VPN ei tee Cosmos DB:stä yksinään yksityistä

Yhdistät kannettavan VNetiin VPN:n kautta, avaat Cosmos DB -tilin URL-osoitteen, ja pyyntö lähtee silti julkisen internetin kautta. Tunneli teki tehtävänsä. Se, mitä se ei tehnyt, oli yksityisen päätepisteen luominen, yksityisen DNS-tietueen julkaiseminen tai julkisen käytön poistaminen, koska ne ovat kolme erillistä tilin muutosta eivätkä verkkoyhteytesi ominaisuuksia. Tämä esimerkki käyttää Azure Cosmos DB:tä NoSQL:lle, yksityistä päätepistettä VNetissä ja VPN:n kautta siihen VNetiin yhdistettyä kannettavaa, ja se pitää sovelluksen osoitteen muuttumattomana.

Myytti: VPN:ssä oleminen tekee tietokannasta yksityisen

VNetissä oleminen tarkoittaa vain sitä, että pakettisi voivat saavuttaa kyseisen VNetin yksityiset osoitteet. Se ei kerro mitään siitä, missä tilin nimi ratkaistaan, eikä siitä, ottaako tili edelleen vastaan julkista liikennettä.

Yksityinen päätepiste on erillinen resurssi, jolla on oma osoite, oma hyväksyntävaihe ja oma DNS-johdotus. Kunnes se on olemassa ja hyväksytty, nimi ratkeaa julkiseen päätepisteeseen ja liikenteesi menee sinne tunnelista riippumatta.

Mikä oikeastaan saa nimen ratkeamaan yksityisesti

Pidä SDK:n tavallinen tilin päätepiste, jotain https://ACCOUNT.documents.azure.com:n kaltaista. Yksityisen DNS:n pitäisi ratkaista tämä nimi Private Link -ketjun kautta päätepisteen yksityisiin osoitteisiin. Älä korvaa sitä numeerisella URL-osoitteella äläkä poista varmenne tarkistuksia käytöstä, koska se vaihtaa DNS-ongelman tietoturvaongelmaan.

Nämä arvot ovat ominaisia NoSQL-rajapinnalle. Muut Cosmos-rajapinnat eivät ole vaihdettavia merkintöjä samassa esimerkissä, ja aliresurssin nimen kopioiminen toisesta rajapinnasta tuottaa päätepisteen, joka ei koskaan ratkea.

Luo ja hyväksy päätepiste valtuutetun Azure-työnkulun kautta ja käytä sitten sen yksityisten DNS-vyöhykeryhmien integraatiota. Kannettava tarvitsee ratkaisijan, joka voi vastata kyseisestä vyöhykkeestä, joko suoraan tai hyväksytyn edelleenlähetyksen kautta, ja VPN-asiakkaan reitin jokaiseen asiaankuuluvaan päätepisteen osoitteeseen.

Yksityisellä päätepisteellä voi olla useampi kuin yksi osoite, mukaan lukien globaalit ja alueelliset merkinnät. Ylläpidä DNS-integraatiota, kun tilin alueet muuttuvat, sen sijaan että kiinnittäisit yhden osoitteen hosts-tiedostoon, ja muista, että asiaankuulumattoman julkisen ratkaisijan vastaus ei todista mitään yksityisestä polusta. Jos välität DNS:ää hubin kautta, varmista että välittäjä vastaa ennen kuin debuggaat asiakasta. Vanhentunut välittäjä palauttaa julkisen vastauksen, joka näyttää täsmälleen puuttuvalta päätepisteeltä.

Gateway-tila ja Direct-tila eivät ole vaihdettavissa

Gateway-tila lähettää palvelupyynnöt HTTPS:n kautta TCP 443:ssa. Siksi vain porttiin 443 rajoittuva palomuurikäytäntö toimii sen kanssa ja siksi tämä esimerkki valitsee sen tarkoituksella.

Direct-tilalla Private Linkin kautta on erilaiset yhteysoletukset, mukaan lukien laajempi TCP-porttialue, jonka tilin dokumentaatio luettelee. Gateway-tilalle kirjoitettua käytäntöä ei saa hiljaa käyttää uudelleen Direct-tilan asiakkaalle, tai SDK yhdistää ja jää sitten jumiin ensimmäisessä datatoiminnossa.

Valitse yksi tila, kirjoita se ylös tilin yhteyteen ja sovita verkkokäytäntö siihen. Tilaa vianmäärityksen aikana vaihtavat tiimit päätyvät yleensä palomuurisääntösarjaan, joka ei tyydytä kumpaakaan.

Julkisen käytön poistaminen on erillinen kytkin

Jos tilin pitäisi olla vain yksityinen, poista julkinen verkkokäyttö käytöstä tilin tuetun asetuksen kautta ja varmista tulos. Älä pidä yksityisen päätepisteen olemassaoloa täydellisenä käyttöpäätöksenä, koska tili, jolla on yksityinen päätepiste ja julkinen käyttö käytössä, vastaa edelleen internetissä.

Varmista VPN:n ulkopuolelta sekä sisältä. Pyyntö verkosta, joka pitäisi sulkea pois, on testi, joka todistaa asetuksen tulleen voimaan, ja se on testi, jonka useimmat muutosikkunat jättävät väliin.

Tavoitettavuus ei ole lupa

Sallittu SDK-toiminto VPN-kannettavalta on hyväksymistesti, käyttäen tavallista tilin URL-osoitetta ja aiottua identiteettiä. VPN:n tavoitettavuus ei myönnä Cosmos-datan käyttöoikeuksia; datataso tarkistaa omat roolinsa tai avaimensa.

Aja sitten hylkäykset: eri identiteetti ja verkkopolku, jonka ei enää pitäisi saavuttaa tiliä. Jos jompikumpi onnistuu, dokumentoimasi raja ei ole rakentamasi raja.

Kirjoita lopuksi neljä tosiasiaa: päätepisteen yksityiset osoitteet, DNS-vyöhyke, joka vastaa tilin nimestä, yhteystila porttivaatimuksineen ja se, onko julkinen käyttö poistettu käytöstä. Nämä neljä selittävät asetukset seuraavalle henkilölle, ja jokainen niistä epäonnistuu itsenäisesti.