Az Azure Database for PostgreSQL hálózatkezelésének áttekintése – Rugalmas, privát hozzáférésű kiszolgáló (VNET-integráció)

A következőkre vonatkozik: Azure Database for PostgreSQL – Rugalmas kiszolgáló

Ez a cikk a rugalmas Azure Database for PostgreSQL-kiszolgáló csatlakozási és hálózatkezelési fogalmait ismerteti.

Rugalmas Azure Database for PostgreSQL-kiszolgálópéldány létrehozásakor a következő hálózati lehetőségek közül kell választania: Privát hozzáférés (VNet-integráció) vagy nyilvános hozzáférés (engedélyezett IP-címek) és privát végpont. Ez a dokumentum a privát hozzáférés (VNet-integráció) hálózatkezelési lehetőségét ismerteti.

Privát hozzáférés (VNet-integráció)

Egy rugalmas Azure Database for PostgreSQL-kiszolgálópéldányt helyezhet üzembe az Azure-beli virtuális hálózatában (VNet) vNET-injektálással. Az Azure-beli virtuális hálózatok privát és biztonságos hálózati kommunikációt biztosítanak. A virtuális hálózat erőforrásai az ezen a hálózaton hozzárendelt magánhálózati IP-címeken keresztül kommunikálhatnak.

Válassza ezt a hálózati lehetőséget, ha a következő képességeket szeretné használni:

• Csatlakozás az ugyanabban a virtuális hálózatban lévő Azure-erőforrásokból a rugalmas Azure Database for PostgreSQL-kiszolgálópéldányba privát IP-címek használatával.
• A VPN vagy az Azure ExpressRoute használatával nem Azure-erőforrásokból csatlakozhat rugalmas Azure Database for PostgreSQL-kiszolgálópéldányához.
• Győződjön meg arról, hogy a rugalmas Azure Database for PostgreSQL-kiszolgálópéldány nem rendelkezik az interneten keresztül elérhető nyilvános végpontgal.

A fenti diagram elemei:

• A rugalmas Azure Databases for PostgreSQL-kiszolgálópéldányokat a rendszer a VNet-1 virtuális hálózat 10.0.1.0/24 alhálózatába injektálja.
• Az ugyanazon virtuális hálózaton belül különböző alhálózatokon üzembe helyezett alkalmazások közvetlenül hozzáférhetnek a rugalmas Azure Database for PostgreSQL-kiszolgálópéldányokhoz.
• A másik virtuális hálózaton (VNet-2) üzembe helyezett alkalmazások nem rendelkeznek közvetlen hozzáféréssel a rugalmas Azure Database for PostgreSQL-kiszolgálópéldányokhoz. A rugalmas kiszolgáló elérése előtt virtuális hálózati társviszony-létesítést kell végeznie egy privát DNS-zónához .

A virtuális hálózat fogalmai

Az Azure-beli virtuális hálózatok egy saját használatra konfigurált PRIVÁT IP-címteret tartalmaznak. A virtuális hálózatnak ugyanabban az Azure-régióban kell lennie, mint a rugalmas Azure Database for PostgreSQL-kiszolgálópéldánynak. A virtuális hálózatokkal kapcsolatos további információkért tekintse meg az Azure Virtual Network áttekintését.

Az alábbiakban néhány fogalmat ismerhet meg, amikor olyan virtuális hálózatokat használ, amelyekben az erőforrások integrálva vannak a rugalmas Azure Database for PostgreSQL-kiszolgálópéldányokkal a virtuális hálózatba :

• Delegált alhálózat. A virtuális hálózatok alhálózatokat (alhálózatokat) tartalmaznak. Az alhálózatok lehetővé teszik a virtuális hálózat kisebb címterekre való szegmentálását. Az Azure-erőforrások egy virtuális hálózaton belül meghatározott alhálózatokra vannak üzembe helyezve.

