Сиздин VPN Cosmos DB-ны өз алдынча жеке кылбайт
VPN ноутбукуңузду тармакка чыгарат, маалымат базасынын ичине эмес. Жеке акыркы чекит, DNS аймагы, туташуу режими жана каттоо эсебине жетүү эмне кылышы керектигин караңыз.
Ноутбукту VPN аркылуу VNetке туташтырасыз, Cosmos DB каттоо эсебинин URL дарегин ачасыз, бирок сурам дагы эле коомдук интернет аркылуу чыгат. Туннель өз ишин аткарды. Ал аткарбаганы – жеке акыркы чекит түзүү, жеке DNS жазуусун жарыялоо же коомдук жетүүнү өчүрүү, анткени булар каттоо эсебине жасалган үч өзүнчө өзгөртүү, тармактык туташууңуздун касиеттери эмес. Бул мисал NoSQL үчүн Azure Cosmos DB, VNet ичиндеги жеке акыркы чекит жана VPN аркылуу ошол VNetке туташкан ноутбукту колдонот жана колдонмо дарегин өзгөртпөйт.
Уламыш: VPNде болуу маалымат базасын жеке кылат
VNetте болуу пакеттериңиз ошол VNetтеги жеке даректерге жете аларын гана билдирет. Ал каттоо эсебинин аты кайда чечилерин тууралуу эч нерсе айтпайт жана каттоо эсеби дагы эле коомдук трафикти кабыл алабы, ал тууралуу да эч нерсе айтпайт.
Жеке акыркы чекит – өз дареги, өз бекитүү кадамы жана өз DNS зымдары бар өзүнчө ресурс. Ал болбой жана бекитилмейинче, ат коомдук акыркы чекитке чечилет жана туннелге карабастан трафигиңиз ошол жакка кетет.
Атты жеке чечүүгө чындыгында эмне себеп болот
SDKнын кадимки каттоо эсебинин акыркы чекитин сактаңыз, https://ACCOUNT.documents.azure.com сыяктуу нерсе. Жеке DNS ошол атты Private Link тизмеги аркылуу акыркы чекиттин жеке даректерине чечүүгө тийиш. Аны сандык URL менен алмаштырып, сертификат текшерүүлөрүн өчүрбөңүз, анткени бул DNS маселесин коопсуздук маселесине алмаштырат.
| Example choice | Value |
|---|---|
| Cosmos API | NoSQL |
| Private endpoint subresource | Sql |
| Private DNS zone | privatelink.documents.azure.com |
| SDK connection mode | Gateway |
Бул маанилер NoSQL APIге таандык. Башка Cosmos APIлер бир мисалдагы алмаштырылуучу жазуулар эмес, жана башка APIден кошумча ресурстун атын көчүрүү эч качан чечилбеген акыркы чекитти жаратат.
Акыркы чекитти ыйгарым укуктуу Azure жумуш агымы аркылуу түзүңүз жана бекитиңиз, андан кийин анын жеке DNS аймактар тобу менен интеграциясын колдонуңуз. Ноутбукка ошол аймакка жооп бере алган чечүүчү керек, түз же бекитилген кайра багыттоо аркылуу, жана ар бир тиешелүү акыркы чекит дарегине VPN кардарынын маршруту.
Жеке акыркы чекиттин дүйнөлүк жана аймактык жазууларды кошкондо бирден ашык дареги болушу мүмкүн. Каттоо эсебинин аймактары өзгөргөндө DNS интеграциясын карманыңыз, hosts файлында бир даректи бекитүүнүн ордуна, жана байланышы жок коомдук чечүүчүнүн жообу жеке жол тууралуу эч нерсени далилдебей турганын унутпаңыз. DNSти хаб аркылуу өткөрсөңүз, кардарды жөндөөдөн мурун өткөргүчтүн жооп берерин тастыктаңыз. Эскирген өткөргүч коомдук жоопту кайтарат, ал жоголгон акыркы чекитке так окшош.
Gateway режими жана Direct режими алмаштырылбайт
Gateway режими кызмат сурамдарын TCP 443тө HTTPS аркылуу жөнөтөт. Ошондуктан ага 443кө гана арналган firewall саясаты жарайт жана ошондуктан бул мисал аны атайын тандайт.
Private Link аркылуу Direct режиминин башка туташуу талаптары бар, анын ичинде каттоо эсебинин документтеринде көрсөтүлгөн кененирээк TCP порт диапазону. Gateway режимине жазылган саясатты Direct режимдеги кардарга үнсүз кайра колдонууга болбойт, болбосо SDK туташып, андан кийин биринчи маалымат операциясында илинип калат.
Бир режимди тандаңыз, аны каттоо эсеби менен жазып коюңуз жана тармак саясатын ага ылайыктоо керек. Көйгөйлөрдү чечүү учурунда режимди алмаштырган топтор адатта экөөнө тең жооп бербеген firewall эрежелер жыйнагы менен бүтөт.
Коомдук жетүүнү өчүрүү – өзүнчө которуштургуч
Эгер каттоо эсеби жалаң жеке болушу керек болсо, коомдук тармакка жетүүнү каттоо эсебинин колдоого алынган жөндөөсү аркылуу өчүрүп, жыйынтыкты текшериңиз. Жеке акыркы чекиттин бар экенин толук жетүү чечими деп эсептебеңиз, анткени жеке акыркы чекити жана күйгүзүлгөн коомдук жетүүсү бар каттоо эсеби дагы эле интернетте жооп берет.
VPNден сыртта жана ичтен текшериңиз. Четтетилиши керек тармактан келген сурам – жөндөө күчүнө киргенин далилдеген тест, жана бул өзгөртүүлөр терезелеринин көбү өткөрүп жиберген тест.
Жеткиликтүүлүк – уруксат эмес
VPN ноутбугунан уруксат берилген SDK операциясы – кабыл алуу тести, кадимки каттоо эсебинин URLи жана болжолдонгон инсандыгы менен. VPN жеткиликтүүлүгү Cosmos маалымат уруксаттарын бербейт; маалымат тегиздиги өз ролдорун же ачкычтарын текшерет.
Андан кийин баш тартууларды аткарыңыз: башка инсандык жана эми каттоо эсебине жетпеши керек болгон тармак жолу. Эгер алардын бири ийгиликтүү болсо, сиз документтештирген чек – сиз курган чек эмес.
Бүткөндө төрт фактыны жазыңыз: акыркы чекиттин жеке даректери, каттоо эсебинин аты үчүн жооп берген DNS аймагы, порт талаптары менен туташуу режими жана коомдук жетүүнүн өчүрүлгөнү. Бул төртөө конфигурацияны кийинки адамга түшүндүрөт жана алардын ар бири өз алдынча ишке ашпайт.