Oktatóanyag: Application Gateway konfigurálása TLS-leállítással a Azure Portal használatával

A Azure Portal használatával konfigurálhat egy olyan TLS-lezáráshoz szükséges tanúsítvánnyal rendelkező Application Gatewayt, amely virtuális gépeket használ a háttérkiszolgálókhoz.

Eben az oktatóanyagban az alábbiakkal fog megismerkedni:

  • Önaláírt tanúsítvány létrehozása
  • Alkalmazásátjáró létrehozása a tanúsítvánnyal
  • Háttérkiszolgálóként használt virtuális gépek létrehozása
  • Az alkalmazásátjáró tesztelése

Ha még nincs Azure-előfizetése, kezdés előtt hozzon létre egy ingyenes fiókot.

Megjegyzés

Az Azure-ral való kommunikációhoz az Azure Az PowerShell-modul használata ajánlott. Első lépésekért tekintse meg a Telepítés Azure PowerShell című témakört. Az Az PowerShell-modulra történő migrálás részleteiről lásd: Az Azure PowerShell migrálása az AzureRM modulból az Az modulba.

Előfeltételek

  • Azure-előfizetés

Önaláírt tanúsítvány létrehozása

Ebben a szakaszban a New-SelfSignedCertificate használatával hozhat létre önaláírt tanúsítványt. A tanúsítványt az application gateway figyelőjének létrehozásakor tölti fel a Azure Portal.

A helyi számítógépen nyisson meg egy Windows PowerShell ablakot rendszergazdaként. Futtassa a következő parancsot a tanúsítvány létrehozásához:

New-SelfSignedCertificate `
  -certstorelocation cert:\localmachine\my `
  -dnsname www.contoso.com

Ehhez hasonló választ kell látnia:

PSParentPath: Microsoft.PowerShell.Security\Certificate::LocalMachine\my

Thumbprint                                Subject
----------                                -------
E1E81C23B3AD33F9B4D1717B20AB65DBB91AC630  CN=www.contoso.com

Használja az Export-PfxCertificate parancsot a visszaadott ujjlenyomattal a pfx-fájl tanúsítványból való exportálásához. Győződjön meg arról, hogy a jelszó 4–12 karakter hosszú:

$pwd = ConvertTo-SecureString -String <your password> -Force -AsPlainText
Export-PfxCertificate `
  -cert cert:\localMachine\my\E1E81C23B3AD33F9B4D1717B20AB65DBB91AC630 `
  -FilePath c:\appgwcert.pfx `
  -Password $pwd

Bejelentkezés az Azure-ba

Jelentkezzen be az Azure Portalra.

Application Gateway létrehozása

  1. A Azure Portal menüben válassza az + Erőforrás-hálózat>> létrehozása Application Gateway lehetőséget, vagy keressen Application Gateway a portál keresőmezőjében.

  2. Válassza a Létrehozás lehetőséget.

Alapismeretek lap

  1. Az Alapok lapon adja meg vagy jelölje ki az alábbi értékeket:

    • Erőforráscsoport: Válassza ki az erőforráscsoport myResourceGroupAG elemét. Ha nem létezik, a létrehozáshoz válassza az Új létrehozása lehetőséget.

    • Application Gateway neve: Adja meg a myAppGateway nevet az Application Gateway számára.

      Új Application Gateway létrehozása: Alapok

  2. Ahhoz, hogy az Azure kommunikálhasson a létrehozott erőforrások között, virtuális hálózatra van szüksége. Létrehozhat egy új virtuális hálózatot, vagy használhat egy meglévőt. Ebben a példában egy új virtuális hálózatot fog létrehozni az Application Gateway létrehozásával egyidejűleg. Application Gateway példányok külön alhálózatokban jönnek létre. Ebben a példában két alhálózatot hoz létre: egyet az Application Gatewayhez, a másikat pedig a háttérkiszolgálókhoz.

    A Virtuális hálózat konfigurálása területen hozzon létre egy új virtuális hálózatot az Új létrehozása lehetőség kiválasztásával. A megnyíló Virtuális hálózat létrehozása ablakban adja meg a következő értékeket a virtuális hálózat és két alhálózat létrehozásához:

    • Név: Adja meg a myVNet nevet a virtuális hálózat számára.

    • Alhálózat neve (Application Gateway alhálózat): Az Alhálózatok rács egy Alapértelmezett nevű alhálózatot jelenít meg. Módosítsa az alhálózat nevét a myAGSubnet névre.
      Az Application Gateway alhálózata csak alkalmazásátjárókat tartalmazhat. Más erőforrások nem engedélyezettek.

