Latest / M365.FM – подкаст про Microsoft 365, Copilot і ШІ українською / Azure Private Link простими словами: приватні кінцеві точки замість публічного доступу до Storage, SQL та інших сервісів (ШІ-дубляж)

Transcript

Azure Private Link простими словами: приватні кінцеві точки замість публічного доступу до Storage, SQL та інших сервісів (ШІ-дубляж) · M365.FM – подкаст про Microsoft 365, Copilot і ШІ українською

• 0:00
  Готові до 10-х днів Microsoft 365, Co-Pilot, She, Azure та людей, що формують майбутні роботи.
• 0:07
  Цього січня M365.com повертається, і ми стаємо ще масштабнішими.
• 0:12
  Приєднуйтесь до нас на живі сесії, реальні демонстрації та практичні знання від MVP та експертів галузі з усього світу.
• 0:18
  Жодних загальних слайдів, жодних нескінчених модних слів.
• 0:22
  Ми розглядаємо реальні виклики Co-Pilot Studio, She-агенти, Fabric, безпека, управління та автоматизація.
• 0:29
  Незалежно від того, чи ви IT-фахівець, розробник або бізнес-лідер, для вас знайдуться підходящі сесії.
• 0:35
  Протягом 10 повних днів ви можете дослідити безліч технологій та поспілкуватися з глобальною спільнотою.
• 0:40
  Дивіться наживо та приносте практичні ідеї у свою організацію.
• 0:44
  Січень 2027 – 10 днів, одна спільнота Microsoft. Реєстрація вже відкрита.
• 0:51
  Зайдіть на M365.com.net і забронюйте своє місце вже сьогодні.
• 0:56
  Це M365.com.net
• 0:59
  Приєднуйтесь зараз на M365.com.net і побачимося наживо в січні.
• 1:04
  Ласкаво просимо до чергового епізоду Microsoft Knowledge Nuggets на M365.
• 1:08
  З вами ваш ведучий Мірко Піроці.
• 1:10
  Тема сьогоднішнього випуску – те, про що чули майже всі, але мало хто може чітко пояснити.
• 1:14
  Azure Private Link.
• 1:15
  Ви, мабуть, бачили цю опцію під час налаштування облікового запису зберігання або бази даних SQL,
• 1:19
  але що вона насправді робить і чи дійсно вона вам потрібна?
• 1:21
  Ось у чому більшість людей помиляється.
• 1:23
  Вони припускають, що оскільки сервіс працює всередині Azure,
• 1:26
  він автоматично приватний і нібито за замовчуванням ізольований від інтернету.
• 1:30
  Це неправда, навіть близько.
• 1:32
  Більшість пас-сервісів Azure, як от сховище SQL, Key Vault,
• 1:35
  за замовчуванням постачаються з публічною кінцевою точкою.
• 1:38
  Це означає, що будь-хто в інтернеті може отримати до них доступ,
• 1:41
  якщо має правильну URL-адресу та облікові дані.
• 1:43
  До кінця цього епізоду ви зрозумієте, що таке Private Link насправді,
• 1:51
  простих аналогій.
• 1:52
  Без маркетингових прикрас, без жаргону, просто по суті.
• 1:55
  Старий підхід – публічні кінцеві точки всюди.
• 1:58
  Почнімо з проблеми.
• 1:59
  До появи Private Link кожен пас сервіс Azure за замовчуванням
• 2:02
  отримував публічну кінцеву точку.
• 2:04
  Ви створюєте обліковий запис зберігання, і Azure надає вам щось на кшталт
• 2:07
  MyStorage account blog.core.windows.net.
• 2:10
  Ця URL-адреса вказує на публічну IP-адресу.
• 2:12
  Будь-хто з доступом до інтернету може спробувати підключитися до неї.
• 2:15
  Тепер уявіть, що у вас є віртуальна машина, яка працює всередині
• 2:17
  вашої власної віртуальної мережі Azure.
• 2:19
  Цій VM потрібно прочитати деякі файли з блок сховища.
• 2:21
  Ви думаєте, що трафік залишиться всередині Azure правда?
