Teie VPN ei muuda Cosmos DB-d üksi privaatseks
VPN viib sülearvuti võrku, mitte andmebaasi sisse. Vaadake, mida peavad tegema privaatne lõpp-punkt, DNS-tsoon, ühendusrežiim ja konto juurdepääs.
Ühendate sülearvuti VPN-i kaudu VNetiga, avate Cosmos DB konto URL-i ja taotlus väljub ikkagi avaliku interneti kaudu. Tunnel tegi oma töö. Mida see ei teinud, oli privaatse lõpp-punkti loomine, privaatse DNS-kirje avaldamine või avaliku juurdepääsu väljalülitamine, sest need on kolm eraldi konto muudatust, mitte teie võrguühenduse omadused. See näide kasutab Azure Cosmos DB-d NoSQL-i jaoks, privaatset lõpp-punkti VNetis ja VPN-i kaudu selle VNetiga ühendatud sülearvutit ning hoiab rakenduse aadressi muutumatuna.
Müüt: VPN-is olemine muudab andmebaasi privaatseks
VNetis olemine tähendab ainult seda, et teie paketid jõuavad selle VNeti privaatsete aadressideni. See ei ütle midagi selle kohta, kus konto nimi laheneb, ega selle kohta, kas konto võtab endiselt vastu avalikku liiklust.
Privaatne lõpp-punkt on eraldi ressurss oma aadressi, oma kinnitusetapi ja oma DNS-juhtmestikuga. Kuni seda pole olemas ja kinnitatud, laheneb nimi avalikuks lõpp-punktiks ja teie liiklus läheb sinna sõltumata tunnelist.
Mis tegelikult paneb nime privaatselt lahenema
Hoidke SDK tavaline konto lõpp-punkt, midagi sellist nagu https://ACCOUNT.documents.azure.com. Privaatne DNS peaks selle nime lahendama Private Linki ahela kaudu lõpp-punkti privaatseteks aadressideks. Ärge asendage seda numbrilise URL-iga ega lülitage sertifikaadi kontrolle välja, sest see vahetab DNS-probleemi turvaprobleemi vastu.
| Example choice | Value |
|---|---|
| Cosmos API | NoSQL |
| Private endpoint subresource | Sql |
| Private DNS zone | privatelink.documents.azure.com |
| SDK connection mode | Gateway |
Need väärtused on NoSQL API-le omased. Teised Cosmos API-d ei ole samas näites vahetatavad kirjed ja alamressursi nime kopeerimine teisest API-st loob lõpp-punkti, mis ei lahene kunagi.
Looge ja kinnitage lõpp-punkt volitatud Azure'i töövoo kaudu, seejärel kasutage selle privaatsete DNS-tsoonide rühma integreerimist. Sülearvuti vajab resolverit, mis suudab selle tsooni jaoks vastata, kas otse või kinnitatud edastamise kaudu, ja VPN-kliendi marsruuti iga asjakohase lõpp-punkti aadressini.
Privaatsel lõpp-punktil võib olla rohkem kui üks aadress, sealhulgas globaalsed ja piirkondlikud kirjed. Hoidke DNS-integratsiooni, kui konto piirkonnad muutuvad, selle asemel et kinnitada üks aadress hosts-faili, ja pidage meeles, et seotud avaliku resolveri vastus ei tõesta privaatse tee kohta midagi. Kui edastate DNS-i jaoturi kaudu, kinnitage, et edastaja vastab, enne kui klienti siluda. Aegunud edastaja tagastab avaliku vastuse, mis näeb täpselt välja nagu puuduv lõpp-punkt.
Gateway-režiim ja Direct-režiim ei ole vahetatavad
Gateway-režiim saadab teenusetaotlused HTTPS-i kaudu TCP 443 peal. Seetõttu töötab selle jaoks ainult 443 jaoks mõeldud tulemüürireegel ja seetõttu valib see näide selle teadlikult.
Direct-režiimil Private Linki kaudu on erinevad ühenduvusnõuded, sealhulgas laiem TCP-portide vahemik, mille konto dokumentatsioon loetleb. Gateway-režiimi jaoks kirjutatud reeglit ei tohi Direct-režiimi kliendi jaoks vaikselt uuesti kasutada, muidu SDK ühendub ja jääb seejärel esimese andmetoimingu juures rippuma.
Valige üks režiim, kirjutage see konto juurde üles ja viige võrgureegel sellega kooskõlla. Tõrkeotsingu ajal režiimi vahetavad meeskonnad jõuavad tavaliselt tulemüürireeglite komplektini, mis ei rahulda kumbagi.
Avaliku juurdepääsu väljalülitamine on eraldi lüliti
Kui konto peaks olema ainult privaatne, lülitage avalik võrgu juurdepääs konto toetatud sätte kaudu välja ja kontrollige tulemust. Ärge käsitlege privaatse lõpp-punkti olemasolu täieliku juurdepääsuotsusena, sest privaatse lõpp-punkti ja lubatud avaliku juurdepääsuga konto vastab endiselt internetis.
Kontrollige väljastpoolt VPN-i ja ka seestpoolt. Taotlus võrgust, mis peaks olema välistatud, on test, mis tõestab, et säte jõustus, ja see on test, mille enamik muudatusaknaid vahele jätab.
Kättesaadavus ei ole luba
VPN-i sülearvutist lubatud SDK-toiming on vastuvõtutest, kasutades tavalist konto URL-i ja kavandatud identiteeti. VPN-i kättesaadavus ei anna Cosmos andmete õigusi; andmetasand kontrollib oma rolle või võtmeid.
Seejärel käivitage keeldumised: erinev identiteet ja võrgutee, mis ei peaks enam kontoni jõudma. Kui kumbki õnnestub, ei ole dokumenteeritud piir see piir, mille te ehitasite.
Lõpetades kirjutage üles neli fakti: lõpp-punkti privaatsed aadressid, DNS-tsoon, mis vastab konto nime eest, ühendusrežiim koos pordi nõuetega ja kas avalik juurdepääs on välja lülitatud. Need neli selgitavad seadistust järgmisele inimesele ja igaüks neist ebaõnnestub iseseisvalt.