თქვენი VPN დამოუკიდებლად არ აქცევს Cosmos DB-ს კერძოს
VPN თქვენს ლეპტოპს ქსელში მიჰყავს, არა მონაცემთა ბაზის შიგნით. ნახეთ, რა უნდა გააკეთონ კერძო ბოლო წერტილმა, DNS ზონამ, კავშირის რეჟიმმა და ანგარიშზე წვდომამ.
თქვენ ლეპტოპს VPN-ის მეშვეობით VNet-ს უერთებთ, ხსნით Cosmos DB ანგარიშის URL-ს და მოთხოვნა მაინც საჯარო ინტერნეტით გადის. გვირაბმა თავისი საქმე გააკეთა. რაც არ გააკეთა, ეს იყო კერძო ბოლო წერტილის შექმნა, კერძო DNS ჩანაწერის გამოქვეყნება ან საჯარო წვდომის გამორთვა, რადგან ეს ანგარიშზე სამი ცალკე ცვლილებაა და არა თქვენი ქსელური კავშირის თვისებები. ეს მაგალითი იყენებს Azure Cosmos DB-ს NoSQL-ისთვის, კერძო ბოლო წერტილს VNet-ში და VPN-ით ამ VNet-ზე დაკავშირებულ ლეპტოპს, და ის აპლიკაციის მისამართს უცვლელად ტოვებს.
მითი: VPN-ზე ყოფნა მონაცემთა ბაზას კერძოს ხდის
VNet-ზე ყოფნა მხოლოდ იმას ნიშნავს, რომ თქვენს პაკეტებს შეუძლიათ ამ VNet-ის კერძო მისამართებამდე მიაღწიონ. ეს არაფერს ამბობს იმაზე, სად იხსნება ანგარიშის სახელი, და არაფერს ამბობს იმაზე, ჯერ კიდევ იღებს თუ არა ანგარიში საჯარო ტრაფიკს.
კერძო ბოლო წერტილი ცალკე რესურსია საკუთარი მისამართით, საკუთარი დამტკიცების საფეხურით და საკუთარი DNS გაყვანილობით. სანამ ის არსებობს და დამტკიცდება, სახელი საჯარო ბოლო წერტილზე იხსნება და თქვენი ტრაფიკი იქ მიდის გვირაბის მიუხედავად.
რა ხდის სინამდვილეში სახელის კერძოდ გადაწყვეტას
შეინარჩუნეთ SDK-ის ჩვეულებრივი ანგარიშის ბოლო წერტილი, რაღაც https://ACCOUNT.documents.azure.com-ის მსგავსი. კერძო DNS-მა ეს სახელი Private Link ჯაჭვის მეშვეობით ბოლო წერტილის კერძო მისამართებზე უნდა გადაწყვიტოს. ნუ ჩაანაცვლებთ მას რიცხვითი URL-ით და ნუ გამორთავთ სერტიფიკატის შემოწმებებს, რადგან ეს DNS პრობლემას უსაფრთხოების პრობლემაში ცვლის.
| Example choice | Value |
|---|---|
| Cosmos API | NoSQL |
| Private endpoint subresource | Sql |
| Private DNS zone | privatelink.documents.azure.com |
| SDK connection mode | Gateway |
ეს მნიშვნელობები NoSQL API-ისთვისაა დამახასიათებელი. სხვა Cosmos API-ები იმავე მაგალითში ურთიერთშემცვლელი ჩანაწერები არ არის, და ქვერესურსის სახელის სხვა API-დან კოპირება ქმნის ბოლო წერტილს, რომელიც არასოდეს იხსნება.
შექმენით და დაამტკიცეთ ბოლო წერტილი უფლებამოსილი Azure სამუშაო პროცესის მეშვეობით, შემდეგ გამოიყენეთ მისი კერძო DNS ზონების ჯგუფის ინტეგრაცია. ლეპტოპს სჭირდება რეზოლვერი, რომელსაც შეუძლია ამ ზონაზე პასუხის გაცემა, ან პირდაპირ, ან დამტკიცებული გადაგზავნის მეშვეობით, და VPN კლიენტის მარშრუტი ყველა შესაბამის ბოლო წერტილის მისამართზე.
