Latest / M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands / Azure Private Link uitgelegd: private endpoints in plaats van publieke toegang tot Storage, SQL en meer (AI-nasynchronisatie)

Transcript

Azure Private Link uitgelegd: private endpoints in plaats van publieke toegang tot Storage, SQL en meer (AI-nasynchronisatie) · M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands

0:00
Klaar voor 10 dagen Microsoft 365, Copilot, AI, Azure en de mensen die de toekomst van werk vormgeven?
0:07
Deze januari is M365, kom terug en pakken we groter uit.
0:12
Doe mee voor live sessies, praktijkdemo's en praktische kennis van MVP's en experts uit de hele wereld.
0:18
Geen algemene sliedes, geen eindeloze modewoorden.
0:21
We pakken de echte uitdagingen aan Copilot Studio, AI Agents, Fabric, Beveiliging, Governance en Automatisering.
0:29
Of je nu IT-professional, ontwikkelaar of business leader bent, er zijn sessies speciaal voor jou ontworpen.
0:35
Met 10 volledige dagen kun je meerdere technologieën verkennen en in contact komen met een wereldwijde community.
0:40
Kijk live en neem praktische inzichten mee terug naar je organisatie.
0:44
Januari 2027, 10 dagen, 1 Microsoft Community.
0:49
De registratie is nu geopend.
0:51
Ga naar m365.com.net en verzeker je vandaag nog van een plek.
0:56
Dat is m365.com.net.
1:00
Meld je nu aan op m365.com.net en we zien je live in januari.
1:04
Welkom bij een nieuwe aflevering van Microsoft Knowledge Nuggets hier op M365 FM.
1:09
Ik ben je host Mirko Pirotzi.
1:10
Het onderwerp van vandaag is er een waar bijna iedereen van heeft gehoord, maar weinig duidelijk kunnen uitleggen.
1:14
Azure Private Link.
1:16
Je hebt de optie vast wel eens gezien bij het opzetten van een opslagaccount of een SQL database.
1:20
Maar wat doet het eigenlijk en heb je het echt nodig?
1:22
Dit is wat de meeste mensen fout doen.
1:23
Ze gaan ervan uit dat omdat de service in Azure draait, deze automatisch privé is en standaard is afgeschermd van het internet.
1:30
Dat is niet waar, nog geen beetje.
1:32
De meeste Azure PaaS services, zoals Opslag, SQL en Key Vault, worden standaard geleverd met een openbaar eindpunt.
1:38
Dat betekent dat iedereen op het internet ze kan bereiken, zolang ze de juiste URL en inloggegevens hebben.
1:43
Aan het einde van deze aflevering begrijp je wat Private Link echt is, waarom het bestaat en hoe het je verkeer buiten het openbare internet houdt.
1:50
We leggen het uit aan de hand van eenvoudige analogieën.
1:52
Geen marketingpraat, geen jargon, gewoon begrijpelijke taal over de oude manier met overal openbare eindpunten.
1:58
Laten we beginnen met het probleem.
2:00
Voordat Private Link bestond, kreeg elke Azure PaaS service standaard een openbaar eindpunt.
2:04
Je maakt een opslagaccount aan en Azure geeft je iets als mijn-opslagaccount.blog.core.windows.net, die URL verwijst naar een openbaar IP-adres.
2:12
Iedereen met internettoegang kan proberen er verbinding mee te maken.
2:15
Stel je nu voor dat je een virtuele machine hebt die in je eigen Azure virtuele netwerk draait.
2:19
Die VM moet wat bestanden lezen uit blopopslag.
2:22
Je denkt dat het verkeer binnen Azure blijft, toch?
2:24
Beide resources zitten in dezelfde cloud, maar zo werkt het niet.
2:27
De VM moet je virtuele netwerk verlaten, over het openbare internet gaan en dan weer Azure in om dat opslagaccount te bereiken.
2:34
Het is alsof je in een kamer van een kantoorpand staat en je iets uit de voorraadkast in hetzelfde gebouw moet halen.
2:39
Maar in plaats van door de gang te lopen, moet je naar buiten om het blok lopen en via een andere deur weer naar binnen gaan.
2:44
Het slaat nergens op, maar dat is precies wat er gebeurde.
2:46
Dit is een reëel probleem.
2:47
Je gegevens reizen over het openbare internet, ook al bevinden beide bronnen zich in Microsoft's eigen datacenters.
