Latest / M365.FM – podcast o Microsoft 365, Copilot i AI po polsku / Azure Private Link w prostych słowach: prywatne punkty końcowe zamiast publicznego dostępu do Storage, SQL i innych (Dubbing AI)

Transcript

Azure Private Link w prostych słowach: prywatne punkty końcowe zamiast publicznego dostępu do Storage, SQL i innych (Dubbing AI) · M365.FM – podcast o Microsoft 365, Copilot i AI po polsku

• 0:00
  Gotowi na 10 dni z Microsoft 365, Copilotem, AI, Azure i ludźmi kształtującymi przyszłość pracy? W styczniu wraca M365Con i tym razem działamy z większym rozmachem.
• 0:12
  Dołącz do nas na sesje na żywo, pokazy praktyczne i wiedzę od MVP oraz ekspertów z całego świata. Żadnych ogólnych slajdów, żadnych niekończących się haseł.
• 0:22
  Stawiamy czoła realnym wyzwaniom Copilot Studio, agentom AI Fabric, bezpieczeństwu ładu i automatyzacji.
• 0:29
  Niezależnie od tego, czy jesteś informatykiem, programistą czy liderem biznesowym, mamy sesję dla Ciebie.
• 0:35
  Przez 10 pełnych dni możesz poznawać różne technologie i łączyć się z globalną społecznością.
• 0:40
  Oglądaj na żywo i zabierz praktyczne wnioski do swojej organizacji.
• 0:44
  Styczeń 2027 roku, 10 dni, jedna społeczność Microsoft. Rejestracja jest już otwarta.
• 0:51
  Wejdź na m365con.net i zapewnij sobie miejsce już dziś.
• 0:56
  Dołącz teraz na m365con.net i widzimy się na żywo w styczniu.
• 1:04
  Witajcie w kolejnym odcinku Pigułek Wiedzy o Microsoft na M365FM.
• 1:09
  Nazywam się Mirko Pirocji i będę Waszym gospodarzem.
• 1:11
  Dzisiejszy temat to coś, o czym każdy słyszał, ale niewielu potrafi jasno wyjaśnić.
• 1:14
  Azure Private Link.
• 1:16
  Pewnie widziałeś te opcje podczas tworzenia konta magazynu lub bazy SQL,
• 1:19
  ale co to właściwie robi i czy naprawdę tego potrzebujesz?
• 1:21
  Oto kwestia, w której większość ludzi się myli.
• 1:24
  Zakładają, że skoro usługa działa wewnątrz Azure, jest automatycznie prywatna i odgrodzona od internetu domyślnie.
• 1:30
  To nieprawda nawet w przybliżeniu.
• 1:32
  Większość usług Azure Pass Storage SQL Key Vault posiada publiczny punkt końcowy już w standardzie.
• 1:38
  Oznacza to, że każdy w internecie może uzyskać do nich dostęp, o ile ma odpowiedni adres URL i dane logowania.
• 1:43
  Pod koniec tego odcinka zrozumiesz, czym naprawdę jest Private Link, dlaczego istnieje i jak chroni Twój ruch przed publicznym internetem.
• 1:50
  Wyjaśnimy to za pomocą prostych analogii.
• 1:52
  Bez marketingowego bełkotu, bez żargonu, po prostu zrozumiale, stary sposób, czyli publiczne punkty końcowe wszędzie.
• 1:58
  Zacznijmy od problemu.
• 1:59
  Zanim pojawił się Private Link, każda usługa Azure Pass otrzymywała domyślnie publiczny punkt końcowy.
• 2:04
  Tworzysz konto magazynu, a Azure daje Ci coś w rodzaju moje-myślnik-konto.blog.cor.windows.net.
• 2:10
  Ten adres URL wskazuje na publiczny adres IP. Każdy z dostępem do internetu może próbować się z nim połączyć.
• 2:15
  Wyobraź sobie teraz, że masz maszynę wirtualną działającą w Twojej własnej sieci wirtualnej Azure.
• 2:19
  Ta maszyna musi odczytać kilka plików z magazynu blob.
• 2:22
  Myślisz, że ruch pozostałby wewnątrz Azure, prawda?
• 2:24
  Oba zasoby znajdują się w tej samej chmurze.
• 2:26
  Jednak w rzeczywistości tak to nie działa.
