Jo VPN makket Cosmos DB net op himsels privee
In VPN bringt jo laptop op it netwurk, net yn 'e databank. Sjoch wat de privee einpunt, DNS-sône, ferbiningsmodus en accounttagong dwaan moatte.
Jo ferbine de laptop fia in VPN mei it VNet, iepenje de URL fan it Cosmos DB-account, en it fersyk giet noch altyd oer it iepenbiere ynternet. De tunnel die syn wurk. Wat er net die, is in privee einpunt meitsje, it privee DNS-record publisearje of iepenbiere tagong útsette, want dat binne trije aparte feroarings oan it account en gjin eigenskippen fan jo netwurkferbining. Dit foarbyld brûkt Azure Cosmos DB foar NoSQL, in privee einpunt yn in VNet en in laptop dy't fia VPN mei dat VNet ferbûn is, en it hâldt it adres fan de applikaasje ûnferoare.
De myte: op 'e VPN wêze makket de databank privee
Op it VNet wêze betsjut allinnich dat jo pakketten privee adressen yn dat VNet berikke kinne. It seit neat oer wêr't de accountnamme oplost, en it seit neat oer oft it account noch iepenbier ferkear akseptearret.
In privee einpunt is in apart boarne mei syn eigen adres, syn eigen goedkarringstap en syn eigen DNS-bekabeling. Oant it bestiet en goedkard is, lost de namme op nei it iepenbiere einpunt en giet jo ferkear dêrhinne, los fan de tunnel.
Wat de namme eins privee oplosse lit
Hâld it normale account-einpunt fan 'e SDK, eat as https://ACCOUNT.documents.azure.com. Privee DNS moat dy namme fia de Private Link-keten nei de privee adressen fan it einpunt oplosse. Ferfange it net troch in nûmerike URL en skeakelje gjin sertifikaatkontrôles út, want dat ruilet in DNS-probleem foar in feilichheidsprobleem.
| Example choice | Value |
|---|---|
| Cosmos API | NoSQL |
| Private endpoint subresource | Sql |
| Private DNS zone | privatelink.documents.azure.com |
| SDK connection mode | Gateway |
Dy wearden binne spesifyk foar de NoSQL-API. Oare Cosmos-API's binne gjin útwikselbere ynfieringen yn itselde foarbyld, en it kopiearjen fan 'e subboarnenamme fan in oare API leveret in einpunt op dat nea oplost.
Meitsje en goedkar it einpunt fia de autorisearre Azure-wurkstream, brûk dan syn yntegraasje mei privee DNS-sônegroep. De laptop hat in oplosser nedich dy't foar dy sône antwurdzje kin, itsij direkt itsij fia goedkarde trochstjoering, en in VPN-klantrûte nei elk relevant einpuntadres.
In privee einpunt kin mear as ien adres hawwe, ynklusyf globale en regionale ynfieringen. Underhâld de DNS-yntegraasje as de regio's fan it account feroarje, ynstee fan ien adres yn in hosts-bestân fêst te setten, en tink deroan dat in antwurd fan in net-relatearre iepenbiere oplosser neat oer it privee paad bewiist. As jo DNS fia in hub trochstjoere, befêstigje dan dat de trochstjoerder antwurdet foardat jo de klant debugge. In ferâldere trochstjoerder jout it iepenbiere antwurd werom, dat der krekt as in ûntbrekkend einpunt útsjocht.
Gateway-modus en Direct-modus binne net útwikselber
Gateway-modus stjoert tsjinstfersiken oer HTTPS op TCP 443. Dêrom wurket in firewallbelied allinnich foar 443 dêrfoar en dêrom kiest dit foarbyld it bewust.
Direct-modus oer Private Link hat oare ferbiningsfoarsisten, ynklusyf in breder TCP-poartberik dat de accountdokumintaasje neamt. In belied skreaun foar Gateway-modus mei net stilwei wer brûkt wurde foar in Direct-modus-klant, oars sil de SDK ferbine en dan by de earste data-operaasje hingje.
Kies ien modus, skriuw it op by it account, en meitsje it netwurkbelied dêrmei lyk. Teams dy't by it oplossen fan problemen fan modus feroarje, einigje meastentiids mei in firewallregelset dat gjin fan beide befrediget.
Iepenbiere tagong útsette is in aparte skeakel
As it account allinnich privee wêze moat, skeakelje iepenbiere netwurktagong út fia de stipe ynstelling fan it account en ferifiearje it resultaat. Behandelje it bestean fan in privee einpunt net as it folsleine tagongsbeslút, want in account mei in privee einpunt en ynskeakele iepenbiere tagong antwurdet noch op it ynternet.
Ferifiearje fan bûten de VPN likegoed as fan binnen. In fersyk fan in netwurk dat útsletten wurde moat, is de test dy't bewiist dat de ynstelling fan krêft wurden is, en it is de test dy't de measte feroaringsfinsters oerslaan.
Berikberens is gjin tastimming
In tastiene SDK-operaasje fan 'e VPN-laptop is de akseptaasjetest, mei de normale account-URL en de bedoelde identiteit. VPN-berikberens jout gjin Cosmos-datatastimmingen; it dataflak kontrolearret syn eigen rollen of kaaien.
Fier dan de wegeringen út: in oare identiteit en in netwurkpaad dat it account net mear berikke moat. As ien fan beide slagget, is de grins dy't jo dokumintearre hawwe net de grins dy't jo boud hawwe.
Skriuw fjouwer feiten op as jo klear binne: de privee adressen fan it einpunt, de DNS-sône dy't foar de accountnamme antwurdet, de ferbiningsmodus mei syn poartfoarsisten en oft iepenbiere tagong útskeakele is. Dy fjouwer ferklearje de opset oan 'e folgjende persoan, en elk fan harren falt ûnôfhinklik.