Jūsų VPN savarankiškai nepadaro Cosmos DB privataus

Prijungiate nešiojamąjį kompiuterį prie VNet per VPN, atidarote Cosmos DB paskyros URL, o užklausa vis tiek išeina per viešąjį internetą. Tunelis atliko savo darbą. Ko jis nepadarė – nesukūrė privataus galinio taško, nepaskelbė privataus DNS įrašo ir neišjungė viešosios prieigos, nes tai yra trys atskiri paskyros pakeitimai, o ne jūsų tinklo ryšio savybės. Šiame pavyzdyje naudojama Azure Cosmos DB, skirta NoSQL, privatus galinis taškas VNet tinkle ir nešiojamasis kompiuteris, prijungtas prie to VNet per VPN, ir paliekamas nepakeistas programos adresas.

Mitas: buvimas VPN daro duomenų bazę privačią

Buvimas VNet reiškia tik tai, kad jūsų paketai gali pasiekti privačius adresus tame VNet. Tai nieko nesako apie tai, kur išsprendžiamas paskyros pavadinimas, ir nieko nesako apie tai, ar paskyra vis dar priima viešąjį srautą.

Privatus galinis taškas yra atskiras išteklius su savo adresu, savo patvirtinimo žingsniu ir savo DNS laidais. Kol jis neegzistuoja ir nepatvirtintas, pavadinimas išsprendžiamas į viešąjį galinį tašką, ir jūsų srautas eina ten nepriklausomai nuo tunelio.

Kas iš tikrųjų leidžia pavadinimą išspręsti privačiai

Išsaugokite įprastą SDK paskyros galinį tašką, kažką panašaus į https://ACCOUNT.documents.azure.com. Privatus DNS turėtų išspręsti šį pavadinimą per Private Link grandinę į privataus galinio taško adresus. Nekeiskite jo skaitiniu URL ir neišjunkite sertifikatų patikrų, nes tai iškeičia DNS problemą į saugumo problemą.

Šios reikšmės būdingos NoSQL API. Kiti Cosmos API tame pačiame pavyzdyje nėra keičiami įrašai, o papildomo ištekliaus pavadinimo kopijavimas iš kito API sukuria galinį tašką, kuris niekada neišsprendžiamas.

Sukurkite ir patvirtinkite galinį tašką per įgaliotą Azure darbo eigą, tada naudokite jo integraciją su privačių DNS zonų grupe. Nešiojamajam kompiuteriui reikia sprendiklio, kuris gali atsakyti už tą zoną, tiesiogiai arba per patvirtintą persiuntimą, ir VPN kliento maršruto į kiekvieną susijusį galinio taško adresą.

Privatus galinis taškas gali turėti daugiau nei vieną adresą, įskaitant pasaulinius ir regioninius įrašus. Palaikykite DNS integraciją, kai keičiasi paskyros regionai, o ne prisegkite vieną adresą hosts faile, ir atminkite, kad nesusijusio viešojo sprendiklio atsakymas nieko neįrodo apie privatų kelią. Jei persiunčiate DNS per hubą, patvirtinkite, kad persiuntėjas atsako, prieš derindami klientą. Pasenęs persiuntėjas grąžina viešąjį atsakymą, kuris atrodo lygiai taip pat kaip trūkstamas galinis taškas.

Gateway režimas ir Direct režimas nėra keičiami

Gateway režimas siunčia paslaugos užklausas per HTTPS TCP 443. Štai kodėl jam veikia ugniasienės politika, skirta tik 443, ir štai kodėl šis pavyzdys sąmoningai jį pasirenka.

Direct režimas per Private Link turi kitus jungiamumo reikalavimus, įskaitant platesnį TCP prievadų diapazoną, kurį išvardija paskyros dokumentacija. Politika, parašyta Gateway režimui, neturi būti tyliai naudojama Direct režimo klientui, kitaip SDK prisijungs ir tada užstrigs pirmoje duomenų operacijoje.

Pasirinkite vieną režimą, užrašykite jį kartu su paskyra ir suderinkite tinklo politiką. Komandos, kurios trikčių šalinimo metu keičia režimus, paprastai baigia ugniasienės taisyklių rinkiniu, kuris netenkina nė vieno.

Viešosios prieigos išjungimas yra atskiras jungiklis

Jei paskyra turi būti tik privati, išjunkite viešąją tinklo prieigą per palaikomą paskyros nustatymą ir patikrinkite rezultatą. Nelaikykite privataus galinio taško egzistavimo visu prieigos sprendimu, nes paskyra su privačiu galiniu tašku ir įjungta viešąja prieiga vis dar atsako internete.

Patikrinkite išorėje VPN ir viduje. Užklausa iš tinklo, kuris turėtų būti pašalintas, yra testas, įrodantis, kad nustatymas įsigaliojo, ir tai testas, kurį dauguma pakeitimų langų praleidžia.

Pasiekiamumas nėra leidimas

Leidžiama SDK operacija iš VPN nešiojamojo kompiuterio yra priėmimo testas, naudojant įprastą paskyros URL ir numatytą tapatybę. VPN pasiekiamumas nesuteikia Cosmos duomenų leidimų; duomenų plokštuma tikrina savo vaidmenis arba raktus.

Tada paleiskite atmetimus: kitą tapatybę ir tinklo kelią, kuris nebeturėtų pasiekti paskyros. Jei kuris nors pavyksta, dokumentuota riba nėra ta riba, kurią pastatėte.

Baigdami užsirašykite keturis faktus: privataus galinio taško adresus, DNS zoną, kuri atsako už paskyros pavadinimą, prisijungimo režimą su prievadų reikalavimais ir ar viešoji prieiga išjungta. Šie keturi paaiškina sąranką kitam žmogui, ir kiekvienas jų gali nepavykti atskirai.