آپ کا VPN اکیلے Cosmos DB کو نجی نہیں بناتا

آپ VPN کے ذریعے لیپ ٹاپ کو VNet سے جوڑتے ہیں، Cosmos DB اکاؤنٹ کا URL کھولتے ہیں، اور درخواست پھر بھی عوامی انٹرنیٹ سے باہر جاتی ہے۔ سرنگ نے اپنا کام کیا۔ جو اس نے نہیں کیا وہ نجی اینڈ پوائنٹ بنانا، نجی DNS ریکارڈ شائع کرنا یا عوامی رسائی بند کرنا تھا، کیونکہ یہ اکاؤنٹ پر تین الگ تبدیلیاں ہیں، آپ کے نیٹ ورک کنکشن کی خصوصیات نہیں۔ یہ مثال NoSQL کے لیے Azure Cosmos DB، VNet میں نجی اینڈ پوائنٹ اور VPN کے ذریعے اسی VNet سے جڑے لیپ ٹاپ کا استعمال کرتی ہے، اور ایپلیکیشن کا پتہ بغیر تبدیلی کے رکھتی ہے۔

افسانہ: VPN پر ہونا ڈیٹا بیس کو نجی بناتا ہے

VNet پر ہونے کا مطلب صرف یہ ہے کہ آپ کے پیکٹ اسی VNet کے نجی پتوں تک پہنچ سکتے ہیں۔ یہ اس بارے میں کچھ نہیں کہتا کہ اکاؤنٹ کا نام کہاں حل ہوتا ہے، اور اس بارے میں بھی کچھ نہیں کہتا کہ اکاؤنٹ اب بھی عوامی ٹریفک قبول کرتا ہے یا نہیں۔

نجی اینڈ پوائنٹ ایک الگ وسیلہ ہے جس کا اپنا پتہ، اپنا منظوری کا مرحلہ اور اپنی DNS وائرنگ ہے۔ جب تک یہ موجود نہ ہو اور منظور نہ ہو، نام عوامی اینڈ پوائنٹ پر حل ہوتا ہے اور سرنگ کی پروا کیے بغیر آپ کی ٹریفک وہاں جاتی ہے۔

اصل میں نام کو نجی طور پر حل کرنے کا سبب کیا ہے

SDK کا عام اکاؤنٹ اینڈ پوائنٹ رکھیں، https://ACCOUNT.documents.azure.com جیسا کچھ۔ نجی DNS کو وہ نام Private Link زنجیر کے ذریعے اینڈ پوائنٹ کے نجی پتوں تک حل کرنا چاہیے۔ اسے عددی URL سے نہ بدلیں اور سرٹیفکیٹ جانچ بند نہ کریں، کیونکہ یہ DNS مسئلے کو سیکیورٹی مسئلے سے بدلتا ہے۔

وہ اقدار NoSQL API کے لیے مخصوص ہیں۔ دیگر Cosmos API اسی مثال میں تبادلے کے قابل اندراجات نہیں ہیں، اور کسی اور API سے ذیلی وسیلے کا نام نقل کرنا ایسا اینڈ پوائنٹ بناتا ہے جو کبھی حل نہیں ہوتا۔

مجاز Azure ورک فلو کے ذریعے اینڈ پوائنٹ بنائیں اور منظور کریں، پھر اس کے نجی DNS زون گروپ انضمام کا استعمال کریں۔ لیپ ٹاپ کو ایسا حل کنندہ درکار ہے جو اس زون کے لیے جواب دے سکے، براہ راست یا منظور شدہ فارورڈنگ کے ذریعے، اور ہر متعلقہ اینڈ پوائنٹ پتے کے لیے VPN کلائنٹ راستہ۔

نجی اینڈ پوائنٹ کے ایک سے زیادہ پتے ہو سکتے ہیں، جن میں عالمی اور علاقائی اندراجات شامل ہیں۔ اکاؤنٹ کے علاقے بدلنے پر DNS انضمام برقرار رکھیں، hosts فائل میں ایک پتہ پن کرنے کے بجائے، اور یاد رکھیں کہ غیر متعلق عوامی حل کنندہ کا جواب نجی راستے کے بارے میں کچھ ثابت نہیں کرتا۔ اگر آپ ہب کے ذریعے DNS فارورڈ کرتے ہیں تو کلائنٹ کو ڈیبگ کرنے سے پہلے تصدیق کریں کہ فارورڈر جواب دیتا ہے۔ پرانا فارورڈر عوامی جواب واپس کرتا ہے، جو بالکل گمشدہ اینڈ پوائنٹ جیسا دکھتا ہے۔

