Privat Endpunkt, deeselwechte Servernumm: Azure SQL-Verbindungsstrings

Private Link ännert, wou eng Verbindung ukënnt, net wéi d'Verbindung heescht. Fir Azure SQL Database ass dësen Ënnerscheed de ganzen Design: de logesche Server behält säin Numm, an de private Endpunkt liwwert en Netzwierkantrag, op deen den Numm opgeléist gëtt. Den Numm duerch eng IP-Adress ersetzen ass déi eenzeg Ännerung, déi TLS, Umeldungsinformatiounen an Tools gläichzäiteg brécht. Zwou Verbindungsstrings kënne gläich ausgesinn an sech komplett anescht behuelen.

Behaalt orders-db.database.windows.net a gitt dem Client eng privat Äntwert drop.

Den Numm an d'Adress hunn ënnerschiddlech Aufgaben

Den Numm identifizéiert den SQL-Service, an dat erwaarden d'Zertifikat an d'Umeldung. Déi privat Adress liwwert en Netzwierkantrag bannent dem verbonne virtuelle Netzwierk. Een mat deem aneren ze verwiesselen ergëtt eng Verbindung, déi eppes erreecht an sech géint näischt authentifizéiert.

D'Microsoft-Leedfiedere fir Azure SQL verlaangt den normale Servernumm vun de Clienten. Eng direkt IP, an och den Numm mat dem Prefix privatelink, ass keen austauschbaren Umeldungszil. Tools, déi eng IP akzeptéieren, akzeptéieren se an da schéitere si op TLS oder op der Authentifikatioun, wat de richtegen Feeler verstoppt. Dës Feeler liese sech wéi Umeldungsproblemer, bis een den Hostnumm am Feeler ukuckt.

Wat déi privat Zone tatsächlech ännert

Déi privat DNS-Zone registréiert eng Adress fir de Server bannent dem Nummraum privatelink, an d'Zone ass mam virtuelle Netzwierk verbonnen, dat se soll benotzen. D'Opléisung verréckelt sech; de Verbindungsstring net. D'Form hei drënner ass eng Illustratioun, keen Antrag fir an eng ëffentlech Zone ze pasteieren.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Behaalt deen Antrag an seng Zonneverbindung als Infrastruktur, mat engem Besëtzer an engem Iwwerpréiwungsdatum.

Zwou Zonen mat der selwechter Hierkonft an ënnerschiddlechen Äntwerten sinn den normale Schlusszoustand, kee Konflikt. Ëffentlech Clienten behalen déi ëffentlech Äntwert, a privat Clienten kréien d'Adress vum Endpunkt. De Feelerzyklus, op deen een oppasse soll, ass d'deelweis Verbreedung vun der privater Vue, wou een Ënternetz privat opgeléist gëtt an en anert stëll net.

Clienten ausserhalb vun Azure brauchen e Wee an déi Zone

E VPN-Client sëtzt ausserhalb vum Opléiser vun Azure, also muss déi privat Zone vum hybride Wee aus erreechbar sinn. En Azure DNS-Weiderleeder oder Azure DNS Private Resolver kann Ufroe bedéngen, déi iwwer dat Netzwierk ukommen. D'Microsoft-Leedfiedere ass, déi relevant ëffentlech Service-Zone iwwer dës Ariichtung weiderzeleeden, amplaz unzehuelen, datt Clienten den Numm privatelink direkt ufroen. Clienten, déi déi privat Äntwert net kënnen opléisen, fale stëll op déi ëffentlech zeréck.

Halt de Weiderleeungsberäich bewosst, well eng ëffentlech Zone ersetzen, déi am Gebrauch ass, Nimm brécht, déi d'Ersetzung net enthält.

Stellt an enger Reihenfolleg bereet, déi d'Identitéit festhält

D'Schrëtt hu verschidde Besëtzer: erstellt an approuvéiert den Endpunkt, stellt de VPN-Wee bereet, integréiert privat DNS, da konfiguréiert de Client mat sengem normalen Servernumm. DNS virum Wee ze maachen ergëtt Zäitlimiten, déi wéi DNS-Feeler ausgesinn. De Client als leschten ze maachen hält eng Variabel gläichzäiteg a Beweegung. All Schrëtt huet en observéierbare Resultat, also muss keen dovun duerch Radi getest ginn.

En ugeschlossene VPN-Ikon wielt net vu sech aus en privat Zil.

Wat en private Endpunkt net ausschalt

En private Endpunkt erstellen deaktivéiert net automatesch den ëffentlechen Zougang zum logesche Server. Dat ass eng separat Deployment-Entscheedung, a se gehéiert dohinner, nodeems déi virgesinn privat Clienten als funktionéierend bestätegt goufen. Behaalt e Recuperatiounswee a rechent mat Applikatiounen, déi nach den ëffentlechen Agang benotzen. Den ëffentlechen Zougang als éischten ausschalten ass de Wee, op deem en funktionéierende Service mat enger propperer Audit-Spur zu enger Stéierung gëtt.

Préift och, wéi eng Verbindungsrichtlinn de Server benotzt.

Redirect schéckt de Client no enger éischter Gateway-Verbindung op e Port um Knoten, wat ännert, wat d'Clientnetzwierk muss erlaben. Proxy hält den Trafik um Gateway. En erfollegräiche TCP-Handshake op engem Port ass net de ganzen Umeldungsprozess.

Dëst ass Azure SQL Database, net SQL Managed Instance, déi hire eegene Konnektivitätsmodell huet an keng gläichwäerteg Geschicht vum private Endpunkt. An deenen zwou Fäll halen dräi Saachen getrennt bezeechent: den Numm, den Netzwierkantrag an d'Umeldungsinformatioun. Änneren, wou eng Verbindung reest, sollt ni änneren, mat wéi engem Service de Client mengt ze schwätzen.