Zure VPNak ez du Cosmos DB pribatu egiten bere kasa
VPN batek zure ordenagailu eramangarria sarera eramaten du, ez datu-basearen barrura. Ikusi zer egin behar duten amaiera-puntu pribatuak, DNS eremuak, konexio moduak eta kontuaren sarbideak.
Ordenagailu eramangarria VPN baten bidez VNet-era konektatzen duzu, Cosmos DB kontuaren URLa irekitzen duzu, eta eskaerak oraindik internet publikoan zehar irteten du. Tunelak bere lana egin zuen. Egin ez zuena amaiera-puntu pribatu bat sortzea, DNS erregistro pribatua argitaratzea edo sarbide publikoa itzaltzea izan zen, horiek kontuan egindako hiru aldaketa bereizi baitira, ez zure sare-konexioaren propietateak. Adibide honek Azure Cosmos DB erabiltzen du NoSQLerako, amaiera-puntu pribatu bat VNet batean eta VPN bidez VNet horretara konektatutako ordenagailu eramangarri bat, eta aplikazioaren helbidea aldatu gabe mantentzen du.
Mitoa: VPNan egoteak datu-basea pribatu egiten du
VNet-en egoteak zure paketeek VNet horretako helbide pribatuetara iritsi daitezkeela esan nahi du soilik. Ez du ezer esaten kontuaren izena non ebazten den, eta ez du ezer esaten kontuak oraindik trafiko publikoa onartzen duen.
Amaiera-puntu pribatu bat baliabide bereizia da, bere helbidea, bere onespen-urratsa eta bere DNS kableatua dituena. Existitu eta onartu arte, izena amaiera-puntu publikora ebazten da eta zure trafikoa hara doa tunela edozein dela ere.
Zerk egiten duen izena modu pribatuan ebaztea
Mantendu SDKaren kontu-amaiera-puntu arrunta, https://ACCOUNT.documents.azure.com bezalako zerbait. DNS pribatuak izen hori Private Link katearen bidez amaiera-puntuaren helbide pribatuetara ebatzi beharko luke. Ez ordeztu URL numeriko batekin eta ez desgaitu ziurtagiri-egiaztapenak, horrek DNS arazo bat segurtasun arazo batekin trukatzen baitu.
| Example choice | Value |
|---|---|
| Cosmos API | NoSQL |
| Private endpoint subresource | Sql |
| Private DNS zone | privatelink.documents.azure.com |
| SDK connection mode | Gateway |
Balio horiek NoSQL APIrako espezifikoak dira. Beste Cosmos API batzuk ez dira adibide berean trukagarriak diren sarrerak, eta beste API batetik azpibaliabidearen izena kopiatzeak inoiz ebazten ez den amaiera-puntu bat sortzen du.
Sortu eta onartu amaiera-puntua baimendutako Azure lan-fluxuaren bidez, eta gero erabili bere DNS eremu pribatuen taldearen integrazioa. Ordenagailu eramangarriak eremu horri erantzun diezaiokeen ebazle bat behar du, zuzenean edo onartutako birbidalketaren bidez, eta VPN bezeroaren bidea amaiera-puntuaren helbide garrantzitsu bakoitzera.
Amaiera-puntu pribatu batek helbide bat baino gehiago izan ditzake, sarrera globalak eta eskualdekoak barne. Mantendu DNS integrazioa kontuaren eskualdeak aldatzen direnean, helbide bakarra hosts fitxategi batean finkatu beharrean, eta gogoratu erlazionatuta ez dagoen ebazle publiko baten erantzunak ez duela ezer frogatzen bide pribatuari buruz. DNS hub baten bidez birbidaltzen baduzu, egiaztatu birbidaltzaileak erantzuten duela bezeroa araztu aurretik. Birbidaltzaile zaharkitu batek erantzun publikoa itzultzen du, eta hori amaiera-puntu bat falta den bezalakoa da.
Gateway modua eta Direct modua ez dira trukagarriak
Gateway moduak zerbitzu-eskaerak HTTPS bidez bidaltzen ditu TCP 443n. Horregatik dabil harekin 443rako soilik den suebaki-politika bat, eta horregatik aukeratzen du adibide honek nahita.
Private Link bidezko Direct moduak konektibitate-eskakizun desberdinak ditu, kontuaren dokumentazioak zerrendatzen duen TCP portu-tarte zabalagoa barne. Gateway modurako idatzitako politika bat ezin da isilean berrerabili Direct moduko bezero batekin, bestela SDK konektatu eta gero lehen datu-eragiketan zintzilik geratuko da.
Aukeratu modu bat, idatzi kontuarekin batera, eta egin sare-politika harekin bat etor dadin. Arazoak konpontzean modua aldatzen duten taldeek suebaki-arau multzo batekin amaitzen dute normalean, bietako bat ere asetzen ez duena.
Sarbide publikoa itzaltzea etengailu bereizia da
Kontuak pribatua soilik izan behar badu, itzali sare publikorako sarbidea kontuaren onartutako ezarpenaren bidez eta egiaztatu emaitza. Ez hartu amaiera-puntu pribatu baten existentzia sarbide-erabaki oso gisa, amaiera-puntu pribatua eta sarbide publikoa gaituta dituen kontu batek oraindik interneten erantzuten baitu.
Egiaztatu VPNtik kanpo eta barrutik ere. Kanpoan egon beharko lukeen sare batetik datorren eskaera da ezarpenak indarra hartu duela frogatzen duen proba, eta aldaketa-leiho gehienek saltatzen duten proba da.
Irisgarritasuna ez da baimena
VPN ordenagailutik egindako SDK eragiketa baimendu bat onarpen-proba da, kontuaren URL arrunta eta aurreikusitako identitatea erabiliz. VPN bidezko irisgarritasunak ez du Cosmos datu-baimenik ematen; datu-planoak bere rol edo gakoak egiaztatzen ditu.
Gero exekutatu ukapenak: beste identitate bat eta kontura jada iritsi behar ez duen sare-bide bat. Edozeinek arrakasta badu, dokumentatu duzun muga ez da eraiki duzun muga.
Idatzi lau datu amaitzean: amaiera-puntuaren helbide pribatuak, kontuaren izenerako erantzuten duen DNS eremua, konexio modua bere portu-eskakizunekin eta sarbide publikoa itzalita dagoen. Lau horiek hurrengo pertsonari azaltzen diote konfigurazioa, eta bakoitzak independenteki huts egiten du.