• 2:24
  Обидва ресурси знаходяться в одній хмари.
• 2:26
  Але це працює зовсім не так.
• 2:27
  Віртуальна машина має вийти за межі вашої віртуальної мережі,
• 2:30
  пройти через публічний інтернет, а потім повернутися в Azure,
• 2:32
  щоб дістатися до облікового запису зберігання.
• 2:34
  Це ніби ви стоїте в одній кімнаті офісної будівлі,
• 2:36
  і вам потрібно взяти щось із комірчини в тій самій будівлі.
• 2:39
  Але замість того, щоб пройти коридором,
• 2:41
  ви змушені вийти на вулицю, обійти квартал і зайти через інші двері.
• 2:44
  Це не має сенсу, але саме це і відбувалося.
• 2:46
  Це справжня проблема.
• 2:47
  Ваші дані передаються через публічний інтернет,
• 2:49
  хоча обидва ресурси знаходяться всередині
• 2:51
  власних центрів обробки даних Microsoft.
• 2:53
  Цей трафік, звісно, зашифрований,
• 2:54
  але він усе одно відкритий для публічного інтернету.
• 2:56
  Він усе одно проходить через маршрути затори та комутатори,
• 2:59
  які ви не контролюєте.
• 3:00
  І якби хтось зміг перехопити цей трафік,
• 3:02
  він зміг би побачити, що ви надсилаєте.
• 3:04
  Тут існує поширений міф.
• 3:05
  Багато хто думає, ну, це в моїй підписці,
• 3:07
  отже, це приватно.
• 3:08
  Це працює не так.
• 3:10
  Ваша підписка – це межа для білінгу та керування,
• 3:12
  а не мережева межа.
• 3:13
  За замовчуванням, ваші сервіси Azure доступні з інтернету.
• 3:16
  Єдине, що їх захищає, – це рівень автентифікації та авторизації,
• 3:19
  ключі, паролі, правила брандмауера.
• 3:22
  Але сам мережевий шлях є публічним.
• 3:23
  Тому в Microsoft подивилися на це і сказали,
• 3:25
  має бути кращий спосіб.
• 3:26
  І вони створили його.
• 3:28
  Вони назвали це PrivateLink.
• 3:29
  Рішення – приватна кінцева точка як мережева карта.
• 3:32
  PrivateLink – це загальна служба,
• 3:34
  але основний елемент, який вам потрібно зрозуміти,
• 3:36
  це приватна кінцева точка – віртуальна мережева карта – NIC,
• 3:40
  що знаходиться всередині вашої віртуальної мережі
• 3:42
  та підключається до сервісу PASS.
• 3:44
  Ось як це працює.
• 3:45
  Ви створюєте приватну кінцеву точку для свого облікового запису зберігання,
• 3:48
  і Azure створює віртуальну NIC у вашій віртуальній мережі
• 3:51
  з приватною IP-адресою з вашої підмережі.
• 3:53
  Ця NIC підключається до облікового запису зберігання
• 3:56
  через PrivateLink на серверній стороні.
• 3:58
  Отже, з точки зору вашої віртуальної машини,
• 3:59
  обліковий запис зберігання тепер виглядає так,
• 4:01
  ніби він знаходиться всередині вашої власної мережі
• 4:03
  з приватною IP-адресою, як і будь-який інший ресурс.
• 4:05
  Коли ваша віртуальна машина надсилає трафік до цього облікового запису,
• 4:08
  він потрапляє на приватну IP-адресу NIC
• 4:10
  і передається через магістральну мережу Microsoft,
• 4:12
  ніколи не виходячи в публічний інтернет.
• 4:14
  Він ніколи не залишає внутрішню інфраструктуру Azure.
• 4:16
  Уявіть це як той безпечний коридор в офісній будівлі.
• 4:19
  Замість того, щоб виходити на вулицю і обходити квартал,
• 4:21
  ви просто йдете коридором прямо до комірчини.
• 4:23
  Пряме підключення жодних обхідних шляхів.
• 4:26
  А тепер нюанс, який багато хто пропускає.
