Anslut till ett virtuellt nätverk med Azure API Management

Azure API Management kan distribueras i ett virtuellt Azure-nätverk (VNET) för att få åtkomst till servertjänster i nätverket. Alternativ, krav och överväganden för VNET-anslutningar finns i Använda ett virtuellt nätverk med Azure API Management.

Den här artikeln förklarar hur du ställer in VNET-anslutning för din API Management-instans i externt läge, där utvecklarportalen, API-gatewayen och andra API Management-slutpunkter är tillgängliga från det offentliga Internet. Konfigurationer som är specifika för det interna läget, där slutpunkterna endast är tillgängliga inom det virtuella nätverket, finns i Anslut till ett internt virtuellt nätverk med Hjälp av Azure API Management.

Tillgänglighet

Förutsättningar

Vissa förutsättningar varierar beroende på vilken version ( eller stv2 stv1 ) av beräkningsplattformen som är värd för din API Management instans.

Aktivera VNET-anslutning

Aktivera VNET-anslutning med Azure Portal ( stv2 beräkningsplattform)

1. Gå till Azure Portal för att hitta API Management-instansen. Sök efter och välj API Management tjänster.

2. Välj din API Management instans.

3. Välj Virtuellt nätverk.

4. Välj extern åtkomsttyp.

5. I listan över platser (regioner) där API Management tjänst har etablerats:

   1. Välj en plats.
   2. Välj Virtuellt nätverk, Undernät och IP-adress.

   • Listan över virtuella nätverk fylls i med Resource Manager virtuella nätverk som är tillgängliga i dina Azure-prenumerationer, konfigurerade i den region som du konfigurerar.

     

6. Välj Använd. Sidan Virtuellt nätverk för din API Management instans uppdateras med dina nya alternativ för virtuellt nätverk och undernät.

7. Fortsätt att konfigurera VNET-inställningar för de återstående platserna för API Management instansen.

8. I det övre navigeringsfältet väljer du Spara och sedan Använd nätverkskonfiguration.

   Det kan ta 15 till 45 minuter att uppdatera API Management instansen.

Aktivera anslutning med en Resource Manager mall

Använd följande mallar för att distribuera en API Management-instans och ansluta till ett VNET. Mallarna varierar beroende på vilken version ( stv2 eller stv1 ) av beräkningsplattformen som är värd för din API Management instans.

Anslut till en webbtjänst som finns i ett virtuellt nätverk

När du har anslutit din API Management till det virtuella nätverket kan du komma åt backend-tjänster i det precis som du gör med offentliga tjänster. När du skapar eller redigerar ett API anger du den lokala IP-adressen eller värdnamnet (om en DNS-server har konfigurerats för det virtuella nätverket) för webbtjänsten i fältet Webbtjänst-URL.

Vanliga problem med nätverkskonfiguration

Läs följande avsnitt om du vill ha fler nätverkskonfigurationsinställningar.

De här inställningarna tar upp vanliga problem med felkonfiguration som kan uppstå när du API Management till en tjänst i ett VNET.

Anpassad DNS-serverkonfiguration

I externt VNET-läge hanterar Azure DNS som standard. Du kan också konfigurera en anpassad DNS-server. Tjänsten API Management är beroende av flera Azure-tjänster. När API Management värd i ett VNET med en anpassad DNS-server måste den matcha värdnamnen för dessa Azure-tjänster.

• Vägledning om anpassad DNS-konfiguration, inklusive vidarebefordran för värdnamn som tillhandahålls av Azure, finns i Namnmatchning för resurser i virtuella Azure-nätverk.
• Mer information finns i nödvändiga portar och nätverkskrav.

Portar som krävs

Du kan styra inkommande och utgående trafik till undernätet där API Management distribueras med hjälp av regler för nätverkssäkerhetsgrupp. Om vissa portar inte är tillgängliga API Management kanske inte fungerar korrekt och kan bli otillgängliga.

När en API Management-tjänstinstans finns i ett VNET används portarna i följande tabell. Vissa krav varierar beroende på vilken version ( stv2 eller stv1 ) av beräkningsplattformen som är värd för din API Management instans.

