Latest / M365.FM – подкаст о Microsoft 365, Copilot и ИИ на русском / Azure Private Link простыми словами: частные конечные точки вместо публичного доступа к Storage, SQL и другим сервисам (ИИ-дубляж)

Transcript

Azure Private Link простыми словами: частные конечные точки вместо публичного доступа к Storage, SQL и другим сервисам (ИИ-дубляж) · M365.FM – подкаст о Microsoft 365, Copilot и ИИ на русском

• 0:00
  Готовы к 10 дням погружения в Microsoft 365, Капайлот, ИИ, Азур и знакомство с людьми,
• 0:06
  определяющими будущие работы. В этом январе М365Кон возвращается, и мы берем новую высоту.
• 0:12
  Присоединяйтесь к нам ради прямых эфиров, демонстрации реальных кейсов и практических
• 0:16
  знаний от MVP и экспертов со всего мира. Никаких общих слайдов и бесконечных модных словечек.
• 0:22
  Мы беремся за реальные задачи, Капайлот Студия, ИИ Агенты, Фабрик, Безопасность,
• 0:27
  Управление и Автоматизация. Независимо от того, являетесь ли вы это специалистом,
• 0:31
  разработчиком или руководителем, у нас найдутся сессии специально для вас.
• 0:35
  За 10 полных дней вы сможете изучить множество технологий и пообщаться с мировым сообществом.
• 0:40
  Смотрите в прямом эфире и применяйте практические идеи в своей организации.
• 0:44
  Январь 2027 года, 10 дней, единое сообщество Microsoft. Регистрация уже открыта.
• 0:51
  Переходите на m365кон.нет и забронируйте свое место сегодня.
• 0:56
  Это m365кон.нет
• 0:58
  Присоединяйтесь сейчас на m365кон.нет
• 1:02
  Увидимся в прямом эфире в январе.
• 1:04
  Добро пожаловать в очередной выпуск «Микрознаний Microsoft» на M365FM.
• 1:09
  Ваш ведущий – Мир Куперотцы.
• 1:11
  Сегодняшняя тема – то, о чем слышали почти все, но мало кто может внятно объяснить.
• 1:14
  Azure Private Link.
• 1:16
  Вы наверняка видели эту опцию при настройке учетной записи хранения или базы данных SQL,
• 1:19
  но что она на самом деле делает и нужна ли она вам.
• 1:22
  Вот в чем большинство людей ошибается.
• 1:23
  Они полагают, что если сервис работает внутри Azure, он автоматически является частным,
• 1:28
  что он по умолчанию как бы отделен от интернета.
• 1:30
  Это неправда, и даже близко не так.
• 1:32
  Большинство PAS-сервисов Azure, хранилища SQL, Key Vault сразу поставляются с публичной конечной точкой.
• 1:38
  Это означает, что любой пользователь в интернете может получить к ним доступ,
• 1:41
  если у него есть правильный URL и учетные данные.
• 1:43
  К концу этого выпуска вы поймете, что такое Private Link на самом деле,
• 1:47
  зачем он нужен и как он изолирует ваш трафик от публичного интернета.
• 1:50
  Мы разберем это с помощью простых аналогий.
• 1:52
  Без маркетинговой шелухи, без жаргона.
• 1:55
  Просто о старом способе с публичными точками доступа повсюду.
• 1:58
  Начнем с проблемы.
• 1:59
  До появления Private Link каждый PAS-сервис Azure по умолчанию получал публичную конечную точку.
• 2:04
  Вы создаете учетную запись хранения,
• 2:06
  и Azure дает вам что-то вроде mydefiz storage defiz account.blog.cor.windows.net.
• 2:10
  Этот URL преобразуется в публичный IP-адрес.
• 2:12
  Любой, у кого есть доступ в интернет, может попытаться подключиться к нему.
• 2:15
  Теперь представьте, что у вас есть виртуальная машина,
• 2:17
  работающая внутри вашей собственной виртуальной сети Azure.
• 2:19
  Этой виртуальной машине нужно прочитать файлы из хранилища Биелоби объектов.
