Endpoint privat, nama server sama: string koneksi Azure SQL

Private Link mengubah tempat koneksi mendarat, bukan nama koneksi itu. Untuk Azure SQL Database, perbedaan itu adalah seluruh desain: server logis mempertahankan namanya, dan endpoint privat menyediakan entri jaringan tempat nama itu diresolusikan. Mengganti nama dengan alamat IP adalah satu-satunya perubahan yang merusak TLS, kredensial, dan perkakas sekaligus. Dua string koneksi bisa terlihat setara dan berperilaku sama sekali berbeda.

Pertahankan orders-db.database.windows.net dan berikan klien jawaban privat untuknya.

Nama dan alamat punya tugas berbeda

Nama mengidentifikasi layanan SQL, dan itulah yang diharapkan sertifikat serta login. Alamat privat menyediakan entri jaringan di dalam jaringan virtual yang terhubung. Mencampurkan keduanya menghasilkan koneksi yang mencapai sesuatu dan tidak mengautentikasi terhadap apa pun.

Panduan Microsoft untuk Azure SQL mensyaratkan nama server normal dari klien. IP langsung, dan sama halnya nama berawalan privatelink, bukan target login yang bisa dipertukarkan. Perkakas yang menerima IP akan menerimanya lalu gagal di TLS atau di autentikasi, yang menyembunyikan kesalahan sebenarnya. Kegagalan itu terbaca seperti masalah kredensial sampai Anda melihat nama host di pesan kesalahan.

Apa yang sebenarnya diubah zona privat

Zona DNS privat mencatat satu alamat untuk server di dalam ruang nama privatelink, dan zona itu ditautkan ke jaringan virtual yang seharusnya memakainya. Resolusi berpindah; string koneksi tidak. Bentuk di bawah adalah ilustrasi, bukan catatan untuk ditempel ke zona publik.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Pelihara catatan itu dan tautan zonanya sebagai infrastruktur, dengan pemilik dan tanggal tinjauan.

Dua zona dengan asal sama dan jawaban berbeda adalah keadaan akhir yang normal, bukan konflik. Klien publik mempertahankan jawaban publik, dan klien privat mendapatkan alamat endpoint. Mode kegagalan yang perlu diwaspadai adalah penyebaran sebagian dari tampilan privat, ketika satu subnet diresolusikan secara privat dan yang lain diam-diam tidak.

Klien di luar Azure memerlukan jalur ke zona itu

Klien VPN berada di luar resolver Azure, jadi zona privat harus dapat dijangkau dari jalur hibrid. Penerus DNS Azure atau Azure DNS Private Resolver dapat melayani kueri yang datang melalui jaringan itu. Panduan Microsoft adalah meneruskan zona layanan publik yang relevan melalui pengaturan itu, bukan mengasumsikan klien menanyakan nama privatelink secara langsung. Klien yang tidak dapat meresolusikan jawaban privat kembali ke jawaban publik tanpa mengeluh.

Jaga cakupan penerusan tetap disengaja, karena mengganti zona publik yang sedang dipakai akan merusak nama yang tidak dimuat penggantinya.

Sediakan dalam urutan yang menjaga identitas tetap

Langkah-langkahnya punya pemilik terpisah: buat dan setujui endpoint, sediakan rute VPN, integrasikan DNS privat, lalu konfigurasikan klien dengan nama server normalnya. Melakukan DNS sebelum rute menghasilkan batas waktu yang terlihat seperti kegagalan DNS. Melakukan klien terakhir menjaga satu variabel bergerak setiap kali. Setiap langkah punya hasil yang dapat diamati, jadi tidak ada yang harus diuji dengan menebak.

Ikon VPN yang terhubung tidak memilih tujuan privat dengan sendirinya.

Apa yang tidak dimatikan endpoint privat

Membuat endpoint privat tidak otomatis menonaktifkan akses publik ke server logis. Itu keputusan penerapan terpisah, dan tempatnya setelah klien privat yang dimaksud dipastikan berfungsi. Pertahankan jalur pemulihan dan perhitungkan aplikasi yang masih memakai pintu masuk publik. Mematikan akses publik lebih dulu adalah cara layanan yang berfungsi menjadi gangguan dengan jejak audit yang rapi.

Periksa juga kebijakan koneksi yang dipakai server.

Redirect mengirim klien ke port pada node setelah koneksi gateway awal, yang mengubah apa yang harus diizinkan jaringan klien. Proxy menahan lalu lintas di gateway. Jabat tangan TCP yang berhasil pada satu port bukan seluruh alur kerja login.

Ini Azure SQL Database, bukan SQL Managed Instance, yang punya model konektivitas sendiri dan tidak punya kisah endpoint privat yang setara. Dalam kedua kasus, jaga tiga hal berlabel terpisah: nama, entri jaringan, dan kredensial. Mengubah tempat koneksi bepergian tidak boleh mengubah layanan mana yang dianggap klien sedang diajaknya berbicara.