    • Alhálózat neve (háttérkiszolgáló alhálózata): Az Alhálózatok rács második sorába írja be a myBackendSubnet nevet az Alhálózat neve oszlopba.

    • Címtartomány (háttérkiszolgáló-alhálózat): Az alhálózatok rácsának második sorában adjon meg egy olyan címtartományt, amely nincs átfedésben a myAGSubnet címtartományával. Ha például a myAGSubnet címtartománya 10.0.0.0/24, adja meg a 10.0.1.0/24 értéket a myBackendSubnet címtartományához.

    Az OK gombra kattintva zárja be a Virtuális hálózat létrehozása ablakot, és mentse a virtuális hálózati beállításokat.

    Új Application Gateway létrehozása: virtuális hálózat

  3. Az Alapbeállítások lapon fogadja el a többi beállítás alapértelmezett értékeit, majd válassza a Tovább: Előtér lehetőséget.

Előtér lap

  1. Az Előtér lapon ellenőrizze, hogy az előtérbeli IP-cím típusaNyilvános értékre van-e állítva.
    Az előtérbeli IP-címet konfigurálhatja úgy, hogy a használati esetnek megfelelően nyilvános vagy privát legyen. Ebben a példában egy nyilvános előtérbeli IP-címet fog választani.

    Megjegyzés

    A Application Gateway v2 termékváltozat esetében csak a nyilvános előtérbeli IP-konfigurációt választhatja. A privát előtérbeli IP-konfiguráció jelenleg nincs engedélyezve ehhez a v2-s termékváltozathoz.

  2. Válassza az Add new for the Public IP address (Új hozzáadása a nyilvános IP-címhez ) lehetőséget, és adja meg a myAGPublicIPAddress nevet a nyilvános IP-cím nevének, majd kattintson az OK gombra.

    Új Application Gateway létrehozása: előtérrendszerek

  3. Válassza a Tovább: Háttérrendszer lehetőséget.

Háttérrendszer lap

A háttérkészlet a kéréseket a kérést kiszolgáló háttérkiszolgálókra irányítja. A háttérkészletek lehetnek hálózati adapterek, virtuálisgép-méretezési csoportok, nyilvános IP-címek, belső IP-címek, teljes tartománynevek (FQDN) és több-bérlős háttérrendszerek, például Azure App Service. Ebben a példában egy üres háttérkészletet fog létrehozni az Application Gateway használatával, majd háttérbeli célokat ad hozzá a háttérkészlethez.

  1. A Háttérkészletek lapon válassza a Háttérkészlet hozzáadása lehetőséget.

  2. A megnyíló háttérkészlet hozzáadása ablakban adja meg a következő értékeket egy üres háttérkészlet létrehozásához:

    • Név: Írja be a myBackendPool nevet a háttérkészlet nevére.
    • Háttérkészlet hozzáadása célok nélkül: Válassza az Igen lehetőséget egy példányok nélküli háttérkészlet létrehozásához. Az Application Gateway létrehozása után háttérbeli célokat fog hozzáadni.
  3. A Háttérkészlet hozzáadása ablakban válassza a Hozzáadás lehetőséget a háttérkészlet konfigurációjának mentéséhez, és térjen vissza a Háttérkészlet lapra .

    Új Application Gateway létrehozása: háttérrendszer

  4. A Háttérrendszer lapon válassza a Tovább: Konfiguráció lehetőséget.

Konfiguráció lap

A Konfiguráció lapon csatlakoztatni fogja az útválasztási szabály használatával létrehozott előtér- és háttérkészletet.

  1. Az Útválasztási szabályok oszlopban válassza az Útválasztási szabály hozzáadása lehetőséget.

  2. A megnyíló Útválasztási szabály hozzáadása ablakban adja meg a myRoutingRulenevet a szabálynévhez.

  3. Az útválasztási szabályhoz figyelő szükséges. Az Útválasztási szabály hozzáadása ablak Figyelő lapján adja meg a következő értékeket a figyelőhöz:

    • Figyelő neve: Adja meg a myListener nevet a figyelőnek.
    • Előtérbeli IP-cím: Válassza a Nyilvános lehetőséget az előtérben létrehozott nyilvános IP-cím kiválasztásához.
    • Protokoll: Válassza a HTTPS lehetőséget.
    • Port: Ellenőrizze, hogy a 443-at adta-e meg a porthoz.

