Verbinding maken naar een virtueel netwerk met behulp van Azure API Management

Azure API Management kunnen worden geïmplementeerd in een virtueel Azure-netwerk (VNET) voor toegang tot back-endservices binnen het netwerk. Zie Een virtueel netwerk gebruiken met Azure API Management voor opties, vereisten en overwegingen voor VNET-API Management.

In dit artikel wordt uitgelegd hoe u VNET-connectiviteit in kunt stellen voor uw API Management-exemplaar in de externe modus, waarbij de ontwikkelaarsportal, API-gateway en andere API Management-eindpunten toegankelijk zijn vanaf het openbare internet. Zie voor configuraties die specifiek zijn voor de interne modus, waarbij de eindpunten alleen toegankelijk zijn binnen het VNET, Verbinding maken naar een intern virtueel netwerk met behulp van Azure API Management.

Beschikbaarheid

Vereisten

Sommige vereisten zijn afhankelijk van de versie ( of ) van het rekenplatform dat als host voor uw stv2 stv1 API Management host.

VNET-verbinding inschakelen

VNET-connectiviteit inschakelen met behulp van Azure Portal ( stv2 rekenplatform)

1. Ga naar de Azure Portal om uw API Management-exemplaar te vinden. Zoek en selecteer API Management services.

2. Kies uw API Management-exemplaar.

3. Selecteer Virtueel netwerk.

4. Selecteer het type Externe toegang.

5. In de lijst met locaties (regio's) waar uw API Management service is ingericht:

   1. Kies een Locatie.
   2. Selecteer Virtueel netwerk, Subnet en IP-adres.

   • De VNET-lijst wordt gevuld Resource Manager VNET's die beschikbaar zijn in uw Azure-abonnementen, die zijn ingesteld in de regio die u configureert.

     

6. Selecteer Toepassen. De pagina Virtueel netwerk van uw API Management-exemplaar wordt bijgewerkt met uw nieuwe VNET- en subnetopties.

7. Ga door met het configureren van VNET-instellingen voor de resterende locaties van API Management-exemplaar.

8. Selecteer opslaan in de bovenste navigatiebalk en selecteer vervolgens Netwerkconfiguratie toepassen.

   Het kan 15 tot 45 minuten duren voordat de API Management is bijgewerkt.

Connectiviteit inschakelen met behulp van Resource Manager sjabloon

Gebruik de volgende sjablonen om een API Management implementeren en verbinding te maken met een VNET. De sjablonen verschillen afhankelijk van de versie ( of ) van het rekenplatform dat als host voor uw stv2 stv1 API Management host.

Verbinding maken naar een webservice die wordt gehost in een virtueel netwerk

Zodra u uw API Management-service hebt verbonden met het VNET, hebt u toegang tot back-endservices in het VNET, net zoals u openbare services gebruikt. Bij het maken of bewerken van een API typt u het lokale IP-adres of de hostnaam (als er een DNS-server is geconfigureerd voor het VNET) van uw webservice in het veld WEBservice-URL.

Veelvoorkomende problemen met netwerkconfiguratie

Bekijk de volgende secties voor meer netwerkconfiguratie-instellingen.

Met deze instellingen worden veelvoorkomende configuratieproblemen opgelost die zich kunnen voordoen tijdens het implementeren API Management service in een VNET.

Aangepaste DNS-server instellen

In de externe VNET-modus beheert Azure de DNS standaard. U kunt eventueel een aangepaste DNS-server configureren. De API Management-service is afhankelijk van verschillende Azure-services. Wanneer API Management wordt gehost in een VNET met een aangepaste DNS-server, moet deze de hostnamen van deze Azure-services oplossen.

• Zie Naamoplossing voor resources in virtuele Azure-netwerken voor hulp bij het instellen van aangepaste DNS, inclusief doorsturen voor doorgestuurde Azure-hostnamen.
• Zie de vereiste poorten en netwerkvereisten voor naslag.

Vereiste poorten

U kunt het inkomende en uitgaande verkeer naar het subnet waarin API Management wordt geïmplementeerd, met behulp van regels voor netwerkbeveiligingsgroep. Als bepaalde poorten niet beschikbaar zijn, API Management mogelijk niet goed werken en kunnen ze ontoegankelijk worden.

Wanneer een API Management-service-exemplaar wordt gehost in een VNET, worden de poorten in de volgende tabel gebruikt. Sommige vereisten zijn afhankelijk van de versie ( of ) van het rekenplatform dat als host voor uw stv2 stv1 API Management host.

