Մասնավոր վերջնակետ՝ նույն սերվերի անունը. Azure SQL միացման տողեր

Private Link-ը փոխում է, թե որտեղ է միացումը հասնում, ոչ թե ինչ է կոչվում միացումը։ Azure SQL Database-ի համար այդ տարբերությունը ողջ ձևավորումն է. տրամաբանական սերվերը պահում է իր անունը, և մասնավոր վերջնակետը տրամադրում է ցանցային գրառում, որին լուծվում է անունը։ Անունը IP հասցեով փոխարինելը միակ փոփոխությունն է, որը միաժամանակ կոտրում է TLS-ը, հավատարմագրերը և գործիքները։ Երկու միացման տողեր կարող են համարժեք թվալ և բոլորովին այլ կերպ վարվել։

Պահեք orders-db.database.windows.net-ը և հաճախորդին տվեք դրա համար մասնավոր պատասխան։

Անունն ու հասցեն տարբեր աշխատանքներ ունեն

Անունը նույնականացնում է SQL ծառայությունը, և դա է, ինչ սպասում են վկայագիրը և մուտքը։ Մասնավոր հասցեն ցանցային գրառում է տրամադրում միացված վիրտուալ ցանցի ներսում։ Մեկը մյուսի հետ շփոթելը ստեղծում է միացում, որը հասնում է ինչ-որ բանի և ոչ մի բանի դեմ չի նույնականացվում։

Microsoft-ի ուղեցույցը Azure SQL-ի համար պահանջում է սովորական սերվերի անուն հաճախորդներից։ Ուղիղ IP-ն, և նույնչափ privatelink նախածանցով անունը, փոխանակելի մուտքի թիրախ չէ։ Գործիքները, որոնք ընդունում են IP, կընդունեն այն և հետո կձախողվեն TLS-ի կամ ինքնության հաստատման ժամանակ, ինչը թաքցնում է իրական սխալը։ Այդ ձախողումները կարդացվում են որպես հավատարմագրերի խնդիրներ, քանի դեռ չեք նայել սխալի մեջ եղած հոսթի անվանը։

Ինչ է իրականում փոխում մասնավոր գոտին

Մասնավոր DNS գոտին գրանցում է մեկ հասցե սերվերի համար privatelink անվանատարածքի ներսում, և գոտին կապված է վիրտուալ ցանցի հետ, որը պետք է օգտագործի այն։ Լուծումը տեղափոխվում է. միացման տողը՝ ոչ։ Ներքևի ձևը նկարազարդում է, ոչ թե գրառում՝ հանրային գոտում տեղադրելու համար։

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Պահպանեք այդ գրառումը և դրա գոտու կապը որպես ենթակառուցվածք՝ սեփականատիրոջ և վերանայման ամսաթվի հետ։

Նույն ծագումով և տարբեր պատասխաններով երկու գոտիները նորմալ վերջնական վիճակ են, ոչ թե հակամարտություն։ Հանրային հաճախորդները պահում են հանրային պատասխանը, իսկ մասնավոր հաճախորդները ստանում են վերջնակետի հասցեն։ Ուշադրության արժանի ձախողման ռեժիմը մասնավոր տեսքի մասնակի տարածումն է, երբ մի ենթացանց լուծվում է մասնավոր կերպով, իսկ մյուսը՝ լուռ ոչ։

Azure-ից դուրս հաճախորդներին պետք է ուղի դեպի այդ գոտի

VPN հաճախորդը գտնվում է Azure-ի լուծիչից դուրս, ուստի մասնավոր գոտին պետք է հասանելի լինի հիբրիդային ուղուց։ Azure DNS փոխանցիչը կամ Azure DNS Private Resolver-ը կարող են սպասարկել այդ ցանցով եկող հարցումները։ Microsoft-ի ուղեցույցն է փոխանցել համապատասխան հանրային ծառայության գոտին այդ կարգավորման միջոցով, փոխարենը ենթադրելու, որ հաճախորդները ուղղակիորեն հարցնում են privatelink անունը։ Հաճախորդները, ովքեր չեն կարող լուծել մասնավոր պատասխանը, լուռ վերադառնում են հանրայինին։

Պահեք փոխանցման շրջանակը դիտավորյալ, որովհետև օգտագործման մեջ գտնվող հանրային գոտին փոխարինելը կոտրում է անուններ, որոնք փոխարինումը չի պարունակում։

Տրամադրեք այնպիսի հերթականությամբ, որը պահում է ինքնությունը հաստատուն

Քայլերն ունեն առանձին սեփականատերեր. ստեղծեք և հաստատեք վերջնակետը, ապահովեք VPN ուղին, ինտեգրեք մասնավոր DNS-ը, ապա կարգավորեք հաճախորդին իր սովորական սերվերի անունով։ Ուղուց առաջ DNS անելը ստեղծում է ժամկետանցումներ, որոնք նման են DNS ձախողումների։ Հաճախորդին վերջին անելը պահում է մեկ փոփոխական շարժման մեջ միաժամանակ։ Յուրաքանչյուր քայլ ունի դիտարկելի արդյունք, ուստի ոչ մեկը պետք չէ փորձարկել գուշակությամբ։

Միացված VPN պատկերակը ինքնին մասնավոր նպատակակետ չի ընտրում։

Ինչ չի անջատում մասնավոր վերջնակետը

Մասնավոր վերջնակետ ստեղծելը ինքնաշխատ չի անջատում հանրային հասանելիությունը տրամաբանական սերվերին։ Դա առանձին տեղակայման որոշում է, և այն գալիս է այն բանից հետո, երբ նախատեսված մասնավոր հաճախորդների աշխատանքը հաստատվել է։ Պահեք վերականգնման ուղի և հաշվի առեք հավելվածները, որոնք դեռ օգտագործում են հանրային մուտքը։ Հանրային հասանելիությունը նախ անջատելը այն ձևն է, որով աշխատող ծառայությունը դառնում է ընդհատում՝ կոկիկ աուդիտի հետքով։

Ստուգեք նաև, թե որ միացման քաղաքականությունն է օգտագործում սերվերը։

Redirect-ը հաճախորդին ուղարկում է հանգույցի պորտ՝ սկզբնական դարպասի միացումից հետո, ինչը փոխում է, թե ինչ պետք է թույլատրի հաճախորդի ցանցը։ Proxy-ն պահում է երթևեկությունը դարպասի վրա։ Մեկ պորտում հաջող TCP ձեռքսեղմումը մուտքի ամբողջ աշխատահոսքը չէ։

Սա Azure SQL Database է, ոչ SQL Managed Instance, որն ունի իր կապակցման մոդելը և մասնավոր վերջնակետի համարժեք պատմություն չունի։ Երկու դեպքում էլ երեք բան պահեք առանձին պիտակավորված՝ անունը, ցանցային գրառումը և հավատարմագիրը։ Փոխելը, թե ուր է ճամփորդում միացումը, երբեք չպետք է փոխի, թե որ ծառայության հետ է հաճախորդը կարծում, թե խոսում է։