Privat endepunkt, samme servernavn: Azure SQL-tilkoblingsstrenger

Private Link endrer hvor en tilkobling lander, ikke hva tilkoblingen heter. For Azure SQL Database er den forskjellen hele designet: den logiske serveren beholder navnet sitt, og det private endepunktet leverer en nettverksoppføring som navnet løses til. Å erstatte navnet med en IP-adresse er den ene endringen som bryter TLS, påloggingsinformasjon og verktøy samtidig. To tilkoblingsstrenger kan se like ut og oppføre seg helt ulikt.

Behold orders-db.database.windows.net og gi klienten et privat svar på det.

Navnet og adressen har forskjellige oppgaver

Navnet identifiserer SQL-tjenesten, og det er det sertifikatet og påloggingen forventer. Den private adressen leverer en nettverksoppføring inne i det tilkoblede virtuelle nettverket. Å forveksle det ene med det andre gir en tilkobling som når noe og ikke autentiserer mot noe.

Microsofts veiledning for Azure SQL krever det normale servernavnet fra klienter. En direkte IP, og like gjerne navnet med privatelink-prefikset, er ikke et utskiftbart påloggingsmål. Verktøy som godtar en IP, godtar den og feiler deretter på TLS eller på autentisering, noe som skjuler den egentlige feilen. Disse feilene leses som påloggingsproblemer til du ser på vertsnavnet i feilen.

Hva den private sonen faktisk endrer

Den private DNS-sonen registrerer én adresse for serveren i navnerommet privatelink, og sonen er knyttet til det virtuelle nettverket som skal bruke den. Oppslaget flytter seg; tilkoblingsstrengen ikke. Formen nedenfor er en illustrasjon, ikke en oppføring som skal limes inn i en offentlig sone.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Vedlikehold den oppføringen og sonetilknytningen som infrastruktur, med eier og en gjennomgangsdato.

To soner med samme opprinnelse og ulike svar er den normale sluttilstanden, ikke en konflikt. Offentlige klienter beholder det offentlige svaret, og private klienter får endepunktets adresse. Feilmodusen du bør følge med på, er delvis spredning av den private visningen, der ett subnett løses privat og et annet stille ikke gjør det.

Klienter utenfor Azure trenger en vei inn i den sonen

En VPN-klient sitter utenfor Azures resolver, så den private sonen må være nåbar fra den hybride veien. En Azure DNS-videresender eller Azure DNS Private Resolver kan betjene spørringer som kommer gjennom det nettverket. Microsofts veiledning er å videresende den relevante offentlige tjenestesonen gjennom den ordningen i stedet for å anta at klienter spør direkte om navnet privatelink. Klienter som ikke kan løse det private svaret, faller stille tilbake til det offentlige.

Hold videresendingsomfanget bevisst, fordi å erstatte en offentlig sone i bruk bryter navn som erstatningen ikke inneholder.

Tilby i en rekkefølge som holder identiteten fast

Trinnene har separate eiere: opprett og godkjenn endepunktet, lever VPN-ruten, integrer privat DNS, og konfigurer deretter klienten med sitt normale servernavn. Å gjøre DNS før ruten gir tidsavbrudd som ser ut som DNS-feil. Å gjøre klienten sist holder én variabel i bevegelse om gangen. Hvert trinn har et observerbart resultat, så ingen av dem må testes ved å gjette.

Et tilkoblet VPN-ikon velger ikke et privat mål av seg selv.

Hva et privat endepunkt ikke slår av

Å opprette et privat endepunkt deaktiverer ikke automatisk offentlig tilgang til den logiske serveren. Det er en egen utrullingsbeslutning, og den hører hjemme etter at de tiltenkte private klientene er bekreftet fungerende. Behold en gjenopprettingsvei og ta høyde for applikasjoner som fortsatt bruker den offentlige inngangen. Å slå av offentlig tilgang først er måten en fungerende tjeneste blir et avbrudd med et ryddig revisjonsspor.

Kontroller også hvilken tilkoblingspolicy serveren bruker.

Redirect sender klienten til en port på noden etter en innledende gateway-tilkobling, noe som endrer hva klientnettverket må tillate. Proxy holder trafikken på gatewayen. Et vellykket TCP-håndtrykk på én port er ikke hele påloggingsflyten.

Dette er Azure SQL Database, ikke SQL Managed Instance, som har sin egen tilkoblingsmodell og ingen tilsvarende historie med private endepunkter. I begge tilfeller, hold tre ting merket hver for seg: navnet, nettverksoppføringen og påloggingsinformasjonen. Å endre hvor en tilkobling reiser, bør aldri endre hvilken tjeneste klienten tror den snakker med.