จุดสิ้นสุดส่วนตัว ชื่อเซิร์ฟเวอร์เดิม: สตริงการเชื่อมต่อ Azure SQL

Private Link เปลี่ยนตำแหน่งที่การเชื่อมต่อไปถึง ไม่ใช่ชื่อของการเชื่อมต่อ สำหรับ Azure SQL Database ความแตกต่างนั้นคือการออกแบบทั้งหมด เซิร์ฟเวอร์เชิงตรรกะยังคงชื่อเดิมไว้ และจุดสิ้นสุดส่วนตัวจัดเตรียมรายการเครือข่ายที่ชื่อแปลงไปถึง การแทนที่ชื่อด้วยที่อยู่ IP คือการเปลี่ยนแปลงเดียวที่ทำให้ TLS ข้อมูลรับรอง และเครื่องมือแตกพร้อมกัน สตริงการเชื่อมต่อสองเส้นอาจดูเท่ากันแต่ทำงานต่างกันโดยสิ้นเชิง

เก็บ orders-db.database.windows.net ไว้และมอบคำตอบแบบส่วนตัวให้ไคลเอนต์สำหรับชื่อนั้น

ชื่อและที่อยู่มีหน้าที่ต่างกัน

ชื่อระบุบริการ SQL ซึ่งเป็นสิ่งที่ใบรับรองและการเข้าสู่ระบบคาดหวัง ที่อยู่ส่วนตัวจัดเตรียมรายการเครือข่ายภายในเครือข่ายเสมือนที่เชื่อมต่ออยู่ การสับสนระหว่างสองสิ่งนี้ทำให้เกิดการเชื่อมต่อที่ไปถึงบางสิ่งแต่ไม่ยืนยันตัวตนกับสิ่งใดเลย

แนวทางของ Microsoft สำหรับ Azure SQL กำหนดให้ไคลเอนต์ใช้ชื่อเซิร์ฟเวอร์ปกติ IP โดยตรง และชื่อที่มีคำนำหน้า privatelink เช่นกัน ไม่ใช่เป้าหมายการเข้าสู่ระบบที่ใช้แทนกันได้ เครื่องมือที่รับ IP จะรับมันแล้วล้มเหลวที่ TLS หรือการยืนยันตัวตน ซึ่งซ่อนข้อผิดพลาดที่แท้จริง ความล้มเหลวเหล่านั้นอ่านเหมือนปัญหาเกี่ยวกับข้อมูลรับรองจนกว่าคุณจะดูชื่อโฮสต์ในข้อผิดพลาด

สิ่งที่โซนส่วนตัวเปลี่ยนจริง ๆ

โซน DNS ส่วนตัวบันทึกที่อยู่หนึ่งรายการสำหรับเซิร์ฟเวอร์ภายในเนมสเปซ privatelink และโซนเชื่อมโยงกับเครือข่ายเสมือนที่ควรใช้โซนนั้น การแปลงย้ายที่ แต่สตริงการเชื่อมต่อไม่ย้าย รูปแบบด้านล่างเป็นตัวอย่าง ไม่ใช่ระเบียนสำหรับวางในโซนสาธารณะ

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

ดูแลระเบียนนั้นและการเชื่อมโยงโซนเป็นโครงสร้างพื้นฐาน พร้อมเจ้าของและวันที่ทบทวน

สองโซนที่มีต้นกำเนิดเดียวกันแต่คำตอบต่างกันเป็นสถานะสุดท้ายปกติ ไม่ใช่ความขัดแย้ง โหมดความล้มเหลวที่ต้องเฝ้าดูคือการแพร่กระจายบางส่วนของมุมมองส่วนตัว ซึ่งเครือข่ายย่อยหนึ่งแปลงแบบส่วนตัวและอีกอันไม่แปลงอย่างเงียบ ๆ