2:53
Dat verkeer is versleuteld, natuurlijk, maar het is nog steeds blootgesteld aan het open internet.
2:57
Het gaat nog steeds door routers en switches waar jij geen controle over hebt.
3:00
En als iemand dat verkeer zou onderscheppen, zouden ze kunnen zien wat je verstuurt.
3:03
Er is hier een veel voorkomende mythe.
3:05
Veel mensen denken, nou, het staat in mijn abonnement, dus het is privé.
3:08
Zo werkt het niet.
3:10
Je abonnement is een grens voor facturering en beheer, geen netwerkgrens.
3:13
Standaard zijn je Azure services bereikbaar vanaf het internet.
3:16
Het enige dat ze beschermt is de authenticatie- en autorisatielaag, de sleutels, de wachtwoorden en de firewallregels.
3:22
Maar het netwerkpad zelf is openbaar.
3:24
Dus keek Microsoft hiernaar en zei, er moet een betere manier zijn.
3:26
En die hebben ze gebouwd.
3:28
Ze noemden het PrivateLink.
3:29
De oplossing, een privé-eindpunt als netwerk-interfacekaart.
3:32
PrivateLink is de overkoepelende service, maar het kernonderdeel dat je moet begrijpen is het privé-eindpunt, een virtuele netwerk-interfacekaart, of NIC, die in je virtuele netwerk zit en verbinding maakt met een pass-service.
3:44
Dit is hoe het werkt.
3:45
Je maakt een privé-eindpunt voor je opslagaccount en Azure bouwt een virtuele NIC in je virtuele netwerk met een privé-IP uit je subnet.
3:53
Die NIC maakt aan de achterkant verbinding met het opslagaccount via PrivateLink.
3:58
Dus, vanuit het standpunt van je VM lijkt het opslagaccount nu alsof het in je eigen netwerk leeft met een privé-IP, net als elke andere bron.
4:05
Wanneer je VM verkeer naar dat opslagaccount stuurt, raakt het het privé-IP van de NIC en reist het over het Microsoft Backbone-netwerk, nooit over het openbare internet.
4:14
Het verlaat nooit de interne infrastructuur van Azure.
4:16
Denk erover als die beveiligde gang in het kantoorpand.
4:19
In plaats van naar buiten te lopen en om het blok te gaan, loop je gewoon door de gang naar de voorraadkast.
4:24
Directe verbinding, geen omweg.
4:26
Nu is hier een nuance die veel mensen missen.
4:28
Het inschakelen van een privaat eindpunt schakelt het publieke eindpunt niet automatisch uit.
4:32
Ze kunnen beide tegelijkertijd bestaan.
4:34
Als je een privaat eindpunt aanmaakt, maar de instellingen van het publieke eindpunt niet wijzigt, is je opslagaccount nog steeds bereikbaar via internet.
4:39
Je moet de openbare netwerktoegang expliciet uitschakelen om het volledig af te sluiten.
4:43
Veel mensen denken dat het aanmaken van een privaat eindpunt voldoende is.
4:46
Dat is het niet.
4:46
Je moet Azure vertellen, ik wil alleen private toegang.
4:49
Laat me nog een misverstand uit de weg ruimen nu we hier toch zijn.
4:51
Private Link is niet hetzelfde als een VPN of Express route.
4:54
Ze lossen verschillende problemen op en we komen later op die vergelijking terug.
4:57
Voor nu moet je weten dat Private Link bedoeld is voor toegang tot een specifieke service, niet om je hele netwerk met Azure te verbinden.
5:03
Dus, je hebt je private eindpunt en je VM kan het opslagaccount bereiken via een privaat IP-adres.
5:08
Maar hoe vindt je VM dat opslagaccount eigenlijk?
5:10
Voorheen loste het de publieke URL op naar een publieke IP-adres.
5:13
Nu heeft het een privaat IP-adres nodig.
5:15
Hoe werkt dat? Dat is waar DNS bij komt kijken en waar we nu naar gaan kijken.
5:19
DNS is het geheime ingrediënt dat alles laat werken.
5:22
Je hebt je private eindpunt en je VM kan het opslagaccount bereiken via een privaat IP-adres.
5:27
Maar hier is het punt, je VM kent dat IP-adres niet.
5:29
Het kent de URL van het opslagaccount, iets als mijn opslagaccount.
5:33
Blob.core.windows.net.
5:35
Dat is de naam die het gebruikt om verbinding te maken.
5:37
Dus, hoe vindt het het private IP-adres in plaats van het publieke?