• 2:28
  Maszyna wirtualna musi opuścić Twoją sieć wirtualną, wyjść przez publiczny internet, a następnie wrócić do Azure, aby dotrzeć do konta magazynu.
• 2:34
  To tak, jakbyś stał w jednym pokoju budynku biurowego i musiał wziąć coś ze schowka w tym samym budynku.
• 2:39
  Ale zamiast przejść korytarzem, musisz wyjść na zewnątrz, obejść budynek dookoła i wrócić innymi drzwiami.
• 2:44
  To nie ma sensu, ale dokładnie tak to właśnie wyglądało.
• 2:46
  To jest poważny problem.
• 2:47
  Twoje dane wędrują przez publiczny internet, mimo że oba zasoby znajdują się wewnątrz własnych centrów danych firmy Microsoft.
• 2:53
  Ten ruch jest szyfrowany, to prawda, ale nadal jest wystawiony na otwarty internet.
• 2:57
  Wciąż przechodzi przez routery i przełączniki, nad którymi nie masz kontroli.
• 3:00
  A jeśli ktoś zdołałby przechwycić ten ruch, mógłby zobaczyć, co wysyłasz.
• 3:03
  Istnieje tu pewien powszechny mit.
• 3:05
  Wiele osób myśli, cóż, to jest w mojej subskrypcji, więc jest prywatne.
• 3:09
  To tak nie działa.
• 3:09
  Twoja subskrypcja to granica rozliczeniowa i administracyjna, a nie granica sieciowa.
• 3:13
  Domyślnie twoje usługi Azure są dostępne z poziomu internetu.
• 3:16
  Jedyną rzeczą, która je chroni, jest warstwa uwierzytelniania i autoryzacji, klucze, hasła oraz reguły zapory sieciowej.
• 3:22
  Jednak sama ścieżka sieciowa jest publiczna, więc Microsoft przyjrzał się temu i stwierdził, musi istnieć lepszy sposób.
• 3:26
  I stworzyli go. Nazwali to Private Link. Rozwiązanie to prywatny punkt końcowy jako karta sieciowa.
• 3:32
  Private Link to ogólna usługa, ale kluczowym elementem, który musisz zrozumieć, jest prywatny punkt końcowy wirtualna karta sieciowa,
• 3:40
  NIC, która znajduje się w twojej sieci wirtualnej i łączy się z usługą PAS.
• 3:44
  Oto jak to działa.
• 3:45
  Tworzysz prywatny punkt końcowy dla swojego konta magazynu, a Azure buduje wirtualną kartę NIC wewnątrz twojej sieci wirtualnej z prywatnym adresem IP z twojej podsieci.
• 3:53
  Ta karta NIC łączy się z kontem magazynu za pośrednictwem Private Link w backendzie.
• 3:57
  Więc z perspektywy twojej maszyny wirtualnej, konto magazynu wygląda teraz jakby znajdowało się wewnątrz twojej własnej sieci z prywatnym adresem IP, zupełnie jak każdy inny zasób.
• 4:05
  Kiedy twoja maszyna wirtualna wysyła ruch do tego konta magazynu, trafia on na prywatny adres IP karty NIC i podróżuje przez sieć szkieletową Microsoftu, nigdy przez publiczny internet.
• 4:14
  Nigdy nie opuszcza wewnętrznej infrastruktury Azure.
• 4:16
  Pomyśl o tym jak o bezpiecznym korytarzu w budynku biurowym.
• 4:19
  Zamiast wychodzić na zewnątrz i obchodzić budynek, po prostu idziesz korytarzem prosto do schowka.
• 4:23
  Bezpośrednie połączenie, bez objazdów.
• 4:25
  A teraz oto niuans, który wiele osób pomija.
• 4:28
  Włączenie prywatnego punktu końcowego nie wyłącza automatycznie publicznego punktu końcowego.
• 4:32
  Mogą one istnieć jednocześnie.
• 4:34
  Jeśli utworzysz prywatny punkt końcowy, ale nie zmienisz ustawień publicznego, twoje konto magazynu nadal będzie dostępne z internetu.
• 4:39
  Musisz jawnie wyłączyć dostęp do sieci publicznej, aby całkowicie je zabezpieczyć.
• 4:43
  Wiele osób uważa, że samo utworzenie prywatnego punktu końcowego wystarczy.
• 4:46
  Tak nie jest.
• 4:47
  Musisz powiedzieć platformie Azure, chcę tylko dostępu prywatnego.
