Pikë fundore private, i njëjti emër serveri: vargjet e lidhjes Azure SQL

Private Link ndryshon vendin ku arrin një lidhje, jo si quhet lidhja. Për Azure SQL Database ky dallim është i gjithë dizajni: serveri logjik mban emrin e tij, dhe pika fundore private ofron një hyrje rrjeti në të cilën zgjidhet emri. Zëvendësimi i emrit me një adresë IP është ndryshimi i vetëm që thyen njëkohësisht TLS, kredencialet dhe mjetet. Dy vargje lidhjeje mund të duken ekuivalente dhe të sillen krejt ndryshe.

Mbani orders-db.database.windows.net dhe jepini klientit një përgjigje private për të.

Emri dhe adresa kanë detyra të ndryshme

Emri identifikon shërbimin SQL, dhe këtë presin certifikata dhe hyrja. Adresa private ofron një hyrje rrjeti brenda rrjetit virtual të lidhur. Ngatërrimi i njërit me tjetrin prodhon një lidhje që arrin diçka dhe nuk vërtetohet ndaj asgjëje.

Udhëzimi i Microsoft për Azure SQL kërkon emrin normal të serverit nga klientët. Një IP e drejtpërdrejtë, dhe po ashtu emri me parashtesën privatelink, nuk është objektiv hyrjeje i këmbyeshëm. Mjetet që pranojnë një IP do ta pranojnë dhe më pas do të dështojnë në TLS ose në vërtetim, gjë që fsheh gabimin e vërtetë. Këto dështime lexohen si probleme kredencialesh derisa të shikoni emrin e hostit në gabim.

Çfarë ndryshon në të vërtetë zona private

Zona private DNS regjistron një adresë për serverin brenda hapësirës së emrave privatelink, dhe zona është e lidhur me rrjetin virtual që duhet ta përdorë. Zgjidhja zhvendoset; vargu i lidhjes jo. Forma më poshtë është ilustrim, jo një regjistrim për t'u ngjitur në një zonë publike.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Mbani atë regjistrim dhe lidhjen e zonës së tij si infrastrukturë, me një pronar dhe një datë rishikimi.

Dy zona me të njëjtën origjinë dhe përgjigje të ndryshme janë gjendja normale përfundimtare, jo konflikt. Klientët publikë mbajnë përgjigjen publike, dhe klientët privatë marrin adresën e pikës fundore. Mënyra e dështimit për t'u vëzhguar është përhapja e pjesshme e pamjes private, ku një nënrrjet zgjidhet privatisht dhe një tjetër në heshtje jo.

Klientët jashtë Azure kanë nevojë për një rrugë në atë zonë

Një klient VPN qëndron jashtë zgjidhësit të Azure, prandaj zona private duhet të jetë e arritshme nga rruga hibride. Një përcjellës DNS i Azure ose Azure DNS Private Resolver mund të shërbejnë kërkesat që vijnë përmes atij rrjeti. Udhëzimi i Microsoft është të përcillni zonën përkatëse publike të shërbimit përmes atij rregullimi, në vend që të supozoni se klientët pyesin drejtpërdrejt emrin privatelink. Klientët që nuk mund të zgjidhin përgjigjen private kthehen në atë publike pa u ankuar.

Mbajeni qëllimisht shtrirjen e përcjelljes, sepse zëvendësimi i një zone publike në përdorim thyen emra që zëvendësimi nuk i përmban.

Siguroni në një rend që mban identitetin fiks

Hapat kanë pronarë të veçantë: krijoni dhe miratoni pikën fundore, siguroni rrugën VPN, integroni DNS private, pastaj konfiguroni klientin me emrin e tij normal të serverit. Kryerja e DNS përpara rrugës prodhon skadime që duken si dështime DNS. Kryerja e klientit e fundit mban një variabël në lëvizje në një kohë. Çdo hap ka një rezultat të vëzhgueshëm, kështu që asnjë nuk duhet testuar duke hamendësuar.

Një ikonë VPN e lidhur nuk zgjedh vetë një destinacion privat.

Çfarë nuk fik një pikë fundore private

Krijimi i një pike fundore private nuk çaktivizon automatikisht aksesin publik te serveri logjik. Ai është një vendim i veçantë vendosjeje, dhe vjen pasi klientët privatë të synuar konfirmohen se funksionojnë. Mbani një rrugë rikuperimi dhe merrni parasysh aplikacionet që përdorin ende hyrjen publike. Fikja e aksesit publik së pari është mënyra se si një shërbim që funksionon bëhet ndërprerje me një gjurmë auditimi të rregullt.

Kontrolloni gjithashtu çfarë politike lidhjeje përdor serveri.

Redirect e dërgon klientin në një port në nyje pas një lidhjeje fillestare me portën, gjë që ndryshon çfarë duhet të lejojë rrjeti i klientit. Proxy e mban trafikun në portë. Një shtrëngim duarsh TCP i suksesshëm në një port nuk është i gjithë rrjedha e hyrjes.

Kjo është Azure SQL Database, jo SQL Managed Instance, e cila ka modelin e saj të lidhjes dhe asnjë histori ekuivalente të pikës fundore private. Në të dyja rastet, mbani tre gjëra të etiketuara veçmas: emrin, hyrjen e rrjetit dhe kredencialin. Ndryshimi i vendit ku udhëton një lidhje nuk duhet të ndryshojë kurrë se me cilin shërbim klienti mendon se po flet.