Vaš VPN sam po sebi ne naredi Cosmos DB zasebne
VPN pripelje prenosnik v omrežje, ne v notranjost baze podatkov. Poglejte, kaj morajo narediti zasebna končna točka, območje DNS, način povezave in dostop do računa.
Prenosnik povežete z VNet prek VPN, odprete URL računa Cosmos DB in zahteva še vedno odide prek javnega interneta. Tunel je opravil svoje delo. Česa ni naredil, je ustvarjanje zasebne končne točke, objava zasebnega zapisa DNS ali izklop javnega dostopa, ker so to tri ločene spremembe računa in ne lastnosti vaše omrežne povezave. Ta primer uporablja Azure Cosmos DB za NoSQL, zasebno končno točko v VNet in prenosnik, povezan s to VNet prek VPN, in ohranja naslov aplikacije nespremenjen.
Mit: biti na VPN naredi bazo podatkov zasebno
Biti na VNet pomeni le, da vaši paketi lahko dosežejo zasebne naslove v tej VNet. Ne pove ničesar o tem, kje se razreši ime računa, in ničesar o tem, ali račun še vedno sprejema javni promet.
Zasebna končna točka je ločen vir z lastnim naslovom, lastnim korakom odobritve in lastnim ožičenjem DNS. Dokler ne obstaja in ni odobrena, se ime razreši na javno končno točko in vaš promet gre tja ne glede na tunel.
Kaj dejansko povzroči, da se ime razreši zasebno
Ohranite običajno končno točko računa iz SDK, nekaj kot https://ACCOUNT.documents.azure.com. Zasebni DNS bi moral to ime razrešiti prek verige Private Link na zasebne naslove končne točke. Ne nadomestite ga s številčnim URL in ne izklopite preverjanj potrdil, ker to zamenja težavo DNS za varnostno težavo.
| Example choice | Value |
|---|---|
| Cosmos API | NoSQL |
| Private endpoint subresource | Sql |
| Private DNS zone | privatelink.documents.azure.com |
| SDK connection mode | Gateway |
Te vrednosti so specifične za API NoSQL. Drugi API-ji Cosmos v istem primeru niso zamenljivi vnosi in kopiranje imena podvira iz drugega API-ja ustvari končno točko, ki se nikoli ne razreši.
Ustvarite in odobrite končno točko prek pooblaščenega delovnega toka Azure, nato uporabite njeno integracijo s skupino zasebnih območij DNS. Prenosnik potrebuje razreševalnik, ki lahko odgovori za to območje, neposredno ali prek odobrenega posredovanja, in pot VPN-odjemalca do vsakega ustreznega naslova končne točke.
Zasebna končna točka ima lahko več kot en naslov, vključno z globalnimi in regionalnimi vnosi. Vzdržujte integracijo DNS, ko se območja računa spremenijo, namesto da pripnete en naslov v datoteko hosts, in ne pozabite, da odgovor nepovezanega javnega razreševalnika ničesar ne dokazuje o zasebni poti. Če posredujete DNS prek vozlišča, potrdite, da posredovalnik odgovarja, preden razhroščujete odjemalca. Zastarel posredovalnik vrne javni odgovor, ki je videti natanko kot manjkajoča končna točka.
Način Gateway in način Direct nista zamenljiva
Način Gateway pošilja zahteve storitve prek HTTPS na TCP 443. Zato za njega deluje pravilo požarnega zidu samo za 443 in zato ga ta primer zavestno izbere.
Način Direct prek Private Link ima drugačne zahteve glede povezljivosti, vključno s širšim razponom vrat TCP, ki ga navaja dokumentacija računa. Pravila, napisanega za način Gateway, se ne sme tiho znova uporabiti za odjemalca v načinu Direct, sicer se bo SDK povezal in nato obvisel pri prvi podatkovni operaciji.
Izberite en način, zapišite ga skupaj z računom in uskladite omrežno pravilo z njim. Ekipe, ki med odpravljanjem težav preklapljajo načine, običajno končajo s sklopom pravil požarnega zidu, ki ne ustreza nobenemu.
Izklop javnega dostopa je ločeno stikalo
Če mora biti račun samo zaseben, izklopite javni omrežni dostop prek podprte nastavitve računa in preverite rezultat. Obstoj zasebne končne točke ne velja za popolno odločitev o dostopu, ker račun z zasebno končno točko in omogočenim javnim dostopom še vedno odgovarja na internetu.
Preverite zunaj VPN in tudi od znotraj. Zahteva iz omrežja, ki bi moralo biti izključeno, je test, ki dokaže, da je nastavitev začela veljati, in to je test, ki ga večina oken sprememb preskoči.
Dosegljivost ni dovoljenje
Dovoljena operacija SDK s prenosnika v VPN je sprejemni test, z običajnim URL računa in predvideno identiteto. Dosegljivost prek VPN ne podeljuje dovoljenj za podatke Cosmos; ravnina podatkov preverja svoje vloge ali ključe.
Nato izvedite zavrnitve: drugo identiteto in omrežno pot, ki ne bi smela več doseči računa. Če katera od njiju uspe, meja, ki ste jo dokumentirali, ni meja, ki ste jo zgradili.
Ob koncu zapišite štiri dejstva: zasebne naslove končne točke, območje DNS, ki odgovarja za ime računa, način povezave z njegovimi zahtevami glede vrat in ali je javni dostop izklopljen. Ta štiri razložijo nastavitev naslednji osebi in vsako od njih neodvisno odpove.