तपाईंको VPN ले एक्लै Cosmos DB लाई निजी बनाउँदैन
VPN ले तपाईंको ल्यापटपलाई नेटवर्कमा ल्याउँछ, डाटाबेसको भित्र होइन। निजी एन्डपोइन्ट, DNS जोन, जडान मोड र खाता पहुँचले के गर्नुपर्छ हेर्नुहोस्।
तपाईं VPN मार्फत ल्यापटपलाई VNet मा जोड्नुहुन्छ, Cosmos DB खाताको URL खोल्नुहुन्छ, र अनुरोध अझै सार्वजनिक इन्टरनेटबाट बाहिर जान्छ। सुरुङले आफ्नो काम गर्यो। यसले नगरेको कुरा निजी एन्डपोइन्ट सिर्जना गर्नु, निजी DNS रेकर्ड प्रकाशित गर्नु वा सार्वजनिक पहुँच बन्द गर्नु हो, किनकि ती खातामा तीन फरक परिवर्तन हुन्, तपाईंको नेटवर्क जडानका गुण होइनन्। यो उदाहरणले NoSQL का लागि Azure Cosmos DB, VNet मा निजी एन्डपोइन्ट र VPN मार्फत त्यो VNet मा जोडिएको ल्यापटप प्रयोग गर्छ, र एप्लिकेसनको ठेगाना अपरिवर्तित राख्छ।
मिथक: VPN मा हुनुले डाटाबेसलाई निजी बनाउँछ
VNet मा हुनुको अर्थ तपाईंका प्याकेटहरू त्यो VNet का निजी ठेगानाहरूमा पुग्न सक्छन् भन्ने मात्र हो। यसले खाताको नाम कहाँ समाधान हुन्छ भन्ने बारे केही भन्दैन, र खाताले अझै सार्वजनिक ट्राफिक स्वीकार गर्छ कि गर्दैन भन्ने बारे पनि केही भन्दैन।
निजी एन्डपोइन्ट आफ्नै ठेगाना, आफ्नै स्वीकृति चरण र आफ्नै DNS वायरिङ भएको छुट्टै स्रोत हो। यो अस्तित्वमा आउने र स्वीकृत नहुँदासम्म, नाम सार्वजनिक एन्डपोइन्टमा समाधान हुन्छ र सुरुङको पर्वाह नगरी तपाईंको ट्राफिक त्यहाँ जान्छ।
वास्तवमा नामलाई निजी रूपमा समाधान गराउने कुरा
SDK को सामान्य खाता एन्डपोइन्ट राख्नुहोस्, https://ACCOUNT.documents.azure.com जस्तै केही। निजी DNS ले त्यो नाम Private Link शृंखलामार्फत एन्डपोइन्टका निजी ठेगानाहरूमा समाधान गर्नुपर्छ। यसलाई सङ्ख्यात्मक URL ले प्रतिस्थापन गर्नु र प्रमाणपत्र जाँच बन्द गर्नु हुँदैन, किनकि त्यसले DNS समस्यालाई सुरक्षा समस्यासँग साट्छ।
| Example choice | Value |
|---|---|
| Cosmos API | NoSQL |
| Private endpoint subresource | Sql |
| Private DNS zone | privatelink.documents.azure.com |
| SDK connection mode | Gateway |
ती मानहरू NoSQL API का लागि विशिष्ट हुन्। अन्य Cosmos API हरू एउटै उदाहरणमा अदलबदल गर्न मिल्ने प्रविष्टिहरू होइनन्, र अर्को API बाट उपस्रोतको नाम प्रतिलिपि गर्दा कहिल्यै समाधान नहुने एन्डपोइन्ट बन्छ।
अधिकृत Azure कार्यप्रवाहमार्फत एन्डपोइन्ट सिर्जना गरी स्वीकृत गर्नुहोस्, त्यसपछि यसको निजी DNS जोन-समूह एकीकरण प्रयोग गर्नुहोस्। ल्यापटपलाई त्यो जोनका लागि जवाफ दिन सक्ने रिजोल्भर चाहिन्छ, प्रत्यक्ष वा स्वीकृत फर्वार्डिङमार्फत, र प्रत्येक सम्बन्धित एन्डपोइन्ट ठेगानामा VPN क्लाइन्ट मार्ग।