    A HTTPS-beállítások területen:

    • Tanúsítvány kiválasztása – Válassza a Tanúsítvány feltöltése lehetőséget.

    • PFX-tanúsítványfájl – Keresse meg és válassza ki a korábban létrehozott c:\appgwcert.pfx fájlt.

    • Tanúsítvány neve – Írja be a mycert1 nevet a tanúsítvány nevére.

    • Jelszó – Írja be a tanúsítvány létrehozásához használt jelszót.

      Fogadja el a Figyelő lap többi beállításának alapértelmezett értékeit, majd válassza a Háttérpéldányok lapot az útválasztási szabály többi részének konfigurálásához.

    Új Application Gateway létrehozása: figyelő

  4. A Háttérpéldányok lapon válassza a háttérbeli cél myBackendPoolelemét.

  5. A HTTP-beállításnál válassza az Új hozzáadása lehetőséget egy új HTTP-beállítás létrehozásához. A HTTP-beállítás határozza meg az útválasztási szabály viselkedését. A megnyíló HTTP-beállítás hozzáadása ablakban adja meg a HTTP-beállításnévhez tartozó HTTP-beállításokat. Fogadja el a HTTP-beállítás hozzáadása ablakban a többi beállítás alapértelmezett értékeit, majd válassza a Hozzáadás lehetőséget, hogy visszatérjen az Útválasztási szabály hozzáadása ablakhoz.

    Képernyőkép a H T T P beállítás hozzáadásáról az Új Application Gateway létrehozása konfigurációs lapján

  6. Az Útválasztási szabály hozzáadása ablakban válassza a Hozzáadás lehetőséget az útválasztási szabály mentéséhez és a Konfiguráció lapra való visszatéréshez.

    Új Application Gateway létrehozása: útválasztási szabály

  7. Válassza a Tovább: Címkék , majd a Tovább: Áttekintés + létrehozás lehetőséget.

Véleményezés + létrehozás lap

Tekintse át a Beállításokat a Felülvizsgálat + létrehozás lapon, majd válassza a Létrehozás lehetőséget a virtuális hálózat, a nyilvános IP-cím és az Application Gateway létrehozásához. Az Application Gateway létrehozása több percet is igénybe vehet. Várja meg, amíg az üzembe helyezés sikeresen befejeződik, mielőtt továbblépne a következő szakaszra.

Háttérbeli célok hozzáadása

Ebben a példában virtuális gépeket fog használni cél háttérrendszerként. Használhat meglévő virtuális gépeket, vagy létrehozhat újakat. Két virtuális gépet fog létrehozni, amelyeket az Azure háttérkiszolgálóként használ az Application Gatewayhez.

Ehhez a következő műveleteket kell elvégeznie:

  1. Hozzon létre két új virtuális gépet, a myVM-et és a myVM2-t háttérkiszolgálóként.
  2. Telepítse az IIS-t a virtuális gépekre annak ellenőrzéséhez, hogy az Application Gateway sikeresen létrejött-e.
  3. Adja hozzá a háttérkiszolgálót a háttérkészlethez.

Virtuális gép létrehozása

  1. A Azure Portal menüben válassza az + Erőforrás-számítás>>létrehozása Windows Server 2016 Adatközpont lehetőséget, vagy keresse meg a Windows Servert a portál keresőmezőjében, és válassza Windows Server 2016 Datacenter lehetőséget.

  2. Válassza a Létrehozás lehetőséget.

    Application Gateway bármilyen típusú virtuális gépre irányíthatja a forgalmat, amelyet a háttérkészletben használ. Ebben a példában egy Windows Server 2016 Datacentert használ.

  3. Adja meg ezeket az értékeket az Alapok lapon a következő virtuálisgép-beállításokhoz:

    • Erőforráscsoport: Válassza ki a myResourceGroupAG nevet az erőforráscsoport neveként.
    • Virtuális gép neve: Adja meg a myVM nevet a virtuális gép neveként.
    • Felhasználónév: Adja meg a rendszergazda felhasználónevét.
    • Jelszó: Adja meg a rendszergazdai fiók jelszavát.
  4. Fogadja el a többi alapértelmezett beállítást, majd válassza a Tovább: Lemezek lehetőséget.

  5. Fogadja el a Lemezek lap alapértelmezett értékét, majd válassza a Tovább: Hálózatkezelés lehetőséget.

  6. A Hálózat lapon ellenőrizze, hogy a myVNet van-e kiválasztva a virtuális hálózathoz , és hogy az alhálózatmyBackendSubnet értékre van-e állítva. Fogadja el a többi alapértelmezett beállítást, majd válassza a Tovább: Kezelés lehetőséget.