• 4:49
  Pozwólcie, że wyjaśnię kolejny mit, skoro już tu jesteśmy.
• 4:51
  Private Link to nie to samo co VPN czy ExpressRoute.
• 4:54
  Rozwiązują one inne problemy i zajmiemy się tym porównaniem później.
• 4:57
  Na razie wystarczy wiedzieć, że Private Link służy do dostępu do konkretnej usługi, a nie do łączenia całej sieci z Azure.
• 5:03
  Masz już więc swój prywatny punkt końcowy i maszyna wirtualna może uzyskać dostęp do konta magazynu przez prywatny adres IP.
• 5:07
  Ale jak maszyna wirtualna faktycznie znajduje to konto magazynu?
• 5:10
  Wcześniej rozwiązywała publiczny adres URL na publiczny adres IP.
• 5:13
  Teraz potrzebuje prywatnego adresu IP.
• 5:15
  Jak to działa?
• 5:16
  Tutaj wkracza DNS i właśnie tym zajmiemy się w następnej kolejności.
• 5:19
  DNS to tajny składnik, który sprawia, że wszystko działa.
• 5:22
  Masz swój prywatny punkt końcowy i maszyna wirtualna może uzyskać dostęp do konta magazynu przez prywatny adres IP.
• 5:26
  Ale jest pewien szczegół.
• 5:28
  Twoja maszyna wirtualna nie zna tego adresu IP.
• 5:30
  Zna adres URL konta magazynu coś w stylu
• 5:32
  To nazwa, której używa do połączenia.
• 5:37
  Jak więc znajduje prywatny adres IP zamiast publicznego?
• 5:39
  W tym miejscu DNS wykonuje całą ciężką pracę.
• 5:42
  Kiedy tworzysz prywatny punkt końcowy i wybierasz integrację z prywatną strefą DNS, co powinieneś zrobić, Azure tworzy ją dla Ciebie automatycznie.
• 5:48
  Dla konta magazynu obiektów blob ta strefa nazywa się PrivateLink.
• 5:51
  Blob.core.windows.net
• 5:53
  Wewnątrz tej strefy Azure dodaje rekord, który mapuje nazwę Twojego konta magazynu na prywatny adres IP punktu końcowego.
• 5:58
  A teraz oto sprytna część.
• 6:00
  Oryginalny publiczny adres URL nadal jest rozwiązywany, ale zamiast zwracać publiczny adres IP, zwraca rekord CNAMF wskazujący na strefę prywatną.
• 6:07
  Łańcuch rozpoznawania wygląda więc następująco.
• 6:09
  Twoja maszyna wirtualna pyta o adres URL konta magazynu, a DNS zwraca CNAMF wskazujący na moje konto magazynu.
• 6:14
  PrivateLink.blob.core.windows.net, który znajduje się w prywatnej strefie DNS powiązanej z Twoją siecią wirtualną.
• 6:21
  DNS rozwiązuje go na prywatny adres IP, maszyna wirtualna łączy się z tym adresem, a ruch nigdy nie trafia do publicznego internetu.
• 6:27
  Pomyśl o tym jak o recepcji w budynku biurowym.
• 6:29
  Ktoś wchodzi i pyta o schowek na materiały, a recepcjonista nie wysyła go na zewnątrz.
• 6:34
  Wskazuje mu właściwy korytarz wewnątrz budynku.
• 6:36
  Prywatna strefa DNS działa jak recepcjonista, który kieruje ruch we właściwe miejsce bez opuszczania budynku.
• 6:41
  To, jak to działa, zależy od lokalizacji Twojej maszyny wirtualnej.
• 6:44
  Jeśli znajduje się ona w tej samej sieci wirtualnej co prywatny punkt końcowy, prywatna strefa DNS jest powiązana, więc rozpoznawanie nazw odbywa się automatycznie.
• 6:49
  Jeśli jest w sieci typu Peering, musisz powiązać strefę również z tą siecią.
• 6:53
  W przypadku maszyn lokalnych korzystających z VPN lub ExpressRoot sprawa jest bardziej złożona.
• 6:57
  Zazwyczaj konfiguruje się przesyłanie dalej DNS lub używa Azure DNS Private Resolver, aby zapewnić docieranie zapytań do prywatnej strefy.
• 7:02
  Jednak w większości scenariuszy wewnątrz Azure podstawy są obsługiwane za Ciebie.
