Приватна крајна точка, исто име на серверот: Azure SQL низи за поврзување

Private Link го менува местото каде што пристигнува врската, а не како се вика врската. За Azure SQL Database таа разлика е целиот дизајн: логичкиот сервер го задржува своето име, а приватната крајна точка обезбедува мрежен запис кон кој се разрешува името. Замената на името со IP адреса е единствената промена што истовремено крши TLS, акредитиви и алатки. Две низи за поврзување можат да изгледаат еквивалентни и да се однесуваат сосема различно.

Задржете orders-db.database.windows.net и дајте му на клиентот приватен одговор за него.

Името и адресата имаат различни задачи

Името ја идентификува услугата SQL и токму тоа го очекуваат сертификатот и најавата. Приватната адреса обезбедува мрежен запис во поврзаната виртуелна мрежа. Мешањето на едното со другото создава врска што стигнува до нешто и не се автентикува против ништо.

Упатството на Microsoft за Azure SQL бара нормалното име на серверот од клиентите. Директната IP, како и името со префикс privatelink, не е заменлив цел за најава. Алатките што прифаќаат IP ќе го прифатат и потоа ќе пропаднат на TLS или на автентикација, што ја крие вистинската грешка. Тие пропусти се читаат како проблеми со акредитивите додека не го погледнете името на домаќинот во грешката.

Што всушност менува приватната зона

Приватната DNS зона запишува една адреса за серверот во просторот за имиња privatelink, а зоната е поврзана со виртуелната мрежа што треба да ја употребува. Разрешувањето се преместува; низата за поврзување не. Формата подолу е илустрација, а не запис за лепење во јавна зона.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Одржувајте го тој запис и неговата врска со зоната како инфраструктура, со сопственик и датум на преглед.

Две зони со исто потекло и различни одговори се нормална завршна состојба, а не конфликт. Јавните клиенти го задржуваат јавниот одговор, а приватните клиенти ја добиваат адресата на крајната точка. Режимот на дефект што треба да се следи е делумно ширење на приватниот поглед, каде една подмрежа се разрешува приватно, а друга тивко не.

Клиентите надвор од Azure имаат потреба од пат во таа зона

VPN клиентот стои надвор од разрешувачот на Azure, затоа приватната зона мора да биде достапна од хибридниот пат. Azure DNS препраќач или Azure DNS Private Resolver можат да служат барања што пристигнуваат низ таа мрежа. Упатството на Microsoft е да се препрати соодветната јавна зона на услугата низ тоа уредување, наместо да се претпостави дека клиентите директно го прашуваат името privatelink. Клиентите што не можат да го решат приватниот одговор тивко се враќаат на јавниот.

Држете го опсегот на препраќање намерен, бидејќи замената на јавна зона што е во употреба крши имиња што замената не ги содржи.

Обезбедете во редослед што го држи идентитетот фиксен

Чекорите имаат одделни сопственици: создајте и одобрете ја крајната точка, обезбедете ја VPN рутата, интегрирајте приватен DNS, потоа конфигурирајте го клиентот со неговото нормално име на сервер. Правењето DNS пред рутата дава истеци на време што изгледаат како DNS дефекти. Правењето на клиентот последен држи една променлива во движење одеднаш. Секој чекор има забележлив резултат, па ниту еден не мора да се тестира со погодување.

Поврзаната VPN икона сама по себе не избира приватна дестинација.

Што не исклучува приватната крајна точка

Создавањето приватна крајна точка не го оневозможува автоматски јавниот пристап до логичкиот сервер. Тоа е одделна одлука за распоредување и доаѓа откако ќе се потврди дека предвидените приватни клиенти работат. Задржете пат за обнова и сметајте на апликации што сѐ уште го користат јавниот влез. Исклучувањето на јавниот пристап прво е начинот на кој работна услуга станува прекин со уредна ревизорска трага.

Проверете и која политика за поврзување ја користи серверот.

Redirect го праќа клиентот на порта на јазолот по почетната врска со порталот, што менува што мора да дозволи клиентската мрежа. Proxy го држи сообраќајот на порталот. Успешно TCP ракување на една порта не е целиот работен тек на најавата.

Ова е Azure SQL Database, а не SQL Managed Instance, која има свој модел на поврзување и нема еквивалентна приказна за приватна крајна точка. Во двата случаи држете три работи означени одделно: името, мрежниот запис и акредитивот. Менувањето каде патува врската никогаш не треба да менува со која услуга клиентот мисли дека разговара.