Nid yw eich VPN yn gwneud Cosmos DB yn breifat ar ei phen ei hun

Rydych yn cysylltu'r gliniadur â'r VNet trwy VPN, yn agor URL y cyfrif Cosmos DB, ac mae'r cais yn dal i adael dros y rhyngrwyd gyhoeddus. Gwnaeth y twnnel ei waith. Yr hyn na wnaeth oedd creu pwynt terfyn preifat, cyhoeddi'r cofnod DNS preifat, neu ddiffodd mynediad cyhoeddus, oherwydd tri newid ar wahân i'r cyfrif yw'r rhain, nid priodweddau o'ch cysylltiad rhwydwaith. Mae'r enghraifft hon yn defnyddio Azure Cosmos DB ar gyfer NoSQL, pwynt terfyn preifat mewn VNet, a gliniadur wedi'i gysylltu â'r VNet hwnnw trwy VPN, ac mae'n cadw cyfeiriad y cymhwysiad heb newid.

Y myth: bod ar y VPN yn gwneud y gronfa ddata'n breifat

Mae bod ar y VNet yn golygu'n unig y gall eich pecynnau gyrraedd cyfeiriadau preifat yn y VNet hwnnw. Nid yw'n dweud dim am ble mae enw'r cyfrif yn datrys, ac nid yw'n dweud dim am a yw'r cyfrif yn dal i dderbyn traffig cyhoeddus.

Mae pwynt terfyn preifat yn adnodd ar wahân gyda'i gyfeiriad ei hun, ei gam cymeradwyo ei hun a'i wifro DNS ei hun. Hyd nes y bydd yn bodoli ac yn cael ei gymeradwyo, mae'r enw'n datrys i'r pwynt terfyn cyhoeddus ac mae eich traffig yn mynd yno waeth beth fo'r twnnel.

Beth sydd mewn gwirionedd yn gwneud i'r enw ddatrys yn breifat

Cadwch bwynt terfyn arferol y cyfrif o'r SDK, rhywbeth fel https://ACCOUNT.documents.azure.com. Dylai DNS preifat ddatrys yr enw hwnnw trwy'r gadwyn Private Link i gyfeiriadau preifat y pwynt terfyn. Peidiwch â'i ddisodli â URL rhifol a diffodd gwiriadau tystysgrif, oherwydd mae hynny'n cyfnewid problem DNS am broblem ddiogelwch.

Mae'r gwerthoedd hynny'n benodol i'r API NoSQL. Nid yw'r APIau Cosmos eraill yn gofnodion cyfnewidiol yn yr un enghraifft, ac mae copïo enw'r is-adnodd o API gwahanol yn cynhyrchu pwynt terfyn na fydd byth yn datrys.

Crëwch a chymeradwywch y pwynt terfyn trwy lif gwaith awdurdodedig Azure, yna defnyddiwch ei integreiddiad grŵp parthau DNS preifat. Mae ar y gliniadur angen datryswr a all ateb ar gyfer y parth hwnnw, naill ai'n uniongyrchol neu trwy anfon ymlaen a gymeradwywyd, a llwybr cleient VPN i bob cyfeiriad pwynt terfyn perthnasol.

Gall pwynt terfyn preifat fod â mwy nag un cyfeiriad, gan gynnwys cofnodion byd-eang a rhanbarthol. Cynhelwch yr integreiddiad DNS pan fydd rhanbarthau'r cyfrif yn newid yn lle pinio un cyfeiriad mewn ffeil hosts, a chofiwch nad yw ateb gan ddatryswr cyhoeddus digyswllt yn profi dim am y llwybr preifat. Os ydych yn anfon DNS trwy hwb, cadarnhewch fod yr anfonwr yn ateb cyn i chi ddadfygio'r cleient. Mae anfonwr hen yn dychwelyd yr ateb cyhoeddus, sy'n edrych yn union fel pwynt terfyn ar goll.

Nid yw modd Gateway a modd Direct yn gyfnewidiol

Mae modd Gateway yn anfon ceisiadau gwasanaeth dros HTTPS ar TCP 443. Dyna pam mae polisi wal dân ar gyfer 443 yn unig yn gweithio ar ei gyfer a dyna pam mae'r enghraifft hon yn ei ddewis yn fwriadol.

Mae gan fodd Direct dros Private Link ofynion cysylltedd gwahanol, gan gynnwys ystod porthladdoedd TCP ehangach y mae dogfennaeth y cyfrif yn ei restru. Ni ddylid ailddefnyddio polisi a ysgrifennwyd ar gyfer modd Gateway yn dawel ar gyfer cleient modd Direct, neu bydd yr SDK yn cysylltu ac yna'n hongian ar y llawdriniaeth ddata gyntaf.

Dewiswch un modd, ysgrifennwch ef gyda'r cyfrif, a gwnewch i'r polisi rhwydwaith gyd-fynd ag ef. Mae timau sy'n newid moddau wrth ddatrys problemau fel arfer yn gorffen gyda set o reolau wal dân nad yw'n bodloni'r naill na'r llall.

Mae diffodd mynediad cyhoeddus yn switsh ar wahân

Os dylai'r cyfrif fod yn breifat yn unig, diffoddwch fynediad rhwydwaith cyhoeddus trwy osodiad a gefnogir gan y cyfrif a gwiriwch y canlyniad. Peidiwch â thrin bodolaeth pwynt terfyn preifat fel y penderfyniad mynediad cyflawn, oherwydd mae cyfrif â phwynt terfyn preifat a mynediad cyhoeddus wedi'i alluogi yn dal i ateb ar y rhyngrwyd.

Gwiriwch o du allan i'r VPN yn ogystal ag o'r tu mewn. Mae cais o rwydwaith y dylid ei eithrio yn brawf sy'n dangos bod yr osodiad wedi dod i rym, a dyna'r prawf y mae'r rhan fwyaf o ffenestri newid yn ei hepgor.

Nid yw cyrhaeddedd yn ganiatâd

Llawdriniaeth SDK a ganiateir o'r gliniadur VPN yw'r prawf derbyn, gan ddefnyddio URL arferol y cyfrif a'r hunaniaeth arfaethedig. Nid yw cyrhaeddedd VPN yn rhoi caniatâd data Cosmos; mae'r plân data yn gwirio ei rolau neu ei allweddi ei hun.

Yna rheswch y gwrthodiadau: hunaniaeth wahanol, a llwybr rhwydwaith na ddylai gyrraedd y cyfrif mwyach. Os bydd y naill neu'r llall yn llwyddo, nid y ffin a gofnodwyd gennych yw'r ffin a adeiladwyd gennych.

Ysgrifennwch bedwar ffaith pan fyddwch yn gorffen: cyfeiriadau preifat y pwynt terfyn, y parth DNS sy'n ateb ar gyfer enw'r cyfrif, y modd cysylltu gyda'i ofynion porthladd, ac a yw mynediad cyhoeddus wedi'i ddiffodd. Mae'r pedwar hyn yn esbonio'r gosodiad i'r person nesaf, ac mae pob un yn methu'n annibynnol.