आपका VPN अपने आप Cosmos DB को निजी नहीं बनाता
VPN आपके लैपटॉप को नेटवर्क पर लाता है, डेटाबेस के अंदर नहीं। देखें कि निजी एंडपॉइंट, DNS ज़ोन, कनेक्शन मोड और अकाउंट एक्सेस को क्या करना चाहिए।
आप VPN के ज़रिए लैपटॉप को VNet से जोड़ते हैं, Cosmos DB अकाउंट का URL खोलते हैं, और अनुरोध फिर भी सार्वजनिक इंटरनेट से बाहर जाता है। सुरंग ने अपना काम किया। जो उसने नहीं किया वह निजी एंडपॉइंट बनाना, निजी DNS रिकॉर्ड प्रकाशित करना या सार्वजनिक एक्सेस बंद करना था, क्योंकि ये अकाउंट में तीन अलग बदलाव हैं, आपके नेटवर्क कनेक्शन के गुण नहीं। यह उदाहरण NoSQL के लिए Azure Cosmos DB, VNet में एक निजी एंडपॉइंट और VPN से उस VNet से जुड़े लैपटॉप का उपयोग करता है, और यह एप्लिकेशन का पता अपरिवर्तित रखता है।
मिथक: VPN पर होना डेटाबेस को निजी बना देता है
VNet पर होने का मतलब केवल यह है कि आपके पैकेट उस VNet के निजी पतों तक पहुँच सकते हैं। यह इस बारे में कुछ नहीं कहता कि अकाउंट का नाम कहाँ हल होता है, और यह इस बारे में भी कुछ नहीं कहता कि अकाउंट अभी भी सार्वजनिक ट्रैफ़िक स्वीकार करता है या नहीं।
निजी एंडपॉइंट एक अलग संसाधन है जिसका अपना पता, अपना स्वीकृति चरण और अपनी DNS वायरिंग है। जब तक यह मौजूद नहीं होता और स्वीकृत नहीं होता, नाम सार्वजनिक एंडपॉइंट पर हल होता है और आपका ट्रैफ़िक सुरंग की परवाह किए बिना वहीं जाता है।
वास्तव में नाम को निजी रूप से हल कौन कराता है
SDK का सामान्य अकाउंट एंडपॉइंट रखें, https://ACCOUNT.documents.azure.com जैसा कुछ। निजी DNS को उस नाम को Private Link श्रृंखला के ज़रिए एंडपॉइंट के निजी पतों तक हल करना चाहिए। इसे संख्यात्मक URL से न बदलें और प्रमाणपत्र जाँच बंद न करें, क्योंकि यह DNS समस्या को सुरक्षा समस्या से बदल देता है।
| Example choice | Value |
|---|---|
| Cosmos API | NoSQL |
| Private endpoint subresource | Sql |
| Private DNS zone | privatelink.documents.azure.com |
| SDK connection mode | Gateway |
वे मान NoSQL API के लिए विशिष्ट हैं। अन्य Cosmos API उसी उदाहरण में विनिमेय प्रविष्टियाँ नहीं हैं, और किसी भिन्न API से सबरिसोर्स का नाम कॉपी करने पर ऐसा एंडपॉइंट बनता है जो कभी हल नहीं होता।
अधिकृत Azure वर्कफ़्लो के ज़रिए एंडपॉइंट बनाएँ और स्वीकृत करें, फिर उसके निजी DNS ज़ोन-समूह एकीकरण का उपयोग करें। लैपटॉप को ऐसा रिज़ॉल्वर चाहिए जो उस ज़ोन के लिए उत्तर दे सके, सीधे या स्वीकृत फ़ॉरवर्डिंग के ज़रिए, और हर प्रासंगिक एंडपॉइंट पते के लिए VPN क्लाइंट रूट।
