Zasebna končna točka, isto ime strežnika: Azure SQL povezovalni nizi

Private Link spremeni, kam pride povezava, ne tega, kako se povezava imenuje. Pri Azure SQL Database je ta razlika celotna zasnova: logični strežnik obdrži svoje ime, zasebna končna točka pa zagotovi omrežni vnos, na katerega se ime razreši. Zamenjava imena z naslovom IP je edina sprememba, ki hkrati zlomi TLS, poverilnice in orodja. Dva povezovalna niza sta lahko videti enakovredna in se obnašata popolnoma različno.

Ohranite orders-db.database.windows.net in odjemalcu dajte zasebni odgovor zanj.

Ime in naslov imata različni nalogi

Ime prepozna storitev SQL in prav to pričakujeta potrdilo in prijava. Zasebni naslov zagotovi omrežni vnos znotraj povezanega navideznega omrežja. Zamenjava enega z drugim ustvari povezavo, ki nekaj doseže in se proti ničemur ne overi.

Microsoft smernice za Azure SQL zahtevajo običajno ime strežnika od odjemalcev. Neposreden IP in prav tako ime s predpono privatelink ni zamenljiv cilj prijave. Orodja, ki sprejmejo IP, ga bodo sprejela in nato spodletela pri TLS ali pri preverjanju pristnosti, kar skrije pravo napako. Te napake se berejo kot težave s poverilnicami, dokler ne pogledate imena gostitelja v napaki.

Kaj zasebna cona dejansko spremeni

Zasebna cona DNS zabeleži en naslov za strežnik v imenskem prostoru privatelink, cona pa je povezana z navideznim omrežjem, ki naj bi jo uporabljalo. Razreševanje se premakne; povezovalni niz ne. Spodnja oblika je ponazoritev, ne zapis za lepljenje v javno cono.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Vzdržujte ta zapis in njegovo povezavo s cono kot infrastrukturo, z lastnikom in datumom pregleda.

Dve coni z istim izvorom in različnimi odgovori sta običajno končno stanje, ne konflikt. Javni odjemalci obdržijo javni odgovor, zasebni odjemalci pa dobijo naslov končne točke. Način odpovedi, na katerega morate paziti, je delno širjenje zasebnega pogleda, ko se ena podomrežja razreši zasebno, druga pa tiho ne.

Odjemalci zunaj Azure potrebujejo pot v to cono

Odjemalec VPN sedi zunaj razreševalnika Azure, zato mora biti zasebna cona dosegljiva s hibridne poti. Posredovalnik Azure DNS ali Azure DNS Private Resolver lahko streže poizvedbam, ki prihajajo po tem omrežju. Microsoft smernice pravijo, da je treba ustrezno javno cono storitve posredovati po tej ureditvi, namesto da bi predpostavljali, da odjemalci neposredno sprašujejo ime privatelink. Odjemalci, ki ne morejo razrešiti zasebnega odgovora, tiho padejo nazaj na javnega.

Obseg posredovanja držite namerno, ker zamenjava javne cone v uporabi zlomi imena, ki jih zamenjava ne vsebuje.

Zagotovite v vrstnem redu, ki drži identiteto nespremenjeno

Koraki imajo ločene lastnike: ustvarite in odobrite končno točko, zagotovite pot VPN, vključite zasebni DNS, nato konfigurirajte odjemalca z njegovim običajnim imenom strežnika. Izvajanje DNS pred potjo povzroči časovne omejitve, ki izgledajo kot odpovedi DNS. Izvajanje odjemalca nazadnje drži v gibanju eno spremenljivko naenkrat. Vsak korak ima opazljiv rezultat, zato nobenega ni treba preizkusiti z ugibanjem.

Povezana ikona VPN sama ne izbere zasebnega cilja.

Česa zasebna končna točka ne izklopi

Ustvarjanje zasebne končne točke samodejno ne onemogoči javnega dostopa do logičnega strežnika. To je ločena odločitev o uvajanju in spada tja po tem, ko je potrjeno, da predvideni zasebni odjemalci delujejo. Ohranite pot za obnovitev in upoštevajte aplikacije, ki še vedno uporabljajo javni vhod. Izklop javnega dostopa najprej je način, kako delujoča storitev postane izpad z urejeno revizijsko sledjo.

Preverite tudi, katero politiko povezav uporablja strežnik.

Redirect pošlje odjemalca na vrata na vozlišču po začetni povezavi s prehodom, kar spremeni, kaj mora odjemalčevo omrežje dovoliti. Proxy zadrži promet na prehodu. Uspešen rokovanje TCP na enih vratih ni celoten potek prijave.

To je Azure SQL Database, ne SQL Managed Instance, ki ima svoj model povezljivosti in nobene enakovredne zgodbe o zasebni končni točki. V obeh primerih imejte tri stvari označene ločeno: ime, omrežni vnos in poverilnico. Sprememba tega, kam potuje povezava, nikoli ne bi smela spremeniti, s katero storitvijo misli odjemalec, da govori.