• 4:28
  Увімкнення приватної кінцевої точки не вимикає публічну кінцеву точку автоматично.
• 4:32
  Вони можуть існувати одночасно.
• 4:34
  Якщо ви створите приватну кінцеву точку, але не зміните налаштування публічної,
• 4:37
  ваш обліковий запис зберігання залишиться доступним з інтернету.
• 4:39
  Ви повинні явно вимкнути доступ до публічної мережі, щоб повністю заблокувати його.
• 4:43
  Багато хто вважає, що створення приватної кінцевої точки – це все.
• 4:46
  Це не так.
• 4:46
  Ви повинні сказати «Ежур, я хочу лише приватний доступ».
• 4:49
  Дозвольте мені розвіяти ще один міф, поки ми тут.
• 4:51
  Private Link – це не те саме, що VPN або ExpressRoute.
• 4:54
  Вони вирішують різні завдання, і ми розглянемо це порівняння пізніше.
• 4:57
  Наразі просто знайте, Private Link призначений для доступу до конкретної служби,
• 5:00
  а не для підключення всієї вашої мережі до «Ежур».
• 5:03
  Отже, у вас є приватна кінцева точка, і ваша віртуальна машина може підключитися
• 5:05
  до облікового запису зберігання через приватну IP-адресу.
• 5:07
  Але як ваша віртуальна машина знаходить цей обліковий запис зберігання?
• 5:10
  Раніше вона перетворювала публічну URL-адресу на публічну IP-адресу.
• 5:13
  Тепер їй потрібна приватна IP-адреса.
• 5:15
  Як це працює?
• 5:16
  Саме тут на допомогу приходить DNS, і саме це ми розглянемо далі.
• 5:19
  DNS – це головний секрет, завдяки якому все це працює.
• 5:21
  У вас є приватна кінцева точка, і ваша віртуальна машина може підключитися
• 5:24
  до облікового запису зберігання через приватну IP-адресу.
• 5:26
  Але ось у чому річ – ваша віртуальна машина не знає цієї IP-адреси.
• 5:30
  Вона знає URL-адресу облікового запису зберігання, щось на кшталт MyStorage Account.
• 5:33
  blob.core.windows.net – це ім'я, яке вона використовує для підключення.
• 5:37
  Отже, як вона знаходить приватну IP-адресу замість публічної?
• 5:39
  Саме тут DNS бере на себе основну роботу.
• 5:42
  Коли ви створюєте приватну кінцеву точку і обираєте інтеграцію з приватною зоною DNS,
• 5:46
  що варто робити, Azure автоматично створює її для вас.
• 5:48
  Для облікового запису blob.сторадж ця зона називається PrivateLink.
• 5:51
  blob.core.windows.net – усередині цієї зони Azure додає і запис,
• 5:55
  який пов'язує ім'я вашого облікового запису зберігання з приватною IP-адресою кінцевої точки.
• 5:59
  А тепер найцікавіше.
• 6:00
  Оригінальна публічна URL-адреса все ще працює, але замість прямого повернення публічної IP-адреси
• 6:04
  вона повертає CNAMI-запис, що вказує на приватну зону.
• 6:07
  Отже, ланцюжок перетворення виглядає так.
• 6:09
  Ваша віртуальна машина запитує URL-адресу облікового запису зберігання,
• 6:12
  DNS повертає CNAMI, що вказує на MyStorage Account.
• 6:14
  PrivateLink.blog.core.windows.net, яка знаходиться в приватній зоні DNS,
• 6:19
  пов'язаній з вашою віртуальною мережею.
• 6:21
  DNS перетворює її на приватну IP-адресу,
• 6:23
  ваша віртуальна машина підключається до неї,
• 6:25
  і трафік ніколи не виходить у публічний інтернет.
• 6:27
  Уявіть, це як стійку реєстрації в офісній будівлі.
• 6:30
  Хтось заходить і запитує, де комора,
• 6:31
  а адміністратор не відправляє їх на вулицю.
• 6:34
  Він вказує їм правильний коридор всередині.
• 6:36
  Приватна зона DNS – це як адміністратор,
• 6:38
  що спрямовує трафік у потрібне місце,
• 6:39
  не виходячи за межі будівлі.
