Privatna krajnja tačka, isto ime servera: Azure SQL nizovi za povezivanje

Private Link mijenja gdje veza završava, a ne kako se veza zove. Za Azure SQL Database ta razlika je cijeli dizajn: logički server zadržava svoje ime, a privatna krajnja tačka pruža mrežni zapis na koji se ime razrješava. Zamjena imena IP adresom jedina je promjena koja istovremeno lomi TLS, vjerodajnice i alate. Dva niza za povezivanje mogu izgledati jednako, a ponašati se potpuno drukčije.

Zadržite orders-db.database.windows.net i dajte klijentu privatni odgovor za njega.

Ime i adresa imaju različite poslove

Ime identifikuje SQL uslugu, a to je ono što certifikat i prijava očekuju. Privatna adresa pruža mrežni zapis unutar povezane virtualne mreže. Miješanje jednog s drugim daje vezu koja stigne do nečega i ne autentifikuje se ni prema čemu.

Microsoftove smjernice za Azure SQL zahtijevaju uobičajeno ime servera od klijenata. Direktna IP adresa, kao i ime s prefiksom privatelink, nije zamjenjiva meta prijave. Alati koji prihvate IP adresu prihvatit će je i zatim pasti na TLS-u ili na autentifikaciji, što skriva pravu grešku. Te greške izgledaju kao problemi s vjerodajnicama dok ne pogledate ime hosta u poruci o grešci.

Šta privatna zona zaista mijenja

Privatna DNS zona bilježi jednu adresu za server unutar prostora imena privatelink, a zona je povezana s virtualnom mrežom koja je treba koristiti. Razrješavanje se pomjera; niz za povezivanje ne. Oblik ispod je ilustracija, a ne zapis za lijepljenje u javnu zonu.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Održavajte taj zapis i njegovu vezu sa zonom kao infrastrukturu, s vlasnikom i datumom pregleda.

Dvije zone s istim porijeklom i različitim odgovorima normalno su krajnje stanje, a ne sukob. Javni klijenti zadržavaju javni odgovor, a privatni klijenti dobijaju adresu krajnje tačke. Način kvara na koji treba paziti je djelimično širenje privatnog pogleda, gdje se jedna podmreža razrješava privatno, a druga tiho ne.

Klijentima izvan Azurea treba put do te zone

VPN klijent stoji izvan Azureovog razrješivača, pa privatna zona mora biti dostupna s hibridnog puta. Azure DNS prosljeđivač ili Azure DNS Private Resolver može opsluživati upite koji stižu kroz tu mrežu. Microsoftove smjernice su da se relevantna javna zona usluge proslijedi kroz takav raspored, umjesto da se pretpostavi da klijenti direktno pitaju ime privatelink. Klijenti koji ne mogu razriješiti privatni odgovor tiho se vraćaju na javni.

Držite obim prosljeđivanja namjernim, jer zamjena javne zone koja je u upotrebi lomi imena koja zamjena ne sadrži.

Obezbijedite u redoslijedu koji drži identitet fiksnim

Koraci imaju odvojene vlasnike: kreirajte i odobrite krajnju tačku, obezbijedite VPN rutu, integrišite privatni DNS, zatim konfigurišite klijenta s njegovim uobičajenim imenom servera. Raditi DNS prije rute stvara isteke vremena koji izgledaju kao kvarovi DNS-a. Raditi klijenta posljednjim drži jednu promjenljivu u pokretu odjednom. Svaki korak ima vidljiv rezultat, pa nijedan ne mora biti testiran nagađanjem.

Povezana ikona VPN-a sama po sebi ne bira privatno odredište.

Šta privatna krajnja tačka ne isključuje

Kreiranje privatne krajnje tačke ne onemogućava automatski javni pristup logičkom serveru. To je odvojena odluka o postavljanju i pripada nakon što se potvrdi da predviđeni privatni klijenti rade. Zadržite put za oporavak i računajte na aplikacije koje još koriste javni ulaz. Isključivanje javnog pristupa prvim je način na koji usluga koja radi postaje prekid s urednim revizorskim tragom.

Provjerite i koju politiku veza koristi server.

Redirect šalje klijenta na port na čvoru nakon početne veze s mrežnim prolazom, što mijenja šta klijentska mreža mora dozvoliti. Proxy drži promet na mrežnom prolazu. Uspješno TCP rukovanje na jednom portu nije cijeli tok prijave.

Ovo je Azure SQL Database, a ne SQL Managed Instance, koja ima vlastiti model povezivanja i nema ekvivalentnu priču o privatnoj krajnjoj tački. U oba slučaja držite tri stvari odvojeno označene: ime, mrežni zapis i vjerodajnicu. Promjena toga kuda veza putuje nikada ne bi trebalo da promijeni s kojom uslugom klijent misli da razgovara.