Netzwerkverbindungen mit Private Link in Azure Database for PostgreSQL – Flexible Server

mit Azure Private Link können Sie private Endpunkte für Ihren Azure Database for PostgreSQL flexiblen Server erstellen und den Server in Ihr virtuelles Netzwerk integrieren. Diese Funktionalität ist eine empfohlene Alternative zu den Netzwerkfunktionen, die durch die Integration virtueller Netzwerke bereitgestellt werden.

Durch die Verwendung von Private Link wird der Datenverkehr zwischen Ihrem virtuellen Netzwerk und dem Dienst über das Microsoft Backbone-Netzwerk übertragen. Sie müssen Ihren Dienst nicht mehr für das öffentliche Internet verfügbar machen. Sie können Ihren eigenen Private Link-Dienst in Ihrem virtuellen Netzwerk erstellen und Ihren Kunden zur Verfügung stellen. Die Einrichtung und Nutzung von Azure Private Link ist in Azure PaaS-, Kunden- und gemeinsam genutzten Partnerdiensten einheitlich.

Zwei Azure Ressourcentypen machen benutzern Private Link verfügbar:

  • Private Endpunkte (Microsoft.Network/PrivateEndpoints)
  • Private Link-Dienste (Microsoft.Network/PrivateLinkServices)

Private Endpunkte

Ein privater Endpunkt fügt einer Ressource eine Netzwerkschnittstelle hinzu und gibt ihm eine private IP-Adresse, die ihrem virtuellen Netzwerk zugewiesen ist. Nachdem Sie sie angewendet haben, können Sie ausschließlich über das virtuelle Netzwerk mit dieser Ressource kommunizieren. Eine Liste der PaaS-Dienste, die Private Link Funktionalität unterstützen, finden Sie in der Private Link Dokumentation. Ein privater Endpunkt ist eine private IP-Adresse in einem bestimmten virtuellen Netzwerk und Subnetz.

Mehrere private Endpunkte in verschiedenen virtuellen Netzwerken oder Subnetzen können auch dann, wenn sie überlappende Adressräume haben, auf denselben öffentlichen Dienst verweisen.

Private Link bietet folgende Vorteile:

  • Privater Zugriff auf Dienste auf der Azure-Plattform: Verbinden Sie Ihr virtuelles Netzwerk mithilfe privater Endpunkte mit allen Diensten, die Sie als Anwendungskomponenten in Azure verwenden können. Dienstanbieter können ihre Dienste in ihrem eigenen virtuellen Netzwerk rendern. Verbrauchende können auf diese Dienste in ihrem lokalen virtuellen Netzwerk zugreifen. Die Private Link-Plattform verarbeitet die Konnektivität zwischen dem Consumer und den Diensten über das Azure-Backbone-Netzwerk.
  • Lokale Netzwerke und Peernetzwerke: Greifen Sie mithilfe privater Endpunkte von einer lokalen Umgebung über privates ExpressRoute-Peering, VPN-Tunnel und virtuelle Netzwerke mit Peering auf Dienste zu, die in Azure ausgeführt werden. Sie müssen ExpressRoute nicht Microsoft Peering konfigurieren oder das Internet durchlaufen, um den Dienst zu erreichen. Private Link ist eine sichere Möglichkeit, um Workloads zu Azure zu migrieren.
  • Schutz vor Datenlecks: Ein privater Endpunkt ordnet eine Instanz einer PaaS-Ressource anstelle des gesamten Diensts zu. Verbraucher können nur eine Verbindung zu der spezifischen Ressource herstellen. Der Zugriff auf alle anderen Ressourcen des Diensts ist blockiert. Dieser Mechanismus ermöglicht den Schutz vor Risiken aufgrund von Datenlecks.
  • Globale Reichweite: Verbinden Sie sich privat mit Diensten, die in anderen Regionen ausgeführt werden: Das virtuelle Netzwerk des Verbrauchers kann sich in Region A befinden. Sie kann eine Verbindung mit Diensten hinter Private Link in Region B herstellen.

Clients können eine Verbindung mit dem privaten Endpunkt herstellen von:

Sie können auch über ExpressRoute, privates Peering oder VPN-Tunneln eine Verbindung aus der lokalen Umgebung heraus herstellen. Das folgende vereinfachte Diagramm zeigt die gängigen Anwendungsfälle.

