Ιδιωτικό τελικό σημείο, ίδιο όνομα διακομιστή: συμβολοσειρές σύνδεσης Azure SQL

Το Private Link αλλάζει πού καταλήγει μια σύνδεση, όχι πώς ονομάζεται η σύνδεση. Για το Azure SQL Database αυτή η διάκριση είναι όλο το σχέδιο: ο λογικός διακομιστής διατηρεί το όνομά του, και το ιδιωτικό τελικό σημείο παρέχει μια καταχώριση δικτύου στην οποία επιλύεται το όνομα. Η αντικατάσταση του ονόματος με μια διεύθυνση IP είναι η μία αλλαγή που σπάει ταυτόχρονα το TLS, τα διαπιστευτήρια και τα εργαλεία. Δύο συμβολοσειρές σύνδεσης μπορεί να φαίνονται ισοδύναμες και να συμπεριφέρονται εντελώς διαφορετικά.

Διατηρήστε το orders-db.database.windows.net και δώστε στον πελάτη μια ιδιωτική απάντηση για αυτό.

Το όνομα και η διεύθυνση έχουν διαφορετικές δουλειές

Το όνομα προσδιορίζει την υπηρεσία SQL, και αυτό περιμένουν το πιστοποιητικό και η σύνδεση. Η ιδιωτική διεύθυνση παρέχει μια καταχώριση δικτύου μέσα στο συνδεδεμένο εικονικό δίκτυο. Η σύγχυση του ενός με το άλλο παράγει μια σύνδεση που φτάνει σε κάτι και δεν πιστοποιείται έναντι τίποτα.

Η καθοδήγηση της Microsoft για το Azure SQL απαιτεί το κανονικό όνομα διακομιστή από τους πελάτες. Μια άμεση IP, και εξίσου το όνομα με πρόθεμα privatelink, δεν είναι εναλλάξιμος στόχος σύνδεσης. Τα εργαλεία που δέχονται μια IP θα τη δεχτούν και μετά θα αποτύχουν στο TLS ή στην πιστοποίηση, κάτι που κρύβει το πραγματικό λάθος. Αυτές οι αποτυχίες διαβάζονται σαν προβλήματα διαπιστευτηρίων μέχρι να κοιτάξετε το όνομα κεντρικού υπολογιστή στο σφάλμα.

Τι αλλάζει πραγματικά η ιδιωτική ζώνη

Η ιδιωτική ζώνη DNS καταγράφει μία διεύθυνση για τον διακομιστή μέσα στον χώρο ονομάτων privatelink, και η ζώνη συνδέεται με το εικονικό δίκτυο που πρέπει να τη χρησιμοποιεί. Η επίλυση μετακινείται· η συμβολοσειρά σύνδεσης όχι. Το σχήμα παρακάτω είναι απεικόνιση, όχι εγγραφή για επικόλληση σε δημόσια ζώνη.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Διατηρήστε αυτή την εγγραφή και τη σύνδεσή της με τη ζώνη ως υποδομή, με υπεύθυνο και ημερομηνία αναθεώρησης.

Δύο ζώνες με την ίδια προέλευση και διαφορετικές απαντήσεις είναι η κανονική τελική κατάσταση, όχι σύγκρουση. Οι δημόσιοι πελάτες κρατούν τη δημόσια απάντηση, και οι ιδιωτικοί πελάτες παίρνουν τη διεύθυνση του τελικού σημείου. Η λειτουργία αποτυχίας που πρέπει να προσέχετε είναι η μερική διάδοση της ιδιωτικής όψης, όπου ένα υποδίκτυο επιλύεται ιδιωτικά και ένα άλλο σιωπηλά όχι.

