Частна крайна точка, същото име на сървъра: низове за връзка с Azure SQL

Private Link променя къде пристига връзката, а не как се нарича връзката. За Azure SQL Database това разграничение е целият дизайн: логическият сървър запазва името си, а частната крайна точка осигурява мрежов запис, към който името се разрешава. Замяната на името с IP адрес е единствената промяна, която чупи TLS, идентификационните данни и инструментите едновременно. Два низа за връзка може да изглеждат еквивалентни и да се държат напълно различно.

Запазете orders-db.database.windows.net и дайте на клиента частен отговор за него.

Името и адресът имат различни задачи

Името идентифицира услугата SQL и точно това очакват сертификатът и входът. Частният адрес осигурява мрежов запис вътре в свързаната виртуална мрежа. Объркването на едното с другото дава връзка, която стига до нещо и не се удостоверява срещу нищо.

Указанията на Microsoft за Azure SQL изискват нормалното име на сървъра от клиентите. Директният IP, а също и името с префикс privatelink, не е взаимозаменяема цел за вход. Инструментите, които приемат IP, ще го приемат и след това ще се провалят при TLS или при удостоверяване, което скрива истинската грешка. Тези повреди се четат като проблеми с идентификационните данни, докато не погледнете името на хоста в грешката.

Какво всъщност променя частната зона

Частната DNS зона записва един адрес за сървъра в пространството от имена privatelink, а зоната е свързана с виртуалната мрежа, която трябва да я използва. Разрешаването се мести; низът за връзка не. Формата по-долу е илюстрация, а не запис за поставяне в публична зона.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Поддържайте този запис и връзката му със зоната като инфраструктура, със собственик и дата за преглед.

Две зони с един и същ произход и различни отговори са нормалното крайно състояние, а не конфликт. Публичните клиенти запазват публичния отговор, а частните клиенти получават адреса на крайната точка. Режимът на отказ, който да следите, е частично разпространение на частния изглед, при което една подмрежа се разрешава частно, а друга тихо не.

Клиентите извън Azure се нуждаят от път към тази зона

VPN клиент стои извън резолвера на Azure, затова частната зона трябва да е достъпна от хибридния път. Azure DNS препращач или Azure DNS Private Resolver може да обслужва заявки, пристигащи през тази мрежа. Указанията на Microsoft са да препращате съответната публична зона на услугата през тази уредба, вместо да предполагате, че клиентите питат директно за името privatelink. Клиентите, които не могат да разрешат частния отговор, тихо се връщат към публичния.

Дръжте обхвата на препращането умишлен, защото замяната на използвана публична зона чупи имена, които замяната не съдържа.

Осигурявайте в ред, който запазва идентичността фиксирана

Стъпките имат отделни собственици: създайте и одобрете крайната точка, осигурете VPN маршрута, интегрирайте частния DNS, след това конфигурирайте клиента с нормалното му име на сървър. Правенето на DNS преди маршрута дава таймаути, които изглеждат като DNS повреди. Правенето на клиента последен държи една променлива в движение наведнъж. Всяка стъпка има наблюдаем резултат, така че никоя не трябва да се тества с догадки.

Свързана VPN икона не избира частна дестинация сама по себе си.

Какво частната крайна точка не изключва

Създаването на частна крайна точка не изключва автоматично публичния достъп до логическия сървър. Това е отделно решение за внедряване и идва след като предвидените частни клиенти бъдат потвърдени като работещи. Пазете път за възстановяване и отчитайте приложенията, които все още използват публичния вход. Изключването на публичния достъп първо е начинът работеща услуга да се превърне в прекъсване с подреден одитен запис.

Проверете и коя политика за връзки използва сървърът.

Redirect изпраща клиента към порт на възела след първоначална връзка с шлюза, което променя какво трябва да позволява мрежата на клиента. Proxy задържа трафика на шлюза. Успешно TCP ръкостискане на един порт не е целият работен процес за вход.

Това е Azure SQL Database, а не SQL Managed Instance, която има собствен модел на свързване и няма еквивалентна история с частна крайна точка. В двата случая дръжте три неща обозначени отделно: името, мрежовия запис и идентификационните данни. Промяната къде пътува връзката никога не трябва да променя с коя услуга клиентът смята, че говори.