TLS-funktioner

För att TLS/SSL-certifikatkedjan ska kunna byggas och API Management behöver tjänsten utgående nätverksanslutning till ocsp.msocsp.com mscrl.microsoft.com , och crl.microsoft.com . Det här beroendet krävs inte om något certifikat som du överför till API Management innehåller den fullständiga kedjan till CA-roten.

DNS-åtkomst

Utgående åtkomst på port 53 krävs för kommunikation med DNS-servrar. Om det finns en anpassad DNS-server i den andra änden av en VPN-gateway måste DNS-servern kunna nås från det undernät som är API Management.

Mått och hälsoövervakning

Utgående nätverksanslutning till Azure Monitoring-slutpunkter, som matchas under följande domäner, visas under tjänsttaggen AzureMonitor för användning med nätverkssäkerhetsgrupper.

Regionala tjänsttaggar

NSG-regler som tillåter utgående anslutning till Storage-, SQL- och Event Hubs-tjänsttaggar kan använda de regionala versionerna av de taggar som motsvarar den region som innehåller API Management-instansen (till exempel Storage. USA, västra för API Management instans i regionen USA, västra). I distributioner i flera regioner bör NSG:n i varje region tillåta trafik till tjänsttaggarna för den regionen och den primära regionen.

SMTP-relä

Tillåt utgående nätverksanslutning för SMTP-reläet, som matchas under värden smtpi-co1.msn.com smtpi-ch1.msn.com , , , smtpi-db3.msn.com smtpi-sin.msn.com och ies.global.microsoft.com

CAPTCHA för utvecklarportalen

Tillåt utgående nätverksanslutning för utvecklarportalens CAPTCHA, som matchas under värdarna client.hip.live.com och partner.hip.live.com .

Azure Portal diagnostik

När du använder API Management-tillägget inifrån ett VNET krävs utgående åtkomst till på för att aktivera flödet av dc.services.visualstudio.com port 443 diagnostikloggar från Azure Portal. Den här åtkomsten hjälper till vid felsökning av problem som kan hända när du använder tillägget.

Azure-lastbalanserare

Du behöver inte tillåta inkommande begäranden från tjänsttaggen för SKU:n eftersom endast en AZURE_LOAD_BALANCER Developer beräkningsenhet distribueras bakom den. Men inkommande från blir kritiskt vid skalning till en högre SKU, till exempel , eftersom fel i hälsoavsökningen från lastbalanserare blockerar all inkommande åtkomst till kontrollplanet och AZURE_LOAD_BALANCER Premium dataplanet.

Application Insights

Om du har aktiverat Azure Application Insights på API Management tillåter du utgående anslutning till telemetrislutpunkten från det virtuella nätverket.

KMS slutpunkt

När du lägger till virtuella datorer Windows till det virtuella nätverket ska du tillåta utgående anslutning på port 1688 till KMS i molnet. Den här konfigurationen dirigerar Windows vm-trafik till Azure Key Management Services-servern (KMS) för att slutföra Windows aktivering.

Tvinga tunneltrafik till en lokal brandvägg med ExpressRoute eller virtuell nätverksinstallation

Vanligtvis konfigurerar och definierar du din egen standardväg (0.0.0.0/0), vilket tvingar all trafik från det API Management-delegerade undernätet att flöda genom en lokal brandvägg eller till en virtuell nätverksinstallation. Det här trafikflödet bryter anslutningen till Azure API Management eftersom utgående trafik antingen blockeras lokalt eller nat till en oigenkännlig uppsättning adresser som inte längre fungerar med olika Azure-slutpunkter. Du kan lösa det här problemet på ett par olika sätt:

• Aktivera tjänstslutpunkter i undernätet där API Management distribueras för:

  • Azure SQL
  • Azure Storage
  • Azure Event Hub
  • Azure Key Vault (v2-plattform)

  Genom att aktivera slutpunkter direkt från API Management-undernät till dessa tjänster kan du använda Microsoft Azure stamnätverk, vilket ger optimal routning för tjänsttrafik. Om du använder tjänstslutpunkter med tvingad tunnlad API Management så är inte ovanstående Azure-tjänsttrafik tvingad tunneltrafik. Den andra API Management-tjänstberoende trafiken är tvingad tunneltrafik och kan inte gå förlorad. Om den förloras skulle API Management inte fungera korrekt.

