VPN-iniz Cosmos DB-ni təkbaşına özəl etmir
VPN noutbukunuzu şəbəkəyə çıxarır, verilənlər bazasının içərisinə deyil. Özəl son nöqtənin, DNS zonasının, qoşulma rejiminin və hesab girişinin nə etməli olduğuna baxın.
Noutbuku VPN vasitəsilə VNet-ə qoşursunuz, Cosmos DB hesabının URL-ini açırsınız və sorğu yenə də ictimai internet üzərindən çıxır. Tunel öz işini gördü. Etmədiyi şey özəl son nöqtə yaratmaq, özəl DNS qeydini dərc etmək və ya ictimai girişi söndürmək idi, çünki bunlar hesaba edilən üç ayrı dəyişiklikdir, şəbəkə bağlantınızın xüsusiyyətləri deyil. Bu nümunə NoSQL üçün Azure Cosmos DB, VNet daxilində özəl son nöqtə və VPN ilə həmin VNet-ə qoşulmuş noutbuk istifadə edir və tətbiqin ünvanını dəyişməz saxlayır.
Mif: VPN-də olmaq verilənlər bazasını özəl edir
VNet-də olmaq yalnız paketlərinizin həmin VNet-dəki özəl ünvanlara çata bilməsi deməkdir. Bu, hesab adının harada həll olunduğu barədə heç nə demir və hesabın hələ də ictimai trafiki qəbul edib-etmədiyi barədə heç nə demir.
Özəl son nöqtə öz ünvanı, öz təsdiq addımı və öz DNS naqilləri olan ayrıca resursdur. O mövcud olub təsdiqlənənə qədər ad ictimai son nöqtəyə həll olunur və tuneldən asılı olmayaraq trafikiniz oraya gedir.
Adı əslində nə özəl həll etdirir
SDK-nın adi hesab son nöqtəsini saxlayın, təxminən https://ACCOUNT.documents.azure.com kimi. Özəl DNS həmin adı Private Link zənciri ilə son nöqtənin özəl ünvanlarına həll etməlidir. Onu rəqəmsal URL ilə əvəz edib sertifikat yoxlamalarını söndürməyin, çünki bu, DNS problemini təhlükəsizlik problemi ilə dəyişir.
| Example choice | Value |
|---|---|
| Cosmos API | NoSQL |
| Private endpoint subresource | Sql |
| Private DNS zone | privatelink.documents.azure.com |
| SDK connection mode | Gateway |
Bu dəyərlər NoSQL API-yə xasdır. Digər Cosmos API-ləri eyni nümunədə bir-birini əvəz edən girişlər deyil və subresource adını fərqli API-dən kopyalamaq heç vaxt həll olunmayan son nöqtə yaradır.
Son nöqtəni səlahiyyətli Azure iş axını ilə yaradın və təsdiqləyin, sonra onun özəl DNS zona qrupu inteqrasiyasından istifadə edin. Noutbuka həmin zonaya cavab verə bilən bir həlledici lazımdır, ya birbaşa, ya da təsdiqlənmiş yönləndirmə ilə, həmçinin hər müvafiq son nöqtə ünvanına VPN müştəri marşrutu.
Özəl son nöqtənin qlobal və regional girişlər daxil olmaqla birdən çox ünvanı ola bilər. Hesabın regionları dəyişdikdə DNS inteqrasiyasını qoruyun, bir ünvanı hosts faylında bərkitməyin və əlaqəsiz ictimai həlledicidən gələn cavabın özəl yol barədə heç nə sübut etmədiyini unutmayın. DNS-i hub vasitəsilə yönləndirirsinizsə, müştərini sazlamadan əvvəl yönləndiricinin cavab verdiyini təsdiqləyin. Köhnəlmiş yönləndirici ictimai cavabı qaytarır və bu, tam olaraq itkin son nöqtə kimi görünür.
Gateway rejimi və Direct rejimi bir-birini əvəz etmir
Gateway rejimi xidmət sorğularını TCP 443 üzərindən HTTPS ilə göndərir. Buna görə yalnız 443-ə icazə verən firewall siyasəti onunla işləyir və buna görə bu nümunə onu qəsdən seçir.
Private Link üzərində Direct rejiminin fərqli bağlantı tələbləri var, o cümlədən hesab sənədləşməsində sadalanan daha geniş TCP port diapazonu. Gateway rejimi üçün yazılmış siyasət Direct rejimli müştəri üçün səssizcə təkrar istifadə edilməməlidir, əks halda SDK qoşulacaq və sonra ilk məlumat əməliyyatında dayanacaq.
Bir rejim seçin, onu hesabla birlikdə yazın və şəbəkə siyasətini ona uyğunlaşdırın. Problemlərin aradan qaldırılması zamanı rejim dəyişdirən komandalar adətən nə birini, nə də digərini təmin edən firewall qaydaları dəsti ilə nəticələnir.
İctimai girişi söndürmək ayrıca keçiddir
Hesab yalnız özəl olmalıdırsa, ictimai şəbəkə girişini hesabın dəstəklədiyi parametr vasitəsilə söndürün və nəticəni yoxlayın. Özəl son nöqtənin mövcudluğunu tam giriş qərarı kimi qəbul etməyin, çünki özəl son nöqtəsi və ictimai girişi aktiv olan hesab hələ də internetdə cavab verir.
VPN-dən kənardan da, içəridən də yoxlayın. Xaric edilməli olan şəbəkədən gələn sorğu parametrin qüvvəyə mindiyini sübut edən sınaqdır və bu, əksər dəyişiklik pəncərələrinin atladığı sınaqdır.
Əlçatanlıq icazə deyil
VPN noutbukundan icazə verilmiş SDK əməliyyatı qəbul sınağıdır və adi hesab URL-i ilə nəzərdə tutulan identifikasiyadan istifadə edir. VPN əlçatanlığı Cosmos məlumat icazələri vermir; məlumat müstəvisi öz rollarını və ya açarlarını yoxlayır.
Sonra imtinaları işə salın: fərqli identifikasiya və artıq hesaba çatmamalı olan şəbəkə yolu. Əgər bunlardan biri uğurlu olarsa, sənədləşdirdiyiniz sərhəd qurduğunuz sərhəd deyil.
Bitirdikdə dörd faktı yazın: son nöqtənin özəl ünvanları, hesab adı üçün cavab verən DNS zonası, port tələbləri ilə qoşulma rejimi və ictimai girişin söndürülüb-söndürülmədiyi. Bu dördü quruluşu növbəti şəxsə izah edir və hər biri müstəqil şəkildə uğursuz olur.