• 6:41
  Те, як це працює, залежить від розташування вашої віртуальної машини.
• 6:44
  Якщо вона в тій самій віртуальній мережі,
• 6:45
  що й приватна кінцева точка, зона DNS пов'язується автоматично,
• 6:48
  і вирішення імен відбувається саме собою.
• 6:49
  Якщо мережа підключена через піринг,
• 6:51
  вам потрібно зв'язати зону із цією піринговою мережею.
• 6:53
  Для локальних машин, підключених через VPN або ExpressRoute,
• 6:56
  усе трохи складніше.
• 6:57
  Зазвичай ви налаштовуєте DNS-форвардер
• 6:58
  або використовуєте Azure DNS Private Resolve,
• 7:01
  щоб запити доходили до приватної зони.
• 7:02
  Але для більшості сценаріїв у середині Azure
• 7:04
  основні речі вже налаштовані за вас.
• 7:06
  DNS може бути складним у великих середовищах,
• 7:09
  але в стандартному випадку, коли ВМ у тій самій мережі,
• 7:11
  щойкінцева точка, Azure робить усе автоматично.
• 7:14
  Вам взагалі не потрібно нічого чіпати.
• 7:16
  Давайте подивимося на це на реальному прикладі.
• 7:18
  Практичний огляд.
• 7:19
  Private Link з Azure Storage.
• 7:21
  Давайте зробимо це наочно.
• 7:23
  Припустимо, у вас є віртуальна машина
• 7:24
  у вашій віртуальній мережі Azure.
• 7:26
  Цій ВМ потрібно отримувати файли
• 7:28
  з облікового запису Azure Blob Storage.
• 7:29
  Це поширена конфігурація.
• 7:31
  Наприклад, програма, що зберігає завантаження користувачів
• 7:33
  або завдання з обробки даних,
• 7:34
  що зчитує їх із контейнера.
• 7:35
  Без Private Link усе відбувається ось так.
• 7:37
  Ваша ВМ шукає публічну URL-адресу
• 7:39
  облікового запису сховища
• 7:40
  та отримує публічну IP-адресу.
• 7:42
  Трафік залишає вашу віртуальну мережу,
• 7:44
  йде через публічний інтернет,
• 7:45
  а потім знову повертається в Azure до сховища.
• 7:47
  Це зайвий гак даних.
• 7:49
  Обидва ресурси вже в Azure,
• 7:50
  але дані все одно йдуть в обхід
• 7:52
  через відкритий інтернет.
• 7:53
  З Private Link ви розгортаєте
• 7:55
  приватну кінцеву точку
• 7:56
  для підресурсоблог вашого сховища.
• 7:58
  Це саме та частина,
• 7:59
  яка відповідає за роботу з даними BLOB.
• 8:01
  Azure створює віртуальну мережеву карту
• 8:02
  у вашій мережі з приватною IP,
• 8:04
  налаштовує приватну DNS-зону
• 8:06
  і запускається ланцюжок вирішення імен,
• 8:08
  про який ми говорили.
• 8:09
  Тепер, коли ваша ВМ звертається
• 8:10
  до тієї самої URL-адреси,
• 8:11
  майстора jackand.blog.core.windows.нет,
• 8:14
  вона отримує приватну IP замість публічної.
• 8:16
  Трафік іде від ВМ до приватної кінцевої точки,
• 8:19
  а потім магістральною мережею Microsoft до сховища.
• 8:22
  Він ніколи не залишає внутрішню мережу Azure.
• 8:24
  Ось ключовий момент.
• 8:26
  Ваш застосунок не змінюється.
• 8:27
  Не треба змінювати рядки, підключення
• 8:28
  чи оновлювати файли конфігурації.
• 8:30
  URL-адреса залишається такою самою.
• 8:32
  Єдине, що змінюється,
• 8:33
  це спосіб вирішення цієї URL-адреси.
• 8:35
  З точки зору застосунку,
• 8:36
  він підключається до того самого сховища,
• 8:38
  але за лаштунками шлях трафіку зовсім інший.
