Einkinn endapunktur, sama netþjónsnafn: Azure SQL tengistrengir

Private Link breytir því hvar tenging lendir, ekki því hvað tengingin heitir. Fyrir Azure SQL Database er sá munur öll hönnunin: rökrétti netþjónninn heldur nafni sínu, og einkinn endapunktur veitir netfærslu sem nafnið leysist í. Að skipta nafninu út fyrir IP-tölu er eina breytingin sem brýtur TLS, skírteini og verkfæri á sama tíma. Tvær tengistrengir geta litið jafngildar út og hagað sér gjörólíkt.

Haldið orders-db.database.windows.net og gefið biðlarannum einkasvar fyrir hann.

Nafnið og vistfangið hafa ólík verkefni

Nafnið auðkennir SQL-þjónustuna, og það er það sem skírteinið og innskráningin búast við. Einkavistfangið veitir netfærslu innan tengda sýndarnetsins. Að rugla öðru saman við hitt framleiðir tengingu sem nær til einhvers og auðkennir sig gagnvart engu.

Leiðbeiningar Microsoft fyrir Azure SQL krefjast venjulegs netþjónsnafns frá biðlurum. Beint IP, og jafnframt nafnið með privatelink forskeytinu, er ekki skiptanlegt innskráningarmark. Verkfæri sem taka við IP taka við því og mistakast síðan á TLS eða auðkenningu, sem felur raunverulegu mistökin. Þessir gallar lesast sem vandamál með skírteini þar til litið er á vélarheitið í villunni.

Hvað einkasvæðið breytir í raun

Einkasvæði DNS skráir eitt vistfang fyrir netþjóninn innan nafnrýmis privatelink, og svæðið er tengt sýndarnetinu sem á að nota það. Upplausnin færist; tengistrengurinn ekki. Formið hér að neðan er myndskreyting, ekki færsla til að líma í opinbert svæði.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Viðhaldið þeirri færslu og svæðistengingunni sem innviði, með eiganda og yfirferðardagsetningu.

Tvö svæði með sama uppruna og ólík svör eru venjulegt lokástand, ekki átök. Opinberir biðlarar halda opinbera svarinu, og einkabiðlarar fá vistfang endapunktsins. Bilanamátið sem á að fylgjast með er hlutaröð dreifing einkasýnarinnar, þar sem eitt undirnet leysist innan einkasvæðis og annað þegjandi ekki.

Biðlarar utan Azure þurfa leið inn í það svæði

VPN-biðlari situr utan við leysi Azure, svo einkasvæðið verður að vera aðgengilegt af blendingsleiðinni. Azure DNS áframsendi eða Azure DNS Private Resolver getur þjónað fyrirspurnum sem berast um það net. Leiðbeining Microsoft er að áframsenda viðkomandi opinbert þjónustusvæði um það fyrirkomulag í stað þess að gera ráð fyrir að biðlarar spyrji beint um nafnið privatelink. Biðlarar sem geta ekki leyst einkasvarið falla þegjandi aftur á það opinbera.

Haldið umfangi áframsendingar viljandi, því að skipta út opinberu svæði sem er í notkun brýtur nöfn sem útskiptingin inniheldur ekki.

Veitið í röð sem heldur auðkenninu föstu

Skrefin hafa aðskilda eigendur: búið til og samþykkið endapunktinn, veitið VPN-leiðina, samþættið einka-DNS, stillið síðan biðlarann með venjulegu netþjónsnafni hans. Að gera DNS fyrir leiðina framleiðir tímannörk sem líta út eins og DNS-gallar. Að gera biðlarann síðast heldur einni breytu hreyfa í einu. Hvert skref hefur mælanlega niðurstöðu, svo ekkert þeirra þarf að prófa með giskun.

Tengt VPN-tákn velur ekki einkadest í sjálfu sér.

Hvað einkinn endapunktur slekkur ekki á

Að búa til einkinn endapunkt slekkur ekki sjálfkrafa á opinberum aðgangi að rökrétta netþjóninum. Það er aðskilin dreifingarákvörðun, og hún á heima eftir að staðfest hefur verið að tilætlaðir einkabiðlarar virki. Haldið endurheimtarleið og takið tillit til forrita sem nota enn opinberu inngönguna. Að slökkva á opinberum aðgangi fyrst er leiðin sem virk þjónusta verður að truflun með snyrtilegu endurskoðunarferli.

Athugið líka hvaða tengistefnu netþjónninn notar.

Redirect sendir biðlarann á port á hnútnum eftir upphaflega gáttartengingu, sem breytir því hvað biðlaranetið verður að leyfa. Proxy heldur umferðinni á gáttinni. Árangursrík TCP-handaband á einu porti er ekki allt innskráningarferlið.

Þetta er Azure SQL Database, ekki SQL Managed Instance, sem hefur sitt eigið tengimódel og enga sambærilega sögu um einkinn endapunkt. Í báðum tilvikum, haldið þremur hlutum merktum aðskilið: nafnið, netfærslunni og skírteininu. Að breyta því hvar tenging ferðast ætti aldrei að breyta því hvaða þjónustu biðlarinn telur sig tala við.