Titik akhir peribadi, nama pelayan sama: rentetan sambungan Azure SQL

Private Link mengubah tempat sambungan mendarat, bukan nama sambungan itu. Untuk Azure SQL Database, perbezaan itu ialah keseluruhan reka bentuk: pelayan logik mengekalkan namanya, dan titik akhir peribadi menyediakan entri rangkaian yang menjadi tempat nama itu diselesaikan. Menggantikan nama dengan alamat IP ialah satu-satunya perubahan yang memecahkan TLS, kelayakan dan alat pada masa yang sama. Dua rentetan sambungan boleh kelihatan setara dan berkelakuan sama sekali berbeza.

Kekalkan orders-db.database.windows.net dan berikan klien jawapan peribadi untuknya.

Nama dan alamat mempunyai tugas berbeza

Nama mengenal pasti perkhidmatan SQL, dan itulah yang dijangka oleh sijil dan log masuk. Alamat peribadi menyediakan entri rangkaian di dalam rangkaian maya yang disambungkan. Mengelirukan satu dengan yang lain menghasilkan sambungan yang sampai kepada sesuatu dan tidak mengesahkan terhadap apa-apa.

Panduan Microsoft untuk Azure SQL memerlukan nama pelayan biasa daripada klien. IP terus, dan begitu juga nama berawalan privatelink, bukan sasaran log masuk yang boleh ditukar. Alat yang menerima IP akan menerimanya dan kemudian gagal pada TLS atau pada pengesahan, yang menyembunyikan kesilapan sebenar. Kegagalan itu dibaca seperti masalah kelayakan sehingga anda melihat nama hos dalam ralat.

Apa yang sebenarnya diubah oleh zon peribadi

Zon DNS peribadi merekodkan satu alamat untuk pelayan dalam ruang nama privatelink, dan zon itu dipautkan kepada rangkaian maya yang sepatutnya menggunakannya. Penyelesaian bergerak; rentetan sambungan tidak. Bentuk di bawah ialah ilustrasi, bukan rekod untuk ditampal ke zon awam.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Kekalkan rekod itu dan pautan zonnya sebagai infrastruktur, dengan pemilik dan tarikh semakan.

Dua zon dengan asal yang sama dan jawapan berbeza ialah keadaan akhir biasa, bukan konflik. Klien awam mengekalkan jawapan awam, dan klien peribadi mendapat alamat titik akhir. Mod kegagalan yang perlu diperhatikan ialah penyebaran separa pandangan peribadi, apabila satu subrangkaian diselesaikan secara peribadi dan satu lagi secara senyap tidak.

Klien di luar Azure memerlukan laluan ke zon itu

Klien VPN duduk di luar penyelesai Azure, jadi zon peribadi mesti boleh dicapai dari laluan hibrid. Pemaju DNS Azure atau Azure DNS Private Resolver boleh melayani pertanyaan yang tiba melalui rangkaian itu. Panduan Microsoft ialah memajukan zon perkhidmatan awam yang berkaitan melalui susunan itu dan bukannya menganggap klien menanyakan nama privatelink secara langsung. Klien yang tidak dapat menyelesaikan jawapan peribadi kembali kepada yang awam tanpa mengadu.

Kekalkan skop pemajuan secara sengaja, kerana menggantikan zon awam yang sedang digunakan memecahkan nama yang tidak terkandung dalam penggantian.

Sediakan dalam susunan yang mengekalkan identiti tetap

Langkah-langkah mempunyai pemilik berasingan: cipta dan luluskan titik akhir, sediakan laluan VPN, integrasikan DNS peribadi, kemudian konfigurasikan klien dengan nama pelayan biasanya. Melakukan DNS sebelum laluan menghasilkan tamat masa yang kelihatan seperti kegagalan DNS. Melakukan klien terakhir mengekalkan satu pemboleh ubah bergerak pada satu masa. Setiap langkah mempunyai hasil yang boleh diperhatikan, jadi tiada satu pun perlu diuji dengan meneka.

Ikon VPN yang disambungkan tidak memilih destinasi peribadi dengan sendirinya.

Apa yang tidak dimatikan oleh titik akhir peribadi

Mencipta titik akhir peribadi tidak melumpuhkan akses awam ke pelayan logik secara automatik. Itu keputusan penggunaan berasingan, dan ia berlaku selepas klien peribadi yang dimaksudkan disahkan berfungsi. Kekalkan laluan pemulihan dan ambil kira aplikasi yang masih menggunakan pintu masuk awam. Mematikan akses awam dahulu ialah cara perkhidmatan yang berfungsi menjadi gangguan dengan jejak audit yang kemas.

Periksa juga dasar sambungan yang digunakan oleh pelayan.

Redirect menghantar klien ke port pada nod selepas sambungan gerbang awal, yang mengubah apa yang mesti dibenarkan oleh rangkaian klien. Proxy mengekalkan trafik pada gerbang. Jabat tangan TCP yang berjaya pada satu port bukan keseluruhan aliran kerja log masuk.

Ini ialah Azure SQL Database, bukan SQL Managed Instance, yang mempunyai model kesambungan sendiri dan tiada kisah titik akhir peribadi yang setara. Dalam kedua-dua kes, kekalkan tiga perkara berlabel berasingan: nama, entri rangkaian dan kelayakan. Mengubah tempat sambungan bergerak tidak sepatutnya mengubah perkhidmatan yang difikirkan klien sedang bercakap dengannya.