निजी एन्डपोइन्टमा विश्वव्यापी र क्षेत्रीय प्रविष्टिहरू सहित एकभन्दा बढी ठेगाना हुन सक्छन्। खाताका क्षेत्रहरू परिवर्तन हुँदा DNS एकीकरण कायम राख्नुहोस्, hosts फाइलमा एउटै ठेगाना पिन गर्नुको सट्टा, र असम्बन्धित सार्वजनिक रिजोल्भरको जवाफले निजी मार्गबारे केही प्रमाणित गर्दैन भन्ने सम्झनुहोस्। यदि तपाईं हबमार्फत DNS फर्वार्ड गर्नुहुन्छ भने, क्लाइन्ट डिबग गर्नुअघि फर्वार्डरले जवाफ दिन्छ भनी पुष्टि गर्नुहोस्। पुरानो फर्वार्डरले सार्वजनिक जवाफ फर्काउँछ, जुन हराएको एन्डपोइन्टजस्तै देखिन्छ।
Gateway मोड र Direct मोड अदलबदल गर्न मिल्दैन
Gateway मोडले सेवा अनुरोधहरू TCP 443 मा HTTPS मार्फत पठाउँछ। त्यसैले 443 का लागि मात्र बनेको फायरवाल नीति यससँग काम गर्छ र त्यसैले यो उदाहरणले यसलाई जानाजान छान्छ।
Private Link मार्फत Direct मोडका जडान आवश्यकताहरू फरक छन्, जसमा खाता कागजातमा सूचीबद्ध फराकिलो TCP पोर्ट दायरा समावेश छ। Gateway मोडका लागि लेखिएको नीति Direct मोड क्लाइन्टका लागि चुपचाप पुनः प्रयोग गर्नु हुँदैन, नत्र SDK जोडिन्छ र त्यसपछि पहिलो डाटा अपरेसनमा अड्किन्छ।
एउटा मोड छान्नुहोस्, यसलाई खातासँगै लेख्नुहोस्, र नेटवर्क नीति यससँग मिलाउनुहोस्। समस्या निवारणका क्रममा मोड बदल्ने टोलीहरू सामान्यतया दुवैलाई सन्तुष्ट नगर्ने फायरवाल नियमहरूको सेटमा पुग्छन्।
सार्वजनिक पहुँच बन्द गर्नु छुट्टै स्विच हो
यदि खाता निजी मात्र हुनुपर्ने हो भने, खाताको समर्थित सेटिङमार्फत सार्वजनिक नेटवर्क पहुँच अक्षम गर्नुहोस् र नतिजा प्रमाणित गर्नुहोस्। निजी एन्डपोइन्टको अस्तित्वलाई पूर्ण पहुँच निर्णय मान्नु हुँदैन, किनकि निजी एन्डपोइन्ट र सक्षम सार्वजनिक पहुँच भएको खाताले अझै इन्टरनेटमा जवाफ दिन्छ।
VPN बाहिरबाट र भित्रबाट पनि प्रमाणित गर्नुहोस्। जुन नेटवर्क बाहिर राख्नुपर्ने हो त्यसबाट आएको अनुरोध नै सेटिङ लागू भएको प्रमाणित गर्ने परीक्षण हो, र यही परीक्षण अधिकांश परिवर्तन विन्डोहरूले छोड्छन्।
पहुँच क्षमता अनुमति होइन
VPN ल्यापटपबाट अनुमत SDK अपरेसन नै स्वीकृति परीक्षण हो, सामान्य खाता URL र अभिप्रेत पहिचान प्रयोग गरेर। VPN पहुँचले Cosmos डाटा अनुमतिहरू दिँदैन; डाटा प्लेनले आफ्नै भूमिका वा कुञ्जीहरू जाँच्छ।
त्यसपछि अस्वीकारहरू चलाउनुहोस्: फरक पहिचान, र अब खातामा पुग्नु नहुने नेटवर्क मार्ग। यीमध्ये कुनै पनि सफल भयो भने, तपाईंले अभिलेख गर्नुभएको सीमा तपाईंले बनाउनुभएको सीमा होइन।
सक्दा चार तथ्य लेख्नुहोस्: एन्डपोइन्टका निजी ठेगानाहरू, खाताको नामका लागि जवाफ दिने DNS जोन, पोर्ट आवश्यकतासहित जडान मोड, र सार्वजनिक पहुँच अक्षम छ कि छैन। यी चारले अर्को व्यक्तिलाई सेटअप बुझाउँछन्, र प्रत्येक स्वतन्त्र रूपमा असफल हुन्छ।