Poznámka:
Přístup k této stránce vyžaduje autorizaci. Můžete se zkusit přihlásit nebo změnit adresáře.
Přístup k této stránce vyžaduje autorizaci. Můžete zkusit změnit adresáře.
Dnes můžete nasadit důležité úlohy bezpečně za Application Gateway a získat tak flexibilitu funkcí vyrovnávání zatížení vrstvy 7. Přístup k back-endovým úlohám je možný dvěma způsoby:
- Veřejná IP adresa – vaše úlohy jsou přístupné přes internet.
- Privátní IP adresa – vaše úlohy jsou přístupné soukromě přes vaši virtuální síť nebo připojené sítě.
Private Link pro službu Application Gateway umožňuje připojení pracovních zátěží prostřednictvím soukromého spojení pokrývajícího virtuální sítě a předplatná. Při konfiguraci se privátní koncový bod umístí do definované podsítě virtuální sítě a poskytne klientům, kteří chtějí komunikovat s bránou, privátní IP adresu. Seznam dalších služeb PaaS, které podporují funkce Private Linku, najdete v tématu Co je Azure Private Link.
Funkce a možnosti
Private Link umožňuje rozšířit privátní připojení ke službě Application Gateway prostřednictvím privátního koncového bodu v následujících scénářích:
- Virtuální síť ve stejné nebo jiné oblasti jako služba Application Gateway
- Virtuální síť ve stejném nebo jiném předplatném jako Application Gateway
- Virtuální síť (VNet) ve stejném nebo jiném předplatném a stejném nebo jiném tenantovi Microsoft Entra v rámci služby Application Gateway.
Můžete se také rozhodnout blokovat příchozí veřejný (internet) přístup ke službě Application Gateway a povolit přístup pouze prostřednictvím privátních koncových bodů. Příchozí správcovský provoz musí být stále povolen pro aplikační bránu. Další informace najdete v tématu Konfigurace infrastruktury služby Application Gateway.
Všechny funkce podporované službou Application Gateway se podporují při přístupu prostřednictvím privátního koncového bodu, včetně podpory pro AGIC.
Poznámka:
Konfigurace Private Link pro Application Gateway má časový limit nečinnosti přibližně 5 minut (300 sekund). Aby se zabránilo ukončení spojení kvůli neaktivitě, měly by aplikace, které se připojují k Application Gateway přes privátní koncové body, používat intervaly TCP keepalive kratší než 300 sekund. Pokud klient nemůže zahájit TCP keepalive, pošlete podpůrný tiket s požadavkem na povolení požadovaného keepalive chování na Application Gateway.
Identifikace provozu z privátního koncového bodu
Poznámka:
Když provoz dorazí do Application Gateway přes privátní koncový punkt, Private Link zachová zdrojovou IP adresu klienta a zdrojový port. Přístupové logy aplikačních bran zaznamenávají tyto hodnoty v polích clientIP a clientPort (a). U HTTP a HTTPS požadavků se položka, kterou Application Gateway přidá do X-Forwarded-For hlavičky, odráží stejné hodnoty ve formátu IP:port . Pokud jiný proxy odešle požadavek soukromému koncovému bodu, tyto hodnoty identifikují tento proxy jako bezprostředního klienta.
Spotřebitelské virtuální sítě mohou využívat překrývající se IP adresní prostory, takže samotná IP adresa klienta nemusí identifikovat původního uživatele. Azure Private Link přiřazuje linkIdentifier, také nazývané LINKID, ke každému soukromému koncovému spojení. Pro HTTP a HTTPS požadavky Application Gateway zpřístupňuje desetinný identifikátor na následujících místech:
| Umístění | název | Description |
|---|---|---|
| Žádost přesměrována na backend | X-Azure-PrivateEndpoint-ID |
Application Gateway přidá tuto hlavičku před odesláním požadavku. Jeho hodnota je desetinný identifikátor privátního koncového spojení, například 123456. |
| Přístupový log aplikační brány | LinkId |
Obsahuje stejný desetinný identifikátor odkazu jako hodnota řetězce. Pro více informací viz kategorie Access log. |
Například backend obdrží následující hlavičku pro požadavek, který dorazil přes soukromý endpoint:
X-Azure-PrivateEndpoint-ID: 123456
Poznámka:
Navzdory svému názvu neobsahuje X-Azure-PrivateEndpoint-ID Azure resource ID privátního endpointu. Obsahuje desetinnou hodnotu vlastnosti soukromého koncového spojení linkIdentifier .