ไคลเอนต์นอก Azure ต้องมีเส้นทางเข้าสู่โซนนั้น

ไคลเอนต์ VPN อยู่นอกตัวแปลงชื่อของ Azure ดังนั้น โซนส่วนตัวต้องเข้าถึงได้จากเส้นทางไฮบริด ตัวส่งต่อ DNS ของ Azure หรือ Azure DNS Private Resolver สามารถให้บริการคำถามที่มาผ่านเครือข่ายนั้นได้ แนวทางของ Microsoft คือให้ส่งต่อโซนบริการสาธารณะที่เกี่ยวข้องผ่านการจัดวางนั้น แทนที่จะถือว่าไคลเอนต์ถามชื่อ privatelink โดยตรง ไคลเอนต์ที่ไม่สามารถแปลงคำตอบส่วนตัวได้จะกลับไปใช้คำตอบสาธารณะอย่างเงียบ ๆ

รักษาขอบเขตการส่งต่อให้ตั้งใจ เพราะการแทนที่โซนสาธารณะที่ใช้งานอยู่จะทำให้ชื่อที่ชุดแทนไม่มีนั้นเสีย

จัดเตรียมตามลำดับที่รักษาอัตลักษณ์ให้คงที่

แต่ละขั้นมีเจ้าของแยกกัน สร้างและอนุมัติจุดสิ้นสุด จัดหาเส้นทาง VPN รวม DNS ส่วนตัว แล้วจึงกำหนดค่าไคลเอนต์ด้วยชื่อเซิร์ฟเวอร์ปกติ การทำ DNS ก่อนเส้นทางทำให้เกิดการหมดเวลาซึ่งดูเหมือนความล้มเหลวของ DNS การทำไคลเอนต์เป็นลำดับสุดท้ายทำให้มีตัวแปรเดียวเคลื่อนที่ในแต่ละครั้ง แต่ละขั้นมีผลลัพธ์ที่สังเกตได้ จึงไม่ต้องทดสอบด้วยการเดา

ไอคอน VPN ที่เชื่อมต่อไม่ได้เลือกปลายทางส่วนตัวด้วยตัวเอง

สิ่งที่จุดสิ้นสุดส่วนตัวไม่ได้ปิด

การสร้างจุดสิ้นสุดส่วนตัวไม่ได้ปิดการเข้าถึงสาธารณะไปยังเซิร์ฟเวอร์เชิงตรรกะโดยอัตโนมัติ นั่นเป็นการตัดสินใจติดตั้งใช้งานแยกต่างหาก และเกิดขึ้นหลังจากยืนยันว่าไคลเอนต์ส่วนตัวที่ตั้งใจไว้ทำงานได้ ให้เก็บเส้นทางกู้คืนและคำนึงถึงแอปพลิเคชันที่ยังใช้ทางเข้าสาธารณะ การปิดการเข้าถึงสาธารณะก่อนคือวิธีที่บริการที่ทำงานอยู่กลายเป็นการหยุดชะงักพร้อมร่องรอยการตรวจสอบที่เป็นระเบียบ

ตรวจสอบด้วยว่าเซิร์ฟเวอร์ใช้นโยบายการเชื่อมต่อใด

Redirect ส่งไคลเอนต์ไปยังพอร์ตบนโหนดหลังการเชื่อมต่อเกตเวย์เริ่มต้น ซึ่งเปลี่ยนสิ่งที่เครือข่ายไคลเอนต์ต้องอนุญาต Proxy เก็บทราฟฟิกไว้ที่เกตเวย์ การจับมือ TCP ที่สำเร็จบนพอร์ตเดียวไม่ใช่ขั้นตอนการเข้าสู่ระบบทั้งหมด

นี่คือ Azure SQL Database ไม่ใช่ SQL Managed Instance ซึ่งมีรูปแบบการเชื่อมต่อของตนเองและไม่มีเรื่องราวจุดสิ้นสุดส่วนตัวที่เทียบเท่า ในทั้งสองกรณี ให้แยกสามสิ่งด้วยป้ายต่างกัน คือ ชื่อ รายการเครือข่าย และข้อมูลรับรอง การเปลี่ยนตำแหน่งที่การเชื่อมต่อเดินทางไม่ควรเปลี่ยนว่าบริการใดที่ไคลเอนต์คิดว่ากำลังคุยด้วย