VPN-i juaj nuk e bën Cosmos DB privat vetëm

Ju e lidhni laptopin me VNet përmes një VPN, hapni URL-në e llogarisë Cosmos DB dhe kërkesa vazhdon të dalë përmes internetit publik. Tuneli bëri punën e tij. Ajo që nuk bëri ishte krijimi i një pike fundore private, publikimi i regjistrit privat DNS ose çaktivizimi i aksesit publik, sepse këto janë tre ndryshime të veçanta në llogari dhe jo veti të lidhjes tuaj të rrjetit. Ky shembull përdor Azure Cosmos DB për NoSQL, një pikë fundore private në një VNet dhe një laptop të lidhur me atë VNet përmes VPN, dhe e mban adresën e aplikacionit të pandryshuar.

Miti: të jesh në VPN e bën bazën e të dhënave private

Të jesh në VNet do të thotë vetëm se paketat e tua mund të arrijnë adresa private në atë VNet. Nuk thotë asgjë për vendin ku zgjidhet emri i llogarisë dhe nuk thotë asgjë për atë nëse llogaria vazhdon të pranojë trafik publik.

Një pikë fundore private është një burim i veçantë me adresën e vet, hapin e vet të miratimit dhe instalimet e veta DNS. Derisa të ekzistojë dhe të miratohet, emri zgjidhet në pikën fundore publike dhe trafiku yt shkon atje pavarësisht tunelit.

Çfarë e bën në të vërtetë emrin të zgjidhet në mënyrë private

Mbajeni pikën fundore normale të llogarisë nga SDK, diçka si https://ACCOUNT.documents.azure.com. DNS privat duhet ta zgjidhë atë emër përmes zinxhirit Private Link në adresat private të pikës fundore. Mos e zëvendësoni me një URL numerike dhe mos i çaktivizoni kontrollet e certifikatës, sepse kjo ndërron një problem DNS me një problem sigurie.

Ato vlera janë specifike për API-n NoSQL. API-t e tjera Cosmos nuk janë zëra të këmbyeshëm në të njëjtin shembull, dhe kopjimi i emrit të nënburimit nga një API tjetër prodhon një pikë fundore që nuk zgjidhet kurrë.

Krijoni dhe miratoni pikën fundore përmes rrjedhës së punës të autorizuar të Azure, pastaj përdorni integrimin e saj me grupin e zonave private DNS. Laptopi ka nevojë për një zgjidhës që mund të përgjigjet për atë zonë, qoftë drejtpërdrejt ose përmes përcjelljes së miratuar, dhe një rrugë klienti VPN drejt çdo adrese përkatëse të pikës fundore.

Një pikë fundore private mund të ketë më shumë se një adresë, duke përfshirë zëra globalë dhe rajonalë. Mirëmbani integrimin DNS kur rajonet e llogarisë ndryshojnë, në vend që të fiksoni një adresë të vetme në një skedar hosts, dhe mbani mend se një përgjigje nga një zgjidhës publik i palidhur nuk provon asgjë për rrugën private. Nëse përcillni DNS përmes një hub, konfirmoni që përcjellësi përgjigjet përpara se të korrigjoni klientin. Një përcjellës i vjetëruar kthen përgjigjen publike, e cila duket saktësisht si një pikë fundore që mungon.

Mënyra Gateway dhe mënyra Direct nuk janë të këmbyeshme

Mënyra Gateway i dërgon kërkesat e shërbimit përmes HTTPS në TCP 443. Kjo është arsyeja pse një politikë firewall vetëm për 443 funksionon me të dhe pse ky shembull e zgjedh atë me qëllim.

Mënyra Direct përmes Private Link ka kërkesa të ndryshme lidhjeje, duke përfshirë një interval më të gjerë portash TCP që dokumentacioni i llogarisë rendit. Një politikë e shkruar për mënyrën Gateway nuk duhet të ripërdoret në heshtje për një klient në mënyrën Direct, përndryshe SDK lidhet dhe pastaj ngec në operacionin e parë të të dhënave.

Zgjidhni një mënyrë, shkruajeni atë me llogarinë dhe përshtatni politikën e rrjetit me të. Ekipet që ndërrojnë mënyrën gjatë zgjidhjes së problemeve zakonisht përfundojnë me një grup rregullash firewall që nuk kënaq asnjërën.

Çaktivizimi i aksesit publik është një çelës i veçantë

Nëse llogaria duhet të jetë vetëm private, çaktivizoni aksesin në rrjetin publik përmes cilësimit të mbështetur të llogarisë dhe verifikoni rezultatin. Mos e trajtoni ekzistencën e një pike fundore private si vendimin e plotë të aksesit, sepse një llogari me pikë fundore private dhe akses publik të aktivizuar vazhdon të përgjigjet në internet.

Verifikoni nga jashtë VPN-së si dhe nga brenda. Një kërkesë nga një rrjet që duhet të përjashtohet është testi që provon se cilësimi hyri në fuqi, dhe është testi që shumica e dritareve të ndryshimit e anashkalojnë.

Arritshmëria nuk është leje

Një operacion SDK i lejuar nga laptopi i VPN-së është testi i pranimit, duke përdorur URL-në normale të llogarisë dhe identitetin e synuar. Arritshmëria përmes VPN nuk jep leje për të dhënat Cosmos; rrafshi i të dhënave kontrollon rolet ose çelësat e vet.

Pastaj ekzekutoni refuzimet: një identitet tjetër dhe një rrugë rrjeti që nuk duhet të arrijë më llogarinë. Nëse ndonjëra ka sukses, kufiri që dokumentuat nuk është kufiri që ndërtuat.

Shkruani katër fakte kur të përfundoni: adresat private të pikës fundore, zonën DNS që përgjigjet për emrin e llogarisë, mënyrën e lidhjes me kërkesat e saj për porta dhe nëse aksesi publik është çaktivizuar. Këto katër shpjegojnë konfigurimin për personin tjetër, dhe secila prej tyre dështon në mënyrë të pavarur.