• 8:40
  І якщо ви хочете піти до кінця,
• 8:41
  ви можете повністю вимкнути публічну кінцеву точку.
• 8:52
  На яку варто звернути увагу.
• 8:53
  Облікові записи зберігання мають декілька підресурсів.
• 8:55
  Блоб – це один із них, але є ще файли, таблиці та черги.
• 8:58
  Кожен із них може мати власну приватну кінцеву точку.
• 9:00
  Ви можете мати окрему точку для трафіку блобів
• 9:02
  і окрему для файлового трафіку.
• 9:03
  Або використати одну кінцеву точку для всіх них,
• 9:05
  залежно від ваших потреб.
• 9:06
  Можливо, ви запитаєте,
• 9:07
  чим це відрізняється від інших варіантів підключення Azure.
• 9:09
  VPN, ExpressRoute, кінцеві точки сервісу.
• 9:11
  Усі вони звучать схоже.
• 9:13
  Давайте прояснимо це.
• 9:14
  PrivateLink проти VPN, ExpressRoute та кінцевих точок сервісу.
• 9:18
  Отже, як PrivateLink співвідноситься з VPN,
• 9:20
  ExpressRoute та кінцевими точками сервісу.
• 9:22
  Здається, що вони роблять одне й те саме,
• 9:23
  але насправді вирішують різні завдання.
• 9:25
  І в багатьох випадках ви будете використовувати їх разом.
• 9:27
  Почнемо з VPN.
• 9:29
  Віртуальна приватна мережа з'єднує вашу локальну мережу
• 9:31
  з Azure через публічний інтернет.
• 9:33
  Вона створює зашифрований тунель між вашим сайтом і Azure.
• 9:36
  Трафік зашифрований, звісно, але він усе ще йде через публічний інтернет.
• 9:39
  Тунель безпечний, але дорога, по якій він проходить, публічна.
• 9:42
  PrivateLink не замінює VPN, він працює разом із ним.
• 9:45
  Ви можете використовувати VPN для підключення офісу до Azure,
• 9:48
  а потім PrivateLink для приватного доступу до облікового запису зберігання
• 9:51
  через це з'єднання.
• 9:52
  ExpressRoute – це інше.
• 9:53
  Він надає вам виділений приватний канал від вашого дата-центру до Azure.
• 9:56
  Трафік взагалі ніколи не торкається публічного інтернету.
• 9:59
  Це ніби мати власну приватну дорогу прямо до мережі Microsoft.
• 10:02
  Але ось у чому підвох.
• 10:03
  Сам по собі ExpressRoute не надає приватного доступу до пас-сервісів.
• 10:06
  Він з'єднує вашу мережу з Azure, але ваш обліковий запис зберігання
• 10:09
  все ще має публічну кінцеву точку.
• 10:10
  Вам потрібно поєднати ExpressRoute з PrivateLink,
• 10:12
  щоб отримати справжній приватний доступ до цих сервісів.
• 10:14
  Кінцеві точки сервісу – це старіша технологія.
• 10:17
  Вони дозволяють обмежити доступ до сервісу Azure так,
• 10:19
  щоб до нього міг звернутися лише трафік з вашої віртуальної мережі.
• 10:21
  Але ось у чому справа.
• 10:22
  Сервіс усе ще має публічну кінцеву точку.
• 10:24
  Ви просто додаєте правило Брандмауера,
• 10:26
  яке каже «дозволяти лише трафік із цієї віртуальної мережі».
• 10:28
  Сама кінцева точка все ще відкрита для інтернету.
• 10:31
  PrivateLink безпечніший, оскільки кінцева точка
• 10:32
  знаходиться безпосередньо всередині вашої внет
• 10:34
  і має приватну IP-адресу.
• 10:35
  Немає публічної кінцевої точки, яку можна було б атакувати.
• 10:37
  Дозвольте запропонувати вам простий спосіб це зрозуміти.
• 10:39
  VPN – це безпечний тунель крізь публічну дорогу.
• 10:41
  Експресраут – це приватна дорога, що веде прямо до ежур.
