步驟一: 設定HTTP Request 屬性: 用來限制HTTP 請求的URL及query string長度。

1. 取消勾選 [Allow unlisted verbs]

2. Max URL length: 2048

3. Max query string: 1024 

圖一, IIS request filtering設定

步驟二: 設定Header: 

在Headers中設定 [Content-type] : 100

圖二, 設定headers

步驟三: 設定connectionTimeout, headerWaitTimeout, and minBytesPerSecond等屬性來降低攻擊所帶來的影響。

<configuration>
 <system.applicationHost>
 <webLimits connectionTimeout="00:00:30"
 headerWaitTimeout="00:00:30"
 minBytesPerSecond="250"
 />
 </system.applicationHost>
 </configuration>

步驟四: 設定完成後，請執行iisreset 讓設定生效。

Enjoy!

Azure Network Security Group (以下簡稱NSG) 是用來管理網路進出的Access Control List (ACL)，以下圖為例 - NSG 可以與VM, VNet 建立繫結，可以設定允許/拒絕 inbound/outbound的網路流量。

圖一, What is NSG

步驟一: 建立NSG 

透過 New-AzureNetworkSecurityGroup 建立一個指定名稱及地區的NSG

New-AzureNetworkSecurityGroup -Name "IISNSG" -Location East Asia -Label "NSG for IIS"

步驟二: 將NSG 與VM或VNet 建立繫結

下列範例將以VM與NSG 繫結為例，透過Get-AzureVM 與 Set-AzureNetworkSecurityGroupConfig建立起關聯，執行完成後，你的VM或是VNet 就會受到NSG保護。

Get-AzureVM -ServiceName "yourCloudServerName" -Name "yourVMName" | Set-AzureNetworkSecurityGroupConfig -NetworkSecurityGroupName "IISNSG" | Update-AzureVM

步驟三: 設定NSG Rule

下列範例將建立 [WEB] 名稱的規則，其優先權為100 (數字越小，優先權越高) 拒絕192.168.1.100這個IP Inbound的所有traffic

Get-AzureNetworkSecurityGroup -Name "IISNSG" | Set-AzureNetworkSecurityRule -Name WEB -Type Inbound -Priority 100 -Action Deny -SourceAddressPrefix '192.168.1.100/32' -SourcePortRange '*' -DestinationAddressPrefix '*' -DestinationPortRange '*' -Protocol TCP

步驟四: 確認NSG Rule

列出所有設定過的規則，可以注意Name, Priority, Action, Source Address Prefix, Port Range等資訊是否正確。

Get-AzureNetworkSecurityGroup -name iisnsg -Detailed

圖二, NSG 設定值

Enjoy!

如何管理及安裝IIS modules請參考: IIS modules

圖一, IIS Modules

當遇到自行開發的isapi filter module設定完成後，功能不如預期時，可以從兩個方面來進行問題排除：

1. module 是否有正確載入IIS worker process中?

我們可以透過下列的指令，就可以判斷自行開發的dll是否有載入

tasklist /fi "imagename eq w3wp.exe" /m

圖二, tasklist指令列出載入的module

2. 當確認dll已經載入worker process中，再來就是確認執行順序:

點選[view ordered list]

圖三, module order list

確認你的isapi filter dll是否在內建的isapiFilterModule順序之後，因為isapi filter的功能必須在isapiFilterModule 被載入後，客製化的isapi filter功能才能正常運作。

因此，只需要簡單地調整module的順序後，就可以解決此問題。

圖四, 調整module執行順序

Enjoy!

當網域policy有規定密碼有效日期後，應用程式集區的服務帳號密碼就需要定期進行修改，若忘記修改導致密碼過期，應用程式集區可能會無法啟動(因為預設1740分鐘，應用程式集區會進行回收)，導致佈署在該集區的應用程式會無法執行。

當有數百個服務帳號密碼需要修改時，我們可以使用PowerShell將此作業自動化。

圖一, IIS 應用程式集區

PowerShell Sample

下列範例分為兩段功能，首先先修改AD的網域使用者密碼，接下來再修改 IIS  應用程式集區的識別密碼(identity password)。

而修改 IIS  應用程式集區的識別密碼，又再細分為三個步驟: 停止集區 -> 修改密碼 -> 啟動集區。

Import-Module ActiveDirectory
Import-Module WebAdministration
 
# Set the New password
$newPWD = ConvertTo-SecureString -AsPlainText $newPassword -Force
 
# Reset user password in AD
Set-ADAccountPassword -Identity $samAccountName -NewPassword $newPWD -Reset

$userName = "yourDomainName\$samAccountName"

