Privaat eindpunt, dieselfde bedienernaam: Azure SQL-verbindingstringe

Private Link verander waar 'n verbinding beland, nie wat die verbinding genoem word nie. Vir Azure SQL Database is daardie onderskeid die hele ontwerp: die logiese bediener behou sy naam, en die private eindpunt verskaf 'n netwerkinskrywing waarna die naam opgelos word. Om die naam met 'n IP-adres te vervang, is die een verandering wat TLS, geloofsbriewe en gereedskap tegelykertyd breek. Twee verbindingstringe kan ekwivalent lyk en heeltemal anders optree.

Hou orders-db.database.windows.net en gee die kliënt 'n private antwoord daarvoor.

Die naam en die adres het verskillende take

Die naam identifiseer die SQL-diens, wat die sertifikaat en die aanmelding verwag. Die private adres verskaf 'n netwerkinskrywing binne die gekoppelde virtuele netwerk. Om die een met die ander te verwar, lewer 'n verbinding wat iets bereik en teen niks verifieer nie.

Microsoft se leidraad vir Azure SQL vereis die normale bedienernaam van kliënte. 'n Direkte IP, en ewe veel die privatelink-voorvoegselnaam, is nie 'n uitruilbare aanmeldingsteiken nie. Gereedskap wat 'n IP aanvaar, sal dit aanvaar en dan by TLS of by verifikasie misluk, wat die werklike fout verberg. Daardie mislukkings lees soos geloofsbriefprobleme totdat jy na die gasheernaam in die fout kyk.

Wat die private sone werklik verander

Die private DNS-sone teken een adres vir die bediener binne die privatelink-naamruimte aan, en die sone word aan die virtuele netwerk gekoppel wat dit moet gebruik. Die oplossing skuif; die verbindingstring nie. Die vorm hieronder is 'n illustrasie, nie 'n rekord om in 'n openbare sone te plak nie.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Onderhou daardie rekord en sy sonekoppeling as infrastruktuur, met 'n eienaar en 'n hersieningsdatum.

Twee sones met dieselfde oorsprong en verskillende antwoorde is die normale eindtoestand, nie 'n konflik nie. Openbare kliënte hou die openbare antwoord, en private kliënte kry die eindpuntadres. Die mislukkingsmodus om op te let is gedeeltelike verspreiding van die private aansig, waar een subnet privaat oplos en 'n ander stilweg nie.

Kliënte buite Azure het 'n pad na daardie sone nodig

'n VPN-kliënt sit buite Azure se oplosser, dus moet die private sone vanuit die hibriede pad bereikbaar wees. 'n Azure DNS-aanstuurder of Azure DNS Private Resolver kan navrae bedien wat deur daardie netwerk aankom. Microsoft se leidraad is om die betrokke openbare diensone deur daardie reëling aan te stuur eerder as om te aanvaar dat kliënte die privatelink-naam direk navraag. Kliënte wat nie die private antwoord kan oplos nie, val terug op die openbare een sonder om te kla.

Hou die aanstuurbereik opsetlik, want om 'n openbare sone in gebruik te vervang, breek name wat die vervanging nie bevat nie.

Voorsien in 'n orde wat identiteit vas hou

Die stappe het aparte eienaars: skep en keur die eindpunt goed, voorsien die VPN-roete, integreer private DNS, en stel dan die kliënt met sy normale bedienernaam op. Om DNS voor die roete te doen, lewer timeouts wat soos DNS-mislukkings lyk. Om die kliënt laaste te doen, hou een veranderlike op 'n slag aan die beweeg. Elke stap het 'n waarneembare resultaat, so nie een hoef deur te raai getoets te word nie.

'n Gekoppelde VPN-ikoon kies nie op sigself 'n private bestemming nie.

Wat 'n private eindpunt nie afskakel nie

Die skep van 'n private eindpunt skakel nie outomaties openbare toegang tot die logiese bediener af nie. Dit is 'n aparte ontplooiingsbesluit, en dit hoort nadat die beoogde private kliënte bevestig is dat hulle werk. Hou 'n herstelpad en maak voorsiening vir toepassings wat nog die openbare inskrywing gebruik. Om openbare toegang eerste af te skakel, is hoe 'n werkende diens 'n onderbreking met 'n netjiese ouditspoor word.

Kyk ook watter verbindingsbeleid die bediener gebruik.

Redirect stuur die kliënt na 'n poort op die nodus ná 'n aanvanklike gateway-verbinding, wat verander wat die kliëntnetwerk moet toelaat. Proxy hou verkeer op die gateway. 'n Suksesvolle TCP-handdruk op een poort is nie die hele aanmeldingswerkvloei nie.

Dit is Azure SQL Database, nie SQL Managed Instance nie, wat sy eie verbindingsmodel het en geen ekwivalente private-eindpuntverhaal nie. In beide gevalle, hou drie dinge afsonderlik benoem: die naam, die netwerkinskrywing en die geloofsbrief. Om te verander waar 'n verbinding reis, moet nooit verander watter diens die kliënt dink hy praat nie.