Özel uç nokta, aynı sunucu adı: Azure SQL bağlantı dizeleri

Private Link bir bağlantının nereye vardığını değiştirir, bağlantının adını değil. Azure SQL Database için bu ayrım bütün tasarımdır: mantıksal sunucu adını korur ve özel uç nokta, adın çözüldüğü bir ağ girdisi sağlar. Adı bir IP adresiyle değiştirmek, TLS'yi, kimlik bilgilerini ve araçları aynı anda bozan tek değişikliktir. İki bağlantı dizesi eşdeğer görünüp tamamen farklı davranabilir.

orders-db.database.windows.net değerini koruyun ve istemciye bunun için özel bir yanıt verin.

Adın ve adresin görevleri farklıdır

Ad, SQL hizmetini tanımlar ve sertifika ile oturum açma bunu bekler. Özel adres, bağlı sanal ağın içinde bir ağ girdisi sağlar. Birini diğeriyle karıştırmak, bir şeye ulaşan ama hiçbir şeye karşı kimlik doğrulamayan bir bağlantı üretir.

Microsoft'un Azure SQL yönergesi istemcilerden normal sunucu adını ister. Doğrudan IP ve aynı şekilde privatelink önekli ad, değiştirilebilir bir oturum açma hedefi değildir. IP kabul eden araçlar onu kabul eder ve sonra TLS'de ya da kimlik doğrulamada başarısız olur, bu da asıl hatayı gizler. Bu hatalar, hatadaki ana bilgisayar adına bakana kadar kimlik bilgisi sorunu gibi okunur.

Özel bölge gerçekte neyi değiştirir

Özel DNS bölgesi, privatelink ad alanı içinde sunucu için bir adres kaydeder ve bölge, onu kullanması gereken sanal ağa bağlanır. Çözümleme yer değiştirir; bağlantı dizesi değişmez. Aşağıdaki biçim bir örnektir, genel bir bölgeye yapıştırılacak kayıt değildir.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

O kaydı ve bölge bağlantısını bir sahip ve gözden geçirme tarihiyle altyapı olarak sürdürün.

Aynı kökene ve farklı yanıtlara sahip iki bölge normal son durumdur, çatışma değildir. Genel istemciler genel yanıtı korur ve özel istemciler uç noktanın adresini alır. Dikkat edilmesi gereken hata modu, özel görünümün kısmi yayılımıdır; burada bir alt ağ özel olarak çözülürken bir diğeri sessizce çözülmez.

Azure dışındaki istemcilerin o bölgeye bir yolu olması gerekir

Bir VPN istemcisi Azure'un çözümleyicisinin dışında oturur, bu yüzden özel bölgeye karma yoldan erişilebilmelidir. Bir Azure DNS ileticisi veya Azure DNS Private Resolver, o ağ üzerinden gelen sorgulara hizmet edebilir. Microsoft'un yönergesi, istemcilerin privatelink adını doğrudan sorguladığını varsaymak yerine ilgili genel hizmet bölgesini bu düzen üzerinden iletmektir. Özel yanıtı çözemeyen istemciler sessizce genel olana geri döner.

İletim kapsamını bilinçli tutun, çünkü kullanımdaki bir genel bölgeyi değiştirmek, değişikliğin içermediği adları bozar.

Kimliği sabit tutan bir sırayla sağlayın

Adımların ayrı sahipleri vardır: uç noktayı oluşturup onaylayın, VPN yolunu sağlayın, özel DNS'i tümleştirin, ardından istemciyi normal sunucu adıyla yapılandırın. DNS'i yoldan önce yapmak, DNS hatalarına benzeyen zaman aşımları üretir. İstemciyi en son yapmak her seferinde tek bir değişkeni hareket halinde tutar. Her adımın gözlemlenebilir bir sonucu vardır, bu yüzden hiçbiri tahminle test edilmek zorunda değildir.

Bağlı VPN simgesi kendi başına özel bir hedef seçmez.

Özel uç noktanın kapatmadığı şey

Özel uç nokta oluşturmak, mantıksal sunucuya genel erişimi otomatik olarak devre dışı bırakmaz. Bu ayrı bir dağıtım kararıdır ve amaçlanan özel istemcilerin çalıştığı doğrulandıktan sonra gelir. Bir kurtarma yolu tutun ve hâlâ genel girişi kullanan uygulamaları hesaba katın. Genel erişimi önce kapatmak, çalışan bir hizmetin düzenli bir denetim iziyle kesintiye dönüşme biçimidir.

Sunucunun hangi bağlantı ilkesini kullandığını da denetleyin.

Redirect, ilk ağ geçidi bağlantısından sonra istemciyi düğümdeki bir bağlantı noktasına gönderir ve bu, istemci ağının neye izin vermesi gerektiğini değiştirir. Proxy trafiği ağ geçidinde tutar. Tek bir bağlantı noktasındaki başarılı TCP el sıkışması tüm oturum açma iş akışı değildir.

Bu, Azure SQL Database'dir, kendi bağlantı modeline sahip ve eşdeğer bir özel uç nokta öyküsü olmayan SQL Managed Instance değildir. Her iki durumda da üç şeyi ayrı etiketli tutun: ad, ağ girdisi ve kimlik bilgisi. Bir bağlantının nereye gittiğini değiştirmek, istemcinin hangi hizmetle konuştuğunu düşündüğünü asla değiştirmemelidir.