Rete per l'ambiente del servizio app

L'ambiente del servizio app è una distribuzione a tenant singolo del servizio app di Azure che ospita contenitori Windows e Linux, app Web, app per le API, app per la logica e app per le funzioni. Quando si installa un ambiente del servizio app, selezionare la rete virtuale di Azure in cui si vuole che venga distribuita. Tutto il traffico delle applicazioni in ingresso e in uscita si trova all'interno della rete virtuale specificata. Si esegue la distribuzione in una singola subnet nella rete virtuale e non è possibile distribuire nient'altro in tale subnet.

Requisiti della subnet

È necessario delegare la subnet a Microsoft.Web/hostingEnvironmentse la subnet deve essere vuota.

Le dimensioni della subnet possono influire sui limiti di scalabilità delle istanze del piano di servizio app all'interno dell'ambiente del servizio app. Per la scalabilità di produzione, è consigliabile usare uno spazio indirizzi /24 (256 indirizzi) per la subnet. Se si prevede di ridimensionare la capacità massima di 200 istanze nell'ambiente del servizio app e si pianificano operazioni di aumento/riduzione frequenti, è consigliabile usare uno spazio indirizzi /23 (512 indirizzi) per la subnet.

Se si usa una subnet più piccola, tenere presente quanto segue:

• Ogni subnet ha cinque indirizzi riservati a scopo di gestione. Oltre agli indirizzi di gestione, l'ambiente del servizio app ridimensiona dinamicamente l'infrastruttura di supporto e utilizza tra 7 e 27 indirizzi, a seconda della configurazione e del carico. È possibile usare gli indirizzi rimanenti per le istanze nel piano di servizio app. Le dimensioni minime della subnet sono uno spazio indirizzi /27 (32 indirizzi).
• Per qualsiasi combinazione di sistema operativo/SKU del piano di servizio app usata nell'ambiente del servizio app come I1v2 Windows, viene creata un'istanza di standby per ogni 20 istanze attive. Le istanze di standby richiedono anche indirizzi IP.
• Quando si ridimensionano i piani di servizio app nell'ambiente del servizio app verso l'alto o verso il basso, la quantità di indirizzi IP usati dal piano di servizio app viene temporaneamente raddoppiata mentre l'operazione di ridimensionamento viene completata. Le nuove istanze devono essere completamente operative prima del deprovisioning delle istanze esistenti.
• Gli aggiornamenti della piattaforma necessitano di indirizzi IP gratuiti per garantire che gli aggiornamenti possano verificarsi senza interruzioni del traffico in uscita.
• Al termine delle operazioni di aumento, riduzione o avvio, potrebbe verificarsi un breve periodo di tempo prima del rilascio degli indirizzi IP. In rari casi questa operazione può richiedere fino a 12 ore.
• Se gli indirizzi all'interno della subnet si esauriscono, potrebbe non essere possibile aumentare il numero di istanze dei piani di servizio app nell'ambiente del servizio app. Si potrebbe inoltre verificare un aumento della latenza in caso di traffico intenso, se Microsoft non è in grado di dimensionare l'infrastruttura di supporto.

Indirizzi

Un ambiente del servizio app ha le informazioni di rete seguenti al momento della creazione:

È possibile trovare i dettagli nella parte indirizzi IP del portale, come illustrato nello screenshot seguente:

Quando si ridimensionano i piani di servizio app nell'ambiente del servizio app, si usano più indirizzi all'esterno della subnet. Il numero di indirizzi usati varia in base al numero di istanze del piano di servizio app presenti e al volume del traffico. Le app nell'ambiente del servizio app non hanno indirizzi dedicati nella subnet. Gli indirizzi specifici usati da un'app nella subnet cambiano nel tempo.

