Điểm cuối riêng tư, cùng tên máy chủ: chuỗi kết nối Azure SQL

Private Link thay đổi nơi một kết nối đến, không phải tên của kết nối. Với Azure SQL Database, sự khác biệt đó chính là toàn bộ thiết kế: máy chủ logic giữ nguyên tên của nó, và điểm cuối riêng tư cung cấp một mục mạng mà tên được phân giải tới. Thay tên bằng địa chỉ IP là thay đổi duy nhất phá vỡ TLS, thông tin đăng nhập và công cụ cùng lúc. Hai chuỗi kết nối có thể trông tương đương và hành xử hoàn toàn khác nhau.

Giữ orders-db.database.windows.net và cung cấp cho máy khách câu trả lời riêng tư cho nó.

Tên và địa chỉ có nhiệm vụ khác nhau

Tên xác định dịch vụ SQL, và đó là điều chứng chỉ cùng đăng nhập mong đợi. Địa chỉ riêng tư cung cấp một mục mạng bên trong mạng ảo đã kết nối. Nhầm lẫn cái này với cái kia tạo ra một kết nối đến được thứ gì đó và không xác thực với bất cứ thứ gì.

Hướng dẫn của Microsoft cho Azure SQL yêu cầu tên máy chủ thông thường từ máy khách. IP trực tiếp, và tương tự tên có tiền tố privatelink, không phải đích đăng nhập có thể hoán đổi. Các công cụ chấp nhận IP sẽ chấp nhận nó rồi thất bại ở TLS hoặc ở xác thực, điều này che giấu lỗi thực sự. Những thất bại đó được đọc như vấn đề thông tin đăng nhập cho đến khi bạn nhìn vào tên máy chủ trong lỗi.

Vùng riêng tư thực sự thay đổi điều gì

Vùng DNS riêng tư ghi lại một địa chỉ cho máy chủ bên trong không gian tên privatelink, và vùng được liên kết với mạng ảo nên dùng nó. Việc phân giải di chuyển; chuỗi kết nối thì không. Hình dạng bên dưới là minh họa, không phải bản ghi để dán vào vùng công khai.

Application name:        orders-db.database.windows.net
Private DNS zone:        privatelink.database.windows.net
Resolved private entry:  the approved private endpoint address

Duy trì bản ghi đó và liên kết vùng của nó như hạ tầng, với người sở hữu và ngày xem xét.

Hai vùng cùng nguồn gốc và câu trả lời khác nhau là trạng thái cuối bình thường, không phải xung đột. Máy khách công khai giữ câu trả lời công khai, và máy khách riêng tư nhận địa chỉ điểm cuối. Chế độ lỗi cần theo dõi là sự lan truyền một phần của góc nhìn riêng tư, khi một mạng con phân giải riêng tư còn mạng khác thì âm thầm không.

Máy khách bên ngoài Azure cần một đường vào vùng đó

Một máy khách VPN nằm ngoài bộ phân giải của Azure, vì vậy vùng riêng tư phải có thể truy cập được từ đường lai. Một bộ chuyển tiếp DNS của Azure hoặc Azure DNS Private Resolver có thể phục vụ các truy vấn đến qua mạng đó. Hướng dẫn của Microsoft là chuyển tiếp vùng dịch vụ công khai liên quan qua cách bố trí đó thay vì cho rằng máy khách hỏi trực tiếp tên privatelink. Máy khách không phân giải được câu trả lời riêng tư sẽ âm thầm quay về câu trả lời công khai.

Giữ phạm vi chuyển tiếp có chủ đích, vì thay thế một vùng công khai đang dùng sẽ phá vỡ những tên mà bản thay thế không chứa.

Cung cấp theo thứ tự giữ danh tính cố định

Các bước có người sở hữu riêng: tạo và phê duyệt điểm cuối, cung cấp tuyến VPN, tích hợp DNS riêng tư, rồi cấu hình máy khách với tên máy chủ thông thường. Làm DNS trước tuyến tạo ra thời gian chờ trông như lỗi DNS. Làm máy khách cuối cùng giữ một biến chuyển động tại một thời điểm. Mỗi bước có một kết quả quan sát được, nên không bước nào phải kiểm tra bằng cách đoán.

Biểu tượng VPN đã kết nối không tự chọn một đích riêng tư.

Điều mà điểm cuối riêng tư không tắt

Tạo điểm cuối riêng tư không tự động vô hiệu hóa quyền truy cập công khai vào máy chủ logic. Đó là quyết định triển khai riêng, và nó đến sau khi các máy khách riêng tư dự định được xác nhận hoạt động. Giữ một đường khôi phục và tính đến các ứng dụng vẫn dùng lối vào công khai. Tắt quyền truy cập công khai trước là cách một dịch vụ đang chạy trở thành gián đoạn với dấu vết kiểm toán gọn gàng.

Cũng kiểm tra xem máy chủ dùng chính sách kết nối nào.

Redirect gửi máy khách đến một cổng trên nút sau kết nối cổng ban đầu, điều này thay đổi những gì mạng máy khách phải cho phép. Proxy giữ lưu lượng trên cổng. Bắt tay TCP thành công trên một cổng không phải toàn bộ quy trình đăng nhập.

Đây là Azure SQL Database, không phải SQL Managed Instance, vốn có mô hình kết nối riêng và không có câu chuyện điểm cuối riêng tư tương đương. Trong cả hai trường hợp, hãy giữ ba thứ được dán nhãn riêng: tên, mục mạng và thông tin đăng nhập. Thay đổi nơi một kết nối đi lại không bao giờ nên thay đổi dịch vụ mà máy khách nghĩ là đang nói chuyện.