• 7:06
  DNS może stać się skomplikowany w większych środowiskach, ale w standardowym przypadku, gdy maszyna wirtualna jest w tej samej sieci wirtualnej co prywatny punkt końcowy, Azure zajmuje się tym automatycznie.
• 7:14
  Nie musisz niczego dotykać.
• 7:16
  Zobaczmy to w działaniu na rzeczywistym przykładzie.
• 7:18
  Przegląd w świecie rzeczywistym.
• 7:19
  Private link z usługą Azure Storage.
• 7:21
  Przejdźmy do konkretów.
• 7:23
  Załóżmy, że masz maszynę wirtualną działającą w Twojej sieci wirtualnej Azure.
• 7:26
  Ta maszyna musi pobierać pliki z konta Azure Blob Storage.
• 7:29
  To typowa konfiguracja.
• 7:31
  Może to być aplikacja przechowująca przesłane przez użytkowników pliki lub proces przetwarzania danych czytający z kontenera.
• 7:35
  Bez Private link dzieje się następująca rzecz.
• 7:38
  Twoja maszyna sprawdza publiczny adres URL konta magazynu i otrzymuje publiczny adres IP.
• 7:42
  Ruch opuszcza Twoją sieć wirtualną, przechodzi przez publiczny internet, a następnie ponownie trafia do Azure, aby dotrzeć do konta magazynu.
• 7:47
  Ta droga okrężna jest zbędna.
• 7:49
  Oba zasoby znajdują się już w Azure, ale dane i tak wykonują objazd przez otwarty internet.
• 7:54
  Dzięki Private link wdrażasz prywatny punkt końcowy dla podzasobu Blob konta magazynu.
• 7:58
  To konkretny element obsługujący dane Blob.
• 8:00
  Azure tworzy wirtualną kartę sieciową w Twojej sieci wirtualnej z prywatnym adresem IP, konfiguruje prywatną strefę DNS i uruchamia cały łańcuch rozpoznawania nazw, o którym mówiliśmy.
• 8:09
  Teraz, gdy maszyna wirtualna rozpoznaje ten sam adres URL, mysterycheckout.blob.core.windows.net otrzymuje prywatny adres IP zamiast publicznego.
• 8:16
  Ruch płynie z maszyny wirtualnej do prywatnego punktu końcowego, a następnie przez sieć szkieletową Microsoftu do konta magazynu.
• 8:22
  Nigdy nie opuszcza wewnętrznej sieci Azure.
• 8:24
  Oto kluczowy punkt.
• 8:25
  Twoja aplikacja się nie zmienia. Żadnego modyfikowania ciągów połączeń, żadnego aktualizowania plików konfiguracyjnych.
• 8:30
  Adres URL pozostaje taki sam.
• 8:32
  Jedyną zmianą jest sposób rozpoznawania tego adresu URL.
• 8:35
  Z perspektywy aplikacji nadal łączy się ona z tym samym kontem magazynu, ale w tle ścieżka ruchu jest zupełnie inna.
• 8:40
  A jeśli chcesz pójść o krok dalej, możesz całkowicie wyłączyć publiczny punkt końcowy.
• 8:44
  Oznacza to, że Twoje konto magazynu będzie dostępne tylko przez prywatny punkt końcowy.
• 8:47
  Zero ekspozycji na internet.
• 8:49
  Nikt nie może nawet próbować połączyć się z zewnątrz.
• 8:51
  Warto zauważyć jeszcze jedną rzecz.
• 8:53
  Konta magazynu mają wiele podzasobów.
• 8:55
  Blob jest jednym z nich, ale są też pliki, tabele i kolejki.
• 8:58
  Każdy z nich może mieć własny prywatny punkt końcowy.
• 9:00
  Możesz mieć jeden dla ruchu blobów i oddzielny dla ruchu plików.
• 9:03
  Lub użyć pojedynczego punktu końcowego obejmującego wszystkie w zależności od potrzeb.
• 9:06
  Być może zastanawiasz się, czym różni się to od innych opcji łączności w Azure.
• 9:09
  VPN Express Route, punkty końcowe usługi.
• 9:12
  Wszystkie brzmią podobnie.
• 9:13
  Wyjaśnijmy to sobie.
• 9:14
  Private Link kontra VPN Express Route i punkty końcowe usługi.