Diagramm zur Funktionsweise von Private Link mit privaten Endpunkten.

Hier ist eine funktionsübergreifende Verfügbarkeitsmatrix für private Endpunkte in einem Azure Database for PostgreSQL flexiblen Server.

Merkmal Verfügbarkeit Hinweise
Hohe Verfügbarkeit Yes Funktioniert wie vorgesehen.
Lesereplikat Yes Funktioniert wie vorgesehen.
Lesereplikat mit virtuellen Endpunkten Yes Funktioniert wie vorgesehen.
Wiederherstellung bis zu einem bestimmten Zeitpunkt Yes Funktioniert wie vorgesehen.
Auch Zulassen des öffentlichen/Internetzugriffs mit Firewallregeln Yes Funktioniert wie vorgesehen.
Hauptversionsupgrade Yes Funktioniert wie vorgesehen.
Microsoft Entra-Authentifizierung Yes Funktioniert wie vorgesehen.
Verbindungspooling mit PgBouncer Yes Funktioniert wie vorgesehen.
DNS des privaten Endpunkts Yes Funktioniert wie vorgesehen und dokumentiert.
Verschlüsselung mit kundenseitig verwalteten Schlüsseln Yes Funktioniert wie vorgesehen.

Private Endpunkte können nur für Server konfiguriert werden, die Sie erstellen, nachdem Azure Database for PostgreSQL Unterstützung für Private Link eingeführt hat. Sie müssen den Netzwerkmodus so konfigurieren, dass die Integration des virtuellen Netzwerks nicht verwendet wird, sondern der öffentliche Zugriff.

Sie können keine privaten Endpunkte für Server konfigurieren, die Sie vor diesem Datum erstellt haben, wenn Sie den Netzwerkmodus so konfiguriert haben, dass keine Virtuelle Netzwerkintegration, sondern öffentlicher Zugriff verwendet wird. Die Verwendung privater Endpunkte wird derzeit nicht auf Servern unterstützt, die mit der Integration des virtuellen Netzwerks erstellt wurden.

Herstellen einer Verbindung von einer Azure-VM in einem virtuellen Netzwerk mit Peering

Konfigurieren Sie Peering virtueller Netzwerke, um von einem virtuellen Azure-Computer (VM) in einem per Peering verbundenen virtuellen Netzwerk aus eine Verbindung zu einem flexiblen Azure Database for PostgreSQL-Server herzustellen.

Herstellen einer Verbindung von einer Azure-VM in einer Netzwerk-zu-Netzwerk-Umgebung

Konfigurieren Sie eine Netzwerk-zu-Netzwerk-VPN-Gatewayverbindung, um eine Verbindung mit einem Azure Database for PostgreSQL flexiblen Server von einer Azure VM in einer anderen Region oder einem anderen Abonnement herzustellen.

Herstellen einer VPN-Verbindung in einer lokalen Umgebung

Um eine Verbindung von einer lokalen Umgebung mit Azure Database for PostgreSQL flexiblen Server herzustellen, wählen Sie eine der folgenden Optionen aus, und implementieren Sie diese:

Wenn Sie private Endpunkte verwenden, sichern Sie den Datenverkehr zu einer Ressource mit privatem Link. Die Plattform überprüft Netzwerkverbindungen und lässt nur Verbindungen zu, die die angegebene Private-Link-Ressource erreichen. Für den Zugriff auf weitere Unterressourcen innerhalb desselben Azure Diensts benötigen Sie weitere private Endpunkte mit entsprechenden Zielen. Für Azure Storage benötigen Sie beispielsweise separate private Endpunkte, um auf die Datei- und Blob-Unterressourcen zuzugreifen.

Private Endpunkte bieten eine privat zugängliche IP-Adresse für den Azure-Dienst, beschränken aber nicht unbedingt den öffentlichen Netzwerkzugriff darauf. Alle anderen Azure-Dienste erfordern eine weitere Zugriffssteuerung. Diese Steuerelemente bieten Eine zusätzliche Netzwerksicherheitsschicht für Ihre Ressourcen und verhindern den Zugriff auf den Azure Dienst, der der Ressource für private Verknüpfungen zugeordnet ist.

