Puntu amaiera pribatua, zerbitzari-izen bera: Azure SQL konexio-kateak

Private Link-ek konexio bat non lurreratzen den aldatzen du, ez konexioari nola deitzen zaion. Azure SQL Database-rako bereizketa hori diseinu osoa da: zerbitzari logikoak bere izena gordetzen du, eta puntu amaiera pribatuak izena ebazten zaion sare-sarrera ematen du. Izena IP helbide batekin ordezkatzea da TLS, kredentzialak eta tresnak aldi berean hausten dituen aldaketa bakarra. Bi konexio-kate baliokideak eman dezakete eta erabat desberdin jokatu.

Mantendu orders-db.database.windows.net eta eman bezeroari horretarako erantzun pribatua.

Izenak eta helbideak zeregin desberdinak dituzte

Izenak SQL zerbitzua identifikatzen du, eta hori da ziurtagiriak eta saio-hasierak espero dutena. Helbide pribatuak sare-sarrera ematen du konektatutako sare birtualaren barruan. Bat bestearekin nahasteak zerbaitetara iristen den eta ezeren aurka autentifikatzen ez den konexioa sortzen du.

Azure SQL-rako Microsoft-en gidaritzak bezeroen zerbitzari-izen normala eskatzen du. IP zuzena, eta berdin privatelink aurrizkidun izena, ez da saio-hasierarako helburu trukagarria. IP-a onartzen duten tresnek onartu egingo dute eta gero TLS-an edo autentifikazioan huts egingo dute, eta horrek benetako errorea ezkutatzen du. Hutsegite horiek kredentzial-arazo gisa irakurtzen dira errorean dagoen ostalari-izena ikusi arte.

Zer aldatzen duen zona pribatuak benetan

DNS zona pribatuak zerbitzariarentzako helbide bat erregistratzen du privatelink izen-espazioaren barruan, eta zona erabili behar duen sare birtualarekin lotuta dago. Ebazpena mugitzen da; konexio-katea ez. Beheko forma ilustrazioa da, ez zona publikoan itsasteko erregistroa.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Mantendu erregistro hori eta bere zona-lotura azpiegitura gisa, jabe batekin eta berrikuspen-datarekin.

Jatorri bera eta erantzun desberdinak dituzten bi zona amaiera-egoera normala dira, ez gatazka. Bezero publikoek erantzun publikoa gordetzen dute, eta bezero pribatuek puntu amaieraren helbidea jasotzen dute. Kontuan hartu beharreko hutsegite-modua ikuspegi pribatuaren hedapen partziala da: azpisare batek modu pribatuan ebazten du eta beste batek isilean ez.

Azure-tik kanpoko bezeroek zona horretarako bidea behar dute

VPN bezero bat Azure-ren ebazlearen kanpoan dago, beraz zona pribatua bide hibridotik irisgarria izan behar da. Azure DNS birbidaltzaile batek edo Azure DNS Private Resolver-ek sare horretatik iristen diren kontsultak zerbitza ditzake. Microsoft-en gidaritza dagokion zerbitzu-zona publikoa antolaketa horren bidez birbidaltzea da, bezeroek privatelink izena zuzenean galdetzen dutela suposatu beharrean. Erantzun pribatua ebatzi ezin duten bezeroak isilean publikora itzultzen dira.

Mantendu birbidaltze-esparrua asmo handikoa, erabileran dagoen zona publiko bat ordezkatzeak ordezkapenak ez dituen izenak hausten baititu.

Hornitu identitatea finko mantentzen duen ordenan

Urratsen jabeak bereiziak dira: sortu eta onartu puntu amaiera, eman VPN ibilbidea, integratu DNS pribatua, eta gero konfiguratu bezeroa bere zerbitzari-izen normalarekin. DNS ibilbidea baino lehen egiteak DNS hutsegiteen itxurako denbora-mugak sortzen ditu. Bezeroa azken egiteak aldagai bat mantentzen du mugimenduan aldi berean. Urrats bakoitzak ikus daitekeen emaitza du, beraz bat ere ez da asmamen bidez probatu behar.

Konektatutako VPN ikono batek ez du berez helmuga pribaturik hautatzen.

Zer ez duen itzaltzen puntu amaiera pribatuak

Puntu amaiera pribatu bat sortzeak ez du automatikoki itzaltzen zerbitzari logikoaren sarbide publikoa. Hori hedapen-erabaki bereizia da, eta aurreikusitako bezero pribatuak funtzionatzen dutela egiaztatu ondoren dagokio. Mantendu berreskuratze-bide bat eta kontuan hartu sarrera publikoa erabiltzen duten aplikazioak. Sarbide publikoa lehenengo itzaltzea da zerbitzu bat lanean ari denetik etenaldi bihurtzeko modua, auditoria-arrasto txukunarekin.

Egiaztatu ere zer konexio-politika erabiltzen duen zerbitzariak.

Redirect-ek bezeroa nodoko portu batera bidaltzen du hasierako atebide-konexio baten ondoren, eta horrek aldatzen du bezero-sareak zer baimendu behar duen. Proxy-k trafikoa atebidean mantentzen du. Portu batean TCP esku-emate arrakastatsu bat ez da saio-hasierako lan-fluxu osoa.

Hau Azure SQL Database da, ez SQL Managed Instance, zeinak bere konektibitate-eredua duen eta puntu amaiera pribatuaren baliokide den istoriorik ez duen. Bi kasuetan, mantendu hiru gauza bereiz etiketatuta: izena, sare-sarrera eta kredentziala. Konexio bat nora doan aldatzeak ez luke inoiz aldatu bezeroak zein zerbitzurekin hitz egiten duen uste duena.