• 9:17
  Jak więc Private Link wypada na tle VPN Express Route i punktów końcowych usługi?
• 9:22
  Wszystkie brzmią tak, jakby robiły to samo, ale rozwiązują różne problemy.
• 9:25
  W wielu przypadkach będziesz używać ich razem.
• 9:27
  Zacznijmy od VPN.
• 9:29
  Wirtualna sieć prywatna łączy Twoją sieć lokalną z Azure przez publiczny internet.
• 9:33
  Tworzy szyfrowany tunel między Twoją lokalizacją a Azure.
• 9:36
  Ruch jest szyfrowany, oczywiście, ale nadal przesyłany przez publiczny internet.
• 9:39
  Tunel jest bezpieczny, ale droga, na której się znajduje, jest publiczna.
• 9:43
  Private Link nie zastępuje VPN.
• 9:44
  Działa obok niego.
• 9:45
  Możesz użyć VPN do połączenia biura z Azure, a następnie Private Link do prywatnego dostępu do konta magazynu.
• 9:52
  Express Route jest inny.
• 9:53
  Daje Ci dedykowany prywatny obwód z centrum danych do Azure.
• 9:56
  Ruch nigdy nie dotyka publicznego internetu.
• 9:59
  To jak posiadanie własnej prywatnej drogi prosto do sieci Microsoftu.
• 10:02
  Ale jest haczyk.
• 10:03
  Sam Express Route nie zapewnia prywatnego dostępu do usług PaaS.
• 10:06
  Łączy Twoją sieć z Azure, ale Twoje konto magazynu nadal ma publiczny punkt końcowy.
• 10:10
  Połączyłbyś Express Route z Private Link, aby uzyskać prawdziwie prywatny dostęp do tych usług.
• 10:14
  Punkty końcowe usługi to starsza technologia.
• 10:17
  Pozwalają ograniczyć dostęp do usługi Azure tak, aby docierał do niej tylko ruch z Twojej sieci wirtualnej.
• 10:22
  Ale rzecz w tym, że usługa nadal ma publiczny punkt końcowy.
• 10:25
  Dodajesz tylko regułę zapory, która mówi zezwalaj tylko na ruch z tej sieci w net.
• 10:28
  Sam punkt końcowy jest nadal wystawiony na internet.
• 10:31
  Private Link jest bezpieczniejszy, ponieważ punkt końcowy znajduje się wewnątrz Twojej sieci w net i ma prywatny adres IP.
• 10:35
  Nie ma publicznego punktu końcowego do zaatakowania.
• 10:37
  Podam Ci prosty sposób, aby o tym myśleć.
• 10:39
  VPN to bezpieczny tunel przez publiczną drogę.
• 10:41
  Express Route to prywatna droga prowadząca prosto do Azure.
• 10:43
  Punkty końcowe usługi to strażnik przy publicznej bramie sprawdzający identyfikatory.
• 10:47
  Private Link to bezpośredni korytarz wewnątrz budynku.
• 10:49
  Nigdy nie wychodzisz na zewnątrz, więc którego powinieneś użyć?
• 10:52
  To zależy.
• 10:53
  Aby połączyć biuro z platformą Azure, masz do wyboru VPN lub Express Route.
• 10:57
  Do prywatnego dostępu do usług PAS standardem jest Private Link.
• 11:01
  A dla najwyższego poziomu bezpieczeństwa połącz obie te opcje.
• 11:03
  Express Route przesyła ruch do Azure prywatnie, a Private Link zapewnia prywatny dostęp do usług.
• 11:08
  Jednak Private Link służy nie tylko do obsługi usług Microsoftu.
• 11:12
  Możesz go użyć również dla własnych aplikacji, hostując prywatne punkty końcowe.
• 11:16
  Wiele osób o tym nie wie.
• 11:18
  Private Link to coś więcej niż tylko korzystanie z usług Azure.
• 11:21
  Możesz go wykorzystać, aby udostępnić własne aplikacje światu.
• 11:24
  Właśnie do tego stworzono usługę Private Link.
• 11:26
  Wyobraź sobie, że jesteś dostawcą SAS.
• 11:28
  Masz aplikację działającą na maszynach wirtualnych za standardowym modułem równoważenia obciążenia.
• 11:33
  Tradycyjnie miałeś dwie opcje – wystawić wszystko do internetu lub skonfigurować VPN.
• 11:38
  Obie mają poważne wady.
