Вашиот VPN сам по себе не го прави Cosmos DB приватен

Го поврзувате лаптопот со VNet преку VPN, ја отворате URL-адресата на сметката Cosmos DB, а барањето уште излегува преку јавниот интернет. Тунелот ја заврши својата работа. Она што не го направи е да создаде приватна крајна точка, да го објави приватниот DNS запис или да го исклучи јавниот пристап, бидејќи тоа се три одделни промени на сметката, а не својства на вашата мрежна врска. Овој пример користи Azure Cosmos DB за NoSQL, приватна крајна точка во VNet и лаптоп поврзан со тој VNet преку VPN, и ја задржува адресата на апликацијата непроменета.

Мит: престојот на VPN ја прави базата на податоци приватна

Престојот на VNet значи само дека вашите пакети можат да стигнат до приватни адреси во тој VNet. Тоа не кажува ништо за тоа каде се решава името на сметката и не кажува ништо за тоа дали сметката уште прифаќа јавен сообраќај.

Приватната крајна точка е одделен ресурс со сопствена адреса, сопствен чекор на одобрување и сопствено DNS поврзување. Додека не постои и не биде одобрена, името се решава на јавната крајна точка и вашиот сообраќај оди таму без оглед на тунелот.

Што всушност прави името да се решава приватно

Задржете ја вообичаената крајна точка на сметката од SDK, нешто како https://ACCOUNT.documents.azure.com. Приватниот DNS треба да го реши тоа име преку синџирот Private Link до приватните адреси на крајната точка. Не заменувајте ја со нумеричка URL-адреса и не исклучувајте ги проверките на сертификатот, бидејќи тоа заменува DNS проблем за безбедносен проблем.

Тие вредности се специфични за NoSQL API. Другите Cosmos API не се заменливи записи во истиот пример, а копирањето на името на подресурсот од друг API создава крајна точка што никогаш не се решава.

Создадете и одобрете ја крајната точка преку овластениот работен тек на Azure, потоа користете ја нејзината интеграција со група приватни DNS зони. На лаптопот му треба решавач што може да одговори за таа зона, или директно или преку одобрено препраќање, и VPN рута на клиентот до секоја релевантна адреса на крајната точка.

Приватната крајна точка може да има повеќе од една адреса, вклучувајќи глобални и регионални записи. Одржувајте ја DNS интеграцијата кога регионите на сметката се менуваат, наместо да закачувате една адреса во датотека hosts, и запомнете дека одговорот од неповрзан јавен решавач не докажува ништо за приватната патека. Ако препраќате DNS преку центар, потврдете дека препраќачот одговара пред да го отстранувате дефектот на клиентот. Застарен препраќач го враќа јавниот одговор, што изгледа точно како крајна точка што недостасува.

Режимот Gateway и режимот Direct не се заменливи

Режимот Gateway ги испраќа барањата за услугата преку HTTPS на TCP 443. Затоа firewall политика само за 443 работи за него и затоа овој пример свесно го избира.

Режимот Direct преку Private Link има различни барања за поврзување, вклучувајќи поширок опсег на TCP порти што го наведува документацијата на сметката. Политика напишана за режимот Gateway не смее тивко да се користи повторно за клиент во режим Direct, инаку SDK ќе се поврзе и потоа ќе заглави при првата операција со податоци.

Изберете еден режим, запишете го заедно со сметката и усогласете ја мрежната политика со него. Тимовите што го менуваат режимот при отстранување проблеми обично завршуваат со множество firewall правила што не задоволува ниту еден.

Исклучувањето на јавниот пристап е одделен прекинувач

Ако сметката треба да биде само приватна, исклучете го јавниот мрежен пристап преку поддржаната поставка на сметката и проверете го резултатот. Не гледајте на постоењето на приватна крајна точка како на целосна одлука за пристап, бидејќи сметка со приватна крајна точка и вклучен јавен пристап уште одговара на интернет.

Проверете од надвор од VPN, како и одвнатре. Барањето од мрежа што треба да биде исклучена е тестот што докажува дека поставката стапила на сила, и тоа е тестот што повеќето прозорци за промени го прескокнуваат.

Достапноста не е дозвола

Дозволена SDK операција од лаптопот на VPN е тестот за прифаќање, со вообичаената URL-адреса на сметката и предвидениот идентитет. Достапноста преку VPN не дава Cosmos дозволи за податоци; рамнината на податоци ги проверува сопствените улоги или клучеви.

Потоа извршете ги одбивањата: различен идентитет и мрежна патека што веќе не треба да стигне до сметката. Ако некое од двете успее, границата што ја документиравте не е границата што ја изградивте.

Кога ќе завршите, запишете четири факти: приватните адреси на крајната точка, DNS зоната што одговара за името на сметката, режимот на поврзување со неговите барања за порти и дали јавниот пристап е исклучен. Овие четири ѝ ја објаснуваат поставката на следната личност, и секој од нив независно пропаѓа.