Privátny koncový bod, rovnaký názov servera: pripájacie reťazce Azure SQL

Private Link mení, kam pripojenie dorazí, nie ako sa pripojenie volá. Pre Azure SQL Database je tento rozdiel celý návrh: logický server si zachováva svoje meno a privátny koncový bod poskytuje sieťový záznam, na ktorý sa meno prekladá. Nahradiť meno IP adresou je jediná zmena, ktorá súčasne rozbije TLS, prihlasovacie údaje aj nástroje. Dva pripájacie reťazce môžu vyzerať rovnako a správať sa úplne inak.

Zachovajte orders-db.database.windows.net a dajte klientovi preň privátnu odpoveď.

Meno a adresa majú rôzne úlohy

Meno identifikuje službu SQL, a to je to, čo certifikát a prihlásenie očakávajú. Privátna adresa poskytuje sieťový záznam v pripojenej virtuálnej sieti. Zámena jedného za druhé vytvorí pripojenie, ktoré k niečomu dorazí a voči ničomu sa neautentizuje.

Pokyny Microsoftu pre Azure SQL vyžadujú od klientov obvyklý názov servera. Priama IP adresa, a rovnako aj názov s predponou privatelink, nie je zameniteľný cieľ prihlásenia. Nástroje, ktoré prijmú IP adresu, ju prijmú a potom zlyhajú na TLS alebo pri autentizácii, čo skutočnú chybu skryje. Tieto chyby vyzerajú ako problémy s prihlasovacími údajmi, kým sa nepozriete na názov hostiteľa v chybovom hlásení.

Čo privátna zóna skutočne mení

Privátna zóna DNS zaznamenáva jednu adresu servera v rámci oboru názvov privatelink a zóna je prepojená s virtuálnou sieťou, ktorá ju má používať. Preklad sa presúva; pripájací reťazec nie. Podoba nižšie je ilustrácia, nie záznam na vloženie do verejnej zóny.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Udržujte tento záznam aj jeho prepojenie so zónou ako infraštruktúru, s vlastníkom a dátumom revízie.

Dve zóny s rovnakým pôvodom a rôznymi odpoveďami sú normálny koncový stav, nie konflikt. Verejní klienti si ponechávajú verejnú odpoveď a privátni klienti dostávajú adresu koncového bodu. Režim zlyhania, na ktorý treba dávať pozor, je čiastočné šírenie privátneho pohľadu, keď sa jedna podsiet prekladá privátne a iná ticho nie.

Klienti mimo Azure potrebujú cestu do tejto zóny

Klient VPN stojí mimo prekladača Azure, takže privátna zóna musí byť dostupná z hybridnej cesty. Presmerovávač Azure DNS alebo Azure DNS Private Resolver môže obsluhovať dopyty prichádzajúce cez túto sieť. Pokyny Microsoftu hovoria presmerovať príslušnú verejnú zónu služby cez toto usporiadanie, namiesto predpokladu, že klienti sa pýtajú názov privatelink priamo. Klienti, ktorí nedokážu preložiť privátnu odpoveď, ticho prejdú na verejnú.

Rozsah presmerovania držte zámerný, pretože nahradenie používanej verejnej zóny rozbije názvy, ktoré náhrada neobsahuje.

Zabezpečujte v poradí, ktoré drží identitu pevne

Kroky majú oddelených vlastníkov: vytvorte a schváľte koncový bod, zabezpečte trasu VPN, integrujte privátny DNS a potom nakonfigurujte klienta s jeho obvyklým názvom servera. Robiť DNS pred trasou vytvára časové limity, ktoré vyzerajú ako zlyhania DNS. Robiť klienta nakoniec udržuje v pohybe jednu premennú naraz. Každý krok má pozorovateľný výsledok, takže žiadny sa nemusí testovať hádam.

Pripojená ikona VPN sama o sebe nevyberie privátny cieľ.

Čo privátny koncový bod nevypína

Vytvorenie privátneho koncového bodu automaticky nevypína verejný prístup k logickému serveru. To je samostatné rozhodnutie o nasadení a patrí až potom, čo je potvrdené, že zamýšľaní privátni klienti fungujú. Zachovajte cestu obnovy a počítajte s aplikáciami, ktoré stále používajú verejný vstup. Vypnutie verejného prístupu ako prvého je spôsob, akým sa fungujúca služba stane výpadkom s upratanou auditnou stopou.

Skontrolujte tiež, akú zásadu pripojenia server používa.

Redirect posiela klienta na port na uzle po úvodnom pripojení k bráne, čo mení, čo musí klientska sieť povoliť. Proxy drží prevádzku na bráne. Úspešný TCP handshake na jednom porte nie je celý prihlasovací postup.

Toto je Azure SQL Database, nie SQL Managed Instance, ktorá má vlastný model pripojenia a žiadny porovnateľný príbeh privátneho koncového bodu. V oboch prípadoch držte tri veci označené oddelene: meno, sieťový záznam a prihlasovací údaj. Zmena toho, kadiaľ pripojenie cestuje, by nikdy nemala zmeniť, s ktorou službou si klient myslí, že hovorí.