• All kontrollplanstrafik från Internet till hanteringsslutpunkten för din API Management-tjänst dirigeras via en specifik uppsättning inkommande IP-adresser som API Management. När trafiken tvingad tunneltrafik mappas svaren inte symmetriskt tillbaka till dessa inkommande käll-IP-adresser. Du kan lösa begränsningen genom att ange målet för följande användardefinierade vägar(UDR)till "Internet" för att styra trafiken tillbaka till Azure. Hitta uppsättningen inkommande IP-adresser för kontrollplanstrafik som dokumenteras i IP-adresser för kontrollplanet.

• För andra tvingad tunneltrafik API Management tjänstberoenden matchar du värdnamnet och når slutpunkten. Dessa omfattar:

  • Mått och hälsoövervakning
  • Azure Portal diagnostik
  • SMTP-relä
  • CAPTCHA för utvecklarportalen
  • Azure KMS server

Routning

• En belastningsutjämnad offentlig IP-adress (VIP) är reserverad för att ge åtkomst till alla tjänstslutpunkter och resurser utanför det virtuella nätverket.
  • Belastningsutjämnade offentliga IP-adresser finns på bladet Översikt/Essentials i Azure Portal.
• En IP-adress från ett undernäts IP-intervall (DIP) används för att komma åt resurser i det virtuella nätverket.

IP-adresser för kontrollplanet

Följande IP-adresser divideras med Azure Environment. När inkommande begäranden tillåts måste IP-adresser som är markerade med Global tillåtas, tillsammans med regionspecifik IP-adress. I vissa fall visas två IP-adresser. Tillåt båda IP-adresserna.

Felsökning

• Misslyckad inledande API Management till ett undernät

  • Distribuera en virtuell dator till samma undernät.
  • Anslut till den virtuella datorn och verifiera anslutningen till någon av följande resurser i din Azure-prenumeration:
    • Azure Storage blob
    • Azure SQL Database
    • Azure Storage tabell
    • Azure Key Vault (för en API Management-instans som finns på stv2 plattformen)

  Viktigt

  När du har verifierat anslutningen tar du bort alla resurser i undernätet innan du distribuerar API Management till undernätet (krävs när API Management finns på stv1 plattformen).

• Verifiera nätverksanslutningsstatus

  • När du API Management till undernätet kan du använda portalen för att kontrollera anslutningen för din instans till beroenden, till exempel Azure Storage.
  • I portalen går du till menyn till vänster under Distribution och infrastruktur och väljer Status för nätverksanslutning.

  

  Filtrera	Beskrivning
  Krävs	Välj om du vill granska azure-tjänstanslutningen som krävs för API Management. Felet anger att instansen inte kan utföra kärnåtgärder för att hantera API:er.
  Valfritt	Välj för att granska de valfria tjänsternas anslutning. Felet anger bara att den specifika funktionen inte fungerar (till exempel SMTP). Haveri kan leda till försämring i användningen och övervakningen API Management instansen och tillhandahåller det indelat serviceavtalet.

  Du kan åtgärda anslutningsproblem genom att granska inställningarna för nätverkskonfigurationen och åtgärda nödvändiga nätverksinställningar.

• Inkrementella uppdateringar
  När du gör ändringar i nätverket kan du gå till NetworkStatus-API:et för att API Management att tjänsten inte har förlorat åtkomst till kritiska resurser. Anslutningsstatusen bör uppdateras var 15:e minut.

• Navigeringslänkar för resurser
  En APIM-instans som finns på beräkningsplattformen stv1 ochsom distribueras till ett Resource Manager VNET-undernät reserverar undernätet genom att skapa en resursnavigeringslänk. Om undernätet redan innehåller en resurs från en annan provider misslyckas distributionen. När du tar bort en API Management-tjänst eller flyttar den till ett annat undernät tas även resursnavigeringslänken bort.

Nästa steg

Läs mer om:

• Ansluta ett virtuellt nätverk till en server med hjälp av VPN Gateway
• Ansluta ett virtuellt nätverk från olika distributionsmodeller
• Felsöka API:er med hjälp av spårning av förfrågningar
• Virtual Network vanliga frågor och svar
• Tjänsttaggar