Privat endepunkt, same servernamn: Azure SQL-tilkoplingsstrengar

Private Link endrar kvar ei tilkopling landar, ikkje kva tilkoplinga heiter. For Azure SQL Database er den skilnaden heile designet: den logiske serveren held på namnet sitt, og det private endepunktet leverer ein nettverksoppføring som namnet blir løyst til. Å byte ut namnet med ei IP-adresse er den eine endringa som bryt TLS, påloggingsinformasjon og verktøy samstundes. To tilkoplingsstrengar kan sjå like ut og oppføre seg heilt ulikt.

Hald på orders-db.database.windows.net og gje klienten eit privat svar på det.

Namnet og adressa har ulike oppgåver

Namnet identifiserer SQL-tenesta, og det er dette sertifikatet og pålogginga ventar. Den private adressa leverer ein nettverksoppføring inne i det tilkopla virtuelle nettverket. Å blande dei to gjev ei tilkopling som når noko og ikkje autentiserer mot noko.

Rettleiinga frå Microsoft for Azure SQL krev det normale servernamnet frå klientar. Ei direkte IP, og like gjerne namnet med privatelink-prefikset, er ikkje eit utskiftbart påloggingsmål. Verktøy som godtek ei IP, godtek ho og feilar deretter på TLS eller på autentisering, noko som skjuler den eigentlege feilen. Desse feila blir lesne som påloggingsproblem til du ser på vertsnamnet i feilen.

Kva den private sona faktisk endrar

Den private DNS-sona registrerer éi adresse for serveren i namnerommet privatelink, og sona er knytt til det virtuelle nettverket som skal bruke ho. Oppslaget flyttar seg; tilkoplingsstrengen ikkje. Forma nedanfor er ein illustrasjon, ikkje ei oppføring som skal limast inn i ei offentleg sone.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Vedlikehald den oppføringa og sonetilknytinga som infrastruktur, med eigar og ein gjennomgangsdato.

To soner med same opphav og ulike svar er den normale sluttilstanden, ikkje ein konflikt. Offentlege klientar held på det offentlege svaret, og private klientar får adressa til endepunktet. Feilmodusen du bør følgje med på, er delvis spreiing av den private visninga, der eitt subnett blir løyst privat og eit anna stille ikkje gjer det.

Klientar utanfor Azure treng ein veg inn i den sona

Ein VPN-klient sit utanfor resolvaren til Azure, så den private sona må vere nåbar frå den hybride vegen. Ein Azure DNS-vidaresendar eller Azure DNS Private Resolver kan betene spørjingar som kjem gjennom det nettverket. Rettleiinga frå Microsoft er å vidaresende den relevante offentlege tenestesona gjennom den ordninga i staden for å tru at klientar spør direkte om namnet privatelink. Klientar som ikkje kan løyse det private svaret, fell stille tilbake til det offentlege.

Hald vidaresendingsomfanget medvite, fordi å byte ut ei offentleg sone i bruk bryt namn som erstatninga ikkje inneheld.

Tilby i ein rekkjefølgje som held identiteten fast

Trinna har separate eigarar: opprett og godkjenn endepunktet, lever VPN-ruta, integrer privat DNS, og konfigurer deretter klienten med det normale servernamnet sitt. Å gjere DNS før ruta gjev tidsavbrot som ser ut som DNS-feil. Å gjere klienten sist held éin variabel i rørsle om gongen. Kvart trinn har eit observerbart resultat, så ingen av dei må testast ved å gjette.

Eit tilkopla VPN-ikon vel ikkje eit privat mål av seg sjølv.

Kva eit privat endepunkt ikkje slår av

Å opprette eit privat endepunkt deaktiverer ikkje automatisk offentleg tilgang til den logiske serveren. Det er ei eiga utrullingavgjerd, og ho høyrer heime etter at dei tiltenkte private klientane er stadfesta fungerande. Hald på ein attopprettingsveg og ta høgd for applikasjonar som framleis brukar den offentlege inngangen. Å slå av offentleg tilgang først er måten ein fungerande teneste blir eit avbrot med eit ryddig revisjonsspor.

Kontroller òg kva tilkoplingspolicy serveren brukar.

Redirect sender klienten til ein port på noden etter ei innleiande gateway-tilkopling, noko som endrar kva klientnettverket må tillate. Proxy held trafikken på gatewayen. Eit vellukka TCP-handtrykk på éin port er ikkje heile påloggingsflyten.

Dette er Azure SQL Database, ikkje SQL Managed Instance, som har sin eigen tilkoplingsmodell og inga tilsvarande historie med private endepunkt. I båe tilfelle, hald tre ting merkte kvar for seg: namnet, nettverksoppføringa og påloggingsinformasjonen. Å endre kvar ei tilkopling reiser, bør aldri endre kva teneste klienten trur han snakkar med.