 
# Change AppPool identity password in IIS
$targetpool = Get-item "IIS:\AppPools\$appPoolName" 

$targetpool.Stop()
 
$targetpool | Set-ItemProperty -Name "processModel.identitytype" -Value 3
$targetpool | Set-ItemProperty -Name "processModel.username" -Value $userName
$targetpool | Set-ItemProperty -Name "processModel.password" -Value $newPassword
 
$targetpool.Start()

Enjoy!

當需要開關機的VM很多，且有先後順序的需求時(例如: 安裝hotfix)，這個範例就可以派上用場。

圖一, Hyper-V管理介面

PowerShell 指令

要達成VM開關機管理所需要的PowerShell有三個，列出VM、執行開機、執行關機，其餘的作業就可以交由ASP.NET 依據業務需求進行調整。

下列範例只需要修改highlight部分即可，其中包含VMM Cluster Name及VM名稱。

# List VM in VMM Cluster
Get-ClusterGroup -Cluster ClusterName | ?{$_.GroupType -eq 'VirtualMachine'}
 
# Start VM
Get-ClusterGroup -Cluster ClusterName -name vmName | Get-ClusterResource | get-vm | Start-VM
 
# Stop VM
Get-ClusterGroup -Cluster ClusterName -name vmName | Get-ClusterResource | get-vm | Stop-VM -force

ASP.NET 範例

1. 專案中需要加入System.Management.Automation的參考。

圖二, 加入System.Management.Automation的參考

2. 先列出VMM cluster中的所有VM。

圖三, ASP.NET列出VM

3. 將需要開機或是關機的VM，移至開關機清單中，並設定其順序及間格時間後，設定完成後，就可以執行對應作業。

圖四, 設定開關機順序

Enjoy!

我挑出兩個最常用的功能: HTTP 轉 HTTPS 及 Reverse Proxy，提供作法給各位參考。

建立 HTTP 轉 HTTPS 規則: 

1. 在需要設定HTTP轉HTTPS的IIS 站台或是虛擬目錄上，選擇URL Rewrite功能。

圖一, IIS URL Rewrite功能

2.  新增Inbound Rule，請參考下圖設定Pattern, Condition 及 Action，簡單的三個設定，就可以將http://aaa.com/bbb 訪問，轉換為https://aaa.com/bbb 

圖二, URL Rewrite Inbound Rule

建立 Reverse Proxy 規則: 

建立Reverse Proxy是為了保護內部的content server，這表示使用者並不會知道內部content server實際的IP, Port等資訊，因此Reverse Proxy的關鍵在於Outbound Rule的設定。

Outbound Rule是用來調整送出給使用者的網頁內容，將與content server有關的內容，置換為Reverse Proxy的內容，由於網頁內容五花八門，提供下列萬用Outbound Rule 希望對各位有幫助。

