A VPN önmagában nem teszi priváttá a Cosmos DB-t

A laptopot VPN-en keresztül csatlakoztatja a VNethez, megnyitja a Cosmos DB-fiók URL-jét, és a kérés mégis a nyilvános interneten keresztül távozik. Az alagút megtette a dolgát. Amit nem tett meg, az a privát végpont létrehozása, a privát DNS-rekord közzététele vagy a nyilvános hozzáférés kikapcsolása, mert ezek három különálló változtatás a fiókon, nem pedig a hálózati kapcsolat tulajdonságai. Ez a példa az Azure Cosmos DB-t használja NoSQL-hez, egy privát végpontot egy VNetben és egy VPN-en keresztül ahhoz a VNethez csatlakoztatott laptopot, és változatlanul hagyja az alkalmazás címét.

A mítosz: a VPN-en lenni priváttá teszi az adatbázist

A VNeten lenni csak azt jelenti, hogy a csomagjai elérik a VNet privát címeit. Ez semmit sem mond arról, hogy hol oldódik fel a fiók neve, és semmit sem mond arról, hogy a fiók továbbra is fogad-e nyilvános forgalmat.

A privát végpont külön erőforrás saját címmel, saját jóváhagyási lépéssel és saját DNS-vezetékeléssel. Amíg nem létezik és nincs jóváhagyva, a név a nyilvános végpontra oldódik fel, és a forgalom oda megy, függetlenül az alagúttól.

Mi teszi valójában priváttá a név feloldását

Tartsa meg az SDK szokásos fiókvégpontját, valami ilyesmit: https://ACCOUNT.documents.azure.com. A privát DNS-nek ezt a nevet a Private Link láncon keresztül a végpont privát címeire kell feloldania. Ne cserélje numerikus URL-re, és ne kapcsolja ki a tanúsítvány-ellenőrzéseket, mert az egy DNS-problémát biztonsági problémára cserél.

Ezek az értékek a NoSQL API-ra jellemzők. A többi Cosmos API nem felcserélhető bejegyzés ugyanabban a példában, és az alerőforrás nevének átmásolása egy másik API-ból olyan végpontot hoz létre, amely soha nem oldódik fel.

Hozza létre és hagyja jóvá a végpontot a jogosult Azure-munkafolyamaton keresztül, majd használja annak privát DNS-zónacsoport-integrációját. A laptopnak olyan feloldóra van szüksége, amely válaszolni tud arra a zónára – akár közvetlenül, akár jóváhagyott továbbításon keresztül –, és VPN-kliens útvonalra minden érintett végpontcímhez.

A privát végpontnak több címe is lehet, beleértve a globális és regionális bejegyzéseket. Tartsa fenn a DNS-integrációt, amikor a fiók régiói változnak, ahelyett hogy egyetlen címet rögzítene egy hosts-fájlban, és ne feledje, hogy egy független nyilvános feloldó válasza semmit sem bizonyít a privát útvonalról. Ha DNS-t továbbít egy hubon keresztül, erősítse meg, hogy a továbbító válaszol, mielőtt a klienst hibakeresné. Az elavult továbbító a nyilvános választ adja vissza, amely pontosan úgy néz ki, mint egy hiányzó végpont.

A Gateway mód és a Direct mód nem felcserélhető

A Gateway mód HTTPS-en, TCP 443-on küldi a szolgáltatáskéréseket. Ezért működik vele a csak 443-ra vonatkozó tűzfalszabály, és ezért választja ezt a példa szándékosan.

A Private Linken keresztüli Direct módnak más kapcsolódási követelményei vannak, köztük a fiókdokumentációban felsorolt szélesebb TCP-porttartomány. A Gateway módhoz írt szabályzatot nem szabad csendben újra felhasználni Direct módú klienshez, különben az SDK csatlakozik, majd az első adatműveletnél lefagy.

Válasszon egy módot, írja le a fiókkal együtt, és igazítsa hozzá a hálózati szabályzatot. A hibaelhárítás közben módot váltó csapatok általában olyan tűzfalszabály-készlettel végzik, amely egyiket sem elégíti ki.

A nyilvános hozzáférés kikapcsolása külön kapcsoló

Ha a fióknak csak privátnak kell lennie, kapcsolja ki a nyilvános hálózati hozzáférést a fiók támogatott beállításán keresztül, és ellenőrizze az eredményt. Ne tekintse a privát végpont létezését a teljes hozzáférési döntésnek, mert a privát végponttal és engedélyezett nyilvános hozzáféréssel rendelkező fiók továbbra is válaszol az interneten.

Ellenőrizze a VPN-en kívülről és belülről is. A kizárandó hálózatból érkező kérés az a teszt, amely bizonyítja, hogy a beállítás hatályba lépett, és ez az a teszt, amelyet a legtöbb változtatási ablak kihagy.

Az elérhetőség nem engedély

A VPN-laptopról engedélyezett SDK-művelet az elfogadási teszt, a fiók szokásos URL-jével és a szándékolt identitással. A VPN-elérhetőség nem ad Cosmos-adatengedélyeket; az adatsík a saját szerepköreit vagy kulcsait ellenőrzi.

Ezután futtassa a megtagadásokat: egy másik identitást és egy hálózati útvonalat, amelynek már nem szabadna elérnie a fiókot. Ha bármelyik sikerül, a dokumentált határ nem az a határ, amelyet felépített.

A végén írjon le négy tényt: a végpont privát címeit, a fiók nevéért válaszoló DNS-zónát, a kapcsolódási módot a portkövetelményeivel, és azt, hogy a nyilvános hozzáférés ki van-e kapcsolva. Ez a négy elmagyarázza a beállítást a következő embernek, és mindegyikük önállóan meghibásodhat.