Uw ILB App Service-omgeving integreren met Azure Application Gateway

  • Artikel

De App Service Environment is een implementatie van Azure-app Service in het subnet van het virtuele Azure-netwerk van een klant. Het kan worden geïmplementeerd met een extern of intern eindpunt voor toegang tot apps. De implementatie van de App Service-omgeving met een intern eindpunt wordt een interne load balancer (ILB) App Service-omgeving (ASE) genoemd.

Web Application Firewalls helpen uw webtoepassingen te beveiligen door binnenkomend webverkeer te inspecteren om SQL-injecties, cross-site scripting, malware uploads en toepassing DDoS en andere aanvallen te blokkeren. U kunt een WAF-apparaat ophalen uit Azure Marketplace of u kunt de Azure-toepassing Gateway gebruiken.

De Azure-toepassing Gateway is een virtueel apparaat dat laag 7-taakverdeling, TLS/SSL-offloading en WAF-beveiliging (Web Application Firewall) biedt. Het kan luisteren naar een openbaar IP-adres en verkeer naar uw toepassingseindpunt routeren. In de volgende informatie wordt beschreven hoe u een door WAF geconfigureerde toepassingsgateway integreert met een app in een ILB App Service-omgeving.

De integratie van de toepassingsgateway met de ILB App Service-omgeving is op app-niveau. Wanneer u de toepassingsgateway configureert met uw ILB App Service-omgeving, doet u dit voor specifieke apps in uw ILB App Service-omgeving. Met deze techniek kunt u beveiligde multitenant-toepassingen hosten in één ILB App Service-omgeving.

Screenshot of High level integration diagram

In deze procedure gaat u het volgende doen:

  • Maak een Azure-toepassing-gateway.
  • Configureer de toepassingsgateway zodat deze verwijst naar een app in uw ILB App Service-omgeving.
  • Bewerk de naam van de openbare DNS-host die naar uw toepassingsgateway verwijst.

Vereisten

Als u uw toepassingsgateway wilt integreren met uw ILB App Service-omgeving, hebt u het volgende nodig:

  • Een ILB App Service-omgeving.
  • Een privé-DNS-zone voor de ILB App Service-omgeving.
  • Een app die wordt uitgevoerd in de ILB App Service-omgeving.
  • Een openbare DNS-naam die later wordt gebruikt om naar uw toepassingsgateway te verwijzen.
  • Als u TLS/SSL-versleuteling wilt gebruiken voor de toepassingsgateway, is een geldig openbaar certificaat vereist dat wordt gebruikt om verbinding te maken met uw toepassingsgateway.

ILB App Service-omgeving

Zie Een AS-omgeving maken in Azure Portal en een AS-omgeving maken met ARM-sjabloon voor meer informatie over het maken van een ILB App Service-omgeving.

  • Nadat ILB ASE is gemaakt, is <YourAseName>.appserviceenvironment.nethet standaarddomein.

    Screenshot of ILB ASE Overview

  • Een interne load balancer wordt ingericht voor binnenkomende toegang. U kunt het binnenkomende adres controleren in de IP-adressen onder ASE-Instellingen. U kunt later een privé-DNS-zone maken die is toegewezen aan dit IP-adres.

    Screenshot of getting the inbound address from ILB ASE IP addresses settings.

Een privé-DNS-zone

U hebt een privé-DNS-zone nodig voor interne naamomzetting. Maak deze met behulp van de ASE-naam met behulp van de recordsets die worden weergegeven in de volgende tabel (zie quickstart: Een privé-DNS-zone van Azure maken met behulp van Azure Portal).

Name Type Weergegeven als
* A Binnenkomende ASE-adres
@ A Binnenkomende ASE-adres
@ SOA ASE DNS-naam
*.Scm A Binnenkomende ASE-adres

App Service op ILB ASE

U moet een App Service-plan en een app maken in uw ILB AS-omgeving. Wanneer u de app in de portal maakt, selecteert u uw ILB ASE als regio.

Een openbare DNS-naam voor de toepassingsgateway

Als u vanaf internet verbinding wilt maken met de toepassingsgateway, hebt u een routeerbare domeinnaam nodig. In dit geval heb ik een routeerbare domeinnaam asabuludemo.com gebruikt en ben ik van plan om verbinding te maken met een App Service met deze domeinnaam app.asabuludemo.com. Het IP-adres dat is toegewezen aan deze app-domeinnaam moet worden ingesteld op het openbare IP-adres van Application Gateway nadat de toepassingsgateway is gemaakt. Wanneer een openbaar domein is toegewezen aan de toepassingsgateway, hoeft u geen aangepast domein in App Service te configureren. U kunt een aangepaste domeinnaam kopen met App Service-domeinen.