Note: 請修改對應目錄中的web.config檔案，下列設定以http://aaa.com/bbb 作為範例。

<outboundRules>
		<rule name="RestoreAcceptEncoding" preCondition="NeedsRestoringAcceptEncoding">
                    <match serverVariable="HTTP_ACCEPT_ENCODING" pattern="^(.*)" />
                    <action type="Rewrite" value="{HTTP_X_ORIGINAL_ACCEPT_ENCODING}" />
                </rule>
                <rule name="ReverseProxyOutboundRule1" preCondition="ResponseIsHtml1" stopProcessing="true">
                    <match filterByTags="A, Area, Base, Form, Img, Input, Link, Script" pattern="^http(s)?://InternalContentServerIP/folder/(.*)" />
                    <conditions logicalGrouping="MatchAll" trackAllCaptures="true" />
                    <action type="Rewrite" value="https://aaa.com/bbb/{R:2}" />
                </rule>
                <rule name="RewriteResponseLocation" stopProcessing="true">
                    <match serverVariable="RESPONSE_Location" pattern="^http(s)?://InternalContentServerIP/folder/(.*)" />
                    <conditions logicalGrouping="MatchAll" trackAllCaptures="true" />
                    <action type="Rewrite" value="https://aaa.com/bbb/{R:2}" />
                </rule>
                <rule name="RewriteRelativePath1-1" preCondition="ResponseIsHtml1" enabled="true" stopProcessing="true">
                    <match filterByTags="A, Area, Base, Form, Img, Input, Link, Script" pattern="^/bbb/(.*)" negate="false" />
                    <conditions logicalGrouping="MatchAll" trackAllCaptures="true" />
                    <action type="Rewrite" value="/bbb/{R:1}" />
                </rule>
                <rule name="RewriteRelativePath1-2" preCondition="ResponseIsHtml1" enabled="true" stopProcessing="true">
                    <match filterByTags="A, Area, Base, Form, Frame, Head, IFrame, Img, Input, Link, Script" pattern="^http(s)?://(.*)" negate="false" />
                    <conditions logicalGrouping="MatchAll" trackAllCaptures="true" />
                    <action type="Rewrite" value="{R:0}" />
                </rule>
                <rule name="RewriteRelativePath1-3" preCondition="ResponseIsHtml1" enabled="true" stopProcessing="true">
                    <match filterByTags="A, Area, Base, Form, Frame, Head, IFrame, Img, Input, Link, Script" pattern="^mailto:(.*)" negate="false" />
                    <conditions logicalGrouping="MatchAll" trackAllCaptures="true" />
                    <action type="Rewrite" value="{R:0}" />
                </rule>
                <rule name="RewriteRelativePath1-4" preCondition="ResponseIsHtml1" enabled="true" stopProcessing="true">
                    <match filterByTags="A, Area, Base, Form, Frame, Head, IFrame, Img, Input, Link, Script" pattern="^javascript:(.*)" negate="false" />
                    <conditions logicalGrouping="MatchAll" trackAllCaptures="true" />
                    <action type="Rewrite" value="{R:0}" />
                </rule>
                <rule name="RewriteRelativePath1" preCondition="ResponseIsHtml1" enabled="true" stopProcessing="true">
                    <match filterByTags="A, Area, Base, Form, Frame, Head, IFrame, Img, Input, Link, Script" pattern="^/(.*)" negate="false" />
                    <conditions logicalGrouping="MatchAll" trackAllCaptures="true" />
                    <action type="Rewrite" value="{R:1}" />
                </rule>
                <rule name="RewriteRelativePath2-2" preCondition="ResponseIsHtml1" enabled="true" stopProcessing="true">
                    <match filterByTags="A, Area, Base, Form, Frame, Head, IFrame, Img, Input, Link, Script" pattern="^bbb/(.*)" negate="false" />
                    <conditions logicalGrouping="MatchAny" trackAllCaptures="true" />
                    <action type="Rewrite" value="{R:1}" />
                </rule>
                <rule name="RewriteRelativePath2-1" preCondition="ResponseIsHtml1" enabled="true" stopProcessing="true">
                    <match filterByTags="A, Area, Base, Form, Frame, Head, IFrame, Img, Input, Link, Script" pattern="^(.*)" negate="false" />
                    <conditions logicalGrouping="MatchAny" trackAllCaptures="true">
                        <add input="{REQUEST_URI}" pattern="bbb/" />
                    </conditions>
                    <action type="Rewrite" value="./{R:1}" />
                </rule>
                <rule name="RewriteRelativePath2" preCondition="ResponseIsHtml1" enabled="true" stopProcessing="true">
                    <match filterByTags="A, Area, Base, Form, Frame, Head, IFrame, Img, Input, Link, Script" pattern="^(.*)" negate="false" />
                    <conditions logicalGrouping="MatchAny" trackAllCaptures="true">
                        <add input="{REQUEST_URI}" pattern="bbb/(.*)" />
                    </conditions>
                    <action type="Rewrite" value="/bbb/{R:1}" />
                </rule>
                
                <rule name="RewriteRelativePath3" preCondition="ResponseIsHtml1" enabled="true" stopProcessing="true">
                    <match filterByTags="A, Area, Base, Form, Frame, Head, IFrame, Img, Input, Link, Script" pattern="(.*)" negate="false" />
                    <conditions logicalGrouping="MatchAll" trackAllCaptures="true">
                        <add input="{REQUEST_FILENAME}" pattern="bbb/(.*)" negate="true" />
                    </conditions>
                    <action type="Rewrite" value="/bbb/{R:1}" />
                </rule>
               