• 10:43
  Кінцеві точки сервісу – це охоронець біля публічних воріт,
• 10:46
  який перевіряє посвідчення.
• 10:47
  PrivateLink – це прямий коридор у середині будівлі.
• 10:49
  Ви взагалі ніколи не виходите назовні.
• 10:51
  То що ж вам обрати?
• 10:52
  Це залежить від ситуації.
• 10:54
  Для підключення вашого офісу до ежур у вас є варіанти
• 10:56
  VPN або експресраут.
• 10:57
  Для приватного доступу до пас-сервісів
• 10:59
  стандартом є PrivateLink,
• 11:01
  а для максимальної безпеки поєднайте їх.
• 11:03
  Експресраут для приватного спрямування трафіку в ежур,
• 11:06
  а потім PrivateLink для приватного доступу до сервісів.
• 11:08
  Але PrivateLink – це не лише для сервісів Microsoft.
• 11:11
  Ви також можете використовувати його для власних додатків,
• 11:13
  де служба PrivateLink розміщує ваші приватні кінцеві точки.
• 11:16
  Ось те, що багато хто пропускає.
• 11:18
  PrivateLink призначений не лише для використання сервісів ежур.
• 11:21
  Ви також можете використовувати його,
• 11:22
  щоб надати доступ до своїх додатків усьому світу.
• 11:24
  Саме для цього і було створено службу PrivateLink.
• 11:26
  Уявіть, що ви SaaS-провайдер.
• 11:28
  Ваш додаток працює на віртуальних машинах
• 11:29
  за стандартним балансувальником навантаження,
• 11:31
  і клієнти отримують до нього доступ.
• 11:33
  Традиційно у вас було два варіанти –
• 11:34
  відкрити все для інтернету або налаштувати VPN
• 11:37
  між вашою мережею та їхньою.
• 11:38
  Обидва мають суттєві недоліки.
• 11:40
  Публічний доступ створює ризики безпеки,
• 11:42
  а VPN – складні в керуванні та обслуговуванні.
• 11:45
  Служба PrivateLink вирішує ці проблеми.
• 11:47
  Ви створюєте службу, підключаєте її
• 11:48
  до стандартного балансувальника навантаження,
• 11:50
  і ваші клієнти можуть створити
• 11:51
  приватну кінцеву точку у своїй віртуальній мережі.
• 11:53
  Ця кінцева точка підключається
• 11:54
  безпосередньо до вашої служби.
• 11:56
  Жодного пірингу, жодного VPN
• 11:57
  і жодного публічного доступу.
• 11:59
  Трафік іде від їхньої приватної кінцевої точки
• 12:01
  через магістраль Microsoft
• 12:02
  прямо до вашої служби.
• 12:03
  Він ніколи не потрапляє в інтернет.
• 12:05
  Ваша служба отримує глобально унікальний псевдонім,
• 12:07
  наприклад, MyApp, GVid, Rejan, Azure, PrivateLink Service.
• 12:11
  Саме цей псевдонім використовують клієнти
• 12:13
  для підключення, і ви повністю контролюєте,
• 12:15
  хто може його бачити.
• 12:16
  Ви можете обмежити видимість
• 12:17
  за допомогою ролей RBAC, конкретних підписок,
• 12:19
  або дозволити запит на підключення
• 12:20
  будь-кому з псевдонімом.
• 12:22
  Кожен запит на підключення
• 12:23
  надходить до вас для ручного схвалення,
• 12:24
  тому ви завжди точно знаєте, хто підключається.
• 12:26
  Для SaaS-провайдерів це величезний крок вперед.
• 12:29
  Замість того, щоб відкривати правила
• 12:30
  BrandMaware чи керувати складними конфігураціями VPN,
• 12:32
  ви просто надаєте клієнту псевдонім.
• 12:34
  Вони створюють приватну кінцеву точку,
• 12:36
  ви її схвалюєте, і все.
• 12:37
  Готово.
• 12:38
  Однак є обмеження.
• 12:39
  Служба PrivateLink працює лише
• 12:40
  зі стандартними балансувальниками навантаження,
• 12:42
  а не з базовими.