निजी एंडपॉइंट में एक से अधिक पते हो सकते हैं, जिनमें वैश्विक और क्षेत्रीय प्रविष्टियाँ शामिल हैं। अकाउंट के क्षेत्र बदलने पर DNS एकीकरण बनाए रखें, hosts फ़ाइल में एक पता पिन करने के बजाय, और याद रखें कि असंबंधित सार्वजनिक रिज़ॉल्वर का उत्तर निजी मार्ग के बारे में कुछ साबित नहीं करता। यदि आप हब के ज़रिए DNS फ़ॉरवर्ड करते हैं, तो क्लाइंट को डीबग करने से पहले पुष्टि करें कि फ़ॉरवर्डर उत्तर देता है। पुराना फ़ॉरवर्डर सार्वजनिक उत्तर लौटाता है, जो बिल्कुल गुम एंडपॉइंट जैसा दिखता है।
Gateway मोड और Direct मोड विनिमेय नहीं हैं
Gateway मोड सेवा अनुरोधों को TCP 443 पर HTTPS से भेजता है। इसीलिए केवल 443 के लिए बनी फ़ायरवॉल नीति इसके साथ काम करती है और इसीलिए यह उदाहरण इसे जानबूझकर चुनता है।
Private Link पर Direct मोड की कनेक्टिविटी आवश्यकताएँ अलग हैं, जिनमें अकाउंट दस्तावेज़ में सूचीबद्ध व्यापक TCP पोर्ट रेंज शामिल है। Gateway मोड के लिए लिखी नीति को Direct मोड क्लाइंट के लिए चुपचाप दोबारा इस्तेमाल नहीं करना चाहिए, वरना SDK जुड़ जाएगा और फिर पहले डेटा ऑपरेशन पर अटक जाएगा।
एक मोड चुनें, उसे अकाउंट के साथ लिखें, और नेटवर्क नीति को उससे मिलाएँ। समस्या निवारण के दौरान मोड बदलने वाली टीमें आमतौर पर ऐसे फ़ायरवॉल नियम-समूह पर पहुँचती हैं जो दोनों में से किसी को संतुष्ट नहीं करता।
सार्वजनिक एक्सेस बंद करना एक अलग स्विच है
यदि अकाउंट केवल निजी होना चाहिए, तो अकाउंट की समर्थित सेटिंग के ज़रिए सार्वजनिक नेटवर्क एक्सेस बंद करें और परिणाम सत्यापित करें। निजी एंडपॉइंट के अस्तित्व को पूरा एक्सेस निर्णय न मानें, क्योंकि निजी एंडपॉइंट और सक्षम सार्वजनिक एक्सेस वाला अकाउंट अभी भी इंटरनेट पर उत्तर देता है।
VPN के बाहर से भी और अंदर से भी सत्यापित करें। जिस नेटवर्क को बाहर रखा जाना चाहिए, उससे आने वाला अनुरोध वह परीक्षण है जो साबित करता है कि सेटिंग प्रभावी हुई, और यही वह परीक्षण है जिसे अधिकांश परिवर्तन विंडो छोड़ देती हैं।
पहुँच क्षमता अनुमति नहीं है
VPN लैपटॉप से स्वीकृत SDK ऑपरेशन स्वीकृति परीक्षण है, सामान्य अकाउंट URL और इच्छित पहचान का उपयोग करते हुए। VPN पहुँच Cosmos डेटा अनुमतियाँ नहीं देती; डेटा प्लेन अपनी भूमिकाओं या कुंजियों की जाँच करता है।
फिर अस्वीकृतियाँ चलाएँ: एक अलग पहचान, और ऐसा नेटवर्क पथ जो अब अकाउंट तक नहीं पहुँचना चाहिए। यदि इनमें से कोई सफल होता है, तो आपने जो सीमा प्रलेखित की है वह वह सीमा नहीं है जो आपने बनाई है।
समाप्त करते समय चार तथ्य लिखें: एंडपॉइंट के निजी पते, अकाउंट नाम के लिए उत्तर देने वाला DNS ज़ोन, पोर्ट आवश्यकताओं सहित कनेक्शन मोड, और क्या सार्वजनिक एक्सेस बंद है। ये चार अगले व्यक्ति को सेटअप समझाते हैं, और इनमें से हर एक स्वतंत्र रूप से विफल होता है।