तुमचा VPN स्वतःहून Cosmos DB ला खाजगी करत नाही
VPN तुमचा लॅपटॉप नेटवर्कवर आणतो, डेटाबेसच्या आत नाही। खाजगी एंडपॉइंट, DNS झोन, कनेक्शन मोड आणि खाते प्रवेश यांनी काय करावे ते पहा।
तुम्ही VPN द्वारे लॅपटॉप VNet ला जोडता, Cosmos DB खात्याचा URL उघडता, आणि विनंती तरीही सार्वजनिक इंटरनेटवरून बाहेर पडते। बोगद्याने त्याचे काम केले। जे केले नाही ते म्हणजे खाजगी एंडपॉइंट तयार करणे, खाजगी DNS रेकॉर्ड प्रकाशित करणे किंवा सार्वजनिक प्रवेश बंद करणे, कारण हे खात्यावरील तीन वेगळे बदल आहेत, तुमच्या नेटवर्क कनेक्शनचे गुणधर्म नाहीत। हे उदाहरण NoSQL साठी Azure Cosmos DB, VNet मधील खाजगी एंडपॉइंट आणि VPN द्वारे त्या VNet ला जोडलेला लॅपटॉप वापरते, आणि ॲप्लिकेशनचा पत्ता अपरिवर्तित ठेवते।
दंतकथा: VPN वर असणे डेटाबेसला खाजगी करते
VNet वर असणे म्हणजे फक्त तुमचे पॅकेट त्या VNet मधील खाजगी पत्त्यांपर्यंत पोहोचू शकतात। खात्याचे नाव कुठे सोडवले जाते याबद्दल ते काहीही सांगत नाही, आणि खाते अजूनही सार्वजनिक रहदारी स्वीकारते का याबद्दलही काहीही सांगत नाही।
खाजगी एंडपॉइंट हे स्वतःचा पत्ता, स्वतःची मंजुरी पायरी आणि स्वतःची DNS वायरिंग असलेले स्वतंत्र संसाधन आहे। ते अस्तित्वात येईपर्यंत आणि मंजूर होईपर्यंत, नाव सार्वजनिक एंडपॉइंटवर सोडवले जाते आणि बोगद्याची पर्वा न करता तुमची रहदारी तिथे जाते।
खरे तर नाव खाजगीपणे सोडवण्यास काय कारणीभूत ठरते
SDK चा नेहमीचा खाते एंडपॉइंट ठेवा, https://ACCOUNT.documents.azure.com सारखे काहीतरी। खाजगी DNS ने ते नाव Private Link शृंखलेद्वारे एंडपॉइंटच्या खाजगी पत्त्यांवर सोडवले पाहिजे। ते अंकीय URL ने बदलू नका आणि प्रमाणपत्र तपासण्या बंद करू नका, कारण त्यामुळे DNS समस्या सुरक्षा समस्येशी बदलली जाते।
| Example choice | Value |
|---|---|
| Cosmos API | NoSQL |
| Private endpoint subresource | Sql |
| Private DNS zone | privatelink.documents.azure.com |
| SDK connection mode | Gateway |
ती मूल्ये NoSQL API साठी विशिष्ट आहेत। इतर Cosmos API त्याच उदाहरणात अदलाबदल करण्यायोग्य नोंदी नाहीत, आणि दुसऱ्या API मधून उपसंसाधनाचे नाव कॉपी केल्यास कधीही न सोडवले जाणारे एंडपॉइंट तयार होते।
अधिकृत Azure कार्यप्रवाहाद्वारे एंडपॉइंट तयार करा आणि मंजूर करा, नंतर त्याचे खाजगी DNS झोन-गट एकत्रीकरण वापरा। लॅपटॉपला त्या झोनसाठी उत्तर देऊ शकेल असा रिझॉल्व्हर आवश्यक आहे, एकतर थेट किंवा मंजूर फॉरवर्डिंगद्वारे, आणि प्रत्येक संबंधित एंडपॉइंट पत्त्यासाठी VPN क्लायंट मार्ग।
