Ären VPN mécht Cosmos DB net vun eleng privat

Dir verbënnt den Laptop iwwer e VPN mam VNet, oppent d'URL vum Cosmos DB-Kont, an d'Ufro geet nach ëmmer iwwer den ëffentlechen Internet eraus. Den Tunnel huet seng Aarbecht gemaach. Wat en net gemaach huet, ass e private Endpunkt ze schafen, de private DNS-Record ze verëffentlechen oder den ëffentlechen Zougrëff auszeschalten, well dat sinn dräi separat Ännerungen um Kont an net Eegeschafte vun Ärer Netzwierkverbindung. Dëst Beispill benotzt Azure Cosmos DB fir NoSQL, e private Endpunkt an engem VNet an e Laptop, deen iwwer VPN mat deem VNet verbonnen ass, an et hält d'Adress vun der Applikatioun onverännert.

De Mythos: um VPN ze sinn mécht d'Datebank privat

Um VNet ze sinn heescht just, datt Är Pakete privat Adressen an deem VNet kënnen erreechen. Et seet näischt doriwwer, wou den Numm vum Kont opgeléist gëtt, an et seet näischt doriwwer, ob de Kont nach ëffentlechen Traffic akzeptéiert.

E private Endpunkt ass eng separat Ressource mat senger eegener Adress, sengem eegene Genehmegungsschrëtt a senger eegener DNS-Verdraadung. Bis en existéiert an genehmegt ass, gëtt den Numm op den ëffentlechen Endpunkt opgeléist an Ären Traffic geet dohinner, onofhängeg vum Tunnel.

Wat den Numm tatsächlech privat opléist

Behält den normale Kontendpunkt vum SDK, eppes wéi https://ACCOUNT.documents.azure.com. Private DNS soll deen Numm iwwer d'Private Link-Kette op déi privat Adresse vum Endpunkt opléisen. Ersetzt en net duerch eng numeresch URL a schalt d'Zertifikatspréifungen net aus, well dat en DNS-Problem géint e Sécherheetsproblem austauscht.

Déi Wäerter si spezifesch fir d'NoSQL-API. Aner Cosmos-APIë sinn am selwechte Beispill keng austauschbar Entréen, an d'Kopéiere vum Subressourcennumm vun enger anerer API produzéiert en Endpunkt, deen ni opgeléist gëtt.

Erstellt an genehmegt den Endpunkt iwwer den autoriséierte Azure-Workflow a benotzt duerno seng Integratioun mat privaten DNS-Zonegruppen. Den Laptop brauch en Opléiser, deen fir déi Zone äntweren kann, entweder direkt oder iwwer eng genehmegt Weiderleitung, an eng VPN-Client-Route zu all relevanter Endpunktadress.

E private Endpunkt kann méi wéi eng Adress hunn, dorënner global an regional Entréen. Hält d'DNS-Integratioun oprecht, wann d'Regiounen vum Kont sech änneren, amplaz eng eenzeg Adress an enger hosts-Datei festzehalen, a vergiesst net, datt eng Äntwert vun engem onofhängegen ëffentlechen Opléiser näischt iwwer de private Wee beweist. Wann Dir DNS iwwer en Hub weiderleet, bestätegt, datt de Weiderleider äntwert, ier Dir de Client debuggt. E veralteten Weiderleider gëtt déi ëffentlech Äntwert zréck, déi genee wéi en feelenden Endpunkt ausgesäit.

Gateway-Modus an Direct-Modus sinn net austauschbar

De Gateway-Modus schéckt Serviceufroe mat HTTPS iwwer TCP 443. Dofir funktionéiert eng Firewallpolitik nëmme fir 443 domat an dofir wielt dëst Beispill se bewosst.

Den Direct-Modus iwwer Private Link huet aner Konnektivitéitsufuerderungen, dorënner eng méi breet TCP-Portspanne, déi d'Kontdokumentatioun opzielt. Eng Politik, déi fir de Gateway-Modus geschriwwe gouf, däerf net stëlleg fir e Client am Direct-Modus nei benotzt ginn, soss verbënnt sech den SDK an hänkt duerno bei der éischter Datenoperatioun.

Wielt ee Modus, schreift en mam Kont op, a passt d'Netzwierkpolitik un. Teams, déi de Modus beim Troubleshooting wiesselen, hunn meeschtens eng Firewall-Regelset, déi weder dat engt nach dat anert erfëllt.

Den ëffentlechen Zougrëff ausschalten ass en separate Schalter

Wann de Kont nëmme privat soll sinn, deaktivéiert den ëffentlechen Netzwierkzougrëff iwwer déi ënnerstëtzt Astellung vum Kont a kontrolléiert d'Resultat. Betruecht d'Existenz vun engem private Endpunkt net als déi komplett Zougrëffsentscheedung, well e Kont mat engem private Endpunkt an aktivéiertem ëffentlechen Zougrëff nach ëmmer am Internet äntwert.

Kontrolléiert vun ausserhalb vum VPN souwéi vun bannen. Eng Ufro vun engem Netzwierk, dat soll ausgeschloss sinn, ass den Test, deen beweist, datt d'Astellung wirksam gouf, an et ass den Test, deen déi meescht Ännerungsfënstere spréngen.

Erreechbarkeet ass keng Erlaabnis

Eng erlaabte SDK-Operatioun vum VPN-Laptop ass den Akzeptanztest, mat der normaler Kont-URL an der virgesinnener Identitéit. VPN-Erreechbarkeet gëtt keng Cosmos-Datenberechtegungen; d'Dateplang kontrolléiert seng eege Rollen oder Schlësselen.

Duerno fuert d'Oflehnungen aus: eng aner Identitéit an en Netzwierkwee, deen de Kont net méi soll erreechen. Wann eng vun deenen zwou geléngt, ass d'Grenz, déi Dir dokumentéiert hutt, net d'Grenz, déi Dir gebaut hutt.

Schreift véier Fakten op, wann Dir fäerdeg sidd: d'privat Adressen vum Endpunkt, d'DNS-Zone, déi fir den Numm vum Kont äntwert, de Verbindungsmodus mat sengen Ufuerderungen un de Port, an ob den ëffentlechen Zougrëff deaktivéiert ass. Déi véier erklären d'Setup der nächster Persoun, an all eenzel feelt onofhängeg.