• 12:43
  Якщо ви все ще використовуєте
• 12:44
  базовий балансувальник навантаження,
• 12:45
  вам потрібно спочатку оновитися.
• 12:46
  Це невелика ціна за безпеку та простоту,
• 12:48
  які ви отримуєте натомість.
• 12:49
  Звучить чудово, але що це насправді означає
• 12:51
  для ваших потреб у відповідності вимогам
• 12:53
  та вашого бюджету.
• 12:54
  Безпека, відповідність вимогам
• 12:55
  та міркування щодо витрат.
• 12:56
  Давайте поговоримо про те,
• 12:57
  що насправді означає PrivateLink
• 12:59
  для ваших вимог відповідності
• 13:00
  та вашого гаманця.
• 13:01
  Спочатку про безпеку.
• 13:02
  PrivateLink зменшує поверхню атаки,
• 13:04
  повністю усуваючи публічні кінцеві точки.
• 13:06
  Це головна перевага.
• 13:07
  Замість облікового запису зберігання
• 13:08
  чи бази даних SQL,
• 13:09
  доступних з будь-якого місця в інтернеті,
• 13:11
  ви отримуєте ресурс,
• 13:11
  який реагує лише на трафік
• 13:12
  усередині вашої віртуальної мережі.
• 13:14
  Жодних публічних IP для сканування,
• 13:15
  жодних відкритих портів для зондування.
• 13:17
  Поверхня атаки значно скоро чується.
• 13:19
  Ось ще одна перевага,
• 13:20
  який приділяють недостатньо уваги
• 13:21
  за побігання витоку даних.
• 13:23
  Кожна приватна кінцева точка
• 13:24
  прив'язується до конкретного
• 13:25
  екземпляра ресурсу,
• 13:25
  а не до всієї служби
• 13:26
  чи всіх облікових записів
• 13:27
  зберігання у вашій підписці,
• 13:29
  лише до одного.
• 13:29
  Тож, якщо хтось зламає робоче навантаження
• 13:31
  у вашій віртуальній мережі,
• 13:32
  він не зможе використати цю приватну точку
• 13:34
  для доступу до інших сховищ.
• 13:35
  Вони обмежені лише тим одним ресурсом,
• 13:37
  який ви схвалили.
• 13:38
  Для команд безпеки така ізоляція
• 13:39
  це дуже важливо.
• 13:40
  Щодо відповідності вимогам,
• 13:41
  PrivateLink закриває багато критичних питань.
• 13:43
  Регуляції, як от HIPAA, GDPR та PCI
• 13:46
  часто вимагають,
• 13:46
  щоб конфіденційні дані
• 13:47
  ніколи не передавалися через публічні мережі.
• 13:49
  PrivateLink надає вам чіткий спосіб це довести.
• 13:52
  Ваш трафік залишається
• 13:53
  в магістральній мережі Microsoft
• 13:54
  і ви можете вказати на журнали аудиту
• 13:55
  зі словами «Ось доказ».
• 13:57
  Для регульованих галузей
• 13:58
  лише це вже може виправдати інвестиції.
• 14:00
  Тепер поговоримо про вартість,
• 14:01
  бо саме тут на людей чекає сюрприз.
• 14:03
  PrivateLink не є безкоштовним.
• 14:04
  Ви платите погоденну ставку
• 14:06
  за кожну приватну кінцеву точку
• 14:07
  плюс комісію за обробку даних,
• 14:08
  що проходять через неї.
• 14:09
  Залежно від використання,
• 14:10
  це може бути в 2-3 рази дорожче,
• 14:12
  ніж використання публічної кінцевої точки
• 14:13
  Це швидко накопичується,
• 14:16
  особливо якщо у вас багато кінцевих точок.
• 14:18
  Отже, чесна думка,
• 14:19
  PrivateLink не завжди є найкращим вибором.
• 14:21
  Якщо ви працюєте в середовищі розробки
• 14:23
  чи тестування безконфіденційних даних,
• 14:24
  публічні кінцеві точки
• 14:25
  з правильними налаштуваннями
• 14:26
  БрандМауера, ймовірно, підійдуть.