खाजगी एंडपॉइंटला जागतिक आणि प्रादेशिक नोंदींसह एकापेक्षा जास्त पत्ते असू शकतात। खात्याचे प्रदेश बदलल्यावर hosts फाइलमध्ये एकच पत्ता पिन करण्याऐवजी DNS एकत्रीकरण टिकवा, आणि असंबंधित सार्वजनिक रिझॉल्व्हरचे उत्तर खाजगी मार्गाबद्दल काहीही सिद्ध करत नाही हे लक्षात ठेवा। तुम्ही हबमार्फत DNS फॉरवर्ड करत असल्यास, क्लायंट डीबग करण्यापूर्वी फॉरवर्डर उत्तर देतो याची खात्री करा। जुना फॉरवर्डर सार्वजनिक उत्तर परत करतो, जे गहाळ एंडपॉइंटसारखेच दिसते।
Gateway मोड आणि Direct मोड अदलाबदल करण्यायोग्य नाहीत
Gateway मोड सेवा विनंत्या TCP 443 वर HTTPS द्वारे पाठवतो। म्हणूनच केवळ 443 साठीचे फायरवॉल धोरण त्याच्यासोबत चालते आणि म्हणूनच हे उदाहरण ते जाणीवपूर्वक निवडते।
Private Link द्वारे Direct मोडच्या कनेक्टिव्हिटीच्या आवश्यकता वेगळ्या आहेत, त्यात खाते दस्तऐवजात सूचीबद्ध केलेली विस्तृत TCP पोर्ट श्रेणी समाविष्ट आहे। Gateway मोडसाठी लिहिलेले धोरण Direct मोड क्लायंटसाठी शांतपणे पुन्हा वापरू नये, अन्यथा SDK जोडले जाईल आणि नंतर पहिल्या डेटा ऑपरेशनवर अडकेल।
एक मोड निवडा, तो खात्यासोबत लिहून ठेवा, आणि नेटवर्क धोरण त्याला जुळवा। समस्या निवारणादरम्यान मोड बदलणाऱ्या संघांकडे सहसा दोन्हीपैकी कोणतेही समाधान करणारे नसलेले फायरवॉल नियम संच असतात।
सार्वजनिक प्रवेश बंद करणे हा वेगळा स्विच आहे
खाते केवळ खाजगी असावे असे असल्यास, खात्याच्या समर्थित सेटिंगद्वारे सार्वजनिक नेटवर्क प्रवेश बंद करा आणि निकाल पडताळा। खाजगी एंडपॉइंटचे अस्तित्व पूर्ण प्रवेश निर्णय मानू नका, कारण खाजगी एंडपॉइंट आणि सक्षम सार्वजनिक प्रवेश असलेले खाते अजूनही इंटरनेटवर उत्तर देते।
VPN बाहेरून आणि आतूनही पडताळा। जे नेटवर्क वगळले पाहिजे त्यातून आलेली विनंती ही सेटिंग अमलात आल्याचे सिद्ध करणारी चाचणी आहे, आणि हीच ती चाचणी आहे जी बहुतेक बदल विंडो वगळतात।
पोहोचण्याची क्षमता परवानगी नाही
VPN लॅपटॉपवरून मंजूर SDK ऑपरेशन ही स्वीकृती चाचणी आहे, नेहमीचा खाते URL आणि इच्छित ओळख वापरून। VPN पोहोच Cosmos डेटा परवानग्या देत नाही; डेटा प्लेन स्वतःच्या भूमिका किंवा की तपासते।
नंतर नकार चालवा: वेगळी ओळख, आणि आता खात्यापर्यंत पोहोचू नये असा नेटवर्क मार्ग। यापैकी कोणतेही यशस्वी झाल्यास, तुम्ही दस्तऐवजीकृत केलेली सीमा ही तुम्ही बांधलेली सीमा नाही।
पूर्ण झाल्यावर चार तथ्ये लिहा: एंडपॉइंटचे खाजगी पत्ते, खात्याच्या नावासाठी उत्तर देणारा DNS झोन, पोर्ट आवश्यकतांसह कनेक्शन मोड, आणि सार्वजनिक प्रवेश बंद आहे का। हे चार पुढील व्यक्तीला सेटअप समजावतात, आणि प्रत्येक स्वतंत्रपणे अयशस्वी होते।