Поделиться через

IP-адреса в службе "Управление API Azure"

ПРИМЕНЯЕТСЯ КО ВСЕМ уровням управления API

В этой статье описывается, как получить IP-адреса службы управления API Azure. IP-адреса могут быть общедоступными или частными, если служба находится в виртуальной сети. Вы можете использовать IP-адреса для создания правил брандмауэра, фильтрации входящего трафика в серверные службы или ограничения исходящего трафика.

Общедоступные IP-адреса

Каждый экземпляр управления API в уровне "Разработчик", "Базовый", "Стандартный" или "Премиум" имеет общедоступные IP-адреса, которые являются эксклюзивными только для этого экземпляра. (Они не совместно используются другими ресурсами.)

Вы можете получить IP-адреса на панели мониторинга обзора ресурса на портале Azure:

Снимок экрана: IP-адрес в службе

Вы также можете получить их программным способом с помощью этого вызова API:

GET https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.ApiManagement/service/<service-name>?api-version=<api-version>

Общедоступные IP-адреса будут отображаться в ответе:

{
  ...
  "properties": {
    ...
    "publicIPAddresses": [
      "172.31.0.1"
    ],
    ...
  }
  ...
}

В многорегионарных развертываниях каждое региональное развертывание имеет один общедоступный IP-адрес.

IP-адреса управления API в виртуальной сети

Если экземпляр управления API находится в виртуальной сети, он имеет два типа IP-адресов: общедоступные и частные.

  • Общедоступные IP-адреса используются для внутреннего обмена данными через порт 3443для управления конфигурацией (например, с помощью Azure Resource Manager). В конфигурации внешней виртуальной сети они также используются для трафика API среды выполнения. В конфигурации внутренней виртуальной сети общедоступные IP-адреса используются только для внутренних операций управления Azure и не предоставляют экземпляр в Интернете.

  • Частные виртуальные IP-адреса (VIP), доступные только в режиме внутренней виртуальной сети, используются для подключения из сети к конечным точкам управления API: шлюзы, портал разработчика и плоскость управления для прямого доступа к API. Эти адреса можно использовать для настройки записей DNS в сети.

Вы увидите адреса обоих типов на портале Azure и в ответе на вызов API:

Снимок экрана: IP-адрес в службе управления API. 

GET https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.ApiManagement/service/<service-name>?api-version=<api-version>

{
  ...
  "properties": {
    ...
    "publicIPAddresses": [
      "172.31.0.1"
    ],
    "privateIPAddresses": [
      "192.168.1.5"
    ],
    ...
  },
  ...
}

Это важно

Частные IP-адреса внутреннего балансировщика нагрузки и модули Управления API назначаются динамически. Поэтому невозможно предвидеть частный IP-адрес экземпляра службы управления API до его развертывания. Кроме того, изменение в другую подсеть, а затем возврат может привести к изменению частного IP-адреса.

IP-адреса для исходящего трафика

Управление API использует общедоступный IP-адрес для подключения за пределами виртуальной сети или одноранговой виртуальной сети. Он использует частный IP-адрес для подключения в виртуальной сети или одноранговой виртуальной сети.

  • При развертывании управления API во внешней или внутренней виртуальной сети, а управление API подключается к частным (интрасети) внутренним IP-адресам (динамическим IP-адресам или DIP, адресам) из подсети, используемым для трафика API среды выполнения. Когда запрос отправляется из службы управления API в частную серверную часть, частный IP-адрес будет виден в качестве источника запроса.

    Таким образом, если ограничение IP-адресов содержит защищенные ресурсы в виртуальной сети или одноранговой виртуальной сети, рекомендуется использовать весь диапазон подсети управления API с правилом IP-адресов и (в внутреннем режиме) не только частный IP-адрес, связанный с ресурсом управления API.

  • Когда запрос отправляется из службы управления API в общедоступную (интернет-) серверную часть, общедоступный IP-адрес всегда будет отображаться в качестве источника запроса.

IP-адреса потребления, базовые версии 2, стандартные версии 2 и экземпляры управления API уровня Premium версии 2

Если экземпляр службы управления API создается на уровне служб, работающем в общей инфраструктуре, он не имеет выделенного IP-адреса. В настоящее время экземпляры на следующих уровнях служб выполняются в общей инфраструктуре и без детерминированного IP-адреса: Consumption, Базовый v2, Стандартный v2, Премиум v2.

Если вам нужно добавить исходящие IP-адреса, используемые экземпляром уровня "Потребление", "Базовый" версии 2, "Стандартный" версии 2 или "Премиум" в список разрешений, можно добавить центр обработки данных экземпляра (регион Azure) в список разрешений. Вы можете скачать JSON-файл, который перечисляет IP-адреса для всех центров обработки данных Azure. Затем найдите фрагмент JSON, соответствующий региону, в котором работает ваш экземпляр.

Например, следующий фрагмент JSON — это то, что может выглядеть список разрешений для Западной Европы:

{
  "name": "AzureCloud.westeurope",
  "id": "AzureCloud.westeurope",
  "properties": {
    "changeNumber": 9,
    "region": "westeurope",
    "platform": "Azure",
    "systemService": "",
    "addressPrefixes": [
      "13.69.0.0/17",
      "13.73.128.0/18",
      ... Some IP addresses not shown here
     "213.199.183.0/24"
    ]
  }
}

Для получения информации о том, когда обновляется этот файл и когда изменяются IP-адреса, разверните раздел "Подробности" на странице Центра загрузок.

Изменения IP-адресов

В уровнях "Разработчик", "Базовый", "Стандартный" и "Премиум" службы "Управление API" общедоступный IP-адрес или ip-адрес (ВИРТУАЛЬНЫЙ IP-адрес) и частные IP-адреса (при настройке в режиме внутренней виртуальной сети) являются статическими в течение всего времени существования службы, за исключением следующих исключений:

  • Управление API удаляется, а затем создается повторно.

  • Подписка на службу отключена или предупреждена (например, из-за неуплаты), а затем восстановлена. Дополнительные сведения о состояниях подписки.

  • (Уровни разработчика и уровня "Премиум") Виртуальная сеть Azure добавляется или удаляется из службы.

  • (Уровни разработчика и уровня "Премиум") Управление API переключается между режимом развертывания внешней и внутренней виртуальной сети.

  • (Уровни разработчика и уровня "Премиум") Управление API перемещается в другую подсеть или настраивается с другим ресурсом общедоступного IP-адреса.

  • (Уровень "Премиум") Зоны доступности включены, добавлены или удалены.

  • (Уровень "Премиум") В развертываниях с несколькими регионами региональный IP-адрес изменяется, если регион освобожден, а затем восстановлен.

    Это важно

    При переходе с внутренней на внешнюю виртуальную сеть или изменение подсетей в сети можно настроить другой общедоступный IP-адрес. Если он не указан, общедоступный IP-адрес, управляемый Azure, автоматически настраивается.

Связанный контент