Pwynt terfyn preifat, un enw gweinydd: llinynnau cysylltiad Azure SQL

Mae Private Link yn newid ble mae cysylltiad yn glanio, nid beth yw enw'r cysylltiad. Ar gyfer Azure SQL Database y gwahaniaeth hwnnw yw'r holl ddyluniad: mae'r gweinydd rhesymegol yn cadw ei enw, ac mae'r pwynt terfyn preifat yn darparu cofnod rhwydwaith y mae'r enw'n datrys iddo. Disodli'r enw gyda chyfeiriad IP yw'r un newid sy'n torri TLS, manylion mewngofnodi ac offer ar yr un pryd. Gall dau linyn cysylltiad edrych yn gyfartal a chyflawni'n hollol wahanol.

Cadwch orders-db.database.windows.net a rhowch ateb preifat i'r cleient ar ei gyfer.

Mae gan yr enw a'r cyfeiriad wahanol swyddi

Mae'r enw'n nodi'r gwasanaeth SQL, a dyna mae'r dystysgrif a'r mewngofnodi'n ei ddisgwyl. Mae'r cyfeiriad preifat yn darparu cofnod rhwydwaith o fewn y rhwydwaith rhithwir sy'n gysylltiedig. Mae drysu'r naill â'r llall yn cynhyrchu cysylltiad sy'n cyrraedd rhywbeth ac nad yw'n uwthebu yn erbyn dim.

Mae canllaw Microsoft ar gyfer Azure SQL yn gofyn am enw gweinydd arferol gan gleientiaid. Nid yw IP uniongyrchol, ac yn yr un modd yr enw â rhagddodiad privatelink, yn darged mewngofnodi cyfnewidiol. Bydd offer sy'n derbyn IP yn ei dderbyn ac yna'n methu ar TLS neu ar uwthebu, sy'n cuddio'r gwall go iawn. Mae'r methiannau hynny'n darllen fel problemau manylion mewngofnodi nes edrychwch ar enw'r gwesteiwr yn y gwall.

Beth mae'r parth preifat yn ei newid mewn gwirionedd

Mae'r parth DNS preifat yn cofnodi un cyfeiriad ar gyfer y gweinydd o fewn gofod enwau privatelink, ac mae'r parth yn gysylltiedig â'r rhwydwaith rhithwir a ddylai ei ddefnyddio. Mae'r datrysiad yn symud; nid yw'r llinyn cysylltiad. Mae'r siâp isod yn ddarlun, nid yn gofnod i'w bastio i barth cyhoeddus.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Cynhelwch y cofnod hwnnw a'i gysylltiad parth fel seilwaith, gyda pherchennog a dyddiad adolygu.

Mae dau barth â'r un tarddiad ac atebion gwahanol yn gyflwr terfynol arferol, nid yn wrthdaro. Mae cleientiaid cyhoeddus yn cadw'r ateb cyhoeddus, ac mae cleientiaid preifat yn cael cyfeiriad y pwynt terfyn. Y modd methu i wylio amdano yw taeniad rhannol y golwg preifat, lle mae un is-rwydwaith yn datrys yn breifat ac un arall, yn dawel, ddim yn gwneud.

Mae angen llwybr i'r parth hwnnw ar gleientiaid y tu allan i Azure

Mae cleient VPN yn eistedd y tu allan i ddatryswr Azure, felly rhaid i'r parth preifat fod yn gyrraeddadwy o'r llwybr hybrid. Gall anfonwr DNS Azure neu Azure DNS Private Resolver wasanaethu ymholiadau sy'n cyrraedd drwy'r rhwydwaith hwnnw. Canllaw Microsoft yw anfon y parth gwasanaeth cyhoeddus perthnasol drwy'r drefn honno yn hytrach na thybio bod cleientiaid yn holi enw privatelink yn uniongyrchol. Mae cleientiaid na allant ddatrys yr ateb preifat yn disgyn yn ôl i'r un cyhoeddus heb gwyno.

Cadwch gwmpas yr anfon yn fwriadol, oherwydd mae disodli parth cyhoeddus sydd mewn defnydd yn torri enwau nad yw'r disodliad yn eu cynnwys.

Darparwch mewn trefn sy'n cadw hunaniaeth yn sefydlog

Mae gan y camau berchnogion ar wahân: creu a chymeradwyo'r pwynt terfyn, darparu'r llwybr VPN, integreiddio DNS preifat, yna ffurfweddu'r cleient gyda'i enw gweinydd arferol. Mae gwneud DNS cyn y llwybr yn cynhyrchu goramseroedd sy'n edrych fel methiannau DNS. Mae gwneud y cleient olaf yn cadw un newidyn yn symud ar y tro. Mae gan bob cam ganlyniad arsylwadwy, felly nid oes angen profi'r un ohonynt drwy ddyfalu.

Nid yw eicon VPN sydd wedi'i gysylltu yn dewis cyrchfan preifat ar ei ben ei hun.

Beth nad yw pwynt terfyn preifat yn ei ddiffodd

Nid yw creu pwynt terfyn preifat yn analluogi mynediad cyhoeddus i'r gweinydd rhesymegol yn awtomatig. Mae hynny'n benderfyniad defnyddio ar wahân, ac mae'n perthyn ar ôl i'r cleientiaid preifat arfaethedig gael eu cadarnhau'n gweithio. Cadwch lwybr adfer a chyfrifwch am gymwysiadau sy'n dal i ddefnyddio'r fynedfa gyhoeddus. Diffodd mynediad cyhoeddus yn gyntaf yw'r ffordd y mae gwasanaeth sy'n gweithio yn dod yn amhariad gyda llwybr archwilio taclus.

Gwiriwch pa bolisi cysylltiad y mae'r gweinydd yn ei ddefnyddio hefyd.

Mae Redirect yn anfon y cleient i borth ar y nod ar ôl cysylltiad porth cychwynnol, sy'n newid beth y mae'n rhaid i rwydwaith y cleient ei ganiatáu. Mae Proxy yn cadw traffig ar y porth. Nid yw ysgwyd llaw TCP llwyddiannus ar un porth yn holl lif gwaith mewngofnodi.

Azure SQL Database yw hwn, nid SQL Managed Instance, sydd â'i fodel cysylltedd ei hun a dim stori pwynt terfyn preifat gyfatebol. Yn y ddau achos, cadwch dri pheth wedi'u labelu ar wahân: yr enw, y cofnod rhwydwaith a'r manylyn mewngofnodi. Ni ddylai newid ble mae cysylltiad yn teithio byth newid pa wasanaeth y mae'r cleient yn credu ei fod yn siarad ag ef.