolgáltatáscímkék meghatározásához tekintse meg az UDR Azure Firewalllal való konfigurálását.

Most a tárolóalkalmazásból érkező összes kimenő forgalom a tűzfalra lesz irányítva. Jelenleg a tűzfal továbbra is engedélyezi az összes kimenő forgalmat. A kimenő forgalom engedélyezett vagy elutasított forgalmának kezeléséhez tűzfalszabályzatokat kell konfigurálnia.

  1. Az Azure Firewall-erőforrás Áttekintés lapján válassza a Tűzfalházirend lehetőséget

  2. A tűzfalszabályzat oldalának bal oldali menüjében válassza az Alkalmazásszabályok lehetőséget.

  3. Válassza a Szabálygyűjtemény hozzáadása lehetőséget.

  4. Adja meg a következő értékeket a szabálygyűjteményhez:

    Beállítás Művelet
    Név Gyűjteménynév megadása
    Szabálygyűjtemény típusa Alkalmazás kiválasztása
    Priority (Prioritás) Adja meg a prioritást, például a 110-et
    Szabálygyűjtési művelet Válassza az Engedélyezés lehetőséget
    Szabálygyűjteményi csoport Válassza a DefaultApplicationRuleCollectionGroup lehetőséget

  5. A Szabályok csoportban adja meg a következő értékeket

    Beállítás Művelet
    Név Adja meg a szabály nevét
    Forrás típusa IP-cím kiválasztása
    Forrás Írja be a következő szöveget: *
    Protokoll Adja meg a http:80,https:443
    Céltípus Válassza az FQDN lehetőséget.
    Cél Írja be mcr.microsoft.coma ,*.data.mcr.microsoft.com. Ha ACR-t használ, adja hozzá az ACR-címét és *.blob.core.windows.neta .
    Művelet Válassza az Engedélyezés lehetőséget

    Feljegyzés

    Ha Docker Hub-beállításjegyzéket használ, és a tűzfalon keresztül szeretné elérni, a következő teljes tartományneveket kell hozzáadnia a szabályok céllistájához: hub.docker.com, registry-1.docker.io és production.cloudflare.docker.com.

  6. Válassza a Hozzáadás lehetőséget.

Ellenőrizze, hogy a tűzfal blokkolja-e a kimenő forgalmat

Annak ellenőrzéséhez, hogy a tűzfal konfigurációja megfelelően van-e beállítva, használhatja az curl alkalmazás hibakeresési konzolján található parancsot.

  1. Lépjen az Azure Firewalllal konfigurált tárolóalkalmazásra.

  2. A bal oldali menüben válassza a Konzol lehetőséget, majd válassza ki a parancsot támogató tárolót curl .

  3. A Select start up command menu,select /bin/sh, and select Csatlakozás.

  4. Futtassa curl -s https://mcr.microsoft.coma konzolon. A tűzfalszabályzatok engedélyezési listájához hozzáadott mcr.microsoft.com sikeres válasznak kell megjelennie.

  5. Futtasson curl -s https://<FQDN_ADDRESS> olyan URL-címet, amely nem felel meg a célszabályoknak, például example.com. A példaparancs a következő lenne curl -s https://example.com: . Nem kaphat választ, ami azt jelzi, hogy a tűzfal letiltotta a kérést.

Következő lépések

Hitelesítés az Azure Container Appsben