Privāts galapunkts, tas pats servera nosaukums: Azure SQL savienojuma virknes

Private Link maina, kur nonāk savienojums, nevis to, kā savienojums tiek saukts. Azure SQL Database gadījumā šī atšķirība ir viss dizains: loģiskais serveris saglabā savu nosaukumu, un privātais galapunkts nodrošina tīkla ierakstu, uz kuru nosaukums tiek atrisināts. Nosaukuma aizstāšana ar IP adresi ir vienīgā izmaiņa, kas vienlaikus salauž TLS, akreditācijas datus un rīkus. Divas savienojuma virknes var izskatīties līdzvērtīgas un uzvesties pilnīgi atšķirīgi.

Saglabājiet orders-db.database.windows.net un sniedziet klientam privātu atbildi uz to.

Nosaukumam un adresei ir dažādi uzdevumi

Nosaukums identificē SQL pakalpojumu, un tieši to sagaida sertifikāts un pieteikšanās. Privātā adrese nodrošina tīkla ierakstu pievienotajā virtuālajā tīklā. Viena sajaukšana ar otru rada savienojumu, kas kaut ko sasniedz un ne pret ko neautentificējas.

Microsoft norādījumi par Azure SQL pieprasa parasto servera nosaukumu no klientiem. Tieša IP, un tāpat nosaukums ar privatelink prefiksu, nav aizvietojams pieteikšanās mērķis. Rīki, kas pieņem IP, to pieņems un pēc tam neizdosies TLS vai autentifikācijā, kas slēpj īsto kļūdu. Šīs kļūmes lasās kā akreditācijas datu problēmas, līdz paskatāties uz resursdatora nosaukumu kļūdā.

Ko privātā zona patiešām maina

Privātā DNS zona ieraksta vienu adresi serverim privatelink nosaukumvietā, un zona ir saistīta ar virtuālo tīklu, kam tā jāizmanto. Atrisināšana pārvietojas; savienojuma virkne ne. Zemāk redzamā forma ir ilustrācija, nevis ieraksts, ko ielīmēt publiskā zonā.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Uzturiet šo ierakstu un tā zonas saiti kā infrastruktūru, ar īpašnieku un pārskatīšanas datumu.

Divas zonas ar vienu un to pašu izcelsmi un atšķirīgām atbildēm ir normāls gala stāvoklis, nevis konflikts. Publiskie klienti saglabā publisko atbildi, un privātie klienti iegūst galapunkta adresi. Kļūmes režīms, kas jāuzrauga, ir privātā skata daļēja izplatīšanās, kad viena apakštīkla tiek atrisināta privāti, bet cita klusi nē.

Klientiem ārpus Azure ir nepieciešams ceļš uz šo zonu

VPN klients atrodas ārpus Azure atrisinātāja, tāpēc privātajai zonai jābūt sasniedzamai no hibrīdceļa. Azure DNS pārsūtītājs vai Azure DNS Private Resolver var apkalpot vaicājumus, kas ierodas pa šo tīklu. Microsoft norādījumi ir pārsūtīt attiecīgo publisko pakalpojuma zonu pa šo kārtību, tā vietā lai pieņemtu, ka klienti tieši vaicā privatelink nosaukumu. Klienti, kuri nevar atrisināt privāto atbildi, klusi atgriežas pie publiskās.

Turiet pārsūtīšanas apjomu apzinātu, jo lietošanā esošas publiskās zonas aizstāšana salauž nosaukumus, kuru aizstāšanā nav.

Nodrošiniet tādā secībā, kas saglabā identitāti fiksētu

Soļiem ir atsevišķi īpašnieki: izveidojiet un apstipriniet galapunktu, nodrošiniet VPN maršrutu, integrējiet privāto DNS, pēc tam konfigurējiet klientu ar tā parasto servera nosaukumu. DNS veikšana pirms maršruta rada taimautus, kas izskatās kā DNS kļūmes. Klienta veikšana pēdējam notur vienu mainīgo kustībā vienlaikus. Katram solim ir novērojams rezultāts, tāpēc neviens no tiem nav jāpārbauda minot.

Pievienotā VPN ikona pati neizvēlas privātu galamērķi.

Ko privātais galapunkts neizslēdz

Privāta galapunkta izveide automātiski neizslēdz publisku piekļuvi loģiskajam serverim. Tas ir atsevišķs izvietošanas lēmums, un tas pienākas pēc tam, kad paredzētie privātie klienti ir apstiprināti kā strādājoši. Saglabājiet atkopšanas ceļu un ņemiet vērā lietojumprogrammas, kas joprojām izmanto publisko ieeju. Publiskās piekļuves izslēgšana vispirms ir veids, kā strādājošs pakalpojums kļūst par pārtraukumu ar kārtīgu audita pēdu.

Pārbaudiet arī, kādu savienojuma politiku serveris izmanto.

Redirect nosūta klientu uz ostu mezglā pēc sākotnējā vārtejas savienojuma, kas maina to, ko klienta tīklam jāatļauj. Proxy notur trafiku uz vārtejas. Veiksmīga TCP rokasspiediena vienā ostā nav viss pieteikšanās process.

Šis ir Azure SQL Database, nevis SQL Managed Instance, kam ir savs savienojamības modelis un nav līdzvērtīga privātā galapunkta stāsta. Abos gadījumos turiet trīs lietas atsevišķi marķētas: nosaukumu, tīkla ierakstu un akreditācijas datus. Izmaiņas tam, kur ceļo savienojums, nekad nedrīkstētu mainīt, ar kuru pakalpojumu klients domā, ka runā.