Nejčastější dotazy ke službě Azure Private Link

Private Link

Co je privátní koncový bod Azure a služba Azure Private Link?

• Privátní koncový bod Azure: Privátní koncový bod Azure je síťové rozhraní, které vás soukromě a bezpečně připojuje ke službě využívající Službu Azure Private Link. Privátní koncové body můžete použít k připojení ke službě Azure PaaS, která podporuje službu Private Link nebo vlastní službu Private Link.
• Služba Azure Private Link: Služba Azure Private Link je služba vytvořená poskytovatelem služeb. V současné době je možné službu Private Link připojit ke konfiguraci front-endové IP adresy load Balanceru úrovně Standard.

Jak se odesílá provoz při použití služby Private Link?

Provoz se odesílá soukromě pomocí páteřní sítě Microsoftu. Neprochází internetem. Azure Private Link neukládá zákaznická data.

Jaký je rozdíl mezi koncovými body služby a privátními koncovými body?

• Privátní koncové body udělují síťovému přístupu ke konkrétním prostředkům za danou službou podrobné segmentace. Provoz se může dostat k prostředku služby z místního prostředí bez použití veřejných koncových bodů.
• Koncový bod služby zůstává veřejně směrovatelnou IP adresou. Privátní koncový bod je privátní IP adresa v adresní prostoru virtuální sítě, kde je nakonfigurovaný privátní koncový bod.

Jaký je vztah mezi službou Private Link a privátním koncovým bodem?

Přístup prostřednictvím privátních koncových bodů podporuje více typů prostředků privátního propojení. Mezi prostředky patří služby Azure PaaS a vaše vlastní služba Private Link. Jedná se o relaci 1:N.

Služba Private Link přijímá připojení z několika privátních koncových bodů. Privátní koncový bod se připojí k jedné službě Private Link.

Musím zakázat zásady sítě pro Službu Private Link?

Yes. Služba Private Link potřebuje zakázat správné fungování zásad sítě.

Můžu použít pouze trasy definované uživatelem, jenom skupiny zabezpečení sítě nebo obojí pro privátní koncový bod?

Yes. Pokud chcete využívat zásady, jako jsou trasy definované uživatelem a skupiny zabezpečení sítě, musíte povolit zásady sítě pro podsíť ve virtuální síti pro privátní koncový bod. Toto nastavení má vliv na všechny privátní koncové body v rámci podsítě.

Service endpoint

Jaká je správná posloupnost operací pro nastavení koncových bodů služby pro službu Azure?

Prostředek služby Azure můžete zabezpečit dvěma kroky prostřednictvím koncových bodů služby:

1. Zapněte koncové body služby pro službu Azure.
2. Nastavte seznamy řízení přístupu k virtuální síti (ACL) ve službě Azure.

Prvním krokem je operace na straně sítě a druhým krokem je operace na straně prostředku služby. Stejný správce nebo různí správci můžou provést kroky na základě oprávnění řízení přístupu na základě role v Azure (RBAC) udělených roli správce.

Před nastavením seznamů ACL virtuální sítě na straně služby Azure doporučujeme zapnout koncové body služby pro vaši virtuální síť. Pokud chcete nastavit koncové body služby virtuální sítě, musíte provést kroky v předchozí sekvenci.

Note

Před omezením přístupu služby Azure k povolené virtuální síti a podsíti musíte dokončit obě předchozí operace. Pouze zapnutí koncových bodů služby pro službu Azure na straně sítě neposkytuje omezený přístup. Musíte také nastavit seznamy ACL virtuální sítě na straně služby Azure.

Některé služby (například Azure SQL a Azure Cosmos DB) umožňují výjimky z předchozí sekvence prostřednictvím příznaku IgnoreMissingVnetServiceEndpoint . Po nastavení příznaku Truemůžete nastavit seznamy ACL virtuální sítě na straně služby Azure před zapnutím koncových bodů služby na straně sítě. Služby Azure poskytují tento příznak, aby zákazníkům pomohly v případech, kdy jsou pro služby Azure nakonfigurované konkrétní brány firewall PROTOKOLU IP.

Zapnutí koncových bodů služby na straně sítě může vést k poklesu připojení, protože se zdrojová IP adresa změní z veřejné IPv4 adresy na privátní adresu. Nastavení seznamů ACL virtuální sítě na straně služby Azure před zapnutím koncových bodů služby na straně sítě může pomoct vyhnout se poklesu připojení.

Note

Pokud povolíte koncový bod služby u určitých služeb, jako je Microsoft.AzureActiveDirectory, uvidíte připojení IPV6 adres v protokolech Sign-In. Microsoft pro tento typ připojení používá interní privátní rozsah IPV6.

Nacházejí se všechny služby Azure ve virtuální síti Azure, kterou zákazník poskytuje? Jak koncový bod služby virtuální sítě funguje se službami Azure?

Ne všechny služby Azure se nacházejí ve virtuální síti zákazníka. Většina datových služeb Azure (například Azure Storage, Azure SQL a Azure Cosmos DB) je víceklientských služeb, ke kterým je možné přistupovat přes veřejné IP adresy. Další informace najdete v tématu Nasazení vyhrazených služeb Azure do virtuálních sítí.

Když zapnete koncové body služby virtuální sítě na straně sítě a nastavíte příslušné seznamy ACL virtuální sítě na straně služby Azure, přístup ke službě Azure se omezí na povolenou virtuální síť a podsíť.

Jak koncové body služby virtuální sítě poskytují zabezpečení?

Koncové body služby virtuální sítě omezují přístup služby Azure k povolené virtuální síti a podsíti. Tímto způsobem poskytují zabezpečení na úrovni sítě a izolaci provozu služby Azure.

