Configurer le service Private Link Direct Connect

Les clients peuvent désormais connecter un service Private Link à n’importe quelle adresse IP de destination routable privée.

Le service Azure Private Link permet aux fournisseurs de services de mettre leurs applications à la disposition de leurs clients en privé et en toute sécurité en les plaçant derrière un équilibreur de charge standard. Private Link service Direct Connect s’étend sur cette fonctionnalité et permet aux clients de connecter directement un service de liaison privée à n’importe quelle adresse IP de destination routable privée. Cette configuration est particulièrement utile pour les scénarios qui fournissent une connectivité privée aux applications qui nécessitent un routage direct basé sur IP, comme les connexions de base de données ou les applications personnalisées.

Cet article explique le service Private Link Direct Connect et explique comment le créer à l’aide d’Azure PowerShell, d’Azure CLI ou de Terraform.

Note

Cette fonctionnalité est disponible en préversion publique et est disponible dans certaines régions. Passez en revue toutes les considérations avant de l’activer pour votre abonnement.

Important

À partir du 15 octobre 2026, chaque ressource Direct Connect du service Private Link sera facturée à 0,675 USD de l’heure. Cette tarification s’applique aussi bien aux ressources existantes qu’aux ressources nouvellement créées.

Prerequisites

• Un compte Azure avec un abonnement actif.
• Azure PowerShell installé localement ou utiliser Azure Cloud Shell. Pour plus d’informations, consultez l’article Installation et configuration d’Azure PowerShell.
• Azure CLI installé localement ou utiliser Azure Cloud Shell. Pour plus d’informations, consultez la rubrique Installation de l’interface de ligne de commande Azure (CLI).
• Pour Terraform : Installez et configurez Terraform.
• Un réseau virtuel avec un sous-réseau.
• Adresse IP routable à définir comme adresse IP de destination.

Qu’est-ce que le service Private Link Direct Connect ?

Private Link Service (PLS) Direct Connect vous permet de :

• Acheminer le trafic directement vers une adresse IP de destination privée et spécifique au sein de votre réseau virtuel.
• Ignorez les exigences de l’équilibreur de charge pour les scénarios nécessitant une connectivité IP directe.
• Prendre en charge des scénarios de routage personnalisés où vous avez besoin d’un contrôle précis sur la destination du trafic.
• Configurez des scénarios développés tels que l’accès sécurisé aux ressources locales, aux saaS tiers et aux appliances virtuelles.

Cas d’utilisation courants

• Se connecter directement aux bases de données pour les applications nécessitant des connexions IP statiques
• Prendre en charge les scénarios d'application personnalisés qui ne fonctionnent pas avec le transfert d'équilibreur de charge
• Activer les applications héritées qui ont besoin d’un routage direct basé sur IP
• Scénarios nécessitant un routage défini par l’utilisateur (UDR) avec Private Link
• Fournir une connectivité locale

Conditions clés

• Fournissez au moins 2 configurations IP : pour cette fonctionnalité, au moins 2 configurations IP dans plusieurs de 2 sont requises pour la haute disponibilité.
• Spécifiez une adresse IP de destination statique : l’adresse IP cible doit être accessible dans votre réseau virtuel.
• Désactivez la propriété privateLinkServiceNetworkPolicies sur le sous-réseau : cette propriété n’est pas nécessaire pour cette fonctionnalité.

Limites

Notez ces limitations lors de l’utilisation du service Private Link Direct Connect :