Een geldig openbaar certificaat

Voor beveiligingsverbetering is het raadzaam om TLS/SSL-certificaat te binden voor sessieversleuteling. Als u TLS/SSL-certificaat aan de toepassingsgateway wilt binden, is een geldig openbaar certificaat met de volgende informatie vereist. Met App Service-certificaten kunt u een TLS/SSL-certificaat kopen en exporteren in PFX-indeling.

Naam Weergegeven als Beschrijving
Algemene naam <yourappname>.<yourdomainname>, bijvoorbeeld: app.asabuludemo.com
of *.<yourdomainname>bijvoorbeeld: *.asabuludemo.com		 Een standaardcertificaat of een jokertekencertificaat voor de toepassingsgateway
Alternatieve onderwerpnaam <yourappname>.scm.<yourdomainname>, bijvoorbeeld: app.scm.asabuludemo.com
of *.scm.<yourdomainname>bijvoorbeeld: *.scm.asabuludemo.com		 Het SAN waarmee verbinding kan worden gemaakt met de Kudu-service van App Service. Het is een optionele instelling als u de App Service-kudu-service niet naar internet wilt publiceren.

Het certificaatbestand moet een persoonlijke sleutel hebben en opslaan in PFX-indeling. Het wordt later geïmporteerd in de toepassingsgateway.

Een toepassingsgateway maken

Raadpleeg voor het maken van een eenvoudige toepassingsgateway de zelfstudie: Een toepassingsgateway maken met een Web Application Firewall met behulp van Azure Portal.

In deze zelfstudie gebruiken we Azure Portal om een toepassingsgateway te maken met een ILB App Service-omgeving.

Selecteer in Azure Portal Nieuwe>netwerktoepassingsgateway> om een toepassingsgateway te maken.

  1. Basisinstellingen

    In de vervolgkeuzelijst Laag kunt u Standard V2 of WAF V2 selecteren om de WAF-functie in te schakelen op de toepassingsgateway.

  2. Instelling front-ends

    Selecteer front-end-IP-adrestype voor openbaar, privé of beide . Als u deze optie instelt op Privé of Beide, moet u een statisch IP-adres toewijzen in het subnetbereik van de toepassingsgateway. In dit geval hebben we alleen een openbaar IP-adres ingesteld voor een openbaar eindpunt.

    • Openbaar IP-adres: u moet een openbaar IP-adres koppelen voor openbare toegang tot de toepassingsgateway. Noteer dit IP-adres. U moet later een record toevoegen aan uw DNS-service.

      Screenshot of getting a public IP address from the application gateway frontends setting.

  3. Instelling voor back-ends

    Voer de naam van een back-endpool in en selecteer het App Services- of IP-adres of de FQDN in het doeltype. In dit geval stellen we de app-services in en selecteren we de Naam van De App Service in de vervolgkeuzelijst doel.

    Screenshot of adding a backend pool name in backends setting.

  4. Configuratie-instelling

    In de configuratie-instelling moet u een routeringsregel toevoegen door het pictogram Een routeringsregel toevoegen te selecteren.

    Screenshot of adding a routing rule in configuration setting.

    U moet een listener - en back-enddoelen configureren in een routeringsregel. U kunt een HTTP-listener toevoegen voor een proof-of-conceptimplementatie of een HTTPS-listener toevoegen voor beveiligingsverbeteringen.

    • Als u verbinding wilt maken met de toepassingsgateway met een HTTP-protocol, kunt u een listener maken met de volgende instellingen.

      Parameter Weergegeven als Beschrijving
      Naam van de regel Bijvoorbeeld: http-routingrule Routeringsnaam
      Naam van listener Bijvoorbeeld: http-listener Naam van listener
      IP-adres voor front-end Openbaar Voor internettoegang ingesteld op Openbaar
      Protocol HTTP Tls/SSL-versleuteling niet gebruiken
      Poort 80 Standaard-HTTP-poort
      Type listener Meerdere sites Toestaan om meerdere sites op de toepassingsgateway te beluisteren
      Host type Meerdere/jokertekens Ingesteld op de naam van meerdere of jokertekenwebsites als het type listener is ingesteld op meerdere sites.
      Hostnaam Bijvoorbeeld: app.asabuludemo.com Instellen op een routeerbare domeinnaam voor App Service

      Screenshot of HTTP Listener of the application gateway Routing Rule.

    • Als u verbinding wilt maken met de toepassingsgateway met TLS/SSL-versleuteling, kunt u een listener maken met de volgende instellingen.

