Vereisten voor netwerkresources om een werkruimtegatewayresource te integreren in of te injecteren in een virtueel netwerk

VAN TOEPASSING OP: Basic v2 | Standard v2 | Premium | Premium v2

Netwerkisolatie is een optionele functie van een werkruimtegatewayresource in API Management. Dit artikel bevat vereisten voor netwerkresources wanneer u uw gateway integreert of injecteert in een virtueel Azure-netwerk. Sommige vereisten verschillen, afhankelijk van de gewenste inkomende en uitgaande toegangsmodus. De volgende modi worden ondersteund:

  • Integratie van virtueel netwerk: openbare binnenkomende toegang, privé-uitgaande toegang
  • Virtuele netwerkinjectie: privé-binnenkomende toegang, privé-uitgaande toegang

Zie Een virtueel netwerk gebruiken om inkomend of uitgaand verkeer voor Azure API Management te beveiligen voor achtergrondinformatie over netwerkopties in API Management.

Notitie

  • De netwerkconfiguratie van een werkruimtegateway is onafhankelijk van de netwerkconfiguratie van het API Management-exemplaar.
  • Momenteel kan een werkruimtegateway alleen in een virtueel netwerk worden geconfigureerd bij het maken van de gateway. U kunt de netwerkconfiguratie of -instellingen van de gateway later niet wijzigen.

Netwerklocatie

Het virtuele netwerk moet zich in dezelfde regio en hetzelfde Azure-abonnement bevinden als het API Management-exemplaar.

Afzonderlijk subnet

  • Het subnet dat wordt gebruikt voor integratie van virtuele netwerken of injectie, kan alleen worden gebruikt door één werkruimtegateway. Je kunt het niet delen met een andere Azure-bron.

Subnetgrootte

  • Minimum: /27 (32 adressen)
  • Maximum: /24 (256 adressen) - aanbevolen

Delegatie van subnet

Delegeer het subnet zoals beschreven in de volgende secties om de gewenste inkomende en uitgaande toegang mogelijk te maken.

Zie Een subnetdelegering toevoegen of verwijderen voor meer informatie over het configureren van subnetdelegering.

Voor integratie van virtueel netwerk delegeer je het subnet aan Microsoft. Web/serverFarms-dienst.

Schermopname van subnetdelegering naar Microsoft.Web/serverFarms in de portal.

Notitie

De Microsoft.Web resourceprovider moet zijn geregistreerd in het abonnement, zodat u het subnet kunt delegeren aan de service. Zie Resourceprovider registreren voor stappen voor het registreren van een resourceprovider via de portal.

Zie Een subnetdelegering toevoegen of verwijderen voor meer informatie over het configureren van subnetdelegering.

Netwerkbeveiligingsgroep

Je moet een netwerkbeveiligingsgroep (NSG) koppelen aan het subnet. Om een netwerkbeveiligingsgroep in te stellen, zie Een netwerkbeveiligingsgroep maken.

  • Configureer de regels in de volgende tabel om uitgaande toegang tot Azure Key Vault toe te staan, wat een afhankelijkheid is voor API-beheer.
  • Configureer andere uitgaande regels die u nodig hebt voor de gateway om uw API-back-ends te bereiken.
  • Configureer andere NSG-regels om te voldoen aan de netwerktoegangsvereisten van uw organisatie. Gebruik bijvoorbeeld NSG-regels om uitgaand verkeer naar het internet te blokkeren en alleen toegang te geven tot bronnen in je virtuele netwerk.
Richting Bron Poortbereiken van bron Doel Poortbereiken van bestemming protocol Handeling Doel
Vertrekkend VirtualNetwork * AzureKeyVault 443 TCP Toestaan Afhankelijkheid van Azure Key Vault

Belangrijk

  • Inkomende NSG-regels zijn niet van toepassing wanneer je een workspace-gateway integreert in een virtueel netwerk voor privé uitgaande toegang. Als u binnenkomende NSG-regels wilt afdwingen, gebruikt u virtuele netwerkinjectie in plaats van integratie.
  • Dit gedrag verschilt van het netwerkgedrag in de klassieke Premium-tier, waar inkomende NSG-regels worden afgedwongen in zowel modi voor externe als interne injectie in een virtueel netwerk. Meer informatie

DNS-instellingen voor virtuele netwerkinjectie

Voor virtuele netwerkinjectie moet je je eigen DNS beheren om inkomende toegang tot je werkruimtegateway mogelijk te maken.

Hoewel u de mogelijkheid hebt om een privé- of aangepaste DNS-server te gebruiken, raden we u aan:

  1. Configureer een privézone van Azure DNS.
  2. Koppel de privézone van Azure DNS aan het virtuele netwerk.

Meer informatie over het instellen van een privézone in Azure DNS.

Notitie

Als u een privé- of aangepaste DNS-resolver configureert in het virtuele netwerk dat wordt gebruikt voor injectie, moet u de naamomzetting voor Azure Key Vault-eindpunten (*.vault.azure.net) controleren. U wordt aangeraden een privé-DNS-zone van Azure te configureren. Hiervoor is geen aanvullende configuratie vereist om deze in te schakelen.

Toegang op standaardhostnaam

Wanneer je een API Management workspace gateway aanmaakt, ken je deze een standaard hostnaam toe. Je kunt de hostnaam zien in het Azure-portaal op de Overzichtspagina van de gateway van de werkruimte, samen met het privé virtuele IP-adres. De standaard hostnaam gebruikt het formaat <gateway-name>-<random hash>.gateway.<region>-<number>.azure-api.net. Bijvoorbeeld: team-workspace-123456abcdef.gateway.uksouth-01.azure-api.net.

Notitie

De gateway voor de werkruimte reageert alleen op verzoeken voor de hostnaam die voor het eindpunt is geconfigureerd, niet op het privé-VIP-adres.

DNS-record configureren

Maak een A-record op uw DNS-server voor toegang tot de werkruimte vanuit uw virtuele netwerk. Wijs de eindpuntrecord toe aan het privé-VIP-adres van de gateway van uw werkruimte.

Voor testdoeleinden kunt u het hosts-bestand bijwerken op een virtuele machine in een subnet dat is verbonden met het virtuele netwerk waarin API Management wordt geïmplementeerd. Als het privé-virtuele IP-adres voor de gateway van uw werkruimte 10.1.0.5 is, kunt u het hosts-bestand configureren zoals in het volgende voorbeeld. Het toewijzingsbestand voor hosts bevindt zich in %SystemDrive%\drivers\etc\hosts (Windows) of /etc/hosts (Linux, macOS).

Intern virtueel IP-adres Hostnaam van gateway
10.1.0.5 teamworkspace.gateway.westus.azure-api.net

Gerelateerde inhoud

  • Last updated on