  A VNET integrált Azure Database for PostgreSQL-kiszolgálópéldányának delegált alhálózatban kell lennie. Vagyis csak rugalmas Azure Database for PostgreSQL-kiszolgálópéldányok használhatják ezt az alhálózatot. Az alhálózatra semmilyen más típusú Azure-erőforrás nem delegálható. A delegálási tulajdonság hozzárendelésével delegálhat egy alhálózatot Microsoft.DBforPostgreSQL/flexibleServers. Az alhálózathoz megadható legkisebb CIDR-tartomány a /28, amely 16 IP-címet biztosít, azonban a hálózat vagy alhálózat első és utolsó címe nem rendelhető hozzá egyetlen gazdagéphez sem. Az Azure öt IP-címet foglal le, amelyeket az Azure hálózatkezelése belsőleg használ, amelyek két ip-címet tartalmaznak, amelyek nem rendelhetők hozzá a fent említett gazdagéphez. Így 11 elérhető IP-cím marad a /28 CIDR-tartományhoz, míg egyetlen rugalmas Azure Database for PostgreSQL-kiszolgálópéldány magas rendelkezésre állási funkciókkal négy címet használ. Replikációs és Microsoft Entra-kapcsolatok esetén győződjön meg arról, hogy az útvonaltáblák nem befolyásolják a forgalmat. Egy gyakori minta az összes kimenő forgalmat egy Azure Firewallon vagy egy egyéni helyszíni hálózati szűrőberendezésen keresztül irányítja át. Ha az alhálózat rendelkezik a szabályhoz társított útvonaltáblával, amely az összes forgalmat egy virtuális berendezésre irányítja:

  • Adjon hozzá egy szabályt az "AzureActiveDirectory" célszolgáltatáscímkével, majd az "Internet" következő ugrással
  • Adjon hozzá egy, a cél IP-címtartományával megegyező szabályt, amely megegyezik a rugalmas Azure Database for PostgreSQL-kiszolgáló alhálózati tartományával, és következő ugrásként a "Virtuális hálózat"

  Fontos

  A nevekAzureFirewallSubnet, AzureFirewallManagementSubnetés AzureBastionSubnetGatewaySubnet az Azure-ban vannak fenntartva. Ezeket ne használja az alhálózat neveként.

• Hálózati biztonsági csoport (NSG). Az NSG-k biztonsági szabályai lehetővé teszik a virtuális hálózati alhálózatok és hálózati adapterek bejövő és kimenő hálózati forgalmának szűrését. További információkért tekintse meg az NSG áttekintését.

  Az alkalmazásbiztonsági csoportok (ASG-k) egyszerűvé teszik a 4. réteg biztonságának szabályozását az NSG-k használatával a lapos hálózatokhoz. Gyorsan elvégezhető mindez:

  • Csatlakozzon a virtuális gépekhez egy ASG-hez, vagy távolítsa el a virtuális gépeket egy ASG-ből.
  • Dinamikusan alkalmazza a szabályokat ezekre a virtuális gépekre, vagy távolítsa el a szabályokat ezekről a virtuális gépekről.

  További információkért tekintse meg az ASG áttekintését.

  Jelenleg nem támogatjuk azokat az NSG-ket, ahol az ASG a rugalmas Azure Database for PostgreSQL-kiszolgálóval rendelkező szabály része. Jelenleg azt javasoljuk, hogy ip-alapú forrás- vagy célszűrést használjon egy NSG-ben.

  Fontos

  A rugalmas Azure Database for PostgreSQL-kiszolgáló magas rendelkezésre állása és egyéb funkciói megkövetelik a forgalom küldését/fogadását az 5432-as célportra az Azure-beli virtuális hálózati alhálózaton belül, ahol a rugalmas Azure Database for PostgreSQL-kiszolgáló üzembe van helyezve, valamint az Azure Storage-ba naplóarchiválás céljából. Ha hálózati biztonsági csoportokat (NSG) hoz létre a rugalmas Azure Database for PostgreSQL-kiszolgálópéldány felé vagy onnan érkező forgalom letiltásához azon az alhálózaton belül, ahol az üzembe van helyezve, győződjön meg arról, hogy engedélyezi a forgalmat az 5432-as célport felé az alhálózaton belül, valamint az Azure Storage szolgáltatáscímkével. Ezt a kivételszabályt tovább szűrheti, ha hozzáadja az Azure-régiót az us-east.storage címkéhez. Ha a Rugalmas Azure Database for PostgreSQL-kiszolgálópéldányba történő bejelentkezések hitelesítéséhez a Microsoft Entra-hitelesítést használja, engedélyezze a Microsoft Entra-azonosító felé irányuló kimenő forgalmat a Microsoft Entra szolgáltatáscímkéje használatával. Az Olvasási replikák Azure-régiók közötti beállításakor a rugalmas Azure Database for PostgreSQL-kiszolgálónak képesnek kell lennie arra, hogy az elsődleges és replika 5432-as célportra, valamint az elsődleges és replikakiszolgálókról érkező Azure-tárterületre irányuló forgalmat küldjön vagy fogadjon.