Gateway موڈ اور Direct موڈ تبادلے کے قابل نہیں

Gateway موڈ سروس درخواستیں TCP 443 پر HTTPS کے ذریعے بھیجتا ہے۔ اسی لیے صرف 443 کے لیے بنی فائر وال پالیسی اس کے ساتھ کام کرتی ہے اور اسی لیے یہ مثال اسے جان بوجھ کر چنتی ہے۔

Private Link کے ذریعے Direct موڈ کی کنیکٹیویٹی ضروریات مختلف ہیں، جن میں اکاؤنٹ دستاویز میں درج وسیع تر TCP پورٹ رینج شامل ہے۔ Gateway موڈ کے لیے لکھی پالیسی کو Direct موڈ کلائنٹ کے لیے خاموشی سے دوبارہ استعمال نہیں کرنا چاہیے، ورنہ SDK جڑ جائے گا اور پھر پہلے ڈیٹا آپریشن پر رک جائے گا۔

ایک موڈ چنیں، اسے اکاؤنٹ کے ساتھ لکھیں، اور نیٹ ورک پالیسی کو اس سے ہم آہنگ کریں۔ مسئلہ حل کرتے وقت موڈ بدلنے والی ٹیمیں عام طور پر ایسے فائر وال قواعد کے مجموعے پر پہنچتی ہیں جو دونوں میں سے کسی کو مطمئن نہیں کرتا۔

عوامی رسائی بند کرنا ایک الگ سوئچ ہے

اگر اکاؤنٹ صرف نجی ہونا چاہیے تو اکاؤنٹ کی معاون ترتیب کے ذریعے عوامی نیٹ ورک رسائی بند کریں اور نتیجہ تصدیق کریں۔ نجی اینڈ پوائنٹ کے وجود کو مکمل رسائی کا فیصلہ نہ سمجھیں، کیونکہ نجی اینڈ پوائنٹ اور فعال عوامی رسائی والا اکاؤنٹ اب بھی انٹرنیٹ پر جواب دیتا ہے۔

VPN سے باہر اور اندر سے بھی تصدیق کریں۔ جس نیٹ ورک کو خارج ہونا چاہیے اس سے آنے والی درخواست وہ آزمائش ہے جو ثابت کرتی ہے کہ ترتیب نافذ ہوئی، اور یہی وہ آزمائش ہے جسے زیادہ تر تبدیلی ونڈوز چھوڑ دیتی ہیں۔

رسائی کی صلاحیت اجازت نہیں ہے

VPN لیپ ٹاپ سے اجازت شدہ SDK آپریشن قبولیت کی آزمائش ہے، عام اکاؤنٹ URL اور مطلوبہ شناخت استعمال کرتے ہوئے۔ VPN رسائی Cosmos ڈیٹا اجازتیں نہیں دیتی؛ ڈیٹا طیارہ اپنے کردار یا کلیدیں جانچتا ہے۔

پھر انکار چلائیں: ایک مختلف شناخت، اور ایسا نیٹ ورک راستہ جو اب اکاؤنٹ تک نہیں پہنچنا چاہیے۔ اگر ان میں سے کوئی کامیاب ہو تو آپ کی دستاویز کردہ حد وہ حد نہیں جو آپ نے بنائی ہے۔

مکمل کرتے وقت چار حقائق لکھیں: اینڈ پوائنٹ کے نجی پتے، اکاؤنٹ کے نام کے لیے جواب دینے والا DNS زون، پورٹ ضروریات کے ساتھ کنکشن موڈ، اور کیا عوامی رسائی بند ہے۔ یہ چار اگلے شخص کو ترتیب سمجھاتے ہیں، اور ہر ایک آزادانہ طور پر ناکام ہوتا ہے۔