• 2:22
  Вы думаете, что трафик останется внутри Azure?
• 2:24
  Верно, оба ресурса находятся в одном облаке.
• 2:26
  Но это работает совсем не так.
• 2:27
  Виртуальная машина должна покинуть вашу виртуальную сеть,
• 2:30
  выйти в публичный интернет, а затем вернуться в Azure,
• 2:32
  чтобы получить доступ к этой учетной записи хранения.
• 2:34
  Это похоже на то, как если бы вы находились в одной комнате офисного здания,
• 2:37
  и вам нужно было что-то взять из кладовой в том же здании.
• 2:39
  Но вместо того, чтобы пройти по коридору, вам приходится выйти на улицу,
• 2:42
  обойти квартал и войти через другую дверь.
• 2:44
  Это лишено смысла, но именно это и происходило.
• 2:46
  Это серьезная проблема.
• 2:47
  Ваши данные передаются через публичный интернет,
• 2:49
  хотя оба ресурса находятся в собственных центрах обработки данных Microsoft.
• 2:53
  Конечно, этот трафик зашифрован, но он все равно открыт для общего интернета.
• 2:56
  Он по-прежнему проходит через маршрутизаторы и коммутаторы,
• 2:59
  которые вы не контролируете.
• 3:00
  И если кто-то сумеет перехватить этот трафик, он сможет увидеть, что вы отправляете.
• 3:03
  Существует распространенный миф на этот счет.
• 3:05
  Многие думают, ну, это в моей подписке, значит, это конфиденциально.
• 3:09
  Это работает не так.
• 3:10
  Ваша подписка – это граница для выставления счетов и управления, а не сетевая граница.
• 3:13
  По умолчанию ваши службы Azure доступны из интернета.
• 3:16
  Единственное, что их защищает, это уровень аутентификации и авторизации,
• 3:20
  ключи, паролей и правила Брандмауэра.
• 3:22
  Но сам сетевой путь остается публичным,
• 3:23
  поэтому в Microsoft посмотрели на это и решили, должен быть способ получше.
• 3:26
  И они его создали.
• 3:27
  Они назвали это PrivateLink.
• 3:29
  Решение – частная конечная точка в качестве сетевого интерфейса.
• 3:32
  PrivateLink – это общая служба, но ключевой элемент, который нужно понять,
• 3:36
  это частная конечная точка, виртуальная сетевая карта или NIC,
• 3:40
  которая находится внутри вашей виртуальной сети и подключается к PES-службе.
• 3:44
  Вот как это работает.
• 3:45
  Вы создаете частную конечную точку для своей учетной записи хранения,
• 3:48
  и Azure создает виртуальную сетевую карту внутри вашей виртуальной сети
• 3:51
  с частным IP-адресом из вашей подсети.
• 3:53
  Эта сетевая карта подключается к учетной записи хранения
• 3:56
  через частную ссылку на стороне бэкенда.
• 3:58
  Таким образом, с точки зрения вашей виртуальной машины,
• 4:00
  учетная запись хранения теперь выглядит так,
• 4:02
  будто она находится внутри вашей сети с частным IP-адресом,
• 4:04
  как и любой другой ресурс.
• 4:05
  Когда ваша виртуальная машина отправляет трафик в эту учетную запись хранения,
• 4:08
  он попадает на частный IP-адрес сетевой карты
• 4:10
  и передается по магистральной сети Microsoft,
• 4:12
  никогда не выходя в публичный интернет.
• 4:14
  Он никогда не покидает внутреннюю инфраструктуру Azure.
• 4:16
  Представьте это как тот самый безопасный коридор в офисном здании.
• 4:19
  Вместо того, чтобы идти на улицу и обходить квартал,
• 4:21
  вы просто идете по коридору прямо в кладовую.
• 4:23
  Прямое подключение без обходных путей.
• 4:26
  А теперь нюанс, который многие упускают из виду.
• 4:28
  Включение частной конечной точки
• 4:29
  не отключает общедоступную конечную точку автоматически.
• 4:32
  Обе они могут существовать одновременно.
