კერძო ბოლო წერტილი, იგივე სერვერის სახელი: Azure SQL კავშირის სტრიქონები

Private Link ცვლის იმას, სად მიდის კავშირი და არა იმას, როგორ ჰქვია კავშირს. Azure SQL Database-ისთვის ეს განსხვავება მთელი დიზაინია: ლოგიკური სერვერი ინარჩუნებს სახელს, ხოლო კერძო ბოლო წერტილი უზრუნველყოფს ქსელურ ჩანაწერს, რომელზეც სახელი იხსნება. სახელის IP მისამართით ჩანაცვლება ერთადერთი ცვლილებაა, რომელიც ერთდროულად ამტვრევს TLS-ს, სერთიფიკატებსა და ხელსაწყოებს. ორი კავშირის სტრიქონი შეიძლება ეკვივალენტურად გამოიყურებოდეს და სრულიად განსხვავებულად იქცეოდეს.

შეინარჩუნეთ orders-db.database.windows.net და მიეცით კლიენტს კერძო პასუხი მისთვის.

სახელსა და მისამართს სხვადასხვა საქმე აქვს

სახელი იდენტიფიცირებს SQL სერვისს და სწორედ ამას ელის სერთიფიკატი და შესვლა. კერძო მისამართი უზრუნველყოფს ქსელურ ჩანაწერს დაკავშირებული ვირტუალური ქსელის შიგნით. ერთის მეორესთან არევა ქმნის კავშირს, რომელიც რაღაცას აღწევს და არავის მიმართ არ ამოწმებს ვინაობას.

Microsoft-ის გზამკვლევი Azure SQL-ისთვის კლიენტებისგან ჩვეულებრივ სერვერის სახელს მოითხოვს. პირდაპირი IP და, ისევე, privatelink პრეფიქსიანი სახელი, არ არის ურთიერთშემცვლელი შესვლის სამიზნე. ხელსაწყოები, რომლებიც IP-ს იღებენ, მიიღებენ მას და შემდეგ ჩავარდებიან TLS-ზე ან ავთენტიფიკაციაზე, რაც ნამდვილ შეცდომას მალავს. ეს ჩავარდნები იკითხება როგორც სერთიფიკატების პრობლემა, სანამ შეცდომაში ჰოსტის სახელს არ შეხედავთ.

რას ცვლის კერძო ზონა სინამდვილეში

კერძო DNS ზონა იწერს ერთ მისამართს სერვერისთვის privatelink სახელების სივრცეში, და ზონა დაკავშირებულია ვირტუალურ ქსელთან, რომელმაც უნდა გამოიყენოს იგი. გადაწყვეტა მოძრაობს; კავშირის სტრიქონი არა. ქვემოთ მოცემული ფორმა ილუსტრაციაა და არა ჩანაწერი, რომელიც საჯარო ზონაში უნდა ჩაისვას.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

შეინახეთ ეს ჩანაწერი და მისი ზონის ბმული ინფრასტრუქტურად, მფლობელითა და გადახედვის თარიღით.

ორი ზონა ერთი წარმომავლობითა და განსხვავებული პასუხებით ნორმალური საბოლოო მდგომარეობაა და არა კონფლიქტი. საჯარო კლიენტები ინარჩუნებენ საჯარო პასუხს, ხოლო კერძო კლიენტები იღებენ ბოლო წერტილის მისამართს. საყურადღებო მარცხის რეჟიმია კერძო ხედვის ნაწილობრივი გავრცელება, როცა ერთი ქვექსელი კერძოდ იხსნება, მეორე კი ჩუმად არა.

Azure-ის გარეთ მყოფ კლიენტებს ამ ზონაში გზა სჭირდებათ

VPN კლიენტი Azure-ის გადამწყვეტის გარეთ ზის, ამიტომ კერძო ზონა ჰიბრიდული გზიდან ხელმისაწვდომი უნდა იყოს. Azure DNS გადამცემი ან Azure DNS Private Resolver შეუძლია მოემსახუროს ამ ქსელიდან მოსულ მოთხოვნებს. Microsoft-ის გზამკვლევია შესაბამისი საჯარო მომსახურების ზონის გადაცემა ამ მოწყობით, ნაცვლად იმისა, რომ ვივარაუდოთ კლიენტების მიერ privatelink სახელის უშუალო მოთხოვნა. კლიენტები, რომლებსაც არ შეუძლიათ კერძო პასუხის გადაწყვეტა, ჩუმად უბრუნდებიან საჯაროს.

შეინარჩუნეთ გადაცემის არე განზრახ, რადგან გამოყენებაში მყოფი საჯარო ზონის ჩანაცვლება ამტვრევს სახელებს, რომლებსაც ჩანაცვლება არ შეიცავს.

უზრუნველყავით ისეთი რიგით, რომელიც იდენტობას უცვლელად ინარჩუნებს

ნაბიჯებს ცალკე მფლობელები აქვთ: შექმენით და დაამტკიცეთ ბოლო წერტილი, უზრუნველყავით VPN მარშრუტი, გააერთიანეთ კერძო DNS, შემდეგ დააკონფიგურირეთ კლიენტი მისი ჩვეულებრივი სერვერის სახელით. მარშრუტამდე DNS-ის კეთება ქმნის დროის ამოწურვებს, რომლებიც DNS მარცხს ჰგავს. კლიენტის ბოლოს კეთება ერთ ცვლადს ინარჩუნებს მოძრაობაში ერთდროულად. თითოეულ ნაბიჯს აქვს დაკვირვებადი შედეგი, ამიტომ არცერთი მათგანი არ საჭიროებს გამოცნობით შემოწმებას.

დაკავშირებული VPN ხატულა თავისთავად კერძო დანიშნულებას არ ირჩევს.

რას არ თიშავს კერძო ბოლო წერტილი

კერძო ბოლო წერტილის შექმნა ავტომატურად არ თიშავს საჯარო წვდომას ლოგიკურ სერვერზე. ეს ცალკე განლაგების გადაწყვეტილებაა და ის მოდის მას შემდეგ, რაც დადასტურდება განზრახული კერძო კლიენტების მუშაობა. შეინარჩუნეთ აღდგენის გზა და გაითვალისწინეთ აპლიკაციები, რომლებიც ჯერ კიდევ იყენებენ საჯარო შესასვლელს. საჯარო წვდომის პირველად გამორთვა ის გზაა, რომლითაც მომუშავე სერვისი ხდება შეფერხება მოწესრიგებული აუდიტის კვალით.

შეამოწმეთ ასევე, რომელი კავშირის პოლიტიკას იყენებს სერვერი.

Redirect კლიენტს აგზავნის კვანძის პორტზე საწყისი კარიბჭის კავშირის შემდეგ, რაც ცვლის იმას, თუ რა უნდა დაუშვას კლიენტის ქსელმა. Proxy ტრაფიკს კარიბჭეზე ინარჩუნებს. წარმატებული TCP ხელის ჩამორთმევა ერთ პორტზე არ არის მთელი შესვლის სამუშაო პროცესი.

ეს არის Azure SQL Database და არა SQL Managed Instance, რომელსაც აქვს საკუთარი კავშირის მოდელი და არ აქვს კერძო ბოლო წერტილის ეკვივალენტური ისტორია. ორივე შემთხვევაში, შეინარჩუნეთ სამი რამ ცალ-ცალკე იარლიყით: სახელი, ქსელური ჩანაწერი და სერთიფიკატი. იმის შეცვლა, სად მოგზაურობს კავშირი, არასოდეს უნდა ცვლიდეს იმას, თუ რომელ სერვისთან ესაუბრება კლიენტი თავისი აზრით.