• saját DNS zónaintegráció. Az Azure privát DNS-zónaintegrációja lehetővé teszi a privát DNS feloldását az aktuális virtuális hálózaton belül, vagy bármely régión belüli társhálózaton belül, ahol a privát DNS-zóna kapcsolódik.

Privát DNS-zóna használata

Az Azure saját DNS megbízható és biztonságos DNS-szolgáltatást biztosít a virtuális hálózat számára. Az Azure saját DNS kezeli és feloldja a virtuális hálózat tartományneveit anélkül, hogy egyéni DNS-megoldást kellene konfigurálnia.

Ha privát hálózati hozzáférést használ az Azure-beli virtuális hálózattal, a dns-feloldás elvégzéséhez kötelező megadni a privát DNS-zóna adatait. A rugalmas Azure Database for PostgreSQL-kiszolgálópéldányok privát hálózati hozzáféréssel történő létrehozásához privát DNS-zónákat kell használni az Azure Database for PostgreSQL rugalmas kiszolgálópéldányainak privát hozzáféréssel történő konfigurálása során. Az új rugalmas Azure Database for PostgreSQL-kiszolgálópéldányok api-, ARM- vagy Terraform-alapú privát hálózati hozzáféréssel történő létrehozásához hozzon létre privát DNS-zónákat, és használja őket, miközben rugalmas Azure Database for PostgreSQL-kiszolgálópéldányokat konfigurál magánhozzáféréssel. További információ a Microsoft Azure REST API-specifikációiról. Ha az Azure Portalt vagy az Azure CLI-t használja rugalmas Azure Database for PostgreSQL-kiszolgálópéldányok létrehozásához, megadhat egy privát DNS-zónanevet, amelyet korábban ugyanabban az előfizetésben hozott létre, vagy egy alapértelmezett privát DNS-zóna automatikusan létrejön az előfizetésben.

Ha Azure API-t, Azure Resource Manager-sablont (ARM-sablont) vagy Terraformot használ, hozzon létre privát DNS-zónákat..postgres.database.azure.com Használja ezeket a zónákat az Azure Database for PostgreSQL rugalmas kiszolgálópéldányainak privát hozzáféréssel történő konfigurálása során. Használja például az űrlapot [name1].[name2].postgres.database.azure.com vagy [name].postgres.database.azure.coma . Ha úgy dönt, hogy az űrlapot [name].postgres.database.azure.comhasználja, a név nem lehet az egyik rugalmas Azure Databases for PostgreSQL-kiszolgálópéldányhoz használt név, vagy a kiépítés során hibaüzenet jelenik meg. További információkért tekintse meg a privát DNS-zónák áttekintését.

Az Azure Portal, API, CLI vagy ARM használatával a privát DNS-zónát is módosíthatja a rugalmas Azure Database for PostgreSQL-kiszolgálópéldány létrehozásakor megadottról egy másik privát DNS-zónára, amely azonos vagy eltérő előfizetéssel rendelkezik.

Fontos

A rugalmas Azure Database for PostgreSQL-kiszolgálópéldány létrehozásakor megadott privát DNS-zóna módosítása egy másik privát DNS-zónára jelenleg le van tiltva a magas rendelkezésre állási funkcióval rendelkező kiszolgálók esetében.

Miután létrehozott egy privát DNS-zónát az Azure-ban, hozzá kell kapcsolnia egy virtuális hálózatot. A csatolás után a virtuális hálózatban üzemeltetett erőforrások hozzáférhetnek a privát DNS-zónához.

Fontos

A továbbiakban nem érvényesítjük a virtuális hálózati kapcsolat jelenlétét a rugalmas Azure Database for PostgreSQL-kiszolgáló kiszolgálói létrehozásakor, privát hálózatkezeléssel. Amikor a portálon keresztül hoz létre kiszolgálót, lehetőséget biztosítunk az ügyfélnek, hogy az Azure Portalon a "Kapcsolat saját DNS Zóna a virtuális hálózathoz" jelölőnégyzeten keresztül hozzon létre hivatkozást a kiszolgálólétrehozáshoz.