Veškerý provoz, který používá koncové body služeb virtuální sítě, prochází přes páteřní síť Microsoftu a poskytuje další vrstvu izolace od veřejného internetu. Zákazníci se také můžou rozhodnout plně odebrat přístup k veřejnému internetu k prostředkům služby Azure a povolit provoz jenom ze své virtuální sítě prostřednictvím kombinace seznamů ACL brány firewall protokolu IP a virtuální sítě. Odebrání přístupu k internetu pomáhá chránit prostředky služeb Azure před neoprávněným přístupem.

Co koncový bod služby virtuální sítě chrání – prostředky virtuální sítě nebo prostředky služeb Azure?

Koncové body služeb virtuální sítě pomáhají chránit prostředky služeb Azure. Prostředky virtuální sítě jsou chráněné prostřednictvím skupin zabezpečení sítě.

Existují nějaké náklady na používání koncových bodů služeb virtuální sítě?

No. Za používání koncových bodů služby pro virtuální síť nejsou žádné další náklady.

Můžu zapnout koncové body služeb virtuální sítě a nastavit seznamy ACL virtuální sítě, pokud virtuální síť a prostředky služby Azure patří do různých předplatných?

Ano, je to možné. Virtuální sítě a prostředky služeb Azure můžou být ve stejném předplatném nebo v různých předplatných. Jediným požadavkem je, aby virtuální síť i prostředky služby Azure byly ve stejném tenantovi Microsoft Entra.

Můžu zapnout koncové body služeb virtuální sítě a nastavit seznamy ACL virtuální sítě, pokud virtuální síť a prostředky služeb Azure patří do různých tenantů Microsoft Entra?

Ano, je možné, když používáte koncové body služby pro Azure Storage a Azure Key Vault. U jiných služeb se koncové body služeb virtuální sítě a seznamy ACL virtuální sítě nepodporují v tenantech Microsoft Entra.

Může IP adresa místního zařízení, která je připojená přes bránu virtuální sítě Azure (VPN) nebo bránu ExpressRoute, přistupovat ke službám Azure PaaS přes koncové body služeb virtuální sítě?

Prostředky služeb Azure zabezpečené k virtuálním sítím nejsou ve výchozím nastavení dostupné z místních sítí. Pokud chcete povolit provoz z místního prostředí, musíte také povolit veřejné (obvykle NAT) IP adresy z místního prostředí nebo ExpressRoute. Tyto IP adresy můžete přidat prostřednictvím konfigurace brány firewall protokolu IP pro prostředky služby Azure.

Alternatively, you can implement private endpoints for supported services.

Můžu pomocí koncových bodů služby virtuální sítě zabezpečit služby Azure do více podsítí ve virtuální síti nebo napříč několika virtuálními sítěmi?

Pokud chcete zabezpečit služby Azure pro více podsítí ve virtuální síti nebo v několika virtuálních sítích, povolte koncové body služeb na straně sítě na každé podsíti nezávisle. Potom zabezpečte prostředky služby Azure pro všechny podsítě nastavením příslušných seznamů ACL virtuální sítě na straně služby Azure.

Jak můžu filtrovat odchozí provoz z virtuální sítě do služeb Azure a dál používat koncové body služeb?

Pokud chcete zkontrolovat nebo filtrovat provoz směřující do služby Azure z virtuální sítě, můžete do virtuální sítě nasadit síťové virtuální zařízení. Koncové body služby pak můžete použít na podsíť, ve které je síťové virtuální zařízení nasazené, a zabezpečit prostředky služby Azure pouze na tuto podsíť prostřednictvím seznamů ACL virtuální sítě.

Tento scénář může být užitečný také v případě, že chcete omezit přístup ke službě Azure z vaší virtuální sítě jenom na konkrétní prostředky Azure pomocí filtrování síťových virtuálních zařízení. Další informace najdete v tématu Nasazení vysoce dostupných síťových virtuálních zařízení.

Co se stane, když někdo přistupuje k účtu služby Azure, který má povolený seznam ACL virtuální sítě mimo virtuální síť?

Služba vrátí chybu HTTP 403 nebo HTTP 404.

Jsou podsítě virtuální sítě vytvořené v různých oblastech povolené pro přístup k účtu služby Azure v jiné oblasti?

Yes. Pro většinu služeb Azure můžou virtuální sítě vytvořené v různých oblastech přistupovat ke službám Azure v jiné oblasti prostřednictvím koncových bodů služby virtuální sítě. Pokud je například účet služby Azure Cosmos DB v oblasti USA – západ nebo USA – východ a virtuální sítě jsou ve více oblastech, budou mít virtuální sítě přístup ke službě Azure Cosmos DB.

Azure SQL je výjimka a je v podstatě regionální. Virtuální síť i služba Azure musí být ve stejné oblasti.

Může služba Azure mít seznam ACL virtuální sítě i bránu firewall protokolu IP?

Yes. Seznam ACL virtuální sítě a brána firewall protokolu IP mohou existovat společně. Funkce se vzájemně doplňují, aby pomohly zajistit izolaci a zabezpečení.

Co se stane, když odstraníte virtuální síť nebo podsíť se zapnutým koncovými body služby pro služby Azure?

Odstranění virtuálních sítí a odstranění podsítí jsou nezávislé operace. Podporují se i v případě, že zapnete koncové body služby pro služby Azure.

Pokud nastavíte seznamy ACL virtuální sítě pro služby Azure, informace seznamu ACL přidružené k těmto službám Azure se deaktivují při odstranění virtuální sítě nebo podsítě se zapnutými koncovými body služby virtuální sítě.

Co se stane, když odstraním účet služby Azure, který má zapnutý koncový bod služby virtuální sítě?

Odstranění účtu služby Azure je nezávislá operace. Podporuje se i v případě, že jste na straně sítě zapnuli koncový bod služby a nastavili seznamy ACL virtuální sítě na straně služby Azure.