Private Endpunkte unterstützen Netzwerkrichtlinien. Netzwerkrichtlinien ermöglichen die Unterstützung von Netzwerksicherheitsgruppen (NSG), benutzerdefinierten Routen (UDR) und Anwendungssicherheitsgruppen (ASG). Weitere Informationen zum Aktivieren von Netzwerkrichtlinien für einen privaten Endpunkt finden Sie unter Verwalten von Netzwerkrichtlinien für private Endpunkte. Informationen zur Verwendung einer ASG mit einem privaten Endpunkt finden Sie unter Konfigurieren einer Anwendungssicherheitsgruppe (ASG) mit einem privaten Endpunkt.

Bei Verwendung eines privaten Endpunkts müssen Sie eine Verbindung mit demselben Azure-Dienst herstellen, aber die IP-Adresse des privaten Endpunkts verwenden. Für die private Endpunktverbindung sind separate DNS-Einstellungen (Domain Name System) erforderlich, um die private IP-Adresse in den Ressourcennamen aufzulösen.

Privates DNS-Zonen ermöglichen die Domänennamensauflösung in einem virtuellen Netzwerk ohne eine benutzerdefinierte DNS-Lösung. Sie verknüpfen die privaten DNS-Zonen mit jedem virtuellen Netzwerk, um DNS-Dienste für dieses Netzwerk bereitzustellen.

Privates DNS-Zonen stellen separate DNS-Zonennamen für jeden Azure-Dienst bereit. Zum Beispiel, wenn Sie eine Privates DNS-Zone für den Blob-Dienst des Speicherkontos im vorherigen Bild konfiguriert haben, lautet der DNS-Zonenname privatelink.blob.core.windows.net. In der Microsoft-Dokumentation finden Sie weitere Informationen zu den Namen der privaten DNS-Zonen für alle Azure-Dienste.

Hinweis

Private Endpoint-Konfigurationen der Privates DNS-Zone werden nur automatisch generiert, wenn Sie das empfohlene Namensschema verwenden: privatelink.postgres.database.azure.com. Auf neu bereitgestellten Servern für den öffentlichen Zugriff (nicht in virtuelles Netzwerk integriert) gibt es eine Änderung des DNS-Layouts. Der FQDN des Servers wird nun zu einem CNAME-Eintrag in der Form servername.postgres.database.azure.com , der auf einen A-Eintrag in einem der folgenden Formate verweist:

  1. Wenn der Server über einen privaten Endpunkt mit einer standardmäßigen privaten DNS-Zone verfügt, verwendet der A-Eintrag dieses Format: server_name.privatelink.postgres.database.azure.com.
  2. Wenn der Server über keine privaten Endpunkte verfügt, verwendet der A-Eintrag dieses Format: server_name.rs-<15 semi-random bytes>.postgres.database.azure.com.

Hybrid-DNS für Azure und lokale Ressourcen

DNS ist eine wichtige Entwurfsüberlegung in der Gesamtarchitektur der Landezone. Einige Organisationen möchten möglicherweise ihre vorhandenen Investitionen in DNS verwenden. Andere möchten möglicherweise systemeigene Azure-Funktionen für alle ihre DNS-Anforderungen einführen.

Sie können den Azure DNS Private Resolver-Dienst in Verbindung mit privaten Azure-DNS-Zonen für die standortübergreifende Namensauflösung verwenden. DNS Private Resolver kann eine DNS-Anforderung an einen anderen DNS-Server weiterleiten und stellt außerdem eine IP-Adresse bereit, die ein externer DNS-Server zum Weiterleiten von Anforderungen verwenden kann. Daher können externe lokale DNS-Server Namen in einer Privates DNS Zone auflösen.

Weitere Informationen zur Verwendung von DNS Private Resolver mit einer lokalen DNS-Weiterleitung zum Weiterleiten von DNS-Datenverkehr an Azure DNS finden Sie unter:

Die beschriebenen Lösungen erweitern ein lokales Netzwerk, das bereits über eine DNS-Lösung verfügt, um Ressourcen in der Azure.Microsoft-Architektur aufzulösen.

In der Regel hosten Sie private DNS-Zonen zentral im selben Azure Abonnement, in dem Sie das virtuelle Hubnetzwerk bereitstellen. Diese Praxis des zentralen Hostings wird durch die standortübergreifende DNS-Namensauflösung und andere Anforderungen an die zentrale DNS-Auflösung, z. B. Microsoft Entra, gesteuert. In den meisten Fällen verfügen nur Netzwerk- und Identitätsadministratoren über Berechtigungen zum Verwalten von DNS-Einträgen in den Zonen.

