Privatus galinis taškas, tas pats serverio pavadinimas: Azure SQL ryšio eilutės

Private Link keičia, kur patenka ryšys, o ne tai, kaip ryšys vadinamas. Azure SQL Database atveju šis skirtumas yra visas dizainas: loginis serveris išsaugo savo pavadinimą, o privatus galinis taškas suteikia tinklo įrašą, į kurį pavadinimas išsprendžiamas. Pavadinimo pakeitimas IP adresu yra vienintelis pakeitimas, kuris vienu metu sugadina TLS, prisijungimo duomenis ir įrankius. Dvi ryšio eilutės gali atrodyti lygiavertės ir elgtis visiškai skirtingai.

Išsaugokite orders-db.database.windows.net ir suteikite klientui privatų atsakymą jam.

Vardas ir adresas turi skirtingas užduotis

Vardas identifikuoja SQL paslaugą, ir būtent to tikisi sertifikatas bei prisijungimas. Privatus adresas suteikia tinklo įrašą prijungtame virtualiame tinkle. Sumaišius vieną su kitu gaunamas ryšys, kuris pasiekia kažką ir nieko neatpažįsta.

Microsoft Azure SQL gairės reikalauja įprasto serverio vardo iš klientų. Tiesioginis IP, taip pat vardas su privatelink priešdėliu, nėra keičiamas prisijungimo tikslas. Įrankiai, priimantys IP, jį priims ir tada nepavyks TLS arba autentifikavimo metu, o tai paslepia tikrąją klaidą. Šios nesėkmės skaitomos kaip prisijungimo duomenų problemos, kol nepažvelgiate į klaidoje esantį pagrindinio kompiuterio vardą.

Ką iš tikrųjų keičia privati zona

Privati DNS zona įrašo vieną adresą serveriui privatelink vardų erdvėje, o zona susieta su virtualiu tinklu, kuris turėtų ją naudoti. Sprendimas juda; ryšio eilutė ne. Toliau pateikta forma yra iliustracija, o ne įrašas, kurį reikia įklijuoti į viešą zoną.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Palaikykite tą įrašą ir jo zonos nuorodą kaip infrastruktūrą, su savininku ir peržiūros data.

Dvi zonos su ta pačia kilme ir skirtingais atsakymais yra normali galutinė būsena, o ne konfliktas. Vieši klientai išlaiko viešą atsakymą, o privatūs klientai gauna galinio taško adresą. Gedimo režimas, kurį reikia stebėti, yra dalinis privataus vaizdo plitimas, kai vienas potinklis išsprendžiamas privačiai, o kitas tyliai ne.

Klientams už Azure ribų reikia kelio į tą zoną

VPN klientas yra už Azure sprendėjo, todėl privati zona turi būti pasiekiama iš hibridinio kelio. Azure DNS persiuntėjas arba Azure DNS Private Resolver gali aptarnauti užklausas, ateinančias per tą tinklą. Microsoft gairės yra persiųsti atitinkamą viešą paslaugos zoną per tą sąranką, o ne daryti prielaidą, kad klientai tiesiogiai klausia privatelink vardo. Klientai, kurie negali išspręsti privataus atsakymo, tyliai grįžta prie viešo.

Laikykite persiuntimo apimtį sąmoningą, nes naudojamos viešos zonos pakeitimas sugadina vardus, kurių pakeitime nėra.

Suteikite tokia tvarka, kuri išlaiko tapatybę fiksuotą

Žingsniai turi atskirus savininkus: sukurkite ir patvirtinkite galinį tašką, suteikite VPN maršrutą, integruokite privatų DNS, tada sukonfigūruokite klientą su įprastu serverio vardu. DNS atlikimas prieš maršrutą sukuria laiko limitus, kurie atrodo kaip DNS gedimai. Kliento atlikimas paskutiniu išlaiko vieną kintamąjį judant vienu metu. Kiekvienas žingsnis turi stebimą rezultatą, todėl nė vieno nereikia tikrinti spėliojant.

Prisijungta VPN piktograma pati nepasirenka privataus tikslo.

Ko privatus galinis taškas neišjungia

Privataus galinio taško sukūrimas automatiškai neišjungia viešos prieigos prie loginio serverio. Tai atskiras diegimo sprendimas, ir jis ateina po to, kai patvirtinama, kad numatyti privatūs klientai veikia. Išlaikykite atkūrimo kelią ir atsižvelkite į programas, kurios vis dar naudoja viešą įėjimą. Viešos prieigos išjungimas pirmiausia yra būdas, kuriuo veikianti paslauga tampa sutrikimu su tvarkingu audito pėdsaku.

Taip pat patikrinkite, kokią ryšio politiką naudoja serveris.

Redirect nusiunčia klientą į mazgo prievadą po pradinio šliuzo ryšio, o tai keičia, ką kliento tinklas turi leisti. Proxy išlaiko srautą šliuze. Sėkmingas TCP rankos paspaudimas viename prievade nėra visas prisijungimo procesas.

Tai Azure SQL Database, o ne SQL Managed Instance, kuri turi savo ryšio modelį ir neturi lygiavertės privataus galinio taško istorijos. Abiem atvejais laikykite tris dalykus atskirai pažymėtus: vardą, tinklo įrašą ir prisijungimo duomenis. Pakeitimas, kur keliauja ryšys, niekada neturėtų keisti, su kuria paslauga klientas mano kalbantis.