Portare il proprio indirizzo in entrata

È possibile portare il proprio indirizzo in ingresso nell'ambiente del servizio app. Se si crea un ambiente del servizio app con un indirizzo VIP interno, è possibile specificare un indirizzo IP statico nella subnet. Se si crea un ambiente del servizio app con un indirizzo VIP esterno, è possibile usare il proprio indirizzo IP pubblico di Azure specificando l'ID risorsa dell'indirizzo IP pubblico. Di seguito sono riportate alcune limitazioni per l'aggiunta di un indirizzo in ingresso:

• Per l'ambiente del servizio app con indirizzo VIP esterno, la risorsa indirizzo IP pubblico di Azure deve trovarsi nella stessa sottoscrizione dell'ambiente del servizio app.
• L'indirizzo in ingresso non può essere modificato dopo la creazione dell'ambiente del servizio app.

Porte e restrizioni di rete

Affinché l'app riceva il traffico, assicurarsi che le regole del gruppo di sicurezza di rete in ingresso consentano alla subnet dell'ambiente del servizio app di ricevere il traffico dalle porte necessarie. Oltre alle porte su cui si vuole ricevere il traffico, è necessario assicurarsi che Azure Load Balancer sia in grado di connettersi alla subnet sulla porta 80. Questa porta viene usata per i controlli di integrità della macchina virtuale interna. È comunque possibile controllare il traffico della porta 80 dalla rete virtuale alla subnet.

È consigliabile configurare la regola NSG in ingresso seguente:

Il requisito minimo per rendere operativo l'ambiente del servizio app è:

Se si usa la regola minima richiesta, potrebbe essere necessaria una o più regole per il traffico dell'applicazione. Se si usa una delle opzioni di distribuzione o debug, è necessario consentire anche questo traffico alla subnet dell'ambiente del servizio app. L'origine di queste regole può essere la rete virtuale o uno o più indirizzi IP client o intervalli IP specifici. La destinazione è sempre l'intervallo di subnet dell'ambiente del servizio app.

Il traffico ping di integrità interno sulla porta 80 è isolato tra il servizio di bilanciamento del carico e i server interni. Nessun traffico esterno può raggiungere l'endpoint ping di integrità.

Le normali porte di accesso alle app in ingresso sono le seguenti:

Routing di rete

È possibile impostare tabelle di route senza restrizioni. È possibile eseguire il tunneling di tutto il traffico dell'applicazione in uscita dall'ambiente del servizio app a un dispositivo firewall in uscita, ad esempio Firewall di Azure. In questo scenario, l'unica cosa di cui è necessario preoccuparsi sono le dipendenze dell'applicazione.

Le dipendenze dell'applicazione includono endpoint necessari per l'app durante il runtime. Oltre alle API e ai servizi che l'app chiama, le dipendenze possono anche essere endpoint derivati, ad esempio endpoint di controllo dell'elenco di revoche di certificati (CRL) e endpoint di identità/autenticazione, ad esempio Microsoft Entra ID. Se si usa la distribuzione continua nel Servizio app, potrebbe anche essere necessario dover consentire gli endpoint a seconda del tipo e della linguaggio. In particolare, per la distribuzione continua di Linux è necessario consentire oryx-cdn.microsoft.io:443.

È possibile inserire i dispositivi web application firewall, ad esempio il gateway applicazione di Azure, davanti al traffico in ingresso. In questo modo è possibile esporre app specifiche nell'ambiente del servizio app.

L'applicazione usa uno degli indirizzi in uscita predefiniti per il traffico in uscita verso endpoint pubblici. Se si vuole personalizzare l'indirizzo in uscita delle applicazioni in un ambiente del servizio app, è possibile aggiungere un gateway NAT alla subnet.

Endpoint privato

Per abilitare gli endpoint privati per le app ospitate nell'ambiente del servizio app, è prima necessario abilitare questa funzionalità a livello di ambiente del servizio app.

È possibile attivarla tramite il portale di Azure. Nel riquadro Configurazione dell'ambiente del servizio app attivare l'impostazione Allow new private endpoints. In alternativa, l'interfaccia della riga di comando seguente può abilitarla:

az appservice ase update --name myasename --allow-new-private-endpoint-connections true

Per altre informazioni sull'endpoint privato e sull'app Web, vedere Endpoint privato dell'app Web di Azure

DNS

Le sezioni seguenti descrivono le considerazioni e la configurazione DNS che si applicano in ingresso e in uscita dall'ambiente del servizio app. Gli esempi usano il suffisso di dominio appserviceenvironment.net dal cloud pubblico di Azure. Se si usano altri cloud come Azure per enti pubblici, è necessario usare il rispettivo suffisso di dominio. Per i domini dell'ambiente del servizio app, il nome del sito viene troncato a 40 caratteri a causa dei limiti DNS. Se si dispone di uno slot, il nome dello slot viene troncato a 19 caratteri.

