Jūsu VPN pats par sevi nepadara Cosmos DB privātu

Jūs savienojat klēpjdatoru ar VNet, izmantojot VPN, atverat Cosmos DB konta URL, un pieprasījums joprojām iziet caur publisko internetu. Tunelis izdarīja savu darbu. Tas, ko tas neizdarīja, bija privāta galapunkta izveide, privātā DNS ieraksta publicēšana vai publiskās piekļuves izslēgšana, jo tie ir trīs atsevišķas konta izmaiņas, nevis jūsu tīkla savienojuma īpašības. Šajā piemērā tiek izmantota Azure Cosmos DB NoSQL vajadzībām, privāts galapunkts VNet un klēpjdators, kas ar VPN savienots ar šo VNet, un lietojumprogrammas adrese tiek saglabāta nemainīga.

Mīts: atrašanās VPN padara datu bāzi privātu

Atrašanās VNet nozīmē tikai to, ka jūsu paketes var sasniegt privātās adreses šajā VNet. Tas neko neizsaka par to, kur tiek atrisināts konta nosaukums, un neko neizsaka par to, vai konts joprojām pieņem publisko trafiku.

Privāts galapunkts ir atsevišķs resurss ar savu adresi, savu apstiprināšanas soli un savu DNS vadu. Kamēr tas neeksistē un nav apstiprināts, nosaukums tiek atrisināts uz publisko galapunktu, un jūsu trafiks dodas turp neatkarīgi no tuneļa.

Kas patiešām liek nosaukumam atrisināties privāti

Saglabājiet SDK parasto konta galapunktu, kaut ko līdzīgu https://ACCOUNT.documents.azure.com. Privātajam DNS vajadzētu atrisināt šo nosaukumu caur Private Link ķēdi uz galapunkta privātajām adresēm. Neaizstājiet to ar skaitlisku URL un neizslēdziet sertifikātu pārbaudes, jo tas apmaina DNS problēmu pret drošības problēmu.

Šīs vērtības ir raksturīgas NoSQL API. Citi Cosmos API šajā pašā piemērā nav savstarpēji aizvietojami ieraksti, un apakšresursa nosaukuma kopēšana no cita API rada galapunktu, kas nekad netiek atrisināts.

Izveidojiet un apstipriniet galapunktu, izmantojot autorizēto Azure darbplūsmu, pēc tam izmantojiet tā privāto DNS zonu grupas integrāciju. Klēpjdatoram nepieciešams risinātājs, kas var atbildēt par šo zonu, tieši vai ar apstiprinātu pāradresāciju, un VPN klienta maršruts uz katru attiecīgo galapunkta adresi.

Privātam galapunktam var būt vairāk nekā viena adrese, tostarp globāli un reģionāli ieraksti. Uzturiet DNS integrāciju, kad mainās konta reģioni, tā vietā lai piespraustu vienu adresi hosts failā, un atcerieties, ka nesaistīta publiskā risinātāja atbilde neko nepierāda par privāto ceļu. Ja pāradresējat DNS caur centrmezglu, apstipriniet, ka pāradresētājs atbild, pirms atkļūdojat klientu. Novecojis pāradresētājs atgriež publisko atbildi, kas izskatās tieši tāpat kā trūkstošs galapunkts.

Gateway režīms un Direct režīms nav savstarpēji aizvietojami

Gateway režīms sūta pakalpojuma pieprasījumus pa HTTPS uz TCP 443. Tāpēc ar to darbojas ugunsmūra politika, kas atļauj tikai portu 443, un tāpēc šis piemērs to apzināti izvēlas.

Direct režīmam caur Private Link ir citas savienojamības prasības, tostarp plašāks TCP portu diapazons, ko uzskaita konta dokumentācija. Politiku, kas rakstīta Gateway režīmam, nedrīkst klusējot izmantot Direct režīma klientam, citādi SDK izveidos savienojumu un pēc tam uzkārsies pirmajā datu darbībā.

Izvēlieties vienu režīmu, pierakstiet to kopā ar kontu un saskaņojiet tīkla politiku ar to. Komandas, kas problēmu novēršanas laikā maina režīmu, parasti nonāk pie ugunsmūra noteikumu kopuma, kas neapmierina nevienu no abiem.

Publiskās piekļuves izslēgšana ir atsevišķs slēdzis

Ja kontam jābūt tikai privātam, izslēdziet publisko tīkla piekļuvi, izmantojot konta atbalstīto iestatījumu, un pārbaudiet rezultātu. Neuzskatiet privāta galapunkta esamību par pilnīgu piekļuves lēmumu, jo konts ar privātu galapunktu un iespējotu publisko piekļuvi joprojām atbild internetā.

Pārbaudiet ārpus VPN un arī no iekšpuses. Pieprasījums no tīkla, kuram vajadzētu būt izslēgtam, ir tests, kas pierāda, ka iestatījums stājās spēkā, un tas ir tests, ko izlaiž lielākā daļa izmaiņu logu.

Sasniedzamība nav atļauja

Atļauta SDK darbība no VPN klēpjdatora ir pieņemšanas tests, izmantojot parasto konta URL un paredzēto identitāti. VPN sasniedzamība nepiešķir Cosmos datu atļaujas; datu plakne pārbauda savas lomas vai atslēgas.

Pēc tam izpildiet atteikumus: citu identitāti un tīkla ceļu, kuram vairs nevajadzētu sasniegt kontu. Ja kāds no tiem izdodas, dokumentētā robeža nav tā robeža, kuru jūs uzbūvējāt.

Pabeidzot pierakstiet četrus faktus: galapunkta privātās adreses, DNS zonu, kas atbild par konta nosaukumu, savienojuma režīmu ar tā portu prasībām un to, vai publiskā piekļuve ir izslēgta. Šie četri izskaidro iestatījumu nākamajam cilvēkam, un katrs no tiem neizdodas neatkarīgi.