Приватна крајња тачка, исто име сервера: Azure SQL низови везе

Private Link мења место где веза стиже, а не како се веза зове. За Azure SQL Database та разлика је цео дизајн: логички сервер задржава своје име, а приватна крајња тачка обезбеђује мрежни запис на који се име разрешава. Замена имена IP адресом једина је промена која истовремено квари TLS, акредитиве и алате. Два низа везе могу изгледати еквивалентно и понашати се потпуно различито.

Задржите orders-db.database.windows.net и дајте клијенту приватан одговор за њега.

Име и адреса имају различите задатке

Име идентификује SQL услугу, и то очекују сертификат и пријава. Приватна адреса обезбеђује мрежни запис унутар повезане виртуелне мреже. Мешање једног са другим ствара везу која стигне до нечега и не аутентификује се ни према чему.

Упутство Microsoft-а за Azure SQL захтева уобичајено име сервера од клијената. Директна IP адреса, као и име са префиксом privatelink, није заменљив циљ пријаве. Алати који прихватају IP прихватиће га и затим пасти на TLS-у или на аутентификацији, што сакрива праву грешку. Те грешке читају се као проблеми са акредитивима док не погледате име домаћина у грешци.

Шта приватна зона заиста мења

Приватна DNS зона бележи једну адресу за сервер унутар простора имена privatelink, а зона је повезана са виртуелном мрежом која треба да је користи. Разрешавање се помера; низ везе не. Облик испод је илустрација, а не запис за лепљење у јавну зону.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Одржавајте тај запис и његову везу са зоном као инфраструктуру, са власником и датумом прегледа.

Две зоне са истим пореклом и различитим одговорима су нормално крајње стање, а не конфликт. Јавни клијенти задржавају јавни одговор, а приватни клијенти добијају адресу крајње тачке. Режим отказа који треба пратити је делимично ширење приватног приказа, где се једна подмрежа разрешава приватно, а друга тихо не.

Клијентима ван Azure-а потребан је пут у ту зону

VPN клијент стоји ван Azure-овог разрешивача, па приватна зона мора бити достижна са хибридног пута. Azure DNS прослеђивач или Azure DNS Private Resolver могу служити упите који пристижу кроз ту мрежу. Упутство Microsoft-а је да се релевантна јавна зона услуге проследи кроз тај аранжман, уместо да се претпостави да клијенти директно питају име privatelink. Клијенти који не могу да разреше приватни одговор тихо се враћају на јавни.

Држите обим прослеђивања намерним, јер замена јавне зоне у употреби квари имена која замена не садржи.

Обезбедите у редоследу који држи идентитет фиксним

Кораци имају одвојене власнике: направите и одобрите крајњу тачку, обезбедите VPN руту, интегришите приватни DNS, затим конфигуришите клијента са његовим уобичајеним именом сервера. Рад на DNS-у пре руте даје истеке времена који изгледају као DNS откази. Рад на клијенту последњи држи једну променљиву у покрету одједном. Сваки корак има видљив резултат, па ниједан не мора да се тестира нагађањем.

Повезана VPN икона сама не бира приватно одредиште.

Шта приватна крајња тачка не искључује

Прављење приватне крајње тачке не онемогућава аутоматски јавни приступ логичком серверу. То је одвојена одлука о распоређивању и долази након што се потврди да предвиђени приватни клијенти раде. Задржите пут за опоравак и узмите у обзир апликације које још користе јавни улаз. Искључивање јавног приступа прво је начин на који радна услуга постаје прекид са уредним трагом ревизије.

Проверите и коју политику везе користи сервер.

Redirect шаље клијента на порт на чвору после почетне везе са гејтвејем, што мења шта клијентска мрежа мора да дозволи. Proxy држи саобраћај на гејтвеју. Успешно TCP руковање на једном порту није цео ток пријаве.

Ово је Azure SQL Database, а не SQL Managed Instance, која има сопствени модел повезивања и нема еквивалентну причу о приватној крајњој тачки. У оба случаја држите три ствари означене одвојено: име, мрежни запис и акредитив. Промена тога куда веза путује никада не би требало да промени са којом услугом клијент мисли да разговара.