• 11:40
  Publiczne wystawienie zwiększa ryzyko, a VPN jest trudny w zarządzaniu.
• 11:45
  Private Link Service rozwiązuje ten problem.
• 11:47
  Tworzysz usługę, podłączasz ją do Load Balancera, a klienci tworzą prywatny punkt końcowy.
• 11:53
  Ten punkt końcowy łączy się bezpośrednio z Twoją usługą.
• 11:55
  Bez Peeringu, bez VPN i całkowicie bez wystawiania na publiczny dostęp.
• 11:59
  Ruch przesyłany jest z ich punktu końcowego przez sieć szkieletową Microsoftu prosto do usługi.
• 12:03
  Nigdy nie trafia do publicznego internetu.
• 12:05
  Twoja usługa otrzymuje unikalny alias, na przykład
• 12:08
  MyApp, GUID, Region, Azure, Private Link Service.
• 12:11
  Klienci używają tego aliasu do połączenia, a Ty kontrolujesz, kto go widzi.
• 12:16
  Możesz ograniczyć dostęp przez rolę RBAC, subskrypcję lub pozwolić każdemu na wysłanie prośby.
• 12:22
  Każda prośba o połączenie wymaga Twojej zgody, więc wiesz dokładnie, kto się łączy.
• 12:26
  Dla dostawców SAS to ogromna zmiana.
• 12:29
  Zamiast otwierać reguły Firewalla czy konfigurować VPN, po prostu przekazujesz klientowi alias.
• 12:34
  Klient tworzy punkt końcowy, Ty go zatwierdzasz i gotowe.
• 12:37
  Gotowe!
• 12:38
  Uwaga! Usługa Private Link działa tylko ze standardowymi modułami równoważenia obciążenia.
• 12:43
  Jeśli korzystasz z wersji Basic, musisz najpierw przeprowadzić aktualizację.
• 12:46
  To niewielka cena za zyskane bezpieczeństwo i prostotę.
• 12:49
  To wszystko brzmi świetnie, ale co oznacza dla zgodności z przepisami i budżetu?
• 12:54
  Bezpieczeństwo, zgodność i koszty.
• 12:56
  Porozmawiajmy o tym, co Private Link oznacza dla Twoich wymagań i portfela.
• 13:00
  Najpierw kwestia bezpieczeństwa.
• 13:02
  Private Link ogranicza powierzchnię ataku, całkowicie eliminując publiczne punkty końcowe.
• 13:06
  To główna korzyść.
• 13:07
  Zamiast konta magazynowego lub bazy SQL dostępnej z dowolnego miejsca w internecie,
• 13:11
  masz zasób, który odpowiada tylko na rów z wnętrza Twojej sieci wirtualnej.
• 13:14
  Brak publicznego adresu IP do skanowania, brak otwartych portów do badania.
• 13:17
  Powierzchnia ataku drastycznie się zmniejsza.
• 13:19
  Oto kolejna korzyść, której poświęca się zbyt mało uwagi, zapobieganie wyciekom danych.
• 13:23
  Każdy prywatny punkt końcowy wskazuje na konkretną instancję zasobu,
• 13:26
  a nie na całą usługę czy wszystkie konta magazynowe w subskrypcji, tylko na to jedno.
• 13:29
  Więc jeśli ktoś przejmie obciążenie w Twojej sieci wirtualnej,
• 13:31
  nie będzie mógł użyć tego prywatnego punktu końcowego, by dotrzeć do innych kont magazynowych.
• 13:35
  Jest ograniczony tylko do tego jednego zasobu, który zatwierdziłeś.
• 13:38
  Dla zespołów do spraw.
• 13:39
  Bezpieczeństwa taka izolacja to duża sprawa.
• 13:41
  W kwestii zgodności z przepisami Private Link spełnia wiele wymagań.
• 13:43
  Regulacje takie jak HIPAA, RODO czy PC i często wymagają, aby wrażliwe dane nigdy nie przesyłano przez sieci publiczne.
• 13:49
  Private Link daje Ci przejrzysty sposób, by to udowodnić.
• 13:52
  Twój ruch pozostaje w szkielecie sieci Microsoft, a Ty możesz wskazać logi audytu i powiedzieć oto dowód.
• 13:57
  Dla branż regulowanych sam ten fakt uzasadnia inwestycje.
• 14:00
  Teraz porozmawiajmy o kosztach, bo tutaj ludzie bywają zaskoczeni.