    Application Gateway kommunikálhat azon a virtuális hálózaton kívüli példányokkal, amelyekben az található, de gondoskodnia kell az IP-kapcsolatról.

  7. A Kezelés lapon állítsa a Rendszerindítási diagnosztikátLetiltás értékre. Fogadja el a többi alapértelmezett beállítást, majd válassza az Áttekintés + létrehozás lehetőséget.

  8. A Felülvizsgálat + létrehozás lapon tekintse át a beállításokat, javítsa ki az érvényesítési hibákat, majd válassza a Létrehozás lehetőséget.

  9. Folytatás előtt várja meg, amíg az üzembe helyezési folyamat befejeződik.

Az IIS telepítése teszteléshez

Ebben a példában az IIS-t csak a virtuális gépekre telepíti annak ellenőrzéséhez, hogy az Azure sikeresen létrehozta-e az Application Gatewayt.

  1. Nyissa meg Azure PowerShell. Ehhez válassza ki Cloud Shell a Azure Portal felső navigációs sávjáról, majd válassza a PowerShellt a legördülő listából.

    Egyéni bővítmény telepítése

  2. Módosítsa a környezet helybeállítását, majd futtassa a következő parancsot az IIS virtuális gépen való telepítéséhez:

           Set-AzVMExtension `
             -ResourceGroupName myResourceGroupAG `
             -ExtensionName IIS `
             -VMName myVM `
             -Publisher Microsoft.Compute `
             -ExtensionType CustomScriptExtension `
             -TypeHandlerVersion 1.4 `
             -SettingString '{"commandToExecute":"powershell Add-WindowsFeature Web-Server; powershell Add-Content -Path \"C:\\inetpub\\wwwroot\\Default.htm\" -Value $($env:computername)"}' `
             -Location <location>
    
  3. Hozzon létre egy második virtuális gépet, és telepítse az IIS-t a korábban végrehajtott lépésekkel. Használja a myVM2-t a virtuális gép nevének és a Set-AzVMExtension parancsmag VMName beállításának.

Háttérkiszolgálók hozzáadása a háttérkészlethez

  1. Válassza az Összes erőforrás lehetőséget, majd a myAppGateway lehetőséget.

  2. Válassza ki a háttérkészleteket a bal oldali menüből.

  3. Válassza a myBackendPool elemet.

  4. A Cél típusa területen válassza a Virtuális gép lehetőséget a legördülő listából.

  5. A Cél területen válassza ki a myVM alatti hálózati adaptert a legördülő listából.

  6. Ismételje meg a műveletet a myVM2 hálózati adapterének hozzáadásához.

    Háttérkiszolgálók hozzáadása

  7. Válassza a Mentés lehetőséget.

  8. Várja meg, amíg az üzembe helyezés befejeződik, mielőtt továbblép a következő lépésre.

Az alkalmazásátjáró tesztelése

  1. Válassza az Összes erőforrás lehetőséget, majd a myAGPublicIPAddress lehetőséget.

    Alkalmazásátjáró nyilvános IP-címének rögzítése

  2. A böngésző címsorában írja be https://< a application gateway IP-címét>.

    Ha önaláírt tanúsítvány használata esetén el szeretné fogadni a biztonsági figyelmeztetést, válassza a Részletek (vagy Speciális a Chrome-ban) lehetőséget, majd lépjen a weblapra:

    Biztonsági figyelmeztetés

    Ekkor a biztonságos IIS-webhely a következő példához hasonlóan jelenik meg:

    Az alap URL-cím tesztelése az alkalmazásátjáróban

Az erőforrások eltávolítása

Ha már nincs rá szükség, törölje az erőforráscsoportot és az összes kapcsolódó erőforrást. Ehhez jelölje ki az erőforráscsoportot, és válassza az Erőforráscsoport törlése lehetőséget.

További lépések

Az oktatóanyag során az alábbi lépéseket fogja végrehajtani:

  • Önaláírt tanúsítvány létrehozása
  • Létrehozott egy Alkalmazásátjárót a tanúsítvánnyal

Az Application Gateway TLS-támogatással kapcsolatos további információkért tekintse meg a TLS-t Application Gateway és Application Gateway TLS-szabályzattal.

Ha meg szeretné tudni, hogyan hozhat létre és konfigurálhat Application Gateway több webhely üzemeltetésére a Azure Portal használatával, folytassa a következő oktatóanyagtal.