VPN yako haifanyi Cosmos DB kuwa ya faragha peke yake

Unaunganisha kompyuta na VNet kupitia VPN, unafungua URL ya akaunti ya Cosmos DB, na ombi bado linatoka kupitia intaneti ya umma. Handaki limefanya kazi yake. Kilichoachwa ni kuunda kiungo cha mwisho cha faragha, kuchapisha rekodi ya DNS ya faragha au kuzima ufikiaji wa umma, kwa sababu hizo ni mabadiliko matatu tofauti kwenye akaunti, si sifa za muunganisho wako wa mtandao. Mfano huu unatumia Azure Cosmos DB kwa NoSQL, kiungo cha mwisho cha faragha ndani ya VNet na kompyuta iliyounganishwa na VNet hiyo kupitia VPN, na huhifadhi anwani ya programu bila kubadilika.

Hadithi: kuwa kwenye VPN hufanya hifadhidata kuwa ya faragha

Kuwa kwenye VNet kunamaanisha tu kwamba pakiti zako zinaweza kufikia anwani za faragha ndani ya VNet hiyo. Haisemi chochote kuhusu mahali ambapo jina la akaunti linatatuliwa, na haisemi chochote kuhusu kama akaunti bado inakubali trafiki ya umma.

Kiungo cha mwisho cha faragha ni rasilimali tofauti yenye anwani yake, hatua yake ya idhini na waya wake wa DNS. Hadi kiwepo na kuidhinishwa, jina linatatuliwa kwenye kiungo cha mwisho cha umma na trafiki yako inaenda huko bila kujali handaki.

Ni nini hasa hufanya jina litatuliwe kwa faragha

Weka kiungo cha mwisho cha kawaida cha akaunti cha SDK, kitu kama https://ACCOUNT.documents.azure.com. DNS ya faragha inapaswa kutatua jina hilo kupitia mnyororo wa Private Link hadi anwani za faragha za kiungo cha mwisho. Usibadilishe na URL ya nambari na usizime ukaguzi wa vyeti, kwa sababu hiyo hubadilisha tatizo la DNS na tatizo la usalama.

Thamani hizo ni mahususi kwa API ya NoSQL. API nyingine za Cosmos si maingizo yanayoweza kubadilishana katika mfano huo huo, na kunakili jina la rasilimali ndogo kutoka API tofauti huzalisha kiungo cha mwisho ambacho hakitaturiwi kamwe.

Unda na uidhinishe kiungo cha mwisho kupitia mtiririko wa kazi ulioidhinishwa wa Azure, kisha tumia ujumuishaji wake wa kikundi cha eneo la DNS la faragha. Kompyuta inahitaji kitatuzi kinachoweza kujibu kwa eneo hilo, moja kwa moja au kupitia uelekezaji ulioidhinishwa, na njia ya mteja wa VPN hadi kila anwani husika ya kiungo cha mwisho.

Kiungo cha mwisho cha faragha kinaweza kuwa na anwani zaidi ya moja, ikiwa ni pamoja na maingizo ya kimataifa na ya kikanda. Dumisha ujumuishaji wa DNS wakati mikoa ya akaunti inabadilika badala ya kubandika anwani moja kwenye faili ya hosts, na kumbuka kwamba jibu kutoka kwa kitatuzi cha umma kisichohusiana halithibitishi chochote kuhusu njia ya faragha. Ikiwa unaelekeza DNS kupitia kitovu, thibitisha kwamba kielekezaji kinajibu kabla ya kutatua hitilafu za mteja. Kielekezaji cha zamani hurudisha jibu la umma, ambalo linaonekana sawa kabisa na kiungo cha mwisho kinachokosekana.

Hali ya Gateway na hali ya Direct haziwezi kubadilishana

Hali ya Gateway hutuma maombi ya huduma kupitia HTTPS kwenye TCP 443. Ndiyo sababu sera ya firewall ya 443 pekee inafanya kazi nayo na ndiyo sababu mfano huu unaichagua kwa makusudi.

Hali ya Direct kupitia Private Link ina mahitaji tofauti ya muunganisho, ikiwa ni pamoja na anuwai pana ya bandari za TCP ambayo nyaraka za akaunti zinaorodhesha. Sera iliyoandikwa kwa hali ya Gateway haipaswi kutumika tena kimya kimya kwa mteja wa hali ya Direct, vinginevyo SDK itaunganisha na kisha kuning'inia kwenye operesheni ya kwanza ya data.

Chagua hali moja, iandike pamoja na akaunti, na ufanye sera ya mtandao ilingane nayo. Timu zinazobadilisha hali wakati wa kutatua matatizo kwa kawaida huishia na seti ya sheria za firewall ambayo haikidhi yoyote kati yao.

Kuzima ufikiaji wa umma ni swichi tofauti

Ikiwa akaunti inapaswa kuwa ya faragha pekee, zima ufikiaji wa mtandao wa umma kupitia mpangilio unaotumika wa akaunti na uthibitishe matokeo. Usichukue uwepo wa kiungo cha mwisho cha faragha kama uamuzi kamili wa ufikiaji, kwa sababu akaunti iliyo na kiungo cha mwisho cha faragha na ufikiaji wa umma umewezeshwa bado inajibu kwenye intaneti.

Thibitisha kutoka nje ya VPN na pia kutoka ndani. Ombi kutoka mtandao ambao unapaswa kutengwa ni jaribio linalothibitisha kuwa mpangilio ulianza kutumika, na ni jaribio ambalo madirisha mengi ya mabadiliko huyaruka.

Ufikikaji si ruhusa

Operesheni ya SDK iliyoruhusiwa kutoka kompyuta ya VPN ni jaribio la kukubalika, kwa kutumia URL ya kawaida ya akaunti na utambulisho uliokusudiwa. Ufikikaji wa VPN hautoi ruhusa za data za Cosmos; tabaka la data hukagua majukumu au funguo zake.

Kisha endesha kanusho: utambulisho tofauti, na njia ya mtandao ambayo haipaswi kufikia akaunti tena. Ikiwa yoyote itafanikiwa, mpaka uliouandika si mpaka ulioujenga.

Andika mambo manne unapomaliza: anwani za faragha za kiungo cha mwisho, eneo la DNS linalojibu jina la akaunti, hali ya muunganisho pamoja na mahitaji yake ya bandari, na kama ufikiaji wa umma umezimwa. Haya manne yanaelezea usanidi kwa mtu anayefuata, na kila moja kati yao hushindwa kwa kujitegemea.