VPN-ið þitt tryggir ekki einkaaðgang að Cosmos DB eitt og sér

Þú tengir fartölvuna við VNetið í gegnum VPN, opnar slóð Cosmos DB reikningsins, og beiðnin fer samt út um hið opinbera internet. Göngin gerðu sitt. Það sem þau gerðu ekki var að búa til einkatengingarstöð, birta einkaskrá DNS eða slökkva á opinberum aðgangi, því þetta eru þrjár aðskildar breytingar á reikningnum en ekki eiginleikar nettengingarinnar þinnar. Þetta dæmi notar Azure Cosmos DB fyrir NoSQL, einkatengingarstöð í VNet og fartölvu sem er tengd við það VNet með VPN, og það heldur slóð forritsins óbreyttri.

Goðsögnin: VPNið eitt og sér lokar gagnagrunninum

Að vera á VNetinu þýðir aðeins að pakkarnir þínir geta náð einkatölvuslóðum í því VNeti. Það segir ekkert um hvar nafn reikningsins er leyst, og það segir ekkert um hvort reikningurinn taki enn við opinberri umferð.

Einkatengingarstöð er aðskilin auðlind með eigin slóð, eigið samþykkisþrep og eigin DNS-vírun. Þangað til hún er til og samþykkt leysist nafnið á opinberu tengingarstöðina og umferðin þín fer þangað óháð göngunum.

Hvað lætur nafnið raunverulega leysast á einkan hátt

Haltu venjulegri reikningsstöð SDK, eitthvað eins og https://ACCOUNT.documents.azure.com. Einkadns ætti að leysa það nafn í gegnum Private Link keðjuna á einkatölvuslóðir tengingarstöðvarinnar. Ekki skipta henni út fyrir tölulega slóð og slökkva á vottorðaprófunum, því það skiptir DNS-vanda fyrir öryggisvanda.

Þessi gildi eru sértæk fyrir NoSQL API. Önnur Cosmos API eru ekki skiptanlegar færslur í sama dæmi, og að afrita nafn undirauðlindar úr öðru API framleiðir tengingarstöð sem leysist aldrei.

Búðu til og samþykktu tengingarstöðina í gegnum heimilað Azure vinnuflæði, notaðu svo samþættingu hennar við einkadns-svæðishóp. Fartölvan þarf leysir sem getur svarað fyrir það svæði, annaðhvort beint eða í gegnum samþykkta framsendingu, og VPN-biðlaraleið að hverri viðeigandi slóð tengingarstöðvarinnar.

Einkatengingarstöð getur haft fleiri en eina slóð, þar á meðal alheims- og svæðisfærslur. Viðhaltu DNS-samþættingunni þegar svæði reikningsins breytast í stað þess að festa eina slóð í hosts-skrá, og mundu að svar frá ótengdum opinberum leysi sannar ekkert um einkaleiðina. Ef þú framsendir DNS í gegnum hub skaltu staðfesta að framsendirinn svari áður en þú kembir biðlarann. Úreltur framsendir skilar opinbera svarinu, sem lítur nákvæmlega út eins og vantar tengingarstöð.

Gateway-stilling og Direct-stilling eru ekki skiptanlegar

Gateway-stilling sendir þjónustubeiðnir um HTTPS á TCP 443. Þess vegna virkar eldveggjarstefna aðeins fyrir 443 með henni og þess vegna velur þetta dæmi hana viljandi.

Direct-stilling um Private Link hefur aðrar tengikröfur, þar á meðal breiðara TCP-portabil sem skjöl reikningsins telja upp. Stefna sem skrifuð er fyrir Gateway-stillingu má ekki endurnýta hljóðlega fyrir biðlara í Direct-stillingu, annars tengist SDK og stöðvast svo á fyrstu gagnaaðgerð.

Veldu eina stillingu, skrifaðu hana niður með reikningnum og láttu netstefnuna passa við hana. Teymi sem skipta um stillingu við bilanaleit enda venjulega með eldveggjarreglusett sem fullnægir hvorugri.

Að slökkva á opinberum aðgangi er sérstakur rofi

Ef reikningurinn á að vera aðeins einkamál skal slökkva á opinberum netaðgangi í gegnum studda stillingu reikningsins og staðfesta niðurstöðuna. Ekki líta á tilvist einkatengingarstöðvar sem fullnaðarákvörðun um aðgang, því reikningur með einkatengingarstöð og virkan opinberan aðgang svarar enn á internetinu.

Staðfestu utan VPNsins sem og innan. Beiðni frá neti sem ætti að vera útilokað er prófið sem sannar að stillingin tók gildi, og það er prófið sem flest breytingagluggar sleppa.

Aðgengi er ekki leyfi

Heimiluð SDK-aðgerð frá VPN-fartölvunni er samþykkisprófið, með venjulegri slóð reikningsins og tilætluðu auðkenni. VPN-aðgengi veitir ekki Cosmos-gagnheimildir; gagnasviðið athugar eigin hlutverk eða lykla.

Keyrðu svo synjanirnar: annað auðkenni og netleið sem á ekki lengur að ná reikningnum. Ef annað hvort tekst er mörkin sem þú skjalfestir ekki mörkin sem þú byggðir.

Skrifaðu niður fjórar staðreyndir þegar þú klárar: einkaslóðir tengingarstöðvarinnar, DNS-svæðið sem svarar fyrir nafn reikningsins, tengistillingin með portkröfum sínum og hvort opinberum aðgangi sé slökkt. Þessar fjórar útskýra uppsetninguna fyrir næstu manneskju, og hver þeirra bregst óháð.