• 4:34
  Если вы создали частную конечную точку,
• 4:36
  но не меняли настройки общедоступной,
• 4:37
  ваша учетная запись хранения по-прежнему доступна из интернета.
• 4:39
  Вам нужно явно отключить доступ к общедоступной сети,
• 4:42
  чтобы полностью ее изолировать.
• 4:43
  Многие думают, что создание частной конечной точки достаточно.
• 4:46
  Это не так.
• 4:46
  Нужно сообщить Azure, что вам нужен только частный доступ.
• 4:49
  Позвольте мне развеять еще один миф, пока мы здесь.
• 4:51
  PrivateLink — это не то же самое, что VPN или ExpressRu.
• 4:54
  Они решают разные задачи, и мы разберем это сравнение позже.
• 4:57
  Пока просто знайте, PrivateLink предназначен для доступа к конкретной службе,
• 5:01
  а не для подключения всей вашей сети к Azure.
• 5:03
  Итак, у вас есть частная конечная точка,
• 5:04
  и ваша виртуальная машина может обращаться к учетной записи хранения по частному IP.
• 5:08
  Но как именно виртуальная машина находит эту учетную запись?
• 5:10
  Раньше она преобразовывала общедоступный URL в общедоступный IP.
• 5:13
  Теперь ей нужен частный IP.
• 5:15
  Как это работает?
• 5:16
  Здесь на помощь приходит DNS, и именно это мы рассмотрим далее.
• 5:19
  DNS — это секретный ингредиент, благодаря которому все работает.
• 5:22
  У вас есть частная конечная точка,
• 5:23
  и ваша виртуальная машина может обращаться к учетной записи хранения по частному IP.
• 5:27
  Но вот в чем дело.
• 5:28
  Ваша виртуальная машина не знает этот IP.
• 5:30
  Она знает URL учетной записи хранения, что-то вроде MyStaradjakan.
• 5:33
  blob.core.windows.net — это имя, которое она использует для подключения.
• 5:37
  Как же она находит частный IP вместо общедоступного?
• 5:39
  Именно здесь DNS берет на себя всю сложную работу.
• 5:42
  Когда вы создаете частную конечную точку и выбираете интеграцию с частной зоной DNS,
• 5:46
  что и следует делать, Azure автоматически создает ее для вас.
• 5:48
  Для учетной записи Blob Staradj эта зона называется PrivateLink.
• 5:51
  blob.core.windows.net — внутри этой зоны Azure добавляет запись A,
• 5:55
  которая связывает имя вашей учетной записи хранения с частным IP конечной точки.
• 5:59
  А теперь самое интересное.
• 6:00
  Исходный общедоступный URL по-прежнему разрешается,
• 6:02
  но вместо прямого возврата общедоступного IP он возвращает запись CNMI, указывающую на частную зону.
• 6:07
  Цепочка разрешения и имен выглядит так.
• 6:09
  Ваша виртуальная машина запрашивает URL учетной записи.
• 6:11
  DNS возвращает CNMI, указывающий на MyStaradjakan.
• 6:14
  privatelink.blog.core.windows.net, которая находится в частной зоне DNS, связанной с вашей виртуальной сетью.
• 6:21
  DNS разрешает его в частный IP.
• 6:23
  Виртуальная машина подключается к этому IP, и трафик никогда не выходит в общедоступный интернет.
• 6:27
  Представьте себе стойку регистрации в офисном здании.
• 6:30
  Кто-то заходит и спрашивает, где кладовая, а администратор не отправляет его на улицу.
• 6:34
  Он указывает путь к нужному коридору внутри здания.
• 6:36
  Частная зона DNS — это своего рода администратор, который перенаправляет трафик в нужное место, не покидая здание.
• 6:41
  Теперь о том, как это работает, в зависимости от местоположения вашей виртуальной машины.
• 6:44
  Если она находится в той же виртуальной сети, что и частная конечная точка,
• 6:47
  то зона DNS связана с ней, и разрешение имен происходит автоматически.
• 6:49
  Если же она в пиринговой сети, вам также нужно связать зону с этой пиринговой сетью.
• 6:53
  Для локальных компьютеров, подключенных через VPN или ExpressRoot, все немного сложнее.
