Persyaratan sumber daya jaringan untuk mengintegrasikan atau menyuntikkan sumber daya gateway ruang kerja ke jaringan virtual

BERLAKU UNTUK: Dasar v2 | Standar v2 | Premium | Premium v2

Isolasi jaringan adalah fitur opsional dari sumber daya gateway ruang kerja di API Management. Artikel ini menyediakan persyaratan sumber daya jaringan saat Anda mengintegrasikan atau menyuntikkan gateway Anda di jaringan virtual Azure. Beberapa persyaratan berbeda tergantung pada mode akses masuk dan keluar yang diinginkan. Mode berikut didukung:

  • Integrasi jaringan virtual: akses masuk publik, akses keluar privat
  • Injeksi jaringan virtual: akses masuk privat, akses keluar privat

Untuk latar belakang tentang opsi jaringan di API Management, lihat Menggunakan jaringan virtual untuk mengamankan lalu lintas masuk atau keluar untuk Azure API Management.

Catatan

  • Konfigurasi jaringan gateway ruang kerja tidak bergantung pada konfigurasi jaringan instans API Management.
  • Saat ini, gateway ruang kerja hanya dapat dikonfigurasi di jaringan virtual saat gateway dibuat. Anda tidak dapat mengubah konfigurasi atau pengaturan jaringan gateway nanti.

Lokasi jaringan

Jaringan virtual harus berada di wilayah dan langganan Azure yang sama dengan instans API Management.

Subnet khusus

  • Subnet yang digunakan untuk integrasi atau injeksi jaringan virtual hanya dapat digunakan oleh gateway ruang kerja tunggal. Anda tidak bisa membagikannya dengan sumber daya Azure lain.

Ukuran subnet

  • Minimal: /27 (32 alamat IP)
  • Maksimum: /24 (256 alamat) - disarankan

Delegasi subnet

Delegasikan subnet seperti yang dijelaskan pada bagian berikut untuk mengaktifkan akses masuk dan keluar yang diinginkan.

Untuk informasi tentang mengonfigurasi delegasi subnet, lihat Menambahkan atau menghapus delegasi subnet.

Untuk integrasi jaringan virtual, delegasikan subnet ke layanan Microsoft.Web/serverFarms.

Cuplikan layar yang menampilkan delegasi subnet ke Microsoft.Web/serverFarms di portal.

Catatan

Penyedia Microsoft.Web sumber daya harus terdaftar dalam langganan sehingga Anda dapat mendelegasikan subnet ke layanan. Untuk langkah-langkah mendaftarkan penyedia sumber daya menggunakan portal, lihat Mendaftarkan penyedia sumber daya.

Untuk informasi selengkapnya tentang mengonfigurasi delegasi subnet, lihat Menambahkan atau menghapus delegasi subnet.

Grup keamanan jaringan

Anda harus mengaitkan grup keamanan jaringan (NSG) dengan subnet. Untuk menyiapkan grup keamanan jaringan, lihat Membuat grup keamanan jaringan.

  • Konfigurasikan aturan dalam tabel berikut untuk mengizinkan akses keluar ke Azure Key Vault, yang merupakan dependensi untuk API Management.
  • Konfigurasikan aturan keluar lainnya yang Anda butuhkan agar gateway mencapai backend API Anda.
  • Konfigurasikan aturan NSG lain untuk memenuhi persyaratan akses jaringan organisasi Anda. Misalnya, gunakan aturan NSG untuk memblokir lalu lintas keluar ke internet dan hanya mengizinkan akses ke sumber daya di jaringan virtual Anda.
Petunjuk Sumber Rentang port sumber Tujuan Rentang port tujuan Protokol Tindakan Tujuan
Ke Luar VirtualNetwork * AzureKeyVault 443 PKT Izinkan Dependensi pada Azure Key Vault

Penting

  • Aturan NSG inbound tidak berlaku saat Anda mengintegrasikan gateway ruang kerja dengan jaringan virtual untuk akses outbound privat. Untuk menegakkan aturan NSG masuk, gunakan injeksi jaringan virtual alih-alih integrasi.
  • Perilaku ini berbeda dengan jaringan di tingkat Premium klasik, di mana aturan NSG masuk ditegakkan baik dalam mode injeksi jaringan virtual eksternal maupun internal. Pelajari lebih lanjut

Pengaturan DNS untuk injeksi jaringan virtual

Untuk injeksi jaringan virtual, Anda perlu mengelola DNS Anda sendiri untuk memungkinkan akses masuk ke gateway workspace Anda.

Meskipun Anda memiliki opsi untuk menggunakan server DNS privat atau kustom, kami sarankan:

  1. Konfigurasikan zona pribadi DNS Azure.
  2. Tautkan zona privat Azure DNS ke jaringan virtual.

Pelajari cara menyiapkan zona privat di Azure DNS.

Catatan

Jika Anda mengonfigurasi resolver DNS privat atau kustom di jaringan virtual yang digunakan untuk injeksi, Anda harus menjamin resolusi nama untuk titik akhir Azure Key Vault (*.vault.azure.net). Sebaiknya konfigurasikan zona DNS privat Azure, yang tidak memerlukan konfigurasi tambahan untuk mengaktifkannya.

Akses melalui nama host bawaan

Saat Anda membuat gateway ruang kerja API Management, Anda menetapkan nama host default untuknya. Anda dapat melihat nama host di portal Azure pada halaman Ikhtisar gateway workspace, beserta alamat IP virtual privatnya. Nama host default menggunakan format <gateway-name>-<random hash>.gateway.<region>-<number>.azure-api.net. Contohnya, team-workspace-123456abcdef.gateway.uksouth-01.azure-api.net.

Catatan

Gateway ruang kerja hanya merespons permintaan ke nama host yang dikonfigurasi pada titik akhirnya, bukan alamat VIP privatnya.

Mengonfigurasi catatan DNS

Buat catatan A di server DNS Anda untuk mengakses ruang kerja dari dalam jaringan virtual Anda. Petakan catatan titik akhir ke alamat VIP privat gateway ruang kerja Anda.

Untuk tujuan pengujian, Anda mungkin memperbarui file host pada komputer virtual di subnet yang terhubung ke jaringan virtual tempat API Management disebarkan. Dengan asumsi alamat IP virtual privat untuk gateway ruang kerja Anda adalah 10.1.0.5, Anda dapat memetakan file host seperti yang ditunjukkan dalam contoh berikut. File pemetaan host berada di %SystemDrive%\drivers\etc\hosts (Windows) atau /etc/hosts (Linux, macOS).

Alamat IP virtual internal Nama host gateway
10.1.0.5 teamworkspace.gateway.westus.azure-api.net

Konten terkait

  • Last updated on