Οι πελάτες εκτός Azure χρειάζονται μια διαδρομή προς αυτή τη ζώνη

Ένας πελάτης VPN βρίσκεται έξω από τον επιλυτή του Azure, οπότε η ιδιωτική ζώνη πρέπει να είναι προσβάσιμη από την υβριδική διαδρομή. Ένας προωθητής Azure DNS ή ο Azure DNS Private Resolver μπορεί να εξυπηρετεί ερωτήματα που φτάνουν μέσω αυτού του δικτύου. Η καθοδήγηση της Microsoft είναι να προωθείτε τη σχετική δημόσια ζώνη υπηρεσίας μέσω αυτής της διάταξης αντί να υποθέτετε ότι οι πελάτες ερωτούν απευθείας το όνομα privatelink. Οι πελάτες που δεν μπορούν να επιλύσουν την ιδιωτική απάντηση πέφτουν πίσω στη δημόσια χωρίς παράπονο.

Κρατήστε το εύρος προώθησης σκόπιμο, γιατί η αντικατάσταση μιας δημόσιας ζώνης σε χρήση σπάει ονόματα που η αντικατάσταση δεν περιέχει.

Παραχωρήστε με σειρά που κρατά την ταυτότητα σταθερή

Τα βήματα έχουν ξεχωριστούς υπευθύνους: δημιουργήστε και εγκρίνετε το τελικό σημείο, παρέχετε τη διαδρομή VPN, ενσωματώστε το ιδιωτικό DNS και μετά ρυθμίστε τον πελάτη με το κανονικό όνομα διακομιστή του. Το DNS πριν από τη διαδρομή παράγει χρονικά όρια που μοιάζουν με αποτυχίες DNS. Ο πελάτης τελευταίος κρατά μία μεταβλητή σε κίνηση κάθε φορά. Κάθε βήμα έχει ένα παρατηρήσιμο αποτέλεσμα, οπότε κανένα δεν χρειάζεται δοκιμή με εικασίες.

Ένα συνδεδεμένο εικονίδιο VPN δεν επιλέγει από μόνο του έναν ιδιωτικό προορισμό.

Τι δεν απενεργοποιεί ένα ιδιωτικό τελικό σημείο

Η δημιουργία ενός ιδιωτικού τελικού σημείου δεν απενεργοποιεί αυτόματα τη δημόσια πρόσβαση στον λογικό διακομιστή. Αυτή είναι ξεχωριστή απόφαση ανάπτυξης και ανήκει αφού επιβεβαιωθεί ότι λειτουργούν οι προβλεπόμενοι ιδιωτικοί πελάτες. Κρατήστε μια διαδρομή ανάκτησης και λάβετε υπόψη εφαρμογές που χρησιμοποιούν ακόμη τη δημόσια είσοδο. Το να κλείσετε πρώτα τη δημόσια πρόσβαση είναι ο τρόπος με τον οποίο μια υπηρεσία που λειτουργεί γίνεται διακοπή με τακτοποιημένο ίχνος ελέγχου.

Ελέγξτε επίσης ποια πολιτική σύνδεσης χρησιμοποιεί ο διακομιστής.

Το Redirect στέλνει τον πελάτη σε μια θύρα στον κόμβο μετά από μια αρχική σύνδεση πύλης, κάτι που αλλάζει τι πρέπει να επιτρέπει το δίκτυο του πελάτη. Το Proxy κρατά την κίνηση στην πύλη. Μια επιτυχής χειραψία TCP σε μία θύρα δεν είναι όλη η ροή εργασίας σύνδεσης.

Αυτό είναι το Azure SQL Database, όχι το SQL Managed Instance, που έχει το δικό του μοντέλο συνδεσιμότητας και καμία αντίστοιχη ιστορία ιδιωτικού τελικού σημείου. Και στις δύο περιπτώσεις, κρατήστε τρία πράγματα χαρακτηρισμένα χωριστά: το όνομα, την καταχώριση δικτύου και το διαπιστευτήριο. Η αλλαγή του πού ταξιδεύει μια σύνδεση δεν πρέπει ποτέ να αλλάζει με ποια υπηρεσία ο πελάτης νομίζει ότι μιλάει.