• 6:57
  Обычно вы настраиваете DNS-пересылку или используете Azure DNS Private Resolver, чтобы запросы доходили до частной зоны.
• 7:02
  Но для большинства сценариев внутри Azure основные задачи решаются автоматически.
• 7:06
  DNS может усложняться в крупных средах, но в стандартном случае, когда виртуальная машина находится в той же сети,
• 7:12
  что и конечная точка, Azure все делает сам.
• 7:14
  Вам вообще ничего не нужно настраивать.
• 7:16
  Давайте посмотрим, как это работает на реальном примере.
• 7:18
  Разбор реального примера.
• 7:20
  Private Link с хранилищем Azure.
• 7:21
  Давайте перейдем к практике.
• 7:23
  Представьте, что у вас есть виртуальная машина, работающая внутри виртуальной сети Azure.
• 7:26
  Этой машине нужно получить файлы из учетной записи хранилища Azure Blobs Storage.
• 7:30
  Это распространенная конфигурация.
• 7:31
  Например, приложение, сохраняющее пользовательские файлы, или задание по обработке данных, читающее из контейнера.
• 7:35
  Без использования Private Link происходит следующее.
• 7:38
  Ваша виртуальная машина ищет публичный URL-адрес учетной записи хранения и получает публичный IP-адрес.
• 7:42
  Трафик покидает вашу виртуальную сеть, выходит в публичный интернет,
• 7:45
  а затем снова возвращается в Azure, чтобы достичь хранилища.
• 7:47
  Этот обходной путь избыточен.
• 7:49
  Оба ресурса уже находятся в Azure, но данные все равно совершают путь через открытый интернет.
• 7:53
  С помощью Private Link вы развертываете частную конечную точку для подресурса больших двоичных объектов учетной записи хранения.
• 7:58
  Это именно тот компонент, который отвечает за обработку данных BLOB.
• 8:01
  Azure создает виртуальный сетевой адаптер в вашей сети с частным IP, настраивает зону DNS,
• 8:06
  и запускается вся цепочка разрешения имен, о которой мы говорили.
• 8:09
  Теперь, когда ваша машина обращается к тому же URL,
• 8:11
  mystarajacant.blog.core.windows.net, она получает частный IP вместо публичного.
• 8:16
  Трафик идет от виртуальной машины к частной конечной точке,
• 8:19
  а затем по магистральной сети Microsoft к учетной записи хранения.
• 8:22
  Данные никогда не покидают внутреннюю сеть Azure.
• 8:25
  Вот ключевой момент.
• 8:25
  Ваше приложение при этом не меняется.
• 8:27
  Не нужно менять строки подключения или обновлять файлы конфигурации.
• 8:30
  URL остается прежним.
• 8:32
  Единственное, что меняется, это способ разрешения этого URL.
• 8:34
  С точки зрения приложения, оно все так же подключается к хранилищу,
• 8:37
  но на заднем плане путь трафика становится совершенно иным.
• 8:40
  А если вы хотите обеспечить максимальную безопасность,
• 8:42
  можно полностью отключить публичную конечную точку.
• 8:44
  Это означает, что ваша учетная запись хранения будет доступна только через частную конечную точку.
• 8:48
  Никакого доступа из интернета.
• 8:49
  Никто даже не сможет попытаться подключиться извне.
• 8:51
  Стоит отметить еще кое-что.
• 8:53
  Учетные записи хранения имеют несколько подресурсов.
• 8:55
  Blob — это один из них, но есть еще файлы, таблицы и очереди.
• 8:58
  Для каждого из них можно создать свою собственную частную конечную точку.
• 9:00
  Можно выделить одну для трафика Blob, а другую — для файлового трафика.
• 9:03
  Или использовать единую конечную точку для всех них, в зависимости от ваших нужд.
• 9:06
  Теперь вы можете задаться вопросом, чем это отличается от других вариантов подключения в Azure.
• 9:09
  VPN, ExpressRoot, конечные точки службы.
• 9:12
  Все они звучат похоже.
• 9:13
  Давайте внесем ясность.
