Sehemu ya mwisho ya faragha, jina lile la seva: michano ya muunganisho wa Azure SQL

Private Link hubadilisha mahali muunganisho unafikia, sio jinsi muunganisho unaitwa. Kwa Azure SQL Database tofauti hiyo ndiyo muundo wote: seva ya kimantiki huweka jina lake, na sehemu ya mwisho ya faragha hutoa ingizo la mtandao ambalo jina linatatuliwa. Kubadilisha jina na anwani ya IP ni badiliko pekee linalovunja TLS, vitambulisho na zana kwa wakati mmoja. Michano miwili ya muunganisho inaweza kuonekana sawa na kuishi kwa namna tofauti kabisa.

Weka orders-db.database.windows.net na umpe mteja jibu la faragha kwa ajili yake.

Jina na anwani zina kazi tofauti

Jina hutambua huduma ya SQL, na ndivyo cheti na kuingia vinavyotarajia. Anwani ya faragha hutoa ingizo la mtandao ndani ya mtandao pepe uliounganishwa. Kuchanganya kimoja na kingine huzalisha muunganisho unaofikia kitu na hauthibitishi dhidi ya kitu chochote.

Mwongozo wa Microsoft kwa Azure SQL unahitaji jina la kawaida la seva kutoka kwa wateja. IP ya moja kwa moja, na vilevile jina lenye kiambishi awali privatelink, sio lengo la kuingia linaloweza kubadilishwa. Zana zinazokubali IP zitakubali na kisha zishindwe kwenye TLS au kwenye uthibitishaji, jambo linaloficha kosa halisi. Kushindwa huko husomwa kama matatizo ya vitambulisho hadi uangalie jina la mwenyeji katika hitilafu.

Kile eneo la faragha linabadilisha kwa kweli

Eneo la DNS la faragha hurekodi anwani moja kwa seva ndani ya nafasi ya majina privatelink, na eneo hilo limeunganishwa na mtandao pepe unaopaswa kulitumia. Utatuzi huhamia; mchoro wa muunganisho hauhamii. Umbo lililo hapa chini ni mfano, sio rekodi ya kubandika kwenye eneo la umma.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Tunza rekodi hiyo na kiungo chake cha eneo kama miundombinu, pamoja na mmiliki na tarehe ya mapitio.

Maeneo mawili yenye asili moja na majibu tofauti ni hali ya kawaida ya mwisho, sio mgongano. Wateja wa umma huweka jibu la umma, na wateja wa faragha hupata anwani ya sehemu ya mwisho. Hali ya kushindwa ya kufuatilia ni uenezi wa sehemu wa mwonekano wa faragha, ambapo subnet moja hutatuliwa kwa faragha na nyingine kwa utulivu haifanyi hivyo.

Wateja nje ya Azure wanahitaji njia ya kuingia katika eneo hilo

Mteja wa VPN hukaa nje ya kitatuzi cha Azure, kwa hiyo eneo la faragha lazima lifikike kutoka kwa njia mseto. Kipitishaji cha DNS cha Azure au Azure DNS Private Resolver kinaweza kuhudumia maswali yanayofika kupitia mtandao huo. Mwongozo wa Microsoft ni kuelekeza eneo la huduma la umma linalohusika kupitia mpangilio huo badala ya kudhani wateja wanauliza jina privatelink moja kwa moja. Wateja wasioweza kutatua jibu la faragha hurudi kwa utulivu kwenye la umma.

Weka wigo wa uelekezaji kwa makusudi, kwa sababu kuchukua nafasi ya eneo la umma linalotumika huvunja majina ambayo mbadala hauna.

Toa kwa mpangilio unaoweka utambulisho thabiti

Hatua zina wamiliki tofauti: tengeneza na uidhinishe sehemu ya mwisho, toa njia ya VPN, unganisha DNS ya faragha, kisha sanidi mteja na jina lake la kawaida la seva. Kufanya DNS kabla ya njia huzalisha muda wa kumalizika unaofanana na kushindwa kwa DNS. Kufanya mteja mwisho huweka kigezo kimoja katika mwendo kwa wakati mmoja. Kila hatua ina matokeo yanayoweza kuonekana, hivyo hakuna moja inayohitaji kupimwa kwa kubahatisha.

Aikoni ya VPN iliyounganishwa haichagui marudio ya faragha yenyewe.

Kile sehemu ya mwisho ya faragha haizimi

Kuunda sehemu ya mwisho ya faragha hakuwezi kuzima kiotomatiki ufikiaji wa umma kwa seva ya kimantiki. Hilo ni uamuzi tofauti wa usambazaji, na huja baada ya wateja wa faragha waliokusudiwa kuthibitishwa kuwa wanafanya kazi. Weka njia ya urejeshaji na zingatia programu ambazo bado zinatumia kiingilio cha umma. Kuzima ufikiaji wa umma kwanza ni jinsi huduma inayofanya kazi inavyokuwa usumbufu wenye alama nadhifu ya ukaguzi.

Angalia pia sera ya muunganisho ambayo seva inatumia.

Redirect humtuma mteja kwenye bandari kwenye nodi baada ya muunganisho wa awali wa lango, jambo linalobadilisha kile mtandao wa mteja unapaswa kuruhusu. Proxy huweka trafiki kwenye lango. Ushindi wa kupeana mkono wa TCP kwenye bandari moja sio mtiririko wote wa kuingia.

Hii ni Azure SQL Database, sio SQL Managed Instance, ambayo ina mtindo wake wa muunganisho na haina hadithi sawa ya sehemu ya mwisho ya faragha. Katika hali zote mbili, weka vitu vitatu vilivyoandikwa tofauti: jina, ingizo la mtandao na kitambulisho. Kubadilisha mahali muunganisho unasafiri hakupaswi kubadilisha huduma ambayo mteja anadhani anazungumza nayo.