კერძო ბოლო წერტილს შეიძლება ჰქონდეს ერთზე მეტი მისამართი, მათ შორის გლობალური და რეგიონალური ჩანაწერები. შეინარჩუნეთ DNS ინტეგრაცია, როცა ანგარიშის რეგიონები იცვლება, hosts ფაილში ერთი მისამართის ჩამაგრების ნაცვლად, და გახსოვდეთ, რომ დაუკავშირებელი საჯარო რეზოლვერის პასუხი კერძო გზაზე არაფერს ამტკიცებს. თუ DNS-ს ჰაბის მეშვეობით გადასცემთ, დაადასტურეთ, რომ გადამცემი პასუხობს, სანამ კლიენტს გამართავთ. მოძველებული გადამცემი საჯარო პასუხს აბრუნებს, რაც ზუსტად დაკარგულ ბოლო წერტილს ჰგავს.
Gateway რეჟიმი და Direct რეჟიმი ურთიერთშემცვლელი არ არის
Gateway რეჟიმი სერვისის მოთხოვნებს HTTPS-ით TCP 443-ზე აგზავნის. ამიტომ მხოლოდ 443-ზე დაწერილი firewall პოლიტიკა მუშაობს მასთან და ამიტომ ეს მაგალითი მას განზრახ ირჩევს.
Private Link-ის მეშვეობით Direct რეჟიმს განსხვავებული კავშირის მოთხოვნები აქვს, მათ შორის უფრო ფართო TCP პორტების დიაპაზონი, რომელსაც ანგარიშის დოკუმენტაცია ჩამოთვლის. Gateway რეჟიმისთვის დაწერილი პოლიტიკა ჩუმად არ უნდა იქნას ხელახლა გამოყენებული Direct რეჟიმის კლიენტისთვის, თორემ SDK დაუკავშირდება და შემდეგ პირველ მონაცემთა ოპერაციაზე ჩამოიკიდება.
აირჩიეთ ერთი რეჟიმი, ჩაწერეთ ის ანგარიშთან ერთად და ქსელური პოლიტიკა მას შეუსაბამეთ. გამართვის დროს რეჟიმის შემცვლელი გუნდები ჩვეულებრივ firewall წესების ერთობლიობით სრულდებიან, რომელიც არც ერთს არ აკმაყოფილებს.
საჯარო წვდომის გამორთვა ცალკე გადამრთველია
თუ ანგარიში მხოლოდ კერძო უნდა იყოს, გამორთეთ საჯარო ქსელური წვდომა ანგარიშის მხარდაჭერილი პარამეტრით და გადაამოწმეთ შედეგი. ნუ მიიჩნევთ კერძო ბოლო წერტილის არსებობას წვდომის სრულ გადაწყვეტილებად, რადგან კერძო ბოლო წერტილისა და ჩართული საჯარო წვდომის მქონე ანგარიში მაინც პასუხობს ინტერნეტში.
გადაამოწმეთ VPN-ის გარედანაც და შიგნიდანაც. მოთხოვნა იმ ქსელიდან, რომელიც უნდა გამოირიცხოს, არის ტესტი, რომელიც ამტკიცებს, რომ პარამეტრი ძალაში შევიდა, და ეს არის ის ტესტი, რომელსაც ცვლილებების ფანჯრების უმეტესობა გამოტოვებს.
მიღწევადობა ნებართვა არ არის
VPN ლეპტოპიდან დაშვებული SDK ოპერაცია მიღების ტესტია, ანგარიშის ჩვეულებრივი URL-ისა და განზრახული იდენტობის გამოყენებით. VPN მიღწევადობა Cosmos მონაცემთა ნებართვებს არ იძლევა; მონაცემთა სიბრტყე საკუთარ როლებს ან გასაღებებს ამოწმებს.
შემდეგ გაუშვით უარები: სხვა იდენტობა და ქსელური გზა, რომელიც აღარ უნდა აღწევდეს ანგარიშამდე. თუ რომელიმე მათგანი წარმატდება, თქვენ მიერ დოკუმენტირებული საზღვარი არ არის ის საზღვარი, რომელიც თქვენ ააგეთ.
დასრულებისას ჩაწერეთ ოთხი ფაქტი: ბოლო წერტილის კერძო მისამართები, DNS ზონა, რომელიც ანგარიშის სახელზე პასუხობს, კავშირის რეჟიმი თავისი პორტის მოთხოვნებით და გამორთულია თუ არა საჯარო წვდომა. ეს ოთხი განმარტავს კონფიგურაციას შემდეგი ადამიანისთვის, და თითოეული მათგანი დამოუკიდებლად ვარდება.