• 9:14
  PrivateLink против VPN, ExpressRoot и конечных точек службы.
• 9:18
  Так как же PrivateLink соотносится с VPN, ExpressRoot и конечными точками службы?
• 9:23
  Одно и то же, но на самом деле они решают разные задачи.
• 9:25
  И во многих случаях вы будете использовать их вместе.
• 9:27
  Начнем с VPN.
• 9:29
  Виртуальная частная сеть подключает вашу локальную сеть к Azure через публичный интернет.
• 9:33
  Она создает зашифрованный туннель между вашим сайтом и Azure.
• 9:36
  Трафик зашифрован, конечно, но он все равно проходит через публичный интернет.
• 9:39
  Туннель безопасен, но дорога, на которой он находится, публичная.
• 9:42
  PrivateLink не заменяет VPN, он работает вместе с ним.
• 9:45
  Вы можете использовать VPN для подключения офиса к Azure,
• 9:48
  а затем PrivateLink для конфиденциального доступа к учетной записи хранения через это соединение.
• 9:51
  ExpressRoot — это другое дело.
• 9:53
  Он предоставляет выделенный частный канал от вашего центра обработки данных до Azure.
• 9:57
  Трафик вообще не затрагивает публичный интернет.
• 9:59
  Это как иметь собственную частную дорогу прямо в сеть Microsoft.
• 10:02
  Но вот в чем подвох.
• 10:03
  Сам по себе ExpressRoot не дает частного доступа к службам по Azure.
• 10:06
  Он подключает вашу сеть к Azure,
• 10:07
  но у вашей учетной записи хранения все еще остается публичная конечная точка.
• 10:10
  Вам нужно объединить ExpressRoot с PrivateLink,
• 10:12
  чтобы получить настоящий частный доступ к этим службам.
• 10:14
  Конечные точки службы — это более старая технология.
• 10:17
  Они позволяют ограничить доступ к службе Azure так,
• 10:19
  чтобы до нее мог доходить только трафик из вашей виртуальной сети.
• 10:21
  Но вот в чем дело.
• 10:22
  У службы все еще есть публичная конечная точка.
• 10:24
  Вы просто добавляете правило Брандмауэра,
• 10:26
  которое говорит разрешать трафик только из этой виртуальной сети.
• 10:28
  Сама конечная точка по-прежнему открыта для интернета.
• 10:31
  PrivateLink безопаснее,
• 10:32
  потому что конечная точка находится внутри вашей виртуальной сети
• 10:34
  и имеет частный IP-адрес.
• 10:35
  Нет публичной конечной точки для атаки.
• 10:37
  Позвольте предложить простой способ осмысления этого.
• 10:39
  VPN — это безопасный туннель через публичную дорогу.
• 10:41
  ExpressRoute — это частная дорога, ведущая прямо в Азур.
• 10:44
  Конечные точки службы — это охранник на публичных воротах, проверяющий документы.
• 10:47
  PrivateLink — это прямой коридор внутри здания.
• 10:49
  Вы вообще не выходите на улицу.
• 10:51
  Итак, что же вам следует использовать?
• 10:52
  Зависит от ситуации.
• 10:53
  Для подключения вашего офиса к Azure есть два варианта —
• 10:56
  VPN или ExpressRoute.
• 10:57
  Для приватного доступа к PAS-сервисам стандартом является PrivateLink.
• 11:01
  А для максимальной безопасности используйте их вместе.
• 11:03
  ExpressRoute — для передачи трафика в Azure,
• 11:05
  а затем PrivateLink для приватного доступа к вашим сервисам.
• 11:08
  Но PrivateLink предназначен не только для сервисов Microsoft.
• 11:11
  Вы также можете использовать его для собственных приложений,
• 11:14
  размещая их через PrivateLink-сервис.
• 11:16
  Многие упускают один важный момент.
• 11:18
  PrivateLink нужен не только для потребления сервисов Azure.
• 11:21
  Вы можете использовать его, чтобы предоставить доступ к своим приложениям другим.
• 11:24
  Именно для этого и был создан PrivateLink-сервис.
• 11:26
  Представьте, что вы SAAS Provider.
