VPN'ingiz o'zi Cosmos DB'ni maxfiy qilmaydi

Noutbukni VPN orqali VNet'ga ulaysiz, Cosmos DB hisobining URL'ini ochasiz, va so'rov baribir umumiy internet orqali chiqadi. Tunnel o'z ishini qildi. U qilmagan narsa maxfiy endpoint yaratish, maxfiy DNS yozuvini e'lon qilish yoki umumiy kirishni o'chirish edi, chunki bular hisobdagi uchta alohida o'zgarish, tarmoq ulanishining xususiyatlari emas. Bu misol NoSQL uchun Azure Cosmos DB, VNet ichidagi maxfiy endpoint va VPN orqali shu VNet'ga ulangan noutbukdan foydalanadi va ilova manzilini o'zgartirmasdan saqlaydi.

Afsona: VPN'da bo'lish ma'lumotlar bazasini maxfiy qiladi

VNet'da bo'lish faqat paketlaringiz shu VNet'dagi maxfiy manzillarga yeta olishini bildiradi. Bu hisob nomi qayerda hal qilinishi haqida hech narsa demaydi va hisob hali ham umumiy trafikni qabul qiladimi, bu haqda ham hech narsa demaydi.

Maxfiy endpoint o'z manzili, o'z tasdiqlash bosqichi va o'z DNS simlari bo'lgan alohida resursdir. U mavjud bo'lib tasdiqlanmaguncha, nom umumiy endpoint'ga hal qilinadi va tunnelga qaramay trafigingiz o'sha yerga ketadi.

Nomni maxfiy hal qilishga aslida nima sabab bo'ladi

SDK'ning oddiy hisob endpoint'ini saqlang, https://ACCOUNT.documents.azure.com kabi narsa. Maxfiy DNS bu nomni Private Link zanjiri orqali endpoint'ning maxfiy manzillariga hal qilishi kerak. Uni raqamli URL bilan almashtirmang va sertifikat tekshiruvlarini o'chirmang, chunki bu DNS muammosini xavfsizlik muammosi bilan almashtiradi.

Bu qiymatlar NoSQL API'ga xos. Boshqa Cosmos API'lar bir xil misolda almashtiriladigan yozuvlar emas va boshqa API'dan subresurs nomini ko'chirish hech qachon hal qilinmaydigan endpoint yaratadi.

Endpoint'ni vakolatli Azure ish oqimi orqali yarating va tasdiqlang, so'ng uning maxfiy DNS zona guruhi integratsiyasidan foydalaning. Noutbukka shu zona uchun javob bera oladigan hal qiluvchi kerak, to'g'ridan-to'g'ri yoki tasdiqlangan yo'naltirish orqali, va har bir tegishli endpoint manziliga VPN mijoz marshruti.

Maxfiy endpoint'ning global va mintaqaviy yozuvlar bilan birga bir nechta manzili bo'lishi mumkin. Hisob mintaqalari o'zgarganda hosts fayliga bitta manzilni qadab qo'yish o'rniga DNS integratsiyasini saqlang va aloqasiz umumiy hal qiluvchining javobi maxfiy yo'l haqida hech narsani isbotlamasligini unutmang. Agar DNS'ni hub orqali yo'naltirsangiz, mijozni tuzatishdan oldin yo'naltiruvchi javob berishini tasdiqlang. Eskirgan yo'naltiruvchi umumiy javobni qaytaradi, bu esa xuddi yo'qolgan endpoint kabi ko'rinadi.

Gateway rejimi va Direct rejimi almashtirilmaydi

Gateway rejimi xizmat so'rovlarini TCP 443'da HTTPS orqali yuboradi. Shuning uchun faqat 443 uchun yozilgan firewall siyosati u bilan ishlaydi va shuning uchun bu misol uni ataylab tanlaydi.

Private Link orqali Direct rejimining ulanish talablari boshqacha, jumladan hisob hujjatlarida sanab o'tilgan kengroq TCP port diapazoni. Gateway rejimi uchun yozilgan siyosat Direct rejimidagi mijoz uchun jimgina qayta ishlatilmasligi kerak, aks holda SDK ulanadi va keyin birinchi ma'lumot operatsiyasida osilib qoladi.

Bitta rejimni tanlang, uni hisob bilan birga yozib qo'ying va tarmoq siyosatini unga moslashtiring. Muammolarni hal qilishda rejimni almashtiruvchi jamoalar odatda ikkalasini ham qanoatlantirmaydigan firewall qoidalari to'plamiga erishadi.

Umumiy kirishni o'chirish alohida kalitdir

Agar hisob faqat maxfiy bo'lishi kerak bo'lsa, umumiy tarmoq kirishini hisobning qo'llab-quvvatlanadigan sozlamasi orqali o'chiring va natijani tekshiring. Maxfiy endpoint mavjudligini to'liq kirish qarori deb hisoblamang, chunki maxfiy endpoint va yoqilgan umumiy kirishga ega hisob hali ham internetda javob beradi.

VPN tashqarisidan ham, ichkaridan ham tekshiring. Chetlashtirilishi kerak bo'lgan tarmoqdan kelgan so'rov sozlama kuchga kirganini isbotlovchi sinovdir va aksariyat o'zgarish oynalari o'tkazib yuboradigan sinov ham shudir.

Yetib borish ruxsat emas

VPN noutbukidan ruxsat etilgan SDK operatsiyasi qabul sinovidir, oddiy hisob URL'i va ko'zda tutilgan identifikatsiya bilan. VPN orqali yetib borish Cosmos ma'lumotlar ruxsatlarini bermaydi; ma'lumot qatlami o'z rollari yoki kalitlarini tekshiradi.

Keyin rad javoblarini ishga tushiring: boshqa identifikatsiya va endi hisobga yetib bormasligi kerak bo'lgan tarmoq yo'li. Agar ulardan biri muvaffaqiyatli bo'lsa, siz hujjatlashtirgan chegara siz qurgan chegara emas.

Tugatganda to'rt faktni yozing: endpoint'ning maxfiy manzillari, hisob nomi uchun javob beradigan DNS zonasi, port talablari bilan ulanish rejimi va umumiy kirish o'chirilganmi. Bu to'rttasi keyingi odamga sozlamani tushuntiradi va har biri mustaqil ravishda muvaffaqiyatsiz bo'ladi.