本文屬于【Azure 架構(gòu)師學(xué)習(xí)筆記】系列。
前言
公有云的其中一個(gè)特點(diǎn)是默認(rèn)允許公網(wǎng)訪問(wèn)， 這就對(duì)企業(yè)環(huán)境帶來(lái)風(fēng)險(xiǎn)，也是很多年前企業(yè)對(duì)公有云抵觸的其中一個(gè)原因，現(xiàn)在這類問(wèn)題已經(jīng)很少，因?yàn)橛辛撕芏嗉夹g(shù)來(lái)確保云上的資源被安全地訪問(wèn)。其中Private endpoint（PE）就起到了很重要的作用。
什么是Private Endpoint
云上的某個(gè)資源如VM會(huì)創(chuàng)建在特定的網(wǎng)絡(luò)（VNet/Subnet）上， 而其他如Storage Account ， Azure SQL等PaaS服務(wù)則沒(méi)有。 如果你需要用VM 來(lái)訪問(wèn)這些PaaS資源，VM 就會(huì)通過(guò)資源的公網(wǎng)IP 來(lái)訪問(wèn)。
一旦涉及公網(wǎng)訪問(wèn)，風(fēng)險(xiǎn)隨之而來(lái)。為了避免這種風(fēng)險(xiǎn)，可以把這些PaaS資源放到VNet的Private Endpoint中。所以PE是建立在VNet之上網(wǎng)絡(luò)接口。建立PE 之后，網(wǎng)絡(luò)流量就會(huì)從公網(wǎng)IP 轉(zhuǎn)成使用VNet進(jìn)行。
PE會(huì)在VNet的可用地址區(qū)間中動(dòng)態(tài)選擇private IP并附加給PE，然后在PE的生命周期中保持IP 地址的一致。
PE 例子
假設(shè)有一個(gè)VNet，使用IP 地址范圍為10.10.0.0/16。 在這個(gè)VNet中，有兩個(gè)subnet， A ：10.10.5.0/24 和 B：0.10.6.0/24。在A 中有多個(gè)VM。有一個(gè)Storage account啟用了private endpoint， 這個(gè)PE 在Subnet B中。
在Subnet A 中的VM 要訪問(wèn)Storage Account時(shí)也可以通過(guò)PE的IP 地址訪問(wèn)，因?yàn)镻E 是建立在VNet中，A, B 均屬于同一個(gè)VNet。 如果不在這個(gè)VNet中的資源，如果配置了如配對(duì)VNet（Peered VNet) 或者VPN、Express Route（ER）等，也可以直接使用PE 的地址來(lái)訪問(wèn)。
對(duì)于絕大部分資源，PE都可以在資源本身創(chuàng)建和管理，這一點(diǎn)不像SE
也可以在network interface上創(chuàng)建，這是一個(gè)獨(dú)立的資源，和SE中的SE policy類似。
雖然從下圖可以看到Private IP 地址是動(dòng)態(tài)的，但是在這個(gè)資源被刪除前，一旦創(chuàng)建則不會(huì)變化。
文章來(lái)源：http://www.zghlxwxcb.cn/news/detail-837386.html
DNS
在沒(méi)有PE 前，使用的是公開可用的endpoint，這種endpoint使用internet-resolvale domain name，不需要管理DNS 命名。但是當(dāng)使用PE 之后則需要DNS服務(wù)來(lái)做內(nèi)部解析。
有兩種方式可以操作，第一種是在現(xiàn)有DNS 中創(chuàng)建一個(gè)forwarder。PE 一ing包含了資源的FQDN和private IP， 需要?jiǎng)?chuàng)建一個(gè)A record用于為客戶端解決FQDN 到private IP 地址的解析問(wèn)題。
第二種方式使用Azure 的private DNS zones。它在VNet中進(jìn)行域名解析，不需要定制DNS。文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-837386.html
小結(jié)
- 由于PE 建立在VNet上，所以它帶有VNet的一些天然的屬性，比如限定在同一個(gè)region（區(qū)域）和Subscription 中。如果需要跨region或subscription， 則要做VNet Peering。
- PE 建立之后，客戶端可以通過(guò)PE 訪問(wèn)資源，但是資源不能通過(guò)PE 訪問(wèn)客戶端，這種連接是單向的。
到了這里，關(guān)于【Azure 架構(gòu)師學(xué)習(xí)筆記】- Azure Private Endpoint的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
![Azure 深入淺出[3]： 如何在MS Visio里面畫專業(yè)的Azure技術(shù)架構(gòu)圖？](https://imgs.yssmx.com/Uploads/2024/02/788816-1.png)