Configurazione DNS nell'ambiente del servizio app

Se l'ambiente del servizio app viene creato con un indirizzo VIP esterno, le app vengono inserite automaticamente nel DNS pubblico. Se l'ambiente del servizio app viene creato con un indirizzo VIP interno, sono disponibili due opzioni. Se si seleziona la configurazione automatica delle zone private DNS di Azure, il DNS viene configurato nella rete virtuale. Se si è scelto di configurare il DNS manualmente, è necessario usare il proprio server DNS o configurare zone private DNS di Azure. Per trovare l'indirizzo in ingresso, passare al portale dell'ambiente del servizio app e selezionare indirizzi IP.

Se si vuole usare il proprio server DNS, aggiungere i record seguenti:

1. Creare una zona per <App Service Environment-name>.appserviceenvironment.net.
2. Creare un record A in tale zona che punta * all'indirizzo IP in ingresso usato dall'ambiente del servizio app.
3. Creare un record A in tale zona che punta all'indirizzo IP in ingresso usato dall'ambiente del servizio app.
4. Creare una zona in <App Service Environment-name>.appserviceenvironment.net denominata scm.
5. Creare un record A nella zona scm che punta all'indirizzo IP usato dall'endpoint privato dell'ambiente del servizio app.

Per configurare DNS nelle zone private di DNS di Azure:

1. Creare una zona privata DNS di Azure denominata <App Service Environment-name>.appserviceenvironment.net.
2. Creare un record A in tale zona che punta * all'indirizzo IP in ingresso.
3. Creare un record A in tale zona che punta @ all'indirizzo IP in ingresso.
4. Creare un record A in tale zona che punta *.scm all'indirizzo IP in ingresso.

Oltre al dominio predefinito fornito quando viene creata un'app, è anche possibile aggiungere un dominio personalizzato all'app. È possibile impostare un nome di dominio personalizzato senza convalida nelle app. Se si usano domini personalizzati, è necessario assicurarsi che siano configurati record DNS. È possibile seguire le indicazioni precedenti per configurare zone e record DNS per un nome di dominio personalizzato (sostituire il nome di dominio predefinito con il nome di dominio personalizzato). Il nome di dominio personalizzato funziona per le richieste di app, ma non funziona per il sito scm. Il sito scm è disponibile solo in <appname>.scm.<asename>.appserviceenvironment.net.

Configurazione DNS per l'accesso FTP

Per l'accesso FTP all'ambiente del servizio app con bilanciamento del carico interno v3, è necessario assicurarsi che DNS sia configurato. Configurare una zona privata DNS di Azure o un DNS personalizzato equivalente con le impostazioni seguenti:

1. Creare una zona privata DNS di Azure denominata ftp.appserviceenvironment.net.
2. Creare un record A in tale zona che punta <App Service Environment-name> all'indirizzo IP in ingresso.

Oltre a configurare il DNS, è necessario abilitarlo anche nella configurazione dell'ambiente del servizio app e a livello di app.

Configurazione DNS dall'ambiente del servizio app

Le app nell'ambiente del servizio app usano il DNS con cui è configurata la rete virtuale. Se si vuole che alcune app usino un server DNS diverso, è possibile impostarlo manualmente per ogni app, con le impostazioni dell'app WEBSITE_DNS_SERVER e WEBSITE_DNS_ALT_SERVER. WEBSITE_DNS_ALT_SERVER configura il server DNS secondario. Il server DNS secondario viene usato solo quando non viene ricevuta alcuna risposta dal server DNS primario.

Altre risorse

• Informazioni di riferimento sulle variabili di ambiente e impostazioni dell'app