A DNS privát zónái rugalmasak a regionális kimaradásokkal szemben, mivel a zónaadatok globálisan elérhetők. A privát zónában lévő erőforrásrekordok automatikusan replikálódnak a régiók között. Az Azure saját DNS egy rendelkezésre állási zóna alapszintű, zóna-újraegyensúlyozó szolgáltatása. További információt a rendelkezésre állási zóna támogatásával rendelkező Azure-szolgáltatásokban talál.

Integráció egyéni DNS-kiszolgálóval

Ha egyéni DNS-kiszolgálót használ, egy DNS-továbbítót kell használnia a rugalmas Azure Database for PostgreSQL-kiszolgáló teljes tartománynevének feloldásához. A továbbító IP-címének 168.63.129.16-osnak kell lennie.

Az egyéni DNS-kiszolgálónak a virtuális hálózaton belül kell lennie, vagy elérhetőnek kell lennie a virtuális hálózat DNS-kiszolgálóbeállításán keresztül. További információ: Saját DNS-kiszolgálót használó névfeloldás.

saját DNS zóna- és virtuális hálózati társviszony-létesítés

saját DNS zónabeállítások és a virtuális hálózatok közötti társviszony-létesítés független egymástól. Ha egy olyan ügyfélről szeretne csatlakozni a rugalmas Azure Database for PostgreSQL-kiszolgálópéldányhoz, amely ugyanabból a régióból vagy egy másik régióból egy másik virtuális hálózaton van kiépítve, a privát DNS-zónát össze kell kapcsolnia a virtuális hálózattal. További információ: A virtuális hálózat összekapcsolása.

Feljegyzés

Csak a "postgres.database.azure.com" végződésű privát DNS-zónanevek csatolhatók. A DNS-zóna neve nem lehet azonos a rugalmas Azure Database for PostgreSQL-kiszolgálópéldány(ok) nevével, ellenkező esetben a névfeloldás sikertelen lesz.

A kiszolgálónév DNS-rekordhoz való leképezéséhez futtassa az nslookup parancsot az Azure Cloud Shellbenaz Azure PowerShell vagy a Bash használatával, és helyettesítse a kiszolgáló nevét server_name> paraméterhez <az alábbi példában:

nslookup -debug <server_name>.postgres.database.azure.com | grep 'canonical name'

Küllős magánhálózati kialakítás használata

A küllős és a küllős hálózatkezelési modell a gyakori kommunikációs vagy biztonsági követelmények hatékony kezelésére szolgáló népszerű hálózatkezelési modell.

A központ egy virtuális hálózat, amely központi helyként szolgál a külső kapcsolatok kezeléséhez. Emellett több számítási feladat által használt szolgáltatásokat is üzemeltet. A központ koordinálja a küllők felé és a küllők felől érkező összes kommunikációt. Az informatikai szabályok vagy az olyan folyamatok, mint a biztonság megvizsgálják, átirányítják és központilag kezelik a forgalmat. A küllők számítási feladatokat üzemeltető virtuális hálózatok, amelyek virtuális hálózattársítás révén kapcsolódnak a központhoz. A megosztott szolgáltatások a küllőkkel való megosztáshoz a saját alhálózataikban vannak üzemeltetve. A szegélyhálózat ezután biztonsági berendezésként működik.

A küllők egyben olyan Azure-beli virtuális hálózatok, amelyek az egyéni számítási feladatok elkülönítésére szolgálnak. A helyszíni központ és az Azure közötti forgalom expressRoute-on vagy helyeken keresztül csatlakozik a helyek VPN-éhez, és csatlakozik a központi virtuális hálózathoz. A küllőktől a központba vezető virtuális hálózatok társítás révén kapcsolódnak egymáshoz, és lehetővé teszik a helyszíni erőforrásokkal való kommunikációt. A központ és minden egyes küllő létrehozható más-más előfizetésekben vagy erőforráscsoportokban.