• 11:28
  У вас есть приложение на виртуальных машинах за стандартным балансировщиком нагрузки,
• 11:31
  к которому обращаются клиенты.
• 11:33
  Раньше у вас было два пути — открыть все для интернета
• 11:35
  или настроить VPN между вашей сетью и сетью клиента.
• 11:38
  Оба варианта имеют существенные недостатки.
• 11:40
  Публичный доступ создает риски безопасности, а VPN сложно администрировать.
• 11:45
  PrivateLink-сервис решает эту проблему.
• 11:47
  Вы создаете сервис, привязываете его к стандартному балансировщику,
• 11:50
  и клиенты создают приватную конечную точку в своей виртуальной сети.
• 11:53
  Эта конечная точка подключается напрямую к вашему сервису.
• 11:55
  Никакого перинга, никакого VPN и абсолютно никакого публичного доступа.
• 11:59
  Трафик идет от их приватной конечной точки через магистральную сеть Microsoft прямо к вашему сервису.
• 12:03
  Он никогда не выходит в интернет.
• 12:05
  Ваш сервис получает глобально уникальный псевдоним, например, MyApp, Git, Region, Azure, PrivateLink Service.
• 12:11
  Клиенты используют этот псевдоним для подключения, а вы полностью контролируете, кто его видит.
• 12:16
  Вы можете ограничить видимость через роли RBAC, указать конкретные подписки
• 12:19
  или позволить любому владельцу псевдонима запросить подключение.
• 12:21
  Каждый запрос на подключение требует вашего ручного подтверждения, поэтому вы всегда знаете, кто подключается.
• 12:26
  Для SAAS провайдеров это огромный шаг вперед.
• 12:29
  Вместо изменения правил фаервола или сложной настройки VPN, вы просто передаете клиенту псевдоним.
• 12:34
  Они создают приватную конечную точку, вы одобряете ее и все.
• 12:37
  Готово.
• 12:38
  Есть одно ограничение.
• 12:39
  PrivateLink сервис работает только со стандартными балансировщиками, а не с базовыми.
• 12:43
  Если вы все еще используете базовый балансировщик, его нужно будет обновить.
• 12:46
  Это небольшая плата за безопасность и простоту, которые вы получаете взамен.
• 12:49
  Вся эта безопасность звучит отлично, но что это значит для вашего соответствия требованиям и бюджета?
• 12:54
  Безопасность, соответствие требованиям и экономические аспекты.
• 12:57
  Давайте обсудим, что PrivateLink на самом деле означает для ваших требований комплайнса и кошелька.
• 13:01
  Во-первых, безопасность.
• 13:02
  PrivateLink сокращает поверхность атаки, полностью исключая публичные конечные точки.
• 13:06
  В этом его главное преимущество.
• 13:07
  Вместо учетной записи хранения или базы данных SQL, доступных из любой точки интернета,
• 13:11
  вы получаете ресурс, который отвечает только на трафик внутри вашей виртуальной сети.
• 13:14
  Никаких публичных IP для сканирования, никаких открытых портов для зондирования.
• 13:17
  Поверхность атаки значительно сокращается.
• 13:19
  Вот еще одно преимущество, которому уделяют недостаточно внимания – предотвращение утечки данных.
• 13:23
  Каждая частная конечная точка привязана к конкретному экземпляру ресурса,
• 13:26
  а не ко всей службе или всем учетным записям хранения в подписке, а только к одной.
• 13:29
  Поэтому, если кто-то скомпрометирует рабочую нагрузку в вашей виртуальной сети,
• 13:32
  он не сможет использовать эту конечную точку для доступа к другим хранилищам.
• 13:35
  Они ограничены только тем ресурсом, который вы одобрили.
• 13:38
  Для групп безопасности такая изоляция – это очень важно.
• 13:40
  Что касается соответствия требованиям, PrivateLink решает множество задач.
• 13:43
  Регламенты, такие как HIPAA, GDPR и PCI, часто требуют, чтобы конфиденциальные данные никогда не передавались через публичные сети.
• 13:49
  PrivateLink дает вам надежный способ доказать это.