• 14:03
  Private Link nie jest darmowy.
• 14:04
  Płacisz stawkę godzinową za każdy prywatny punkt końcowy oraz opłaty za przetwarzanie danych przepływających przez niego.
• 14:09
  W zależności od wykorzystania może to być 2 do 3 razy droższe niż użycie publicznego punktu końcowego z regułami zapory.
• 14:15
  To szybko się sumuje, zwłaszcza jeśli masz wiele punktów końcowych.
• 14:18
  Oto szczere podsumowanie.
• 14:19
  Private Link nie zawsze jest właściwym wyborem.
• 14:21
  Jeśli prowadzisz środowisko programistyczne lub testowe bez wrażliwych danych,
• 14:24
  publiczne punkty końcowe z odpowiednimi regułami zapory prawdopodobnie wystarczą.
• 14:28
  Jeśli hostujesz publiczną stronę internetową dostępną z sieci, Private Link Ci nie pomoże.
• 14:32
  Ale dla środowisk produkcyjnych w branżach regulowanych, finansach, służbie zdrowia czy administracji, Private Link jest często obowiązkowy.
• 14:38
  To koszt bezpiecznego prowadzenia biznesu.
• 14:40
  Zanim to wdrożysz, musisz uważać na kilka pułapek.
• 14:43
  Pułapki wdrożeniowe.
• 14:44
  To, co początkujący przegapijają.
• 14:46
  Pozwól, że zaoszczędzę Ci bólu głowy.
• 14:47
  Oto najczęstsze błędy popełniane przy pierwszej konfiguracji Private Link.
• 14:51
  Po pierwsze, po utworzeniu prywatnego punktu końcowego musisz wyłączyć ten publiczny.
• 14:55
  To największa pułapka.
• 14:56
  Wiele osób tworzy prywatny punkt końcowy i zakłada, że to wystarczy, ale tak nie jest.
• 15:00
  Publiczny punkt końcowy domyślnie pozostaje aktywny, co oznacza, że Twój ruch nadal może przechodzić przez internet.
• 15:04
  Musisz wejść w ustawienia sieciowe i jawnie wyłączyć dostęp z sieci publicznej.
• 15:08
  Jeśli pominiesz ten krok, w rzeczywistości niczego nie zabezpieczyłeś.
• 15:11
  Następnie rozpoznawanie DNS dla klientów lokalnych wymaga dodatkowej konfiguracji.
• 15:15
  Jeśli masz w biurze maszyny łączące się przez VPN lub ExpressRoot,
• 15:18
  nie rozwiążą one automatycznie adresu IP prywatnego punktu końcowego.
• 15:21
  Prywatna strefa DNS jest powiązana z Twoją siecią wirtualną Azure, a nie z lokalnymi serwerami DNS.
• 15:27
  Musisz skonfigurować przesyłacz DNS lub użyć Azure DNS Private Resolver,
• 15:30
  aby zapytania docierały do strefy prywatnej.
• 15:32
  Wiele osób o tym zapomina, a potem dziwi się, dlaczego ich lokalne aplikacje nie mogą nawiązać połączenia.
• 15:36
  Ponadto prywatne punkty końcowe nie działają automatycznie między regionami.
• 15:39
  Jeśli Twoja sieć wirtualna jest w Europie Zachodniej, a utworzysz prywatny punkt końcowy
• 15:43
  dla konta magazynu w regionie US East, to nie zadziała.
• 15:45
  Prywatny punkt końcowy musi znajdować się w tym samym regionie, co sieć wirtualna.
• 15:48
  Usługa PAS może być w innym regionie, ale sam punkt końcowy musi odpowiadać regionowi sieci wnet.
• 15:53
  Zaplanuj to odpowiednio.
• 15:54
  Jeszcze jedno.
• 15:55
  Sieciowe grupy zabezpieczeń mają wpływ na kartę sieciową prywatnego punktu końcowego.
• 15:58
  Prywatny punkt końcowy tworzy wirtualną kartę sieciową w Twojej podsieci.
• 16:02
  Ta karta podlega tym samym regułom NSG, co pozostałe elementy w tej podsieci.
• 16:05
  Jeśli zablokujesz ruch do podsieci karty sieciowej, punkt końcowy nie będzie działał.
• 16:09
  Upewnij się, że Twoje reguły NSG zezwalają na to.