A küllős virtuális hálózatok egymáshoz való csatlakoztatásának három fő mintája van:

• Küllők, amelyek közvetlenül csatlakoznak egymáshoz. A virtuális hálózatok közötti társviszonyok vagy VPN-alagutak a küllős virtuális hálózatok között jönnek létre, hogy közvetlen kapcsolatot biztosítsanak a központi virtuális hálózat bejárása nélkül.
• A küllők hálózati berendezésen keresztül kommunikálnak. Minden küllős virtuális hálózat rendelkezik társviszony-létesítéssel a Virtual WAN-hoz vagy egy központi virtuális hálózathoz. A berendezés küllőről küllőre irányítja a forgalmat. A berendezést a Microsoft (a Virtual WAN-hez hasonlóan) vagy Ön felügyelheti.
• A küllők közötti kommunikáció engedélyezéséhez a központi hálózathoz csatlakoztatott virtuális hálózati átjáró és a felhasználói útvonalak (UDR) használata.

Az Azure Virtual Network Manager (AVNM) használatával új (és meglévő) központ- és küllős virtuális hálózati topológiákat hozhat létre a kapcsolat- és biztonsági vezérlők központi felügyeletéhez.

Kommunikáció privát hálózatú ügyfelekkel különböző régiókban

Az ügyfeleknek gyakran különböző Azure-régiókhoz kell csatlakozniuk az ügyfelekhez. Pontosabban ez a kérdés általában a különböző régiókban található két VNET (amelyek közül az egyik rugalmas Azure Database for PostgreSQL-kiszolgálóval és egy másik alkalmazásügyféllel rendelkezik). Az ilyen kapcsolatok többféleképpen is elérhetők, többek között a következők:

• Globális virtuális hálózatok közötti társviszony-létesítés. A leggyakoribb módszertan, mivel ez a legegyszerűbb módja a különböző régiókban található hálózatok összekapcsolásának. A globális virtuális hálózatok közötti társviszony-létesítés közvetlenül a két társviszonyban lévő virtuális hálózat között hoz létre kapcsolatot az Azure gerinchálózatán keresztül. Ez biztosítja a legjobb hálózati átviteli sebességet és a legalacsonyabb késéseket a kapcsolathoz ezzel a módszerrel. A VNET-ek társviszonya esetén az Azure automatikusan kezeli az útválasztást, ezek a virtuális hálózatok a VPN-átjárón létrehozott társhálózat összes erőforrásával kommunikálhatnak.
• Virtuális hálózatok közötti kapcsolat. A virtuális hálózatok közötti kapcsolat lényegében egy VPN a két különböző Azure-hely között. A virtuális hálózatok közötti kapcsolat egy VPN-átjárón jön létre. Ez azt jelenti, hogy a forgalom két további forgalomugratással jár a globális virtuális hálózatok közötti társviszony-létesítéshez képest. A módszerhez képest további késés és alacsonyabb sávszélesség is rendelkezésre áll.
• Kommunikáció hálózati berendezésen keresztül a Küllős architektúrában. A küllős virtuális hálózatok közvetlen összekapcsolása helyett hálózati berendezésekkel továbbíthatja a küllők közötti forgalmat. A hálózati berendezések több hálózati szolgáltatást nyújtanak, például a mély csomagvizsgálatot, a forgalom szegmentálását vagy monitorozását, de késést és teljesítménybeli szűk keresztmetszeteket okozhatnak, ha nem megfelelő méretűek.

Replikáció Azure-régiók és virtuális hálózatok között privát hálózatkezeléssel

Az adatbázis-replikáció az adatok központi vagy elsődleges kiszolgálóról több, replikaként ismert kiszolgálóra történő másolásának folyamata. Az elsődleges kiszolgáló olvasási és írási műveleteket fogad el, míg a replikák írásvédett tranzakciókat szolgálnak ki. Az elsődleges kiszolgáló és a replikák együttesen alkotnak adatbázisfürtöt. Az adatbázis-replikáció célja az adatok redundanciájának, konzisztenciájának, magas rendelkezésre állásának és hozzáférhetőségének biztosítása, különösen a nagy forgalmú, kritikus fontosságú alkalmazásokban.

A rugalmas Azure Database for PostgreSQL-kiszolgáló két módszert kínál a replikációhoz: fizikai (azaz streamelés) a beépített olvasási replika funkcióval és a logikai replikációval. Mindkettő ideális a különböző használati esetekhez, és a felhasználó a céltól függően választhat egyet a másik felett.