TLS-functionaliteit

Als u het bouwen en valideren van TLS/SSL-certificaatketens wilt inschakelen, moet de API Management-service uitgaande netwerkconnectiviteit hebben ocsp.msocsp.com met mscrl.microsoft.com , en crl.microsoft.com . Deze afhankelijkheid is niet vereist als een certificaat dat u uploadt naar API Management de volledige keten naar de CA-hoofdmap bevat.

DNS-toegang

Uitgaande toegang op port 53 is vereist voor communicatie met DNS-servers. Als er een aangepaste DNS-server aan het andere uiteinde van een VPN-gateway bestaat, moet de DNS-server bereikbaar zijn vanaf het subnet dat als host API Management.

Metrische gegevens en statuscontrole

Uitgaande netwerkconnectiviteit met Azure Monitoring-eindpunten, die worden opgelost in de volgende domeinen, worden weergegeven onder de AzureMonitor-servicetag voor gebruik met netwerkbeveiligingsgroepen.

Regionale servicetags

NSG-regels die uitgaande connectiviteit met Storage-, SQL- en Event Hubs-servicetags toestaan, kunnen gebruikmaken van de regionale versies van die tags die overeenkomen met de regio die het API Management-exemplaar bevat (bijvoorbeeld Storage. VS - west voor een API Management-exemplaar in de regio VS - west). In implementaties voor meerdere regio's moet de NSG in elke regio verkeer naar de servicetags voor die regio en de primaire regio toestaan.

SMTP-relay

Uitgaande netwerkconnectiviteit toestaan voor de SMTP-relay, die wordt opgelost onder de host smtpi-co1.msn.com smtpi-ch1.msn.com , , , smtpi-db3.msn.com smtpi-sin.msn.com en ies.global.microsoft.com

CAPTCHA voor ontwikkelaarsportal

Sta uitgaande netwerkconnectiviteit toe voor de CAPTCHA van de ontwikkelaarsportal, die wordt opgelost onder de hosts client.hip.live.com en partner.hip.live.com .

Azure Portal diagnostische gegevens

Wanneer u de API Management-extensie vanuit een VNET gebruikt, is uitgaande toegang tot on vereist om de stroom van diagnostische logboeken vanuit een dc.services.visualstudio.com port 443 Azure Portal. Deze toegang helpt bij het oplossen van problemen waarmee u mogelijk te maken krijgt bij het gebruik van de extensie.

Azure Load Balancer

U hoeft geen inkomende aanvragen van de servicetag toe te staan voor de SKU, omdat er slechts één AZURE_LOAD_BALANCER Developer rekeneenheid achter wordt geïmplementeerd. Maar inkomende gegevens van worden essentieel bij het schalen naar een hogere SKU, zoals , als een statustest van load balancer blokkeert vervolgens alle inkomende toegang tot het besturingsvlak en de AZURE_LOAD_BALANCER Premium gegevensvlak.

Application Insights

Als u bewaking op Azure-toepassing Insights hebt ingeschakeld, API Management uitgaande connectiviteit met het telemetrie-eindpunt vanaf het VNET toestaan.

KMS eindpunt

Wanneer u virtuele machines met Windows aan het VNET toevoegt, staat u uitgaande connectiviteit op poort 1688 toe naar KMS eindpunt in uw cloud. Deze configuratie routeert Windows VM-verkeer naar de Azure Key Management Services-server (KMS) om de activering Windows voltooien.

Geforceer tunneling van verkeer naar on-premises firewall met behulp van ExpressRoute of een virtueel netwerkapparaat

Doorgaans configureert en definieert u uw eigen standaardroute (0.0.0.0/0), waardoor al het verkeer van het API Management gedelegeerde subnet wordt gedwongen om via een on-premises firewall of een virtueel netwerkapparaat te stromen. Deze verkeersstroom verbreekt de connectiviteit met Azure API Management, omdat uitgaand verkeer on-premises wordt geblokkeerd of NAT naar een onherkenbare set adressen die niet meer werkt met verschillende Azure-eindpunten. U kunt dit probleem op verschillende manieren oplossen:

• Schakel service-eindpunten in op het subnet waarin API Management service is geïmplementeerd voor:

  • Azure SQL
  • Azure Storage
  • Azure Event Hub
  • Azure Key Vault (v2-platform)

  Door eindpunten rechtstreeks vanuit het API Management subnet naar deze services in te stellen, kunt u het Microsoft Azure backbone-netwerk gebruiken om optimale routering voor serviceverkeer te bieden. Als u service-eindpunten gebruikt waarbij voor API Management het verkeer gedwongen door een tunnel wordt geleid, wordt het Azure-serviceverkeer niet gedwongen door een tunnel geleid. Het andere verkeer met betrekking tot de API Management-service wordt gedwongen door een tunnel geleid en kan niet verloren gaan. Als u de service API Management, werkt deze niet goed.