HTTP X-Azure-PrivateEndpoint-ID hlavička se vztahuje na HTTP a HTTPS provoz na vrstvě 7. Není přidáván do proxy provozu TCP/TLS na vrstvě 4.
Porovnejte kteroukoliv hodnotu s linkIdentifier vlastností příslušného připojení k privátnímu koncovému bodu v Azure Resource Manager. Toto porovnání vám umožňuje přiřadit požadavky back-endu a záznamy protokolu přístupu ke konkrétnímu připojení privátního koncového bodu pro účely auditu nebo rozhodování o řízení přístupu.
Application Gateway vyplňuje hlavičku a vlastnost access-log pouze pro požadavky přijaté přes privátní koncový bod. U požadavků odeslaných přímo na veřejnou nebo soukromou front-endovou IP adresu služby Application Gateway služba Application Gateway nevyplňuje X-Azure-PrivateEndpoint-ID ani LinkId. Toto chování se projevuje, když je konfigurace Private Link spojena s veřejným nebo soukromým frontendem Application Gateway.
Pro definici Azure Private Link a LINKID jeho vztahu k linkIdentifier, viz Získat informace o spojení pomocí TCP Proxy v2.
Komponenty služby Private Link
K implementaci služby Private Link se službou Application Gateway se vyžadují čtyři komponenty:
Konfigurace Private Link pro Application Gateway
Konfiguraci privátního propojení je možné přidružit k IP adrese front-endu služby Application Gateway, která se pak používá k navázání připojení pomocí privátního koncového bodu. Pokud není k IP adrese front-endu služby Application Gateway žádné přidružení, funkce Private Link není povolená.
IP adresa front-endu služby Application Gateway
Veřejná nebo privátní IP adresa, ke které je potřeba přidružit konfiguraci služby Private Link služby Application Gateway, aby bylo možné povolit možnosti služby Private Link.
Privátní koncový bod
Síťový prostředek Azure, který přiděluje privátní IP adresu v adresní prostoru virtuální sítě. Používá se k připojení ke službě Application Gateway přes privátní IP adresu podobnou mnoha dalším službám Azure, které poskytují přístup k privátnímu propojení; Například Storage a KeyVault.
Připojení privátního koncového bodu
Připojení ke službě Application Gateway vzniklo privátními koncovými body. Můžete automaticky schvalovat, ručně schvalovat nebo odmítat připojení k udělení nebo zamítnutí přístupu.
Pricing
| Součást | Poskytovatel služeb / Private Link (vlastník prostředku služby Application Gateway) | Koncový bod pro spotřebitele/soukromý uživatel |
|---|---|---|
| Služba Private Link | Žádné poplatky | Není relevantní |
| Privátní koncový bod | Není relevantní | Fakturováno podle služby Private Link |
| Zpracování dat (obousměrné) | Žádné poplatky | Fakturováno podle služby Private Link |
| Přenosy dat | Fakturováno podle šířky pásma | Fakturováno podle šířky pásma |
Omezení
- Ke konfiguraci konfigurací služby Private Link by se mělo použít rozhraní API verze 2020-03-01 nebo novější.
- Metoda přidělování statických IP adres v objektu Konfigurace služby Private Link není podporovaná.
- Podsíť použitá pro PrivateLinkConfiguration nemůže být stejná jako podsíť služby Application Gateway.
- Konfigurace služby Private Link pro službu Application Gateway nezpřístupňuje vlastnost Alias a musí být odkazována prostřednictvím identifikátoru URI prostředku.
- Vytvoření privátního koncového bodu nevytvoří záznam DNS nebo zónu *.privatelink. Všechny záznamy DNS by měly být zadané ve stávajících zónách používaných pro vaši službu Application Gateway.
- Konfigurace Private Link pro Application Gateway má časový limit nečinnosti přibližně 5 minut (300 sekund). Aby se zabránilo ukončení spojení kvůli neaktivitě, aplikace připojující se k Application Gateway přes privátní koncové body by měly používat intervaly TCP keepalive kratší než 300 sekund. Pokud klient nemůže zahájit TCP keepalive, pošlete podpůrný tiket s požadavkem na povolení požadovaného keepalive chování na Application Gateway.