5:39
Dit is waar DNS het zware werk verricht.
5:41
Wanneer je een privaat eindpunt aanmaakt en kiest voor integratie met een private DNS-zone,
5:46
wat je zou moeten doen, maakt Azure er automatisch een voor je aan.
5:49
Voor een blob-opslagaccount heet die zone private link.
5:51
Blob.core.windows.net.
5:53
Binnen die zone voegt Azure een a-record toe dat je opslagaccountnaam koppelt aan het private IP-adres van het eindpunt.
5:58
Nu komt het slimme gedeelte.
6:00
De oorspronkelijke publieke URL wordt nog steeds opgelost,
6:02
maar in plaats van direct een publieke IP terug te geven,
6:04
geeft het een Cineam-record terug dat naar de private zone wijst.
6:07
De resolutieketen verloopt dus als volgt.
6:09
Je VM vraagt om de URL van het opslagaccount.
6:11
DNS geeft een Cineam terug die wijst naar mijn opslagaccount.
6:14
Privatelink.blob.core.windows.net,
6:17
dat zich in de private DNS-zone bevindt die gekoppeld is aan je virtuele netwerk.
6:21
DNS lost dit op naar het private IP-adres.
6:23
Je VM maakt verbinding met dat private IP en het verkeer komt nooit op het openbare internet.
6:27
Denk erover als een receptie in een kantoorgebouw.
6:30
Iemand loopt naar binnen en vraagt naar de voorraadkast,
6:32
en de receptionist stuurt ze niet naar buiten.
6:34
Ze wijzen ze de juiste gang binnenin aan.
6:36
De private DNS-zone is als een receptioniste die het verkeer naar de juiste plek stuurt zonder het pand te verlaten.
6:41
Hoe dit werkt hangt af van waar je VM zich bevindt.
6:43
Als deze zich in hetzelfde virtuele netwerk bevindt als het privated point,
6:46
wordt de private DNS-zone gekoppeld, waardoor resolutie automatisch plaatsvindt.
6:49
Als de VM in een gekoppeld, peer-t-netwerk staat, moet je de zone ook aan dat netwerk koppelen.
6:53
Voor on-premises machines via VPN of Express route wordt het complexer.
6:57
Meestal stel je een DNS-forwarder in of gebruik je Azure DNS Private Resolver
7:00
om ervoor te zorgen dat queries de private zone bereiken.
7:02
Maar voor de meeste scenario's binnen Azure wordt de basis voor je geregeld.
7:06
DNS kan complex worden in grotere omgevingen,
7:09
maar voor het standaardgeval, een VM in hetzelfde virtuele netwerk als het privated point,
7:13
regelt Azure dit automatisch.
7:14
Je hoeft helemaal niets te doen.
7:16
Laten we dit in de praktijk bekijken met een echt voorbeeld.
7:18
Een praktijkvoorbeeld.
7:19
Private link met Azure Storage.
7:21
Laten we dit concreet maken.
7:23
Stel, je hebt een virtuele machine draaien in je virtuele Azure-netwerk.
7:26
Die VM moet bestanden ophalen uit een Azure Blob Storage account.
7:29
Dat is een veelvoorkomende configuratie.
7:31
Misschien een app die gebruikers- uploads opslaat,
7:33
of een dataverwerkingstaak die uit een container leest.
7:35
Zonder private link gebeurt het volgende.
7:37
Je VM zoekt de publieke URL van het Storage account op en krijgt een publiek IP-adres.
7:42
Verkeer verlaat je virtuele netwerk,
7:43
gaat over het publieke internet en komt dan weer Azure binnen om het Storage account te bereiken.
7:47
Dat is een onnodige omweg.
7:49
Beide resources bevinden zich al in Azure,
7:51
maar de data gaat toch via een omweg over het open internet.
7:54
Met private link implementeer je een private point voor de Blob subresource van het Storage account.
7:58
Dat is het specifieke onderdeel dat Blob data afhandelt.
8:01
Azure maakt een virtuele nick in je virtuele netwerk met een privaat IP,
8:04
stelt de private DNS-zone in en de hele DNS-resolutieketen waar we het over hadden wordt geactiveerd.
8:09
Als je VM nu dezelfde URL, mystorageaccount.blob.core.windows.net, omzet,
8:13
krijgt deze het private IP in plaats van het publieke.
8:16
Verkeer stroomt van de VM naar het private point en vervolgens via de Microsoft backbone naar het Storage account.