Co se stane se zdrojovou IP adresou prostředku (jako je virtuální počítač v podsíti), který má zapnuté koncové body služby virtuální sítě?

Když zapnete koncové body služby virtuální sítě, zdrojové IP adresy prostředků v podsíti vaší virtuální sítě se přepnou z použití veřejných IPv4 adres na použití privátních IP adres virtuální sítě Azure pro provoz do služeb Azure. Tento přepínač může způsobit selhání konkrétních bran firewall protokolu IP, které jsou nastavené na veřejnou adresu IPv4 ve službách Azure.

Má trasa koncového bodu služby vždy přednost?

Koncové body služby přidávají systémovou trasu, která má přednost před trasami protokolu BGP (Border Gateway Protocol) a zajišťuje optimální směrování provozu koncového bodu služby. Koncové body služby vždy přebírají provoz služby přímo z vaší virtuální sítě do služby v páteřní síti Microsoft Azure.

Další informace o tom, jak Azure vybere trasu, najdete v tématu Směrování provozu virtuální sítě.

Fungují koncové body služby s protokolem ICMP?

No. Provoz PROTOKOLU ICMP, který je zdrojem z podsítě s povolenými koncovými body služby, nepřevezmou cestu tunelu služby k požadovanému koncovému bodu. Koncové body služby zpracovávají pouze provoz TCP. Pokud chcete otestovat latenci nebo připojení ke koncovému bodu prostřednictvím koncových bodů služby, nástroje jako ping a tracert nezobrazí skutečnou cestu, kterou budou prostředky v podsíti provádět.

Jak skupiny zabezpečení sítě v podsíti fungují s koncovými body služby?

Pokud se chcete spojit se službou Azure, skupiny zabezpečení sítě musí povolit odchozí připojení. Pokud jsou vaše skupiny zabezpečení sítě otevřené pro veškerý odchozí provoz internetu, měl by fungovat provoz koncového bodu služby. Odchozí provoz můžete také omezit jenom na IP adresy služby pomocí značek služeb.

Jaká oprávnění potřebuji k nastavení koncových bodů služby?

Pokud máte k této síti přístup pro zápis, můžete nakonfigurovat koncové body služby ve virtuální síti nezávisle.

To secure Azure service resources to a virtual network, you must have Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/action permission for the subnets that you're adding. Toto oprávnění je ve výchozím nastavení součástí předdefinované role správce služby a dá se upravit prostřednictvím vytváření vlastních rolí.

Další informace o předdefinovaných rolích a přiřazení konkrétních oprávnění k vlastním rolím najdete v tématu Vlastní role Azure.

Můžu filtrovat provoz virtuální sítě do služeb Azure přes koncové body služby?

Zásady koncového bodu služby virtuální sítě můžete použít k filtrování provozu virtuální sítě do služeb Azure, což umožňuje pouze konkrétní prostředky služeb Azure přes koncové body služby. Zásady koncových bodů poskytují podrobné řízení přístupu z provozu virtuální sítě do služeb Azure.

Další informace najdete v tématu Zásady koncových bodů služby pro virtuální síť pro Azure Storage.

Podporuje Microsoft Entra ID koncové body služeb virtuální sítě?

ID Microsoft Entra nativně nepodporuje koncové body služeb. Úplný seznam služeb Azure, které podporují koncové body služeb virtuální sítě, najdete v tématu Koncové body služeb virtuální sítě.

In that list, the Microsoft.AzureActiveDirectory tag listed under services that support service endpoints is used for supporting service endpoints to Azure Data Lake Storage Gen1. Integrace virtuální sítě pro Data Lake Storage Gen1 využívá zabezpečení koncového bodu služby virtuální sítě mezi vaší virtuální sítí a ID Microsoft Entra k vygenerování dalších deklarací zabezpečení v přístupovém tokenu. Tyto deklarace identity pak slouží k ověření vaší virtuální sítě v účtu Data Lake Storage Gen1 a povolení přístupu.

Existují nějaká omezení počtu koncových bodů služby, které můžu nastavit z virtuální sítě?

Celkový počet koncových bodů služby ve virtuální síti není nijak omezený. U prostředku služby Azure (například účtu Azure Storage) můžou služby vynucovat omezení počtu podsítí, které používáte k zabezpečení prostředku. Následující tabulka uvádí několik ukázkových omezení:

Azure service	Omezení pravidel virtuální sítě
Azure Storage	200
Azure SQL	128
Azure Synapse Analytics	128
Azure Key Vault	200
Azure Cosmos DB	64
Azure Event Hubs	128
Azure Service Bus	128

Note

Limity se můžou měnit podle vlastního uvážení služeb Azure. Podrobnosti najdete v příslušné dokumentaci ke službě.

Jak skupiny zabezpečení sítě v podsíti fungují s koncovými body služby?

Pokud se chcete spojit se službou Azure, skupiny zabezpečení sítě musí povolit odchozí připojení. Pokud jsou vaše skupiny zabezpečení sítě otevřené pro veškerý odchozí provoz internetu, měl by fungovat provoz koncového bodu služby. Odchozí provoz můžete také omezit jenom na IP adresy služby pomocí značek služeb.

Jaká oprávnění potřebuji k nastavení koncových bodů služby?

Pokud máte k této síti přístup pro zápis, můžete nakonfigurovat koncové body služby ve virtuální síti nezávisle.

To secure Azure service resources to a virtual network, you must have Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/action permission for the subnets that you're adding. Toto oprávnění je ve výchozím nastavení součástí předdefinované role správce služby a dá se upravit prostřednictvím vytváření vlastních rolí.

Další informace o předdefinovaných rolích a přiřazení konkrétních oprávnění k vlastním rolím najdete v tématu Vlastní role Azure.

Můžu filtrovat provoz virtuální sítě do služeb Azure přes koncové body služby?

