Privát végpont, ugyanaz a kiszolgálónév: Azure SQL kapcsolati karakterláncok

A Private Link azt változtatja meg, hova érkezik a kapcsolat, nem azt, hogy mi a kapcsolat neve. Az Azure SQL Database esetében ez a különbség a teljes tervezés: a logikai kiszolgáló megtartja a nevét, a privát végpont pedig olyan hálózati bejegyzést biztosít, amelyre a név feloldódik. A név IP-címre cserélése az az egyetlen változtatás, amely egyszerre töri el a TLS-t, a hitelesítő adatokat és az eszközöket. Két kapcsolati karakterlánc egyformának tűnhet, és teljesen másképp viselkedhet.

Tartsa meg a orders-db.database.windows.net elemet, és adjon a kliensnek privát választ rá.

A névnek és a címnek különböző feladatai vannak

A név azonosítja az SQL-szolgáltatást, és ezt várja a tanúsítvány és a bejelentkezés. A privát cím hálózati bejegyzést biztosít a csatlakoztatott virtuális hálózaton belül. A kettő összekeverése olyan kapcsolatot hoz létre, amely elér valamit, és semmi ellen nem hitelesít.

A Microsoft Azure SQL-re vonatkozó útmutatása a szokásos kiszolgálónevet kéri a kliensektől. A közvetlen IP, és ugyanígy a privatelink előtaggal ellátott név, nem cserélhető bejelentkezési cél. Az IP-t elfogadó eszközök elfogadják, majd a TLS-nél vagy a hitelesítésnél sikertelenek lesznek, ami elrejti a valódi hibát. Ezek a hibák hitelesítő adatokkal kapcsolatos problémának tűnnek, amíg meg nem nézi a gazdanevet a hibában.

Mit változtat meg valójában a privát zóna

A privát DNS-zóna egy címet rögzít a kiszolgálóhoz a privatelink névtérben, és a zóna ahhoz a virtuális hálózathoz van kapcsolva, amelynek használnia kell. A feloldás mozdul; a kapcsolati karakterlánc nem. Az alábbi forma szemléltetés, nem a nyilvános zónába illesztendő rekord.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Tartsa fenn ezt a rekordot és a zónakapcsolatát infrastruktúraként, felelőssel és felülvizsgálati dátummal.

Két zóna azonos eredettel és eltérő válaszokkal a normális végállapot, nem konfliktus. A nyilvános kliensek megtartják a nyilvános választ, a privát kliensek pedig megkapják a végpont címét. A figyelendő hibaállapot a privát nézet részleges terjedése, amikor az egyik alhálózat privát módon oldódik fel, a másik pedig csendben nem.

Az Azure-on kívüli klienseknek útvonalra van szükségük ehhez a zónához

A VPN-kliens az Azure feloldóján kívül helyezkedik el, ezért a privát zónának elérhetőnek kell lennie a hibrid útvonalról. Az Azure DNS-továbbító vagy az Azure DNS Private Resolver kiszolgálhatja az ezen a hálózaton érkező lekérdezéseket. A Microsoft útmutatása, hogy a vonatkozó nyilvános szolgáltatászónát ezen az elrendezésen keresztül továbbítsa, ahelyett hogy feltételezné, hogy a kliensek közvetlenül a privatelink nevet kérdezik le. Azok a kliensek, amelyek nem tudják feloldani a privát választ, panasz nélkül visszaesnek a nyilvánosra.

Tartsa szándékosnak a továbbítás hatókörét, mert egy használatban lévő nyilvános zóna lecserélése eltöri azokat a neveket, amelyeket a csere nem tartalmaz.

Olyan sorrendben biztosítsa, amely rögzítve tartja az identitást

A lépéseknek külön felelőseik vannak: hozza létre és hagyja jóvá a végpontot, biztosítsa a VPN-útvonalat, integrálja a privát DNS-t, majd konfigurálja a klienst a szokásos kiszolgálónevével. A DNS útvonal előtti elvégzése olyan időtúllépéseket okoz, amelyek DNS-hibáknak tűnnek. A kliens utolsóként való elvégzése egyszerre egy változót tart mozgásban. Minden lépésnek megfigyelhető eredménye van, így egyiket sem kell tippeléssel tesztelni.

A csatlakoztatott VPN-ikon önmagában nem választ privát célt.

Mit nem kapcsol ki a privát végpont

Egy privát végpont létrehozása nem tiltja le automatikusan a logikai kiszolgáló nyilvános elérését. Ez külön üzembe helyezési döntés, és azután van a helye, hogy a tervezett privát kliensek működését megerősítették. Tartson fenn helyreállítási útvonalat, és számoljon a nyilvános bejáratot még használó alkalmazásokkal. A nyilvános hozzáférés elsőként történő kikapcsolása az az út, amelyen egy működő szolgáltatás rendezett auditnyommal járó kieséssé válik.

Azt is ellenőrizze, milyen kapcsolati házirendet használ a kiszolgáló.

A Redirect a kezdeti átjárókapcsolat után a csomópont egy portjára küldi a klienst, ami megváltoztatja, mit kell engedélyeznie a klienshálózatnak. A Proxy az átjárón tartja a forgalmat. Egy sikeres TCP-kézfogás egy porton nem a teljes bejelentkezési folyamat.

Ez az Azure SQL Database, nem az SQL Managed Instance, amelynek saját kapcsolódási modellje van, és nincs egyenértékű privát végpont-története. Mindkét esetben tartsa három dolgot külön címkézve: a nevet, a hálózati bejegyzést és a hitelesítő adatot. Annak megváltoztatása, hova utazik egy kapcsolat, soha nem változtathatja meg, melyik szolgáltatással hiszi a kliens, hogy beszél.