8:22
Het verlaat nooit het interne netwerk van Azure.
8:24
Dit is het belangrijkste punt.
8:26
Je applicatie verandert niet, geen aanpassingen in connection strings, geen updates aan configuratiebestanden.
8:30
De URL blijft hetzelfde.
8:32
Het enige wat verandert is hoe die URL wordt omgezet.
8:34
Vanuit het perspectief van de app is er nog steeds verbinding met hetzelfde Storage account,
8:38
maar achter de schermen is het pad van het verkeer totaal anders.
8:40
En als je helemaal veilig wilt zijn, kun je het publieke endpoint volledig uitschakelen.
8:44
Dat betekent dat je Storage account alleen bereikbaar is via het private endpoint.
8:47
Geen enkele blootstelling aan het internet.
8:49
Niemand kan zelfs maar proberen verbinding te maken van buitenaf.
8:51
Nog één ding dat het vermelde waard is.
8:53
Opslag accounts hebben meerdere sub-resources.
8:55
Blob is er een, maar er zijn ook file, table en queue.
8:58
Elk daarvan kan een eigen privé-eindpunt hebben.
9:00
Je zou er een kunnen hebben voor blob-verkeer en een aparte voor file-verkeer.
9:03
Of gebruik één eindpunt dat ze allemaal dekt, afhankelijk van je behoefte.
9:06
Nu vraag je je misschien af, hoe verschilt dit van andere Azure-verbindingsopties?
9:09
VPN, Express Route, Service eindpunten.
9:11
Ze klinken allemaal vergelijkbaar.
9:13
Laten we dat verduidelijken.
9:14
Private Link versus VPN versus Express Route versus Service eindpunten.
9:18
Dus, hoe verhoudt Private Link zich tot VPN, Express Route en Service eindpunten?
9:22
Ze klinken alsof ze hetzelfde doen, maar ze lossen eigenlijk verschillende problemen op.
9:25
En in veel gevallen gebruik je ze samen.
9:27
Laten we beginnen met VPN.
9:29
Een virtual private network verbindt je on-premises netwerk met Azure via het openbare internet.
9:33
Het creëert een versleutelde tunnel tussen jouw locatie en Azure.
9:36
Verkeer is versleuteld, zeker, maar het reist nog steeds over het openbare internet.
9:40
De tunnel is veilig, maar de weg waar hij op ligt is openbaar.
9:42
Private Link vervangt VPN niet.
9:44
Het werkt daarnaast.
9:45
Je zou een VPN kunnen gebruiken om je kantoor met Azure te verbinden en daarna Private Link
9:49
om privé toegang te krijgen tot je opslagaccount via die verbinding.
9:51
Express Route is anders.
9:53
Het geeft je een toegewezen privé circuit van je datacenter naar Azure.
9:56
Verkeer raakt het openbare internet helemaal niet aan.
9:59
Het is alsof je je eigen privéweg rechtstreeks naar het netwerk van Microsoft hebt.
10:02
Maar dit is het addertje onder het glas.
10:03
Express Route alleen geeft je geen privé toegang tot paasservices.
10:06
Het verbindt je netwerk met Azure, maar je opslagaccount heeft nog steeds een openbaar eindpunt.
10:10
Je zou Express Route combineren met Private Link om echt privé toegang tot die services te krijgen.
10:15
Service eindpunten zijn een oudere technologie.
10:17
Hiermee kun je de toegang tot een Azure service beperken, zodat alleen verkeer uit je virtuele
10:21
netwerk het kan bereiken.
10:22
Maar het punt is, de service heeft nog steeds een openbaar eindpunt.
10:24
Je voegt alleen een firewall regel toe die zegt, sta alleen verkeer van dit v-net toe.
10:28
Het eindpunt zelf is nog steeds blootgesteld aan het internet.
10:31
Private Link is veiliger omdat het eindpunt echt binnen je v-net zit en een privé IP heeft.
10:35
Er is geen openbaar eindpunt om aan te vallen.
10:37
Laat me je een eenvoudige manier geven om erover na te denken.
10:39
VPN is een veilige tunnel door een openbare weg.
10:41
Express Route is een privéweg die rechtstreeks naar Azure gaat.
10:44
Service eindpunten zijn een bewaker bij de openbare poort die ID's controleert.
10:47
Private Link is een directe gang in het gebouw.
10:49
Je komt helemaal niet buiten.
10:51
Dus, welke moet je gebruiken?