Zásady koncového bodu služby virtuální sítě můžete použít k filtrování provozu virtuální sítě do služeb Azure, což umožňuje pouze konkrétní prostředky služeb Azure přes koncové body služby. Zásady koncových bodů poskytují podrobné řízení přístupu z provozu virtuální sítě do služeb Azure.

Další informace najdete v tématu Zásady koncových bodů služby pro virtuální síť pro Azure Storage.

Podporuje Microsoft Entra ID koncové body služeb virtuální sítě?

ID Microsoft Entra nativně nepodporuje koncové body služeb. Úplný seznam služeb Azure, které podporují koncové body služeb virtuální sítě, najdete v tématu Koncové body služeb virtuální sítě.

In that list, the Microsoft.AzureActiveDirectory tag listed under services that support service endpoints is used for supporting service endpoints to Azure Data Lake Storage Gen1. Integrace virtuální sítě pro Data Lake Storage Gen1 využívá zabezpečení koncového bodu služby virtuální sítě mezi vaší virtuální sítí a ID Microsoft Entra k vygenerování dalších deklarací zabezpečení v přístupovém tokenu. Tyto deklarace identity pak slouží k ověření vaší virtuální sítě v účtu Data Lake Storage Gen1 a povolení přístupu.

Existují nějaká omezení počtu koncových bodů služby, které můžu nastavit z virtuální sítě?

Celkový počet koncových bodů služby ve virtuální síti není nijak omezený. U prostředku služby Azure (například účtu Azure Storage) můžou služby vynucovat omezení počtu podsítí, které používáte k zabezpečení prostředku. Následující tabulka uvádí několik ukázkových omezení:

Azure service	Omezení pravidel virtuální sítě
Azure Storage	200
Azure SQL	128
Azure Synapse Analytics	128
Azure Key Vault	200
Azure Cosmos DB	64
Azure Event Hubs	128
Azure Service Bus	128

Note

Limity se můžou měnit podle vlastního uvážení služeb Azure. Podrobnosti najdete v příslušné dokumentaci ke službě.

Private Endpoint

Můžu ve stejné virtuální síti vytvořit více privátních koncových bodů? Mohou se připojit k různým službám?

Yes. Ve stejné virtuální síti nebo podsíti můžete mít několik privátních koncových bodů. Můžou se připojit k různým službám.

Můžeme propojit více privátních zón DNS se stejným názvem?

Ne, vytvoření více zón se stejným názvem pro jednu virtuální síť se nepodporuje.

Potřebuji vyhrazenou podsíť pro privátní koncové body?

No. Pro privátní koncové body nevyžadujete vyhrazenou podsíť. Ip adresu privátního koncového bodu můžete zvolit z libovolné podsítě z virtuální sítě, ve které je vaše služba nasazená.

Může se privátní koncový bod připojit ke službám Private Link napříč tenanty Microsoft Entra?

Yes. Privátní koncové body se můžou připojit ke službám Private Link nebo k Azure PaaS napříč tenanty Microsoft Entra. Privátní koncové body napříč tenanty vyžadují ruční schválení žádosti.

Může se privátní koncový bod připojit k prostředkům Azure PaaS napříč oblastmi Azure?

Yes. Privátní koncové body se můžou připojit k prostředkům Azure PaaS napříč oblastmi Azure.

Můžu upravit kartu síťového rozhraní privátního koncového bodu?

Když se vytvoří privátní koncový bod, přiřadí se síťová karta jen pro čtení. Síťovou kartu nejde upravit a zůstane pro životní cyklus privátního koncového bodu.

Návody dosáhnout dostupnosti při používání privátního koncového bodu, pokud dojde k selhání oblastí?

Privátní koncové body jsou vysoce dostupné prostředky se smlouvou SLA podle smlouvy SLA pro Azure Private Link. Vzhledem k tomu, že se jedná o regionální prostředky, může mít jakýkoli výpadek oblasti Azure vliv na dostupnost. Pokud chcete dosáhnout dostupnosti v případě selhání oblastí, může být v různých oblastech nasazeno více počítačů připojených ke stejnému cílovému prostředku. Pokud dojde k výpadku jedné oblasti, můžete dál směrovat provoz pro scénáře obnovení prostřednictvím prostředí PE v jiné oblasti pro přístup k cílovému prostředku. Informace o tom, jak se místní selhání zpracovávají na straně cílové služby, najdete v dokumentaci ke službě týkající se převzetí služeb při selhání a obnovení. Provoz Private Link se řídí překladem Azure DNS pro cílový koncový bod.

Návody dosáhnout dostupnosti při používání privátních koncových bodů, pokud dojde k selhání zóny dostupnosti?

Privátní koncové body jsou vysoce dostupné prostředky se smlouvou SLA podle smlouvy SLA pro Azure Private Link. Privátní koncové body jsou nezávislé na zóně: Selhání zóny dostupnosti v oblasti privátního koncového bodu neovlivní dostupnost privátního koncového bodu.

Podporují privátní koncové body provoz ICMP?

Přenosy TCP a UDP jsou podporovány pouze pro privátní koncový bod. Další informace najdete v tématu Omezení služby Private Link.

Služba privátního propojení

Jaké jsou požadavky na vytvoření služby Private Link?

Back-endy služeb by měly být ve virtuální síti a za Load Balancerem úrovně Standard.

Jak můžu škálovat službu Private Link?

Službu Private Link můžete škálovat několika různými způsoby:

• Přidání back-endových virtuálních počítačů do fondu za Load Balancerem úrovně Standard
• Přidejte IP adresu do služby Private Link. Povolujeme až 8 IP adres na službu Private Link.
• Přidejte novou službu Private Link do Load Balanceru úrovně Standard. Umožňujeme až osm služeb Private Link na Load Balancer úrovně Standard.