In dieser Architektur konfigurieren Sie die folgenden Komponenten:

  • Lokale DNS-Server verfügen über bedingte Forwarder, die für jede öffentliche DNS-Zone des privaten Endpunkts konfiguriert sind und auf den im Hub-VNet gehosteten Privates DNS Resolver verweisen.
  • Der im Hub-VNet gehostete Privates DNS Resolver verwendet den von Azure bereitgestellten DNS (168.63.129.16) als Forwarder.
  • Sie verknüpfen das virtuelle Netzwerk des Hubs mit den Namen der privaten DNS-Zonen für Azure-Dienste (z. B. privatelink.postgres.database.azure.com für einen Azure Database for PostgreSQL Flexible Server).
  • Alle Azure virtuellen Netzwerke verwenden den Privates DNS Resolver, der im virtuellen Hubnetzwerk gehostet wird.
  • Der Privates DNS Resolver ist für die Unternehmensdomänen eines Kunden nicht autoritativ, da es sich nur um eine Weiterleitung handelt (z. B. Microsoft Entra Domänennamen). Er sollte ausgehende Endpunktweiterleitungen an die Unternehmensdomänen des Kunden haben, die auf die lokalen DNS-Server verweisen, oder DNS-Server, die in Azure bereitgestellt werden, die für solche Zonen autoritativ sind.

Standardmäßig sind Netzwerkrichtlinien für ein Subnetz in einem virtuellen Netzwerk deaktiviert. Um Netzwerkrichtlinien wie UDRs und NSGs zu verwenden, müssen Sie die Netzwerkrichtlinienunterstützung für das Subnetz aktivieren. Diese Einstellung gilt nur für private Endpunkte innerhalb des Subnetzes. Diese Einstellung wirkt sich auf alle privaten Endpunkte innerhalb des Subnetzes aus. Für andere Ressourcen im Subnetz wird der Zugriff basierend auf Sicherheitsregeln in der Netzwerksicherheitsgruppe gesteuert.

Sie können Netzwerkrichtlinien nur für NSGs, nur für UDRs oder für beides aktivieren. Weitere Informationen finden Sie unter Verwalten von Netzwerkrichtlinien für private Endpunkte.

Einschränkungen für NSGs und private Endpunkte werden unter Was ist ein privater Endpunkt? aufgeführt.

Von Bedeutung

Schutz vor Datenlecks: Ein privater Endpunkt wird nicht dem gesamten Dienst, sondern der Instanz einer PaaS-Ressource zugeordnet. Verbraucher können nur eine Verbindung zu der spezifischen Ressource herstellen. Der Zugriff auf alle anderen Ressourcen des Diensts ist blockiert. Dieser Mechanismus ermöglicht Basisschutz vor Risiken aufgrund von Datenlecks.

Folgende Fälle und Ergebnisse sind bei Verwendung von Private Link in Verbindung mit Firewallregeln möglich:

  • Wenn Sie keine Firewallregeln konfigurieren, kann der Datenverkehr standardmäßig nicht auf den Azure Database for PostgreSQL flexiblen Server zugreifen.

  • Wenn Sie öffentlichen Datenverkehr oder einen Dienstendpunkt konfigurieren und private Endpunkte erstellen, werden verschiedene Arten von eingehendem Datenverkehr durch den entsprechenden Typ der Firewallregel autorisiert.

  • Wenn Sie keinen öffentlichen Zugriff oder einen Serviceendpunkt konfigurieren und private Endpunkte erstellen, ist Azure Database for PostgreSQL Flexible Server nur über private Endpunkte zugänglich. Wenn Sie keinen öffentlichen Datenverkehr oder einen Dienstendpunkt konfigurieren, nachdem alle genehmigten privaten Endpunkte abgelehnt oder gelöscht wurden, kann kein Datenverkehr auf den Azure Database for PostgreSQL flexiblen Server zugreifen.

Troubleshoot

Wenn Sie Private Link Endpunkte mit einem Azure Database for PostgreSQL flexiblen Server verwenden, können Konnektivitätsprobleme aufgrund von Fehlkonfigurationen oder Netzwerkeinschränkungen auftreten. Um diese Probleme zu beheben, überprüfen Sie die Einrichtung privater Endpunkte, DNS-Konfigurationen, Netzwerksicherheitsgruppen (NSGs) und Routingtabellen. Die systematische Behandlung dieser Bereiche kann Ihnen helfen, häufige Probleme zu identifizieren und zu beheben, um eine nahtlose Konnektivität und einen sicheren Zugriff auf Ihre Datenbank sicherzustellen.