10:52
Dat hangt ervan af.
10:53
Om je kantoor met Azure te verbinden, zijn VPN of Express Route je opties.
10:57
Voor het privé benaderen van paasdiensten is Private Link de gouden standaard.
11:01
En voor de beste beveiliging combineer je ze.
11:03
Express Route om je verkeer privé naar Azure te krijgen en daarna Private Link om vanaf daar privé je diensten te benaderen.
11:09
Maar Private Link is niet alleen voor Microsoft diensten.
11:11
Je kunt het ook gebruiken voor je eigen applicaties, waarbij de Private Link Service je eigen private endpoints host.
11:16
Dit is iets wat veel mensen missen.
11:18
Private Link is er niet alleen om Azure diensten te verbruiken.
11:21
Je kunt het ook gebruiken om je eigen applicaties aan de wereld bloot te stellen.
11:24
Dat is precies waar de Private Link Service voor is gebouwd.
11:26
Stel je voor dat je een SaaS provider bent.
11:28
Je hebt een applicatie draaien op virtuele machines achter een standaard load balancer, waar je klanten toegang toe hebben.
11:33
Traditioneel had je twee opties.
11:35
Alles blootstellen aan het internet of een VPN opzetten tussen jouw netwerk en dat van hen.
11:38
Beide hebben grote nadelen.
11:40
Publieke blootstelling stelt je bloot aan beveiligingsrisico's en VPN's zijn complex om te beheren en te onderhouden.
11:45
Private Link Service lost dat op.
11:47
Je maakt de service aan, koppelt deze aan je standaard load balancer...
11:50
...en vervolgens kunnen je klanten een privated point in hun eigen virtuele netwerk aanmaken.
11:53
Dat het point maakt direct verbinding met jouw service.
11:55
Geen pering, geen VPN en absoluut geen publieke blootstelling.
11:59
Het verkeer reist van hun privated point via de Microsoft backbone rechtstreeks naar jouw service.
12:03
Het komt nooit op het internet.
12:05
Je service krijgt een wereldwijd unieke alias, zoiets als MyApp, DoIt, Region, Azure, Private Link Service.
12:11
Die alias is wat klanten gebruiken om verbinding te maken en jij hebt volledige controle over wie het kan zien.
12:16
Je kunt de zichtbaarheid beperken via RBAC-rollen, specifieke abonnementen of iedereen met de alias een verbinding laten aanvragen.
12:21
Elk verbindingsverzoek komt bij jou voor handmatige goedkeuring, dus je weet altijd precies wie er verbinding maakt.
12:26
Voor SaaS-providers is dit een enorme verandering.
12:29
In plaats van firewall-regels te openen of complexe VPN configuraties te beheren, geef je de klant simpelweg de alias.
12:34
Zij maken een privated point aan, jij keurt het goed en dat is alles.
12:37
Klaar, één beperking echter.
12:39
De Private Link Service werkt alleen met standaard load balancers, niet met de basisversie.
12:43
Als je nog een basis load balancer gebruikt, zul je eerst moeten upgraden.
12:46
Dat is een kleine prijs voor de veiligheid en eenvoud die je ervoor terugkrijgt.
12:49
Al die beveiliging klinkt geweldig, maar wat betekent dit eigenlijk voor je compliance-eisen en je budget?
12:54
Overwegingen rondom beveiliging, compliance en kosten.
12:57
Laten we bespreken wat Private Link echt betekent voor je compliance-verreisten en je portemonnee.
13:01
Eerst de kant van de beveiliging.
13:02
Private Link verkleint je aanvalsoppervlak door publieken endpoints volledig te elimineren.
13:06
Dat is het belangrijkste voordeel.
13:07
In plaats van een opslagaccount of SQL-database die vanaf het internet bereikbaar is,
13:11
heb je een resource die alleen reageert op verkeer vanuit je virtuele netwerk.
13:14
Geen publiek IP om te scannen, geen open poort om te onderzoeken.
13:17
Het aanvalsoppervlak wordt drastisch kleiner.
13:19
Nog een voordeel dat te weinig aandacht krijgt, het voorkomen van datalekken.
13:23
Elk privé-eindpunt koppelt aan één specifieke resource,
13:25
niet aan de hele service of alle opslagaccounts in je abonnement.
13:28
Alleen aan die ene.
13:29
Dus, als iemand een workload in je virtuele netwerk overneemt,
13:32
kunnen ze dat privé-eindpunt niet gebruiken om andere opslagaccounts te bereiken.