Jaká je konfigurace PROTOKOLU IP překladu adres (NAT) použitá ve službě Private Link? Jak můžu škálovat z hlediska dostupných portů a připojení?

• Konfigurace IP adresy překladu adres (NAT) zajišťuje, že zdrojový (příjemce) a cílový adresní prostor (poskytovatel služeb) nemají konflikty IP adres. Konfigurace poskytuje zdrojový překlad adres (NAT) pro provoz privátního propojení pro cíl. IP adresa PŘEKLADU adres se zobrazí jako zdrojová IP adresa pro všechny pakety přijaté vaší službou a cílovou IP adresou pro všechny pakety odeslané vaší službou. IP adresu překladu adres (NAT) je možné vybrat z libovolné podsítě ve virtuální síti poskytovatele služeb.
• Každá IP adresa překladu adres (NAT) poskytuje 64k připojení TCP (64k portů) na virtuální počítač za Load Balancerem úrovně Standard. Pokud chcete škálovat a přidávat další připojení, můžete přidat nové IP adresy PROT nebo přidat další virtuální počítače za Load Balancer úrovně Standard. Tím se škáluje dostupnost portů a umožníte další připojení. Připojení se distribuují mezi IP adresy NAT a virtuální počítače za Load Balancerem úrovně Standard.

Můžu připojit svou službu k několika privátním koncovým bodům?

Yes. Jedna služba Private Link může přijímat připojení z několika privátních koncových bodů. Jeden privátní koncový bod se ale může připojit jenom k jedné službě Private Link.

Jak mám řídit vystavení služby Private Link?

Vystavení můžete řídit pomocí konfigurace viditelnosti ve službě Private Link. Viditelnost podporuje tři nastavení:

• None - Only subscriptions with role based access can locate the service.
• Restrictive - Only subscriptions that are approved and with role based access can locate the service.
• All - Everyone can locate the service.

Můžu vytvořit službu Private Link pomocí Load Balanceru úrovně Basic?

No. Služba Private Link přes Load Balancer úrovně Basic se nepodporuje.

Vyžaduje se pro službu Private Link vyhrazená podsíť?

No. Pro službu Private Link se nevyžaduje vyhrazená podsíť. Ve virtuální síti, ve které je vaše služba nasazená, můžete zvolit libovolnou podsíť.

Jsem poskytovatel služeb pomocí služby Azure Private Link. Musím zajistit, aby všichni moji zákazníci měli jedinečný prostor IP adres a nepřekrývaly se s mým prostorem IP adres?

No. Azure Private Link poskytuje tuto funkci za vás. Adresní prostor zákazníka nemusíte mít nepřekryvný adresní prostor.

Next steps

• Další informace o službě Azure Private Link

• Privátní koncový bod Azure: Privátní koncový bod Azure je síťové rozhraní, které vás soukromě a bezpečně připojuje ke službě využívající Službu Azure Private Link. Privátní koncové body můžete použít k připojení ke službě Azure PaaS, která podporuje službu Private Link nebo vlastní službu Private Link.
• Služba Azure Private Link: Služba Azure Private Link je služba vytvořená poskytovatelem služeb. V současné době je možné službu Private Link připojit ke konfiguraci front-endové IP adresy load Balanceru úrovně Standard.

Provoz se odesílá soukromě pomocí páteřní sítě Microsoftu. Neprochází internetem. Azure Private Link neukládá zákaznická data.

• Privátní koncové body udělují síťovému přístupu ke konkrétním prostředkům za danou službou podrobné segmentace. Provoz se může dostat k prostředku služby z místního prostředí bez použití veřejných koncových bodů.
• Koncový bod služby zůstává veřejně směrovatelnou IP adresou. Privátní koncový bod je privátní IP adresa v adresní prostoru virtuální sítě, kde je nakonfigurovaný privátní koncový bod.

Přístup prostřednictvím privátních koncových bodů podporuje více typů prostředků privátního propojení. Mezi prostředky patří služby Azure PaaS a vaše vlastní služba Private Link. Jedná se o relaci 1:N.

Služba Private Link přijímá připojení z několika privátních koncových bodů. Privátní koncový bod se připojí k jedné službě Private Link.

Yes. Služba Private Link potřebuje zakázat správné fungování zásad sítě.

Yes. Pokud chcete využívat zásady, jako jsou trasy definované uživatelem a skupiny zabezpečení sítě, musíte povolit zásady sítě pro podsíť ve virtuální síti pro privátní koncový bod. Toto nastavení má vliv na všechny privátní koncové body v rámci podsítě.

Prostředek služby Azure můžete zabezpečit dvěma kroky prostřednictvím koncových bodů služby:

1. Zapněte koncové body služby pro službu Azure.
2. Nastavte seznamy řízení přístupu k virtuální síti (ACL) ve službě Azure.

Prvním krokem je operace na straně sítě a druhým krokem je operace na straně prostředku služby. Stejný správce nebo různí správci můžou provést kroky na základě oprávnění řízení přístupu na základě role v Azure (RBAC) udělených roli správce.

Před nastavením seznamů ACL virtuální sítě na straně služby Azure doporučujeme zapnout koncové body služby pro vaši virtuální síť. Pokud chcete nastavit koncové body služby virtuální sítě, musíte provést kroky v předchozí sekvenci.

Note

Před omezením přístupu služby Azure k povolené virtuální síti a podsíti musíte dokončit obě předchozí operace. Pouze zapnutí koncových bodů služby pro službu Azure na straně sítě neposkytuje omezený přístup. Musíte také nastavit seznamy ACL virtuální sítě na straně služby Azure.

Některé služby (například Azure SQL a Azure Cosmos DB) umožňují výjimky z předchozí sekvence prostřednictvím příznaku IgnoreMissingVnetServiceEndpoint . Po nastavení příznaku Truemůžete nastavit seznamy ACL virtuální sítě na straně služby Azure před zapnutím koncových bodů služby na straně sítě. Služby Azure poskytují tento příznak, aby zákazníkům pomohly v případech, kdy jsou pro služby Azure nakonfigurované konkrétní brány firewall PROTOKOLU IP.

