Firewallregeln in Azure Database for PostgreSQL – Flexibler Server

Wenn Sie einen Azure Database for PostgreSQL flexiblen Server ausführen, haben Sie zwei Hauptnetzwerkoptionen: privater Zugriff (Integration des virtuellen Netzwerks) und öffentlichen Zugriff (zulässige IP-Adressen).

Mit öffentlichem Zugriff greifen Sie über einen öffentlichen Endpunkt auf den Azure Database for PostgreSQL flexiblen Server zu. Standardmäßig blockiert die Firewall den gesamten Zugriff auf den Server. Um anzugeben, welche IP-Hosts auf den Server zugreifen können, erstellen Sie Firewallregeln auf Serverebene. Firewallregeln geben die zulässigen Bereiche für öffentliche IP-Adressen an. Die Firewall gewährt den Serverzugriff auf der Grundlage der Ursprungs-IP-Adresse der jeweiligen Anforderung. Bei privatem Zugriff ist kein öffentlicher Endpunkt verfügbar, und nur Hosts, die sich im selben Netzwerk befinden, können auf Ihren Azure Database for PostgreSQL flexiblen Server zugreifen.

Erstellen Sie Firewallregeln mithilfe des Azure Portals oder mithilfe von Azure CLI Befehlen. Sie müssen der Besitzer oder ein Mitwirkender des Abonnements sein.

Firewallregeln auf Serverebene gelten für alle Datenbanken auf demselben Azure Database for PostgreSQL flexiblen Server. Die Regeln wirken sich nicht auf den Zugriff auf die Website des Microsoft Azure-Portals aus.

Das folgende Diagramm zeigt, wie Verbindungsversuche aus dem Internet und Azure die Firewall durchlaufen müssen, bevor sie azure Database für PostgreSQL-Datenbanken erreichen können:

Verbindung aus dem Internet

Liegt die IP-Quelladresse der Anforderung innerhalb eines der in den Firewallregeln auf Serverebene angegebenen Bereiche, wird die Verbindung gewährt. Andernfalls wird sie abgelehnt.

Wenn Ihre Anwendung beispielsweise eine Verbindung mit einem Java Database Connectivity (JDBC)-Treiber für Azure Database for PostgreSQL herstellt, können Sie auf diesen Fehler stoßen, weil die Firewall die Verbindung blockiert.

• java.util.concurrent.ExecutionException: java.lang.RuntimeException:
• org.postgresql.util.PSQLException: FATAL: kein Eintrag in der pg_hba.conf für Host "123.45.67.890", Benutzer "adminuser", Datenbank "postgresql", SSL

Verbindung von Azure herstellen

Suchen Sie die ausgehende IP-Adresse einer beliebigen Anwendung oder eines Diensts, und erlauben Sie explizit den Zugriff auf diese einzelnen IP-Adressen oder Bereiche. Sie können zum Beispiel die IP-Adresse für ausgehenden Datenverkehr einer Azure App Service-App suchen oder eine öffentliche IP-Adresse verwenden, die an einen virtuellen Computer gebunden ist.

Wenn eine feste IP-Adresse für ausgehenden Datenverkehr für Ihren Azure-Dienst nicht verfügbar ist, ziehen Sie die Aktivierung von Verbindungen von allen IP-Adressen in Azure-Rechenzentren in Erwägung:

1. Aktivieren Sie im Azure-Portal im Bereich Netzwerk das Kontrollkästchen Öffentlichen Zugriff auf diesen Server über beliebigen Azure-Dienst in Azure gestatten.

2. Wählen Sie Speichern aus.

   

   Von Bedeutung

   Die Option Öffentlichen Zugriff auf diesen Server über beliebigen Azure-Dienst in Azure gestatten konfiguriert die Firewall so, dass alle von Azure ausgehenden Verbindungen zugelassen werden, einschließlich der Verbindungen aus Abonnements anderer Kunden. Wenn Sie diese Option verwenden, stellen Sie sicher, dass Ihre Anmelde- und Benutzerberechtigungen den Zugriff nur auf autorisierte Benutzer beschränken.

Programmgesteuertes Verwalten von Firewallregeln

Neben der Verwendung des Microsoft Azure-Portals können Sie Firewall-Regeln auch programmseitig über die Azure-Befehlszeilenschnittstelle verwalten.

In der Azure-Befehlszeilenschnittstelle entspricht eine Firewallregeleinstellung mit der Start- und Endadresse „0.0.0.0“ der Option Öffentlichen Zugriff auf diesen Server über beliebigen Azure-Dienst in Azure gestatten im Portal. Wenn Firewallregeln den Verbindungsversuch ablehnen, erreicht die App nicht den Azure Database for PostgreSQL flexiblen Server.

Behandeln von Firewallproblemen

Berücksichtigen Sie die folgenden Möglichkeiten, wenn sich der Zugriff auf einen Azure Database for PostgreSQL flexiblen Server nicht wie erwartet verhält:

• Änderungen an der Zulassungsliste sind noch nicht wirksam: Änderungen an der Firewallkonfiguration eines Azure Database for PostgreSQL flexiblen Servers können bis zu fünf Minuten dauern.

• Die Anmeldung ist nicht autorisiert oder ein falsches Kennwort wurde verwendet: Wenn eine Anmeldung nicht über Berechtigungen für den flexiblen Server Azure Database for PostgreSQL oder das Kennwort falsch ist, wird die Verbindung mit dem Server verweigert. Durch das Erstellen einer Firewalleinstellung können Clients nur versuchen, eine Verbindung mit Ihrem Server herzustellen. Jeder Client muss weiterhin die erforderlichen Sicherheitsanmeldeinformationen bereitstellen.

Der folgende Fehler kann beispielsweise auftreten, wenn die Authentifizierung für einen JDBC-Client fehlschlägt:

• java.util.concurrent.ExecutionException: java.lang.RuntimeException: org.postgresql.util.PSQLException: KRITISCH: Fehler bei der Kennwortauthentifizierung für Benutzer „IhrBenutzername“

• Die Firewall lässt keine dynamischen IP-Adressen zu: Wenn Sie über eine Internetverbindung mit dynamischer IP-Adressierung verfügen und Probleme beim Passieren der Firewall auftreten, probieren Sie eine der folgenden Lösungen aus:

• Fragen Sie Ihren Internetdienstanbieter (INTERNET Service Provider, ISP) nach dem IP-Adressbereich, der Ihren Clientcomputern zugewiesen ist, die auf den Azure Database for PostgreSQL flexiblen Server zugreifen. Fügen Sie dann den IP-Adressbereich als Firewallregel hinzu.

• Verwenden Sie stattdessen statische IP-Adressen für die Clientcomputer, und fügen Sie die statischen IP-Adressen dann als Firewallregel hinzu.

• Firewallregeln sind für das IPv6-Format nicht verfügbar: Firewallregeln müssen das IPv4-Format aufweisen. Wenn Sie Firewallregeln im IPv6-Format angeben, wird ein Validierungsfehler angezeigt.

Verwandte Inhalte

• Erstellen und Verwalten von Firewallregeln für Azure-Datenbank für PostgreSQL