13:35
Ze zitten vast aan de ene resource die jij hebt goedgekeurd.
13:38
Voor beveiligingsteams is die isolatie erg belangrijk.
13:40
Op het gebied van compliance vinkt Private Link veel vakjes af.
13:43
Regelgeving zoals HIPAA, AVG en PCI vereist vaak dat gevoelige gegevens nooit over openbare netwerken reizen.
13:49
Private Link biedt een duidelijke manier om dat aan te tonen.
13:52
Je verkeer blijft op de Microsoft backbone en je kunt naar de audit logs wijzen en zeggen,
13:56
hier is het bewijs.
13:57
Voor gereguleerde sectoren kan dat alleen al de investering rechtvaardigen.
14:00
Laten we het nu over de kosten hebben, want hier worden mensen vaak verrast.
14:03
Private Link is niet gratis.
14:04
Je betaalt een uurtarief per privé-eindpunt,
14:07
plus verwerkingskosten voor het verkeer dat er doorheen loopt.
14:10
Afhankelijk van je gebruik kan het twee tot drie keer duurder zijn dan een publiek eindpunt met firewall-regels.
14:14
Dat loopt snel op, zeker als je veel eindpunten hebt.
14:17
Dus, hier is mijn eerlijke mening.
14:19
Private Link is niet altijd de juiste keuze.
14:21
Als je een ontwikkel- of testomgeving draait zonder gevoelige data,
14:24
zijn publieke eindpunten met goede firewall-regels waarschijnlijk prima.
14:28
Als je een openbare website host die vanaf het internet toegankelijk moet zijn,
14:31
helpt Private Link je niet.
14:32
Maar voor productieworkloads in gereguleerde sectoren,
14:35
zoals finance, zorg en overheid, is Private Link vaak verplicht.
14:38
Het is de prijs voor veilig zaken doen.
14:40
Voordat je dit implementeert, zijn er een paar valkuilen waar je op moet letten.
14:42
Implementatie-valkuilen.
14:44
Wat beginners over het hoofd zien, laat me je wat hoofdpijn besparen.
14:47
Hier zijn de meest gemaakte fouten bij het instellen van Private Link.
14:51
Allereerst moet je het publieke eindpunt uitschakelen na het aanmaken van het privé-eindpunt.
14:55
Dit is de grootste valkuil.
14:56
Veel mensen maken het privé-eindpunt aan en denken dat het klaar is, maar dat is niet zo.
15:00
Het publieke eindpunt blijft standaard actief,
15:02
wat betekent dat je verkeer nog steeds via internet kan lopen.
15:04
Je moet naar de netwerkinstellingen gaan en expliciet de toegang tot het openbare netwerk uitschakelen.
15:08
Als je deze stap overslaat, heb je eigenlijk niets beveiligd.
15:11
Vervolgens vereist DNS-omzetting voor on-premises clients extra configuratie.
15:15
Als machines op kantoor via een VPN of express route verbinden,
15:18
zullen ze het IP van je private endpoint niet automatisch omzetten.
15:21
De private DNS-zone is gekoppeld aan je Azure Virtual Network, niet aan je on-premises DNS-survers.
15:26
Je moet een DNS-forwarder instellen of Azure DNS Private Resolver gebruiken
15:30
om die aanvragen de private zone te laten bereiken.
15:32
Veel mensen zien dit over het hoofd en vragen zich daarna af waarom hun on-premises-apps geen verbinding kunnen maken.
15:36
Daarnaast werken private endpoints niet zomaar over verschillende regio's heen.
15:39
Als je virtual network in West-Europa staat en je maakt een private endpoint voor een opslagaccount in East-US,
15:44
dan werkt dat niet.
15:45
Het private endpoint moet zich in dezelfde regio bevinden als het virtual network.
15:48
De pass-surface mag in een andere regio staan, maar het endpoint zelf moet overeen komen met de regio van het VNED.
15:53
Hou hier rekening mee bij je planning.
15:54
Nog één ding.
15:56
Netwerkbeveiligingsgroepen zijn van invloed op de NIC van het private endpoint.
15:59
Het private endpoint maakt een virtuele NIC aan in je subnet.
16:02
Die NIC is onderworpen aan dezelfde NSG-regels als al het andere in dat subnet.
16:05
Als je verkeer naar het NIC subnet blokkeert, zal het het endpoint niet werken.
16:09
Zorg dat je NSG-regels dit toestaan.