VPN'iniz tek başına Cosmos DB'yi özel yapmaz
VPN dizüstü bilgisayarınızı ağa taşır, veritabanının içine değil. Özel uç noktanın, DNS bölgesinin, bağlantı modunun ve hesap erişiminin ne yapması gerektiğine bakın.
Dizüstü bilgisayarı VPN üzerinden VNet'e bağlarsınız, Cosmos DB hesabının URL'sini açarsınız ve istek yine de genel internet üzerinden çıkar. Tünel işini yaptı. Yapmadığı şey özel bir uç nokta oluşturmak, özel DNS kaydını yayımlamak veya genel erişimi kapatmaktı, çünkü bunlar hesapta üç ayrı değişikliktir, ağ bağlantınızın özellikleri değildir. Bu örnek NoSQL için Azure Cosmos DB'yi, bir VNet içinde özel uç noktayı ve VPN ile o VNet'e bağlanan bir dizüstü bilgisayarı kullanır ve uygulamanın adresini değiştirmeden tutar.
Efsane: VPN'de olmak veritabanını özel yapar
VNet'te olmak yalnızca paketlerinizin o VNet'teki özel adreslere ulaşabildiği anlamına gelir. Hesap adının nerede çözümlendiği hakkında hiçbir şey söylemez ve hesabın hâlâ genel trafik kabul edip etmediği hakkında da hiçbir şey söylemez.
Özel uç nokta, kendi adresi, kendi onay adımı ve kendi DNS kablolaması olan ayrı bir kaynaktır. Var olup onaylanana kadar ad, genel uç noktaya çözümlenir ve trafiğiniz tünelden bağımsız olarak oraya gider.
Adı gerçekte ne özel olarak çözdürür
SDK'nın normal hesap uç noktasını koruyun, https://ACCOUNT.documents.azure.com gibi bir şey. Özel DNS bu adı Private Link zinciri üzerinden uç noktanın özel adreslerine çözmelidir. Bunu sayısal bir URL ile değiştirmeyin ve sertifika denetimlerini kapatmayın, çünkü bu bir DNS sorununu güvenlik sorunuyla değiştirir.
| Example choice | Value |
|---|---|
| Cosmos API | NoSQL |
| Private endpoint subresource | Sql |
| Private DNS zone | privatelink.documents.azure.com |
| SDK connection mode | Gateway |
Bu değerler NoSQL API'sine özgüdür. Diğer Cosmos API'leri aynı örnekte birbirinin yerine geçebilen girdiler değildir ve alt kaynak adını farklı bir API'den kopyalamak asla çözümlenmeyen bir uç nokta üretir.
Uç noktayı yetkili Azure iş akışıyla oluşturup onaylayın, ardından özel DNS bölge grubu entegrasyonunu kullanın. Dizüstü bilgisayarın o bölge için yanıt verebilen bir çözümleyiciye ihtiyacı vardır, doğrudan ya da onaylanmış yönlendirme yoluyla, ve her ilgili uç nokta adresine bir VPN istemci rotası.
Özel bir uç noktanın genel ve bölgesel girdiler dahil birden fazla adresi olabilir. Hesabın bölgeleri değiştiğinde hosts dosyasına tek bir adres sabitlemek yerine DNS entegrasyonunu sürdürün ve ilgisiz bir genel çözümleyiciden gelen yanıtın özel yolla ilgili hiçbir şey kanıtlamadığını unutmayın. DNS'i bir hub üzerinden yönlendiriyorsanız, istemcide hata ayıklamadan önce yönlendiricinin yanıt verdiğini doğrulayın. Eski bir yönlendirici genel yanıtı döndürür, bu da tam olarak eksik bir uç nokta gibi görünür.
Gateway modu ve Direct modu birbirinin yerine geçmez
Gateway modu hizmet isteklerini TCP 443 üzerinden HTTPS ile gönderir. Bu yüzden yalnızca 443 için yazılmış bir güvenlik duvarı ilkesi onunla çalışır ve bu yüzden bu örnek onu bilerek seçer.
Private Link üzerinden Direct modunun farklı bağlantı gereksinimleri vardır, bunlar arasında hesap belgelerinin listelediği daha geniş TCP bağlantı noktası aralığı da bulunur. Gateway modu için yazılmış bir ilke Direct modlu bir istemci için sessizce yeniden kullanılmamalıdır, yoksa SDK bağlanır ve ardından ilk veri işleminde takılır.
Bir mod seçin, hesap ile birlikte yazın ve ağ ilkesini ona uydurun. Sorun giderirken mod değiştiren ekipler genellikle ikisini de karşılamayan bir güvenlik duvarı kural kümesiyle sonuçlanır.
Genel erişimi kapatmak ayrı bir anahtardır
Hesabın yalnızca özel olması gerekiyorsa, genel ağ erişimini hesabın desteklenen ayarı üzerinden kapatın ve sonucu doğrulayın. Özel bir uç noktanın varlığını tam erişim kararı olarak görmeyin, çünkü özel uç noktası olan ve genel erişimi etkinleştirilmiş bir hesap internette yanıt vermeye devam eder.
VPN'in dışından ve içinden doğrulayın. Dışlanması gereken bir ağdan gelen istek, ayarın yürürlüğe girdiğini kanıtlayan testtir ve çoğu değişiklik penceresinin atladığı test odur.
Erişilebilirlik izin değildir
VPN dizüstü bilgisayarından izin verilen bir SDK işlemi, normal hesap URL'si ve amaçlanan kimlik kullanılarak kabul testidir. VPN erişilebilirliği Cosmos veri izinleri vermez; veri düzlemi kendi rollerini veya anahtarlarını denetler.
Ardından reddetmeleri çalıştırın: farklı bir kimlik ve artık hesaba ulaşmaması gereken bir ağ yolu. İkisinden biri başarılı olursa, belgelediğiniz sınır inşa ettiğiniz sınır değildir.
Bitirdiğinizde dört gerçeği yazın: uç noktanın özel adresleri, hesap adı için yanıt veren DNS bölgesi, bağlantı noktası gereksinimleriyle bağlantı modu ve genel erişimin kapalı olup olmadığı. Bu dördü kurulumu bir sonraki kişiye açıklar ve her biri bağımsız olarak başarısız olur.