Zapnutí koncových bodů služby na straně sítě může vést k poklesu připojení, protože se zdrojová IP adresa změní z veřejné IPv4 adresy na privátní adresu. Nastavení seznamů ACL virtuální sítě na straně služby Azure před zapnutím koncových bodů služby na straně sítě může pomoct vyhnout se poklesu připojení.

Note

Pokud povolíte koncový bod služby u určitých služeb, jako je Microsoft.AzureActiveDirectory, uvidíte připojení IPV6 adres v protokolech Sign-In. Microsoft pro tento typ připojení používá interní privátní rozsah IPV6.

Ne všechny služby Azure se nacházejí ve virtuální síti zákazníka. Většina datových služeb Azure (například Azure Storage, Azure SQL a Azure Cosmos DB) je víceklientských služeb, ke kterým je možné přistupovat přes veřejné IP adresy. Další informace najdete v tématu Nasazení vyhrazených služeb Azure do virtuálních sítí.

Když zapnete koncové body služby virtuální sítě na straně sítě a nastavíte příslušné seznamy ACL virtuální sítě na straně služby Azure, přístup ke službě Azure se omezí na povolenou virtuální síť a podsíť.

Koncové body služby virtuální sítě omezují přístup služby Azure k povolené virtuální síti a podsíti. Tímto způsobem poskytují zabezpečení na úrovni sítě a izolaci provozu služby Azure.

Veškerý provoz, který používá koncové body služeb virtuální sítě, prochází přes páteřní síť Microsoftu a poskytuje další vrstvu izolace od veřejného internetu. Zákazníci se také můžou rozhodnout plně odebrat přístup k veřejnému internetu k prostředkům služby Azure a povolit provoz jenom ze své virtuální sítě prostřednictvím kombinace seznamů ACL brány firewall protokolu IP a virtuální sítě. Odebrání přístupu k internetu pomáhá chránit prostředky služeb Azure před neoprávněným přístupem.

Koncové body služeb virtuální sítě pomáhají chránit prostředky služeb Azure. Prostředky virtuální sítě jsou chráněné prostřednictvím skupin zabezpečení sítě.

No. Za používání koncových bodů služby pro virtuální síť nejsou žádné další náklady.

Ano, je to možné. Virtuální sítě a prostředky služeb Azure můžou být ve stejném předplatném nebo v různých předplatných. Jediným požadavkem je, aby virtuální síť i prostředky služby Azure byly ve stejném tenantovi Microsoft Entra.

Ano, je možné, když používáte koncové body služby pro Azure Storage a Azure Key Vault. U jiných služeb se koncové body služeb virtuální sítě a seznamy ACL virtuální sítě nepodporují v tenantech Microsoft Entra.

Prostředky služeb Azure zabezpečené k virtuálním sítím nejsou ve výchozím nastavení dostupné z místních sítí. Pokud chcete povolit provoz z místního prostředí, musíte také povolit veřejné (obvykle NAT) IP adresy z místního prostředí nebo ExpressRoute. Tyto IP adresy můžete přidat prostřednictvím konfigurace brány firewall protokolu IP pro prostředky služby Azure.

Alternatively, you can implement private endpoints for supported services.

Pokud chcete zabezpečit služby Azure pro více podsítí ve virtuální síti nebo v několika virtuálních sítích, povolte koncové body služeb na straně sítě na každé podsíti nezávisle. Potom zabezpečte prostředky služby Azure pro všechny podsítě nastavením příslušných seznamů ACL virtuální sítě na straně služby Azure.

Pokud chcete zkontrolovat nebo filtrovat provoz směřující do služby Azure z virtuální sítě, můžete do virtuální sítě nasadit síťové virtuální zařízení. Koncové body služby pak můžete použít na podsíť, ve které je síťové virtuální zařízení nasazené, a zabezpečit prostředky služby Azure pouze na tuto podsíť prostřednictvím seznamů ACL virtuální sítě.

Tento scénář může být užitečný také v případě, že chcete omezit přístup ke službě Azure z vaší virtuální sítě jenom na konkrétní prostředky Azure pomocí filtrování síťových virtuálních zařízení. Další informace najdete v tématu Nasazení vysoce dostupných síťových virtuálních zařízení.

Služba vrátí chybu HTTP 403 nebo HTTP 404.

Yes. Pro většinu služeb Azure můžou virtuální sítě vytvořené v různých oblastech přistupovat ke službám Azure v jiné oblasti prostřednictvím koncových bodů služby virtuální sítě. Pokud je například účet služby Azure Cosmos DB v oblasti USA – západ nebo USA – východ a virtuální sítě jsou ve více oblastech, budou mít virtuální sítě přístup ke službě Azure Cosmos DB.

Azure SQL je výjimka a je v podstatě regionální. Virtuální síť i služba Azure musí být ve stejné oblasti.

Yes. Seznam ACL virtuální sítě a brána firewall protokolu IP mohou existovat společně. Funkce se vzájemně doplňují, aby pomohly zajistit izolaci a zabezpečení.

Odstranění virtuálních sítí a odstranění podsítí jsou nezávislé operace. Podporují se i v případě, že zapnete koncové body služby pro služby Azure.

Pokud nastavíte seznamy ACL virtuální sítě pro služby Azure, informace seznamu ACL přidružené k těmto službám Azure se deaktivují při odstranění virtuální sítě nebo podsítě se zapnutými koncovými body služby virtuální sítě.

Odstranění účtu služby Azure je nezávislá operace. Podporuje se i v případě, že jste na straně sítě zapnuli koncový bod služby a nastavili seznamy ACL virtuální sítě na straně služby Azure.