Az Azure-régiók közötti replikációhoz az egyes régiókban külön virtuális hálózatokkal (VNET-kkel) rendelkező virtuális hálózatok közötti kapcsolat szükséges, amely virtuális hálózatok közötti társviszony-létesítéssel vagy a küllős architektúrákban hálózati berendezésen keresztül biztosítható.

Alapértelmezés szerint a DNS-névfeloldás hatóköre egy virtuális hálózatra terjed ki. Ez azt jelenti, hogy az egyik virtuális hálózatban (VNET1) lévő ügyfél nem tudja feloldani a rugalmas Azure Database for PostgreSQL-kiszolgáló teljes tartománynevét egy másik virtuális hálózaton (VNET2).

A probléma megoldásához meg kell győződnie arról, hogy a VNET1 ügyfelei hozzáférhetnek a rugalmas Azure Database for PostgreSQL-kiszolgálóhoz saját DNS Zónához. Ez úgy érhető el, hogy hozzáad egy virtuális hálózati kapcsolatot a rugalmas Azure Database for PostgreSQL-kiszolgálópéldány saját DNS zónájához.

Nem támogatott virtuális hálózati forgatókönyvek

Az alábbiakban néhány korlátozást talál a VNET-integrációval létrehozott virtuális hálózatok használatának korlátozására:

• Miután üzembe helyezett egy rugalmas Azure Database for PostgreSQL-kiszolgálópéldányt egy virtuális hálózaton és alhálózaton, nem helyezheti át egy másik virtuális hálózatra vagy alhálózatra. A virtuális hálózatot nem helyezheti át másik erőforráscsoportba vagy előfizetésbe.
• Az alhálózat mérete (címtartományok) nem növelhető, ha az erőforrások már létrejöttek az alhálózaton.
• A virtuális hálózatba injektált erőforrások alapértelmezés szerint nem tudják használni a Private Linket. Ha privát hálózatkezeléshez szeretné használni a Private Linket , tekintse meg az Azure Database for PostgreSQL rugalmas kiszolgálói hálózatkezelést a Private Link használatával

Fontos

Az Azure Resource Manager biztonsági vezérlőként támogatja az erőforrások zárolását . Az erőforrás-zárolások az erőforrásra vonatkoznak, és minden felhasználó és szerepkör esetében érvényesek. Az erőforrás-zárolásnak két típusa van: a CanNotDelete és a ReadOnly. Ezek a zárolástípusok egy saját DNS zónára vagy egy adott rekordhalmazra alkalmazhatók. Ha bármilyen típusú zárolást alkalmaz saját DNS zónára vagy egyéni rekordkészletre, az megzavarhatja az Azure Database for PostgreSQL rugalmas kiszolgáló azon képességét, hogy frissítse a DNS-rekordokat, és problémákat okozzon a DNS-en végzett fontos műveletek során, például a magas rendelkezésre állású feladatátvétel elsődlegesről másodlagosra. Ezen okokból győződjön meg arról, hogy a rugalmas Azure Database for PostgreSQL-kiszolgáló magas rendelkezésre állású funkcióinak használatakor nem használja a DNS privát zónáját vagy a rekordzárolásokat.

Gazdagép neve

A választott hálózati beállítástól függetlenül azt javasoljuk, hogy mindig használjon teljes tartománynevet gazdagépnévként, amikor rugalmas Azure Database for PostgreSQL-kiszolgálópéldányhoz csatlakozik. A kiszolgáló IP-címe nem garantáltan statikus marad. A teljes tartománynév használatával elkerülheti a kapcsolati sztring módosítását.

A teljes tartománynevet gazdagépnévként használó példa az .hostname = servername.postgres.database.azure.com Ha lehetséges, kerülje a (magáncím) vagy hostname = 40.2.45.67 a (nyilvános cím) használatát hostname = 10.0.0.4 .

Következő lépések

• Megtudhatja, hogyan hozhat létre rugalmas Azure Database for PostgreSQL-kiszolgálópéldányt az Azure Portalon vagy az Azure CLI-ben található Privát hozzáférés (VNet-integráció) lehetőséggel.