• 13:52
  Ваш трафик остается в магистральной сети Microsoft, и вы можете сослаться на журналы аудита, как на доказательство.
• 13:57
  Для регулируемых отраслей одного этого достаточно, чтобы оправдать инвестиции.
• 14:00
  Теперь давайте поговорим о затратах, потому что здесь людей часто ждут сюрпризы.
• 14:03
  PrivateLink не является бесплатным.
• 14:04
  Вы платите почасовую ставку за каждую частную конечную точку плюс плату за обработку данных, проходящих через нее.
• 14:09
  В зависимости от использования, это может быть в 2-3 раза дороже, чем использование публичной конечной точки с правилами Брандмауэра.
• 14:15
  Расходы быстро растут, особенно если у вас много конечных точек.
• 14:17
  Итак, вот честный взгляд на ситуацию.
• 14:19
  PrivateLink не всегда лучший выбор.
• 14:21
  Если у вас среда разработки или тестирования без конфиденциальных данных,
• 14:24
  публичные конечные точки с правильными настройками Брандмауэра, вероятно, подойдут.
• 14:28
  Если вы размещаете публичный веб-сайт, доступный из интернета, PrivateLink вам не поможет.
• 14:32
  Но для рабочих нагрузок в регулируемых отраслях, финансах, здравоохранении, госсекторе, PrivateLink часто является обязательным.
• 14:37
  Это цена ведения безопасного бизнеса.
• 14:39
  Теперь, прежде чем внедрять это, обратите внимание на несколько подводных камней.
• 14:43
  Тонкости реализации.
• 14:44
  Что упускают новички?
• 14:45
  Позвольте мне избавить вас от головной боли.
• 14:47
  Вот самые распространенные ошибки, которые люди совершают при первой настройке PrivateLink.
• 14:51
  Во-первых, после создания частной конечной точки нужно отключить публичную.
• 14:54
  Это самый главный подводный камень.
• 14:56
  Многие создают частную конечную точку и думают, что этого достаточно, но это не так.
• 15:00
  Публичная конечная точка по умолчанию остается активной, а значит, трафик все еще может идти через интернет.
• 15:04
  Вам нужно зайти в настройки сети и явно отключить доступ к публичной сети.
• 15:08
  Если пропустить этот шаг, вы на самом деле ничего не обезопасили.
• 15:11
  Далее, для разрешения DNS имен локальными клиентами требуется дополнительная настройка.
• 15:15
  Если ваши офисные компьютеры подключаются через VPN или ExpressRoute,
• 15:18
  они не смогут автоматически определить IP-адрес вашей частной конечной точки.
• 15:21
  Частная зона DNS связана с вашей виртуальной сетью Azure, а не с вашими локальными DNS-серверами.
• 15:26
  Вам нужно настроить DNS-форвардер или использовать Azure DNS Private Resolver, чтобы запросы доходили до частной зоны.
• 15:32
  Многие упускают это из виду, а затем удивляются, почему их локальные приложения не могут подключиться.
• 15:36
  Кроме того, частные конечные точки не работают автоматически между регионами.
• 15:39
  Если ваша виртуальная сеть находится в Западной Европе,
• 15:41
  а вы создаете частную конечную точку для учетной записи хранения в восточной части США, это не сработает.
• 15:45
  Частная конечная точка должна находиться в том же регионе, что и виртуальная сеть.
• 15:48
  PAS-служба может находиться в другом регионе, но сама конечная точка должна соответствовать региону виртуальной сети.
• 15:53
  Планируйте это заранее.
• 15:54
  И еще кое-что.
• 15:55
  Группы сетевой безопасности влияют на сетевой интерфейс частной конечной точки.
• 15:58
  Частная конечная точка создает виртуальный сетевой интерфейс в вашей подсети.
• 16:02
  На этот интерфейс распространяются те же правила NSG, что и на все остальное в этой подсети.
• 16:05
  Если вы заблокируете трафик в подсети интерфейса, конечная точка работать не будет.
• 16:09
  Убедитесь, что ваши правила NSG разрешают это.
• 16:11
  Продолжение следует...