Když zapnete koncové body služby virtuální sítě, zdrojové IP adresy prostředků v podsíti vaší virtuální sítě se přepnou z použití veřejných IPv4 adres na použití privátních IP adres virtuální sítě Azure pro provoz do služeb Azure. Tento přepínač může způsobit selhání konkrétních bran firewall protokolu IP, které jsou nastavené na veřejnou adresu IPv4 ve službách Azure.

Koncové body služby přidávají systémovou trasu, která má přednost před trasami protokolu BGP (Border Gateway Protocol) a zajišťuje optimální směrování provozu koncového bodu služby. Koncové body služby vždy přebírají provoz služby přímo z vaší virtuální sítě do služby v páteřní síti Microsoft Azure.

Další informace o tom, jak Azure vybere trasu, najdete v tématu Směrování provozu virtuální sítě.

No. Provoz PROTOKOLU ICMP, který je zdrojem z podsítě s povolenými koncovými body služby, nepřevezmou cestu tunelu služby k požadovanému koncovému bodu. Koncové body služby zpracovávají pouze provoz TCP. Pokud chcete otestovat latenci nebo připojení ke koncovému bodu prostřednictvím koncových bodů služby, nástroje jako ping a tracert nezobrazí skutečnou cestu, kterou budou prostředky v podsíti provádět.

Pokud se chcete spojit se službou Azure, skupiny zabezpečení sítě musí povolit odchozí připojení. Pokud jsou vaše skupiny zabezpečení sítě otevřené pro veškerý odchozí provoz internetu, měl by fungovat provoz koncového bodu služby. Odchozí provoz můžete také omezit jenom na IP adresy služby pomocí značek služeb.

Pokud máte k této síti přístup pro zápis, můžete nakonfigurovat koncové body služby ve virtuální síti nezávisle.

To secure Azure service resources to a virtual network, you must have Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/action permission for the subnets that you're adding. Toto oprávnění je ve výchozím nastavení součástí předdefinované role správce služby a dá se upravit prostřednictvím vytváření vlastních rolí.

Další informace o předdefinovaných rolích a přiřazení konkrétních oprávnění k vlastním rolím najdete v tématu Vlastní role Azure.

Zásady koncového bodu služby virtuální sítě můžete použít k filtrování provozu virtuální sítě do služeb Azure, což umožňuje pouze konkrétní prostředky služeb Azure přes koncové body služby. Zásady koncových bodů poskytují podrobné řízení přístupu z provozu virtuální sítě do služeb Azure.

Další informace najdete v tématu Zásady koncových bodů služby pro virtuální síť pro Azure Storage.

ID Microsoft Entra nativně nepodporuje koncové body služeb. Úplný seznam služeb Azure, které podporují koncové body služeb virtuální sítě, najdete v tématu Koncové body služeb virtuální sítě.

In that list, the Microsoft.AzureActiveDirectory tag listed under services that support service endpoints is used for supporting service endpoints to Azure Data Lake Storage Gen1. Integrace virtuální sítě pro Data Lake Storage Gen1 využívá zabezpečení koncového bodu služby virtuální sítě mezi vaší virtuální sítí a ID Microsoft Entra k vygenerování dalších deklarací zabezpečení v přístupovém tokenu. Tyto deklarace identity pak slouží k ověření vaší virtuální sítě v účtu Data Lake Storage Gen1 a povolení přístupu.

Celkový počet koncových bodů služby ve virtuální síti není nijak omezený. U prostředku služby Azure (například účtu Azure Storage) můžou služby vynucovat omezení počtu podsítí, které používáte k zabezpečení prostředku. Následující tabulka uvádí několik ukázkových omezení:

Azure service	Omezení pravidel virtuální sítě
Azure Storage	200
Azure SQL	128
Azure Synapse Analytics	128
Azure Key Vault	200
Azure Cosmos DB	64
Azure Event Hubs	128
Azure Service Bus	128

Note

Limity se můžou měnit podle vlastního uvážení služeb Azure. Podrobnosti najdete v příslušné dokumentaci ke službě.

Pokud se chcete spojit se službou Azure, skupiny zabezpečení sítě musí povolit odchozí připojení. Pokud jsou vaše skupiny zabezpečení sítě otevřené pro veškerý odchozí provoz internetu, měl by fungovat provoz koncového bodu služby. Odchozí provoz můžete také omezit jenom na IP adresy služby pomocí značek služeb.

Pokud máte k této síti přístup pro zápis, můžete nakonfigurovat koncové body služby ve virtuální síti nezávisle.

To secure Azure service resources to a virtual network, you must have Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/action permission for the subnets that you're adding. Toto oprávnění je ve výchozím nastavení součástí předdefinované role správce služby a dá se upravit prostřednictvím vytváření vlastních rolí.

Další informace o předdefinovaných rolích a přiřazení konkrétních oprávnění k vlastním rolím najdete v tématu Vlastní role Azure.

Zásady koncového bodu služby virtuální sítě můžete použít k filtrování provozu virtuální sítě do služeb Azure, což umožňuje pouze konkrétní prostředky služeb Azure přes koncové body služby. Zásady koncových bodů poskytují podrobné řízení přístupu z provozu virtuální sítě do služeb Azure.

Další informace najdete v tématu Zásady koncových bodů služby pro virtuální síť pro Azure Storage.

ID Microsoft Entra nativně nepodporuje koncové body služeb. Úplný seznam služeb Azure, které podporují koncové body služeb virtuální sítě, najdete v tématu Koncové body služeb virtuální sítě.