• Al het verkeer van het besturingsvlak van internet naar het beheer-eindpunt van uw API Management-service wordt gerouteerd via een specifieke set binnenkomende IP's, gehost door API Management. Wanneer het verkeer geforceerd wordt getunneld, worden de antwoorden niet symmetrisch teruggemapt naar deze binnenkomende bron-IP's. Als u de beperking wilt omzeilen, stelt u de bestemming van de volgende door de gebruiker gedefinieerde routes(UDR's)in op internet om het verkeer terug te sturen naar Azure. Zoek de set binnenkomende IP-adressen voor besturingsvlakverkeer die wordt beschreven in IP-adressen van besturingsvlak.

• Voor andere geforce API Management serviceafhankelijkheden, moet u de hostnaam oplossen en contact maken met het eindpunt. Deze omvatten:

  • Metrische gegevens en statuscontrole
  • Azure portal Diagnostics
  • SMTP Relay
  • CAPTCHA voor ontwikkelaarsportal
  • Azure KMS-server

Routering

• Een openbaar IP-adres (VIP) met load-balanceding is gereserveerd om toegang te bieden tot alle service-eindpunten en resources buiten het VNET.
  • Openbare IP-adressen met load balanced vindt u op de blade Overzicht/Essentials in de Azure Portal.
• Een IP-adres uit een subnet-IP-bereik (DIP) wordt gebruikt voor toegang tot resources binnen het VNET.

IP-adressen van besturingsvlak

De volgende IP-adressen worden gedeeld door Azure Environment. Wanneer u binnenkomende aanvragen toestaat, moeten IP-adressen die zijn gemarkeerd met Globaal zijn toegestaan, samen met het regiospecifieke IP-adres. In sommige gevallen worden twee IP-adressen vermeld. Beide IP-adressen toestaan.

Problemen oplossen

• Mislukte initiële implementatie van API Management service in een subnet

  • Implementeer een virtuele machine in hetzelfde subnet.
  • Verbinding maken met de virtuele machine en valideer de connectiviteit met een van de volgende resources in uw Azure-abonnement:
    • Azure Storage blob
    • Azure SQL Database
    • Azure Storage Tabel
    • Azure Key Vault (voor een API Management-exemplaar dat wordt gehost op het stv2 platform)

  Belangrijk

  Nadat u de connectiviteit hebt valideren, verwijdert u alle resources in het subnet voordat u API Management implementeert in het subnet (vereist wanneer API Management wordt gehost op het stv1 platform).

• De status van de netwerkverbinding controleren

  • Nadat u API Management hebt geïmplementeerd in het subnet, gebruikt u de portal om de connectiviteit van uw exemplaar met afhankelijkheden te controleren, zoals Azure Storage.
  • Selecteer in de portal in het linkermenu onder Implementatie en infrastructuur de optie Netwerkverbindingsstatus.

  

  Filter	Beschrijving
  Vereist	Selecteer deze optie om de vereiste connectiviteit van Azure-services voor API Management. Fout geeft aan dat het exemplaar geen kernbewerkingen kan uitvoeren om API's te beheren.
  Optioneel	Selecteer om de connectiviteit van de optionele services te controleren. Fout geeft alleen aan dat de specifieke functionaliteit niet werkt (bijvoorbeeld SMTP). Een fout kan leiden tot een verslechtering van het gebruik en de bewaking van API Management exemplaar en het leveren van de vastgelegde SLA.

  Als u verbindingsproblemen wilt oplossen, controleert u de netwerkconfiguratie-instellingen en lost u de vereiste netwerkinstellingen op.

• Incrementele updates
  Wanneer u wijzigingen aan uw netwerk aan te brengen, raadpleegt u NetworkStatus API om te controleren of de API Management-service de toegang tot kritieke resources niet heeft verloren. De verbindingsstatus moet elke 15 minuten worden bijgewerkt.

• Koppelingen voor resourcenavigatie
  Een APIM-exemplaar dat wordt gehost op het rekenplatform stv1 enwordt geïmplementeerd in een Resource Manager VNET-subnet, reserveert het subnet door een koppeling voor resourcenavigatie te maken. Als het subnet al een resource van een andere provider bevat, mislukt de implementatie. Op dezelfde manier wordt de koppeling naar de resourcenavigatie verwijderd wanneer u een API Management service verwijdert of naar een ander subnet verplaatst.

Volgende stappen

Meer informatie over:

• Een virtueel netwerk verbinden met een back-VPN Gateway
• Een virtueel netwerk verbinden vanuit verschillende implementatiemodellen
• Fouten opsporen in uw API's met behulp van de tracering van aanvragen
• Virtual Network veelgestelde vragen
• Servicetags