Konnektivitätsprobleme mit privaten endpunktbasierten Netzwerken

Wenn Bei Verwendung privater endpunktbasierter Netzwerke Konnektivitätsprobleme auftreten, überprüfen Sie die folgenden Bereiche:

  • Überprüfen von IP-Adresszuweisungen: Stellen Sie sicher, dass dem privaten Endpunkt die richtige IP-Adresse zugewiesen ist und dass er keine Konflikte mit anderen Ressourcen aufweist. Weitere Informationen zu privaten Endpunkten und IP finden Sie unter Verwalten von Azure privaten Endpunkten.
  • Überprüfen sie NSGs: Überprüfen Sie die NSG-Regeln für das Subnetz des privaten Endpunkts, um sicherzustellen, dass der erforderliche Datenverkehr zulässig ist, und es gibt keine widersprüchlichen Regeln. Weitere Informationen zu Netzwerksicherheitsgruppen finden Sie unter Netzwerksicherheitsgruppen.
  • Überprüfen der Routingtabellenkonfiguration: Stellen Sie sicher, dass die Routingtabellen, die dem Subnetz des privaten Endpunkts zugeordnet sind, und die verbundenen Ressourcen ordnungsgemäß mit den entsprechenden Routen konfiguriert sind.
  • Verwenden von Netzwerküberwachung und -diagnose: Nutzen Sie Azure Network Watcher, um Netzwerkdatenverkehr mithilfe von Tools wie Verbindungsmonitor oder Paketerfassung zu überwachen und zu diagnostizieren. Weitere Informationen zur Netzwerkdiagnose finden Sie unter Was ist Azure Network Watcher?.

Weitere Informationen zur Problembehandlung für private Endpunkte finden Sie unter Beheben von Azure-Konnektivitätsproblemen mit privaten Endpunkten.

DNS-Auflösung mit auf privaten Endpunkten basierenden Netzwerken

Wenn bei Verwendung privater endpunktbasierter Netzwerke PROBLEME bei der DNS-Auflösung auftreten, überprüfen Sie die folgenden Bereiche:

  • Überprüfen der DNS-Auflösung: Überprüfen Sie, ob der vom privaten Endpunkt verwendete DNS-Server oder -Dienst und die verbundenen Ressourcen ordnungsgemäß funktionieren. Stellen Sie sicher, dass die DNS-Einstellungen des privaten Endpunkts korrekt sind. Weitere Informationen zu privaten Endpunkten und DNS-Zoneneinstellungen finden Sie unter Privates DNS-Zonenwerte für Azure Private Endpoint.
  • Löschen des DNS-Caches: Löschen Sie den DNS-Cache auf dem privaten Endpunkt oder Clientcomputer, um sicherzustellen, dass die neuesten DNS-Informationen abgerufen und Fehler aufgrund von Inkonsistenz vermieden werden.
  • Analysieren von DNS-Protokollen: Überprüfen Sie DNS-Protokolle auf Fehlermeldungen oder ungewöhnliche Muster wie DNS-Abfragefehler, Serverfehler oder Timeouts. Weitere Informationen zu DNS-Metriken finden Sie unter Azure DNS Metriken und Warnungen.

Einschränkungen und Überlegungen

  • Sie können private Endpunkte nur für Server konfigurieren, die nach der Einführung von Private Link erstellt wurden. Server, die die VNet-Integration (Virtual Network) verwenden, sind nicht für die Konfiguration privater Endpunkte berechtigt.

  • Azure-Netzwerkeinschränkungen, nicht der Datenbankdienst selbst, beschränken die Anzahl privater Endpunkte. Insbesondere beschränken sie die Anzahl privater Endpunkte, die Sie in ein bestimmtes Subnetz innerhalb eines VNet einfügen können.

  • Virtuelle Computer können über private Endpunkte eine Verbindung mit der Datenbank herstellen, vorausgesetzt, sie sind innerhalb desselben virtuellen Netzwerks ordnungsgemäß konfiguriert oder verfügen über ein entsprechendes Routing.

Verwandte Inhalte

  • Last updated on