      Parameter Weergegeven als Beschrijving
      Naam van de regel Bijvoorbeeld: https-routingrule Routeringsnaam
      Naam van listener Bijvoorbeeld: https-listener Naam van listener
      IP-adres voor front-end Openbaar Voor internettoegang ingesteld op Openbaar
      Protocol HTTPS TLS/SSL-versleuteling gebruiken
      Poort 443 Standaard HTTPS-poort
      HTTPS-instellingen Een certificaat uploaden Upload een certificaat bevat de CN en de persoonlijke sleutel met de PFX-indeling.
      Type listener Meerdere sites Toestaan om meerdere sites op de toepassingsgateway te beluisteren
      Host type Meerdere/jokertekens Ingesteld op de naam van meerdere of jokertekenwebsites als het type listener is ingesteld op meerdere sites.
      Hostnaam Bijvoorbeeld: app.asabuludemo.com Instellen op een routeerbare domeinnaam voor App Service

      HTTPS listener of the application gateway Routing Rule.

    • U moet een back-endpool en HTTP-instelling configureren in back-enddoelen. De back-endpool is in eerdere stappen geconfigureerd. Selecteer Nieuwe koppeling toevoegen om een HTTP-instelling toe te voegen.

      Screenshot of adding new link to add an H T T P setting.

    • HTTP-instellingen die hieronder worden vermeld:

      Parameter Weergegeven als Beschrijving
      HTTP-instellingsnaam Bijvoorbeeld: https-setting HTTP-instellingsnaam
      Protocol van back-end HTTPS TLS/SSL-versleuteling gebruiken
      Back-endpoort 443 Standaard HTTPS-poort
      Bekende CA-certificaat gebruiken Ja De standaarddomeinnaam van ILB ASE is .appserviceenvironment.net, het certificaat van dit domein wordt uitgegeven door een openbare vertrouwde basisinstantie. In de instelling voor vertrouwd basiscertificaat kunt u instellen dat bekende vertrouwde basiscertificaten voor ca's worden gebruikt.
      Overschrijven met nieuwe hostnaam Ja De hostnaamheader wordt overschreven bij het maken van verbinding met de app op ILB ASE
      Onderdrukking van hostnaam Kies de hostnaam van het back-enddoel Wanneer u een back-endpool instelt op App Service, kunt u de host kiezen uit het back-enddoel
      Aangepaste tests maken Nee Standaardstatustest gebruiken

      Screenshot of **Add an H T T P setting** dialog.

Een integratie van een toepassingsgateway configureren met ILB ASE

Als u toegang wilt krijgen tot ILB ASE vanuit de toepassingsgateway, moet u controleren of een virtuele netwerkkoppeling naar een privé-DNS-zone is. Als er geen virtueel netwerk is gekoppeld aan het VNet van uw toepassingsgateway, voegt u een koppeling voor een virtueel netwerk toe met de volgende stappen.

  • Als u een virtuele netwerkkoppeling met een privé-DNS-zone wilt configureren, gaat u naar het configuratievlak voor de privé-DNS-zone. Selecteer de koppelingen>voor het virtuele netwerk toevoegen

Add a virtual network link to private DNS zone.

  • Voer de naam van de koppeling in en selecteer het betreffende abonnement en het virtuele netwerk waarin de toepassingsgateway zich bevindt.

Screenshot of input link name details to virtual network links setting in private DNS zone.

  • U kunt de status van de back-end bevestigen vanuit de back-endstatus in het toepassingsgatewayvlak.

Screenshot of confirm the backend health status from backend health.

Een openbare DNS-record toevoegen

U moet een juiste DNS-toewijzing configureren wanneer u toegang hebt tot de toepassingsgateway vanaf internet.

  • Het openbare IP-adres van de toepassingsgateway vindt u in Front-end-IP-configuraties in het toepassingsgatewayvlak .

Application gateway frontend IP address can be found in Frontend IP configuration.

  • Gebruik de Azure DNS-service als voorbeeld. U kunt een recordset toevoegen om de domeinnaam van de app toe te wijzen aan het openbare IP-adres van de toepassingsgateway.

Screenshot of adding a record set to map the app domain name to the public IP address of the application gateway.

Verbinding valideren

  • Op een computertoegang vanaf internet kunt u de naamomzetting voor de domeinnaam van de app controleren op het openbare IP-adres van de toepassingsgateway.

validate the name resolution from a command prompt.

  • Test op een computertoegang vanaf internet de webtoegang vanuit een browser.

Screenshot of opening a browser, access to the web.