Сіздің VPN-іңіз Cosmos DB-ны өздігінен жеке етпейді
VPN ноутбугіңізді желіге шығарады, дерекқордың ішіне емес. Жеке соңғы нүкте, DNS аймағы, қосылу режимі және тіркелгіге қатынау не істеуі керектігін қараңыз.
Ноутбукті VPN арқылы VNet-ке қосасыз, Cosmos DB тіркелгісінің URL-ін ашасыз, бірақ сұраныс әлі де жария интернет арқылы шығады. Туннель өз жұмысын атқарды. Ол істемегені – жеке соңғы нүкте құру, жеке DNS жазбасын жариялау немесе жария қатынауды өшіру, өйткені бұлар тіркелгіге жасалатын үш бөлек өзгеріс, желілік қосылысыңыздың қасиеттері емес. Бұл мысал NoSQL үшін Azure Cosmos DB-ны, VNet ішіндегі жеке соңғы нүктені және VPN арқылы сол VNet-ке қосылған ноутбукті пайдаланады және қолданба мекенжайын өзгеріссіз ұстайды.
Аңыз: VPN-де болу дерекқорды жеке етеді
VNet-те болу тек пакеттеріңіз сол VNet-тегі жеке мекенжайларға жете алатынын білдіреді. Ол тіркелгі атауы қайда шешілетіні туралы ештеңе айтпайды және тіркелгі әлі де жария трафикті қабылдай ма, ол туралы да ештеңе айтпайды.
Жеке соңғы нүкте – өз мекенжайы, өз бекіту қадамы және өз DNS сымдары бар бөлек ресурс. Ол болмайынша және бекітілмейінше, атау жария соңғы нүктеге шешіледі және туннельге қарамастан трафигіңіз сонда кетеді.
Атауды жеке шешуге шын мәнінде не себеп болады
SDK-ның қалыпты тіркелгі соңғы нүктесін сақтаңыз, https://ACCOUNT.documents.azure.com тәрізді нәрсе. Жеке DNS сол атауды Private Link тізбегі арқылы соңғы нүктенің жеке мекенжайларына шешуі керек. Оны сандық URL-мен ауыстырып, сертификат тексерулерін өшірмеңіз, өйткені бұл DNS мәселесін қауіпсіздік мәселесіне айырбастайды.
| Example choice | Value |
|---|---|
| Cosmos API | NoSQL |
| Private endpoint subresource | Sql |
| Private DNS zone | privatelink.documents.azure.com |
| SDK connection mode | Gateway |
Бұл мәндер NoSQL API-ға тән. Басқа Cosmos API-лары бір мысалдағы өзара ауыстырылатын жазбалар емес, және басқа API-дан қосымша ресурс атауын көшіру ешқашан шешілмейтін соңғы нүкте жасайды.
Соңғы нүктені уәкілетті Azure жұмыс ағыны арқылы құрып, бекітіңіз, содан кейін оның жеке DNS аймақтар тобымен интеграциясын пайдаланыңыз. Ноутбукке сол аймаққа жауап бере алатын шешуші қажет, тікелей немесе бекітілген қайта бағыттау арқылы, және әрбір тиісті соңғы нүкте мекенжайына VPN клиентінің маршруты.
Жеке соңғы нүктенің жаһандық және аймақтық жазбаларды қоса алғанда, бірнеше мекенжайы болуы мүмкін. Тіркелгі аймақтары өзгергенде DNS интеграциясын ұстаныңыз, hosts файлында бір мекенжайды бекітудің орнына, және байланысы жоқ жария шешушінің жауабы жеке жол туралы ештеңені дәлелдемейтінін есте сақтаңыз. DNS-ті хаб арқылы қайта бағыттасаңыз, клиентті жөндеуге кіріспес бұрын қайта бағыттаушының жауап беретінін растаңыз. Ескірген қайта бағыттаушы жария жауапты қайтарады, ол жоғалған соңғы нүктеге дәл ұқсайды.
Gateway режимі мен Direct режимі өзара ауыстырылмайды
Gateway режимі қызмет сұраныстарын TCP 443-те HTTPS арқылы жібереді. Сондықтан оған тек 443-ке арналған firewall саясаты жарайды және сондықтан бұл мысал оны әдейі таңдайды.
Private Link арқылы Direct режимінің басқа қосылу талаптары бар, оның ішінде тіркелгі құжаттамасында көрсетілген кеңірек TCP порт ауқымы. Gateway режиміне арналған саясатты Direct режимді клиентке үнсіз қайта пайдалануға болмайды, әйтпесе SDK қосылып, содан кейін бірінші деректер операциясында ілініп қалады.
Бір режим таңдаңыз, оны тіркелгімен бірге жазып қойыңыз және желі саясатын оған сәйкестендіріңіз. Ақаулықтарды жою кезінде режимді ауыстыратын топтар әдетте екеуіне де сай келмейтін firewall ережелер жинағымен аяқталады.
Жария қатынауды өшіру – бөлек ажыратқыш
Егер тіркелгі тек жеке болуы керек болса, жария желіге қатынауды тіркелгінің қолдау көрсетілетін параметрі арқылы өшіріп, нәтижені тексеріңіз. Жеке соңғы нүктенің болуын толық қатынау шешімі деп санамаңыз, өйткені жеке соңғы нүктесі және қосылған жария қатынауы бар тіркелгі әлі де интернетте жауап береді.
VPN-нен тыс және ішінен де тексеріңіз. Шығарылуы тиіс желіден келген сұраныс – параметрдің күшіне енгенін дәлелдейтін тест, және бұл өзгерістер терезелерінің көбісі өткізіп жіберетін тест.
Қолжетімділік – рұқсат емес
VPN ноутбугінен рұқсат етілген SDK операциясы – қабылдау тесті, әдеттегі тіркелгі URL-імен және болжамды сәйкестендірумен. VPN қолжетімділігі Cosmos деректер рұқсаттарын бермейді; деректер жазықтығы өз рөлдерін немесе кілттерін тексереді.
Содан кейін бас тартуларды орындаңыз: басқа сәйкестендіру және енді тіркелгіге жетпеуі тиіс желі жолы. Егер солардың біреуі сәтті болса, сіз құжаттаған шекара – сіз салған шекара емес.
Аяқтағанда төрт фактіні жазыңыз: соңғы нүктенің жеке мекенжайлары, тіркелгі атауы үшін жауап беретін DNS аймағы, порт талаптарымен қосылу режимі және жария қатынаудың өшірілгені. Осы төртеуі конфигурацияны келесі адамға түсіндіреді және әрқайсысы дербес сәтсіздікке ұшырайды.