                <preConditions>
                    <preCondition name="ResponseIsHtml1" logicalGrouping="MatchAny">
                        <add input="{RESPONSE_CONTENT_TYPE}" pattern="^text/html" />
                        <add input="{RESPONSE_CONTENT_TYPE}" pattern="^text/plain" />
                    </preCondition>
                    <preCondition name="NeedsRestoringAcceptEncoding">
                        <add input="{HTTP_X_ORIGINAL_ACCEPT_ENCODING}" pattern=".+" />
                    </preCondition>
                </preConditions>

</outboundRules>

Enjoy!

以下圖為例，我們可依據Private Memory Size, Request Limit 等條件來觸發應用程式集區進行回收，以保持ASP.NET及其相關應用程式能保持正常運作。

圖一, IIS 應用程式集區回收設定

目前Azure Web Apps 的 Azure App Service Support 也能提供類似功能來維持 Web App 常保健康。

情況一: Max Request

可設定進入的訪問數量及間隔時間。

圖二, 設定Max Request 數量

情況二: Status Code

可設定特定的status code，例如: 500 error code.

圖三, 設定Status Code

情況三: Slow Requests

可設定多少的訪問超過指定的訪問時間。

圖四, 設定Slow Request

情況四: 設定Private Memory

可設定指定記憶體大小，當Web App的記憶體使用量到達此上限，就會執行對應作業。

圖五, 設定Private Memory 

Rule設定完成後，接下來我們就可以設定對應的處理方式，目前支援的作業有三種: Recycle, Log Event 及 Custom Action。 選擇Recycle就如同在IIS Server應用程式集區的設定回收作業相同。

圖六, 設定Rule觸發後對應執行的Action

我特別要提到的功能是Custom Action，此功能可以執行特定exe檔。

以預設功能來說，我們可以收集問題發生時的memory hang dump，因此我們可以收集到可供後續分析的memory dump，以便於順利找出實際問題。

圖七, 設定Custom Action

Enjoy! 

若Azure Web Apps 持續出現特定錯誤，可利用Azure App Service Support 中的Analyze功能快速找到問題點：

使用方式：

先至Azure Portal - Web Apps - Diagnostics Logs - Failed Request Tracing 功能設定為[On]。

圖一, 在Azure Portal中，將Web App的log功能開啟

待問題重現後，訪問 Azure App Service Support site - Analyze - FREB Logs ，就可以找到對應錯誤log。

圖二, Azure App Service Support site中的Analyze功能

在FREB log中可以檢查完整的錯誤訊息內容，可幫助快速釐清問題原因並解決問題。

圖三, FREB log

Enjoy!

使用方式：

訪問 https://yourAzureWebAppName.scm.azurewebsites.net/support

1. 若已經登入Azure Portal，則可以自動登入Azure App Service Support 網站。
2. 若尚未登入Azure Portal，則可以透過https://yourAzureWebAppName.scm.azurewebsites.net/basicauth，進行登入。

圖一, 選擇要進行除錯的Web App

功能一: 效能觀察

目前有提供平均每秒訪問數量(Avg. Requests/sec) 及平均每秒伺服器錯誤 (Avg. Server Errors/sec) 這兩個觀察指標供管理人員進行初步判斷此Web App是否有效能問題。

圖二, Observe 功能提供整體效能觀察

功能二: 問題分析

若Web App 有效能問題，可點選 [Diagnose Now] 進行立即診斷，稍等片刻後即可在下方得到Event log, Memory dump, HTTP log, PHP error log及PHP Process report 等log檔案，這些檔案就可以提供後續問題分析的依據。

圖三, Analyze 提供相關log收集及分析功能

功能三: 問題緩解

若問題在短時間內無法被解決或是想要有個快速解決方案，Mitigate功能提供了快速解藥: 可以針對[Max Request], [Status Code], [Slow Request], [Memory Private Set] 這四種常見問題情況進行設定，

圖四, Mitigate提供常見問題緩解規則設定

後續我會繼續提供Analyze及Mitigate深入應用範例。 Enjoy!