• 14:28
  Якщо ви розміщуєте публічний веб-сайт,
• 14:29
  який має бути доступним з інтернету,
• 14:31
  PrivateLink вам не допоможе.
• 14:32
  Але для робочих навантажень
• 14:33
  у регульованих галузях, фінансах,
• 14:34
  в медицині державному секторі
• 14:36
  PrivateLink часто є обов'язковим.
• 14:37
  Це ціна безпечного ведення бізнесу.
• 14:39
  Тепер, перед тим, як це впроваджувати,
• 14:41
  варто звернути увагу
• 14:42
  на кілька підводних каменів.
• 14:43
  Труднощі впровадження
• 14:44
  Те, що пропускають новачки
• 14:45
  Дозвольте мені позбавити вас
• 14:46
  зайвого головного болю.
• 14:48
  Ось найпоширеніші помилки,
• 14:49
  яких припускаються люди
• 14:49
  під час першого налаштування PrivateLink.
• 14:51
  По-перше, ви повинні вимкнути
• 14:52
  публічну кінцеву точку
• 14:53
  після створення приватної.
• 14:54
  Це найбільший підводний камінь.
• 14:56
  Багато людей створюють
• 14:57
  приватну кінцеву точку
• 14:58
  і вважають, що цього достатньо,
• 14:59
  але це не так.
• 15:00
  Публічна кінцева точка
• 15:01
  залишається активною за замовчуванням,
• 15:02
  що означає, що ваш трафік
• 15:03
  усе ще може йти через інтернет.
• 15:04
  Ви повинні зайти в налаштування мережі
• 15:06
  і явно вимкнути доступ
• 15:07
  до публічної мережі.
• 15:08
  Якщо ви пропустите цей крок,
• 15:09
  ви насправді нічого не убезпечили.
• 15:11
  Далі, DNS, роздільна здатність
• 15:12
  для локальних клієнтів,
• 15:13
  потребує додаткового налаштування.
• 15:15
  Якщо ваші офісні комп'ютери
• 15:16
  підключаються через VPN
• 15:17
  або ExpressRoute,
• 15:18
  вони не зможуть автоматично
• 15:19
  визначити IP вашої
• 15:20
  приватної кінцевої точки.
• 15:21
  Приватна зона DNS
• 15:22
  прив'язана до вашої
• 15:23
  віртуальної мережі Azure,
• 15:25
  а не до локальних DNS-серверів.
• 15:26
  Вам потрібно налаштувати
• 15:27
  DNS-пересилач
• 15:28
  або використати Azure DNS
• 15:29
  Private Resolva,
• 15:30
  щоб запити досягали
• 15:31
  приватної зони.
• 15:32
  Багато хто забуває про це,
• 15:33
  а потім дивується,
• 15:34
  чому їхні локальні програми
• 15:35
  не можуть підключитися.
• 15:43
  Приватна кінцева точка
• 15:46
  повинна знаходитися
• 15:47
  в тому ж регіоні,
• 15:47
  що і віртуальна мережа.
• 15:48
  Pass-сервіс може бути
• 15:49
  в іншому регіоні,
• 15:50
  але сама кінцева точка
• 15:51
  повинна відповідати
• 15:51
  регіону віртуальної мережі.
• 15:53
  Плануйте відповідно.
• 15:54
  Ще одне.
• 15:55
  Мережеві групи безпеки
• 15:56
  впливають на мережеву карту
• 15:57
  приватної кінцевої точки.
• 15:58
  Приватна кінцева точка
• 15:59
  створює віртуальну мережеву карту
• 16:00
  NIC у вашій підмережі.
• 16:02
  Ця мережева карта
• 16:02
  підпорядковується
• 16:03
  тим самим правилам NSD
• 16:04
  що й інші ресурси
• 16:05
  в цій підмережі.
• 16:05
  Якщо ви заблокуєте трафік
• 16:06
  до підмережі цієї карти,
• 16:07
  кінцева точка не працюватиме.
• 16:09
  Переконайтеся,
• 16:09
  що ваші правила NSD
• 16:10
  дозволяють це.