In that list, the Microsoft.AzureActiveDirectory tag listed under services that support service endpoints is used for supporting service endpoints to Azure Data Lake Storage Gen1. Integrace virtuální sítě pro Data Lake Storage Gen1 využívá zabezpečení koncového bodu služby virtuální sítě mezi vaší virtuální sítí a ID Microsoft Entra k vygenerování dalších deklarací zabezpečení v přístupovém tokenu. Tyto deklarace identity pak slouží k ověření vaší virtuální sítě v účtu Data Lake Storage Gen1 a povolení přístupu.

Celkový počet koncových bodů služby ve virtuální síti není nijak omezený. U prostředku služby Azure (například účtu Azure Storage) můžou služby vynucovat omezení počtu podsítí, které používáte k zabezpečení prostředku. Následující tabulka uvádí několik ukázkových omezení:

Azure service	Omezení pravidel virtuální sítě
Azure Storage	200
Azure SQL	128
Azure Synapse Analytics	128
Azure Key Vault	200
Azure Cosmos DB	64
Azure Event Hubs	128
Azure Service Bus	128

Note

Limity se můžou měnit podle vlastního uvážení služeb Azure. Podrobnosti najdete v příslušné dokumentaci ke službě.

Yes. Ve stejné virtuální síti nebo podsíti můžete mít několik privátních koncových bodů. Můžou se připojit k různým službám.

Ne, vytvoření více zón se stejným názvem pro jednu virtuální síť se nepodporuje.

No. Pro privátní koncové body nevyžadujete vyhrazenou podsíť. Ip adresu privátního koncového bodu můžete zvolit z libovolné podsítě z virtuální sítě, ve které je vaše služba nasazená.

Yes. Privátní koncové body se můžou připojit ke službám Private Link nebo k Azure PaaS napříč tenanty Microsoft Entra. Privátní koncové body napříč tenanty vyžadují ruční schválení žádosti.

Yes. Privátní koncové body se můžou připojit k prostředkům Azure PaaS napříč oblastmi Azure.

Když se vytvoří privátní koncový bod, přiřadí se síťová karta jen pro čtení. Síťovou kartu nejde upravit a zůstane pro životní cyklus privátního koncového bodu.

Privátní koncové body jsou vysoce dostupné prostředky se smlouvou SLA podle smlouvy SLA pro Azure Private Link. Vzhledem k tomu, že se jedná o regionální prostředky, může mít jakýkoli výpadek oblasti Azure vliv na dostupnost. Pokud chcete dosáhnout dostupnosti v případě selhání oblastí, může být v různých oblastech nasazeno více počítačů připojených ke stejnému cílovému prostředku. Pokud dojde k výpadku jedné oblasti, můžete dál směrovat provoz pro scénáře obnovení prostřednictvím prostředí PE v jiné oblasti pro přístup k cílovému prostředku. Informace o tom, jak se místní selhání zpracovávají na straně cílové služby, najdete v dokumentaci ke službě týkající se převzetí služeb při selhání a obnovení. Provoz Private Link se řídí překladem Azure DNS pro cílový koncový bod.

Privátní koncové body jsou vysoce dostupné prostředky se smlouvou SLA podle smlouvy SLA pro Azure Private Link. Privátní koncové body jsou nezávislé na zóně: Selhání zóny dostupnosti v oblasti privátního koncového bodu neovlivní dostupnost privátního koncového bodu.

Přenosy TCP a UDP jsou podporovány pouze pro privátní koncový bod. Další informace najdete v tématu Omezení služby Private Link.

Back-endy služeb by měly být ve virtuální síti a za Load Balancerem úrovně Standard.

Službu Private Link můžete škálovat několika různými způsoby:

• Přidání back-endových virtuálních počítačů do fondu za Load Balancerem úrovně Standard
• Přidejte IP adresu do služby Private Link. Povolujeme až 8 IP adres na službu Private Link.
• Přidejte novou službu Private Link do Load Balanceru úrovně Standard. Umožňujeme až osm služeb Private Link na Load Balancer úrovně Standard.

• Konfigurace IP adresy překladu adres (NAT) zajišťuje, že zdrojový (příjemce) a cílový adresní prostor (poskytovatel služeb) nemají konflikty IP adres. Konfigurace poskytuje zdrojový překlad adres (NAT) pro provoz privátního propojení pro cíl. IP adresa PŘEKLADU adres se zobrazí jako zdrojová IP adresa pro všechny pakety přijaté vaší službou a cílovou IP adresou pro všechny pakety odeslané vaší službou. IP adresu překladu adres (NAT) je možné vybrat z libovolné podsítě ve virtuální síti poskytovatele služeb.
• Každá IP adresa překladu adres (NAT) poskytuje 64k připojení TCP (64k portů) na virtuální počítač za Load Balancerem úrovně Standard. Pokud chcete škálovat a přidávat další připojení, můžete přidat nové IP adresy PROT nebo přidat další virtuální počítače za Load Balancer úrovně Standard. Tím se škáluje dostupnost portů a umožníte další připojení. Připojení se distribuují mezi IP adresy NAT a virtuální počítače za Load Balancerem úrovně Standard.

Yes. Jedna služba Private Link může přijímat připojení z několika privátních koncových bodů. Jeden privátní koncový bod se ale může připojit jenom k jedné službě Private Link.

Vystavení můžete řídit pomocí konfigurace viditelnosti ve službě Private Link. Viditelnost podporuje tři nastavení:

• None - Only subscriptions with role based access can locate the service.
• Restrictive - Only subscriptions that are approved and with role based access can locate the service.
• All - Everyone can locate the service.

No. Služba Private Link přes Load Balancer úrovně Basic se nepodporuje.

No. Pro službu Private Link se nevyžaduje vyhrazená podsíť. Ve virtuální síti, ve které je vaše služba nasazená, můžete zvolit libovolnou podsíť.

No. Azure Private Link poskytuje tuto funkci za vás. Adresní prostor zákazníka nemusíte mít nepřekryvný adresní prostor.

Next steps

• Další informace o službě Azure Private Link