• Connectivité sur site via ExpressRoute : vous ne pouvez pas acheminer vers des destinations sur site via un réseau virtuel appairé ou via la passerelle ExpressRoute d’un réseau virtuel appairé globalement, car la passerelle PLS Direct Connect et la passerelle ExpressRoute doivent se trouver dans le même réseau virtuel. La prise en charge de ce scénario est prévue lors de la mise à disposition générale (GA).
• Le point de terminaison privé en tant que destination n’est pas pris en charge : l’adresse IP de destination ne peut pas être un point de terminaison privé.
• Configurations IP minimales requises : au moins 2 configurations IP, ou plusieurs de 2 (limite de 8 max) sont nécessaires pour déployer une connexion directe PLS.
• Maximum de 10 PLS par abonnement : il existe une limitation matérielle de 10 PLS par région par abonnement.
• Limitation de bande passante : chaque plS Direct Connect peut prendre en charge une bande passante allant jusqu’à 10 Gbits/s.
• Exigence d’adresse IP statique : l’adresse IP de destination cible doit être allouée statiquement, il n’existe aucune prise en charge de l’adresse IP cible allouée dynamiquement.
• Limitation interrégion : le point de terminaison privé source, le service de liaison privée et la machine virtuelle cliente doivent se trouver dans la même région. Cette restriction doit être supprimée lorsque la fonctionnalité est généralement disponible.
• Disponibilité régionale : cette fonctionnalité est disponible dans des régions limitées (USA Centre Nord, USA Est 2, USA Centre Sud, USA Centre Sud, USA Ouest, USA Ouest 2, USA Ouest 3, Asie Sud-Est, Australie Est, Espagne Centre). La prise en charge de régions supplémentaires est prévue lors de la disponibilité générale (GA).
• Support des groupes de sécurité réseau pour les terminaux privés : Pour les terminaux privés associés à PLS Direct Connect, les configurations activéesPrivateEndpointNetworkPolicies, y compris NetworkSecurityGroupEnabled, ne sont pas prises en charge lors de la prévisualisation.

Considérations

• Aucune prise en charge de la migration : le déploiement de cette fonctionnalité nécessite un nouveau service Private Link. La migration des services de liaison privée existants n’est pas prise en charge.
• Prise en charge du client disponible : utilisez PowerShell, CLI ou Terraform pour déployer ce nouveau service Private Link.
• Le transfert IP est activé : s’il existe une stratégie sur l’abonnement qui désactive le transfert IP, la stratégie doit être désactivée pour autoriser la configuration appropriée. Bien que l’interface réseau direct du service Private Link puisse afficher le transfert IP défini sur désactivé (false), le service fonctionne comme si le transfert IP est activé.

Créer un service Private Link Direct Connect

PowerShell

Utilisez ce script pour créer un service Private Link Direct Connect à l’aide d’Azure PowerShell :

# Define variables
$resourceGroupName = "rg-pls-directconnect"
$location = "westus"
$vnetName = "pls-vnet"
$subnetName = "pls-subnet"
$plsName = "pls-directconnect"
$destinationIP = "10.0.1.100"

# Create resource group
New-AzResourceGroup -Name $resourceGroupName -Location $location

# Create virtual network (corrected parameter name)
$subnet = New-AzVirtualNetworkSubnetConfig -Name $subnetName -AddressPrefix "10.0.1.0/24" -privateLinkServiceNetworkPoliciesFlag "Disabled"
$vnet = New-AzVirtualNetwork -Name $vnetName -ResourceGroupName $resourceGroupName -Location $location -AddressPrefix "10.0.0.0/16" -Subnet $subnet

# Get subnet reference
$subnet = Get-AzVirtualNetworkSubnetConfig -VirtualNetwork $vnet -Name $subnetName

# Create IP configurations for Private Link service (minimum 2 or in multiples of 2 required)
$ipConfig1 = @{
    Name = "ipconfig1"
    PrivateIpAllocationMethod = "Dynamic"
    Subnet = $subnet
    Primary = $true
}

$ipConfig2 = @{
    Name = "ipconfig2"
    PrivateIpAllocationMethod = "Dynamic"
    Subnet = $subnet
    Primary = $false
}

# Create Private Link service Direct Connect
$pls = New-AzPrivateLinkservice `
    -Name $plsName `
    -ResourceGroupName $resourceGroupName `
    -Location $location `
    -IpConfiguration @($ipConfig1, $ipConfig2) `
    -DestinationIPAddress $destinationIP

Write-Output "Private Link service created successfully!"
Write-Output "Private Link service ID: $($pls.Id)"
Write-Output "Destination IP Address: $destinationIP"

Service de contrôle d’accès Azure (CLI)

Utilisez ce script pour créer un service Private Link Direct Connect à l’aide d’Azure CLI :

# Define variables
resourceGroupName="rg-pls-directconnect"
location="westus"
vnetName="pls-vnet"
subnetName="pls-subnet"
plsName="pls-directconnect "
destinationIP="10.0.1.100"

# Create resource group
az group create --name $resourceGroupName --location $location

# Create virtual network and subnet
az network vnet create \
    --resource-group $resourceGroupName \
    --name $vnetName \
    --address-prefix 10.0.0.0/16 \
    --subnet-name $subnetName \
    --subnet-prefix 10.0.1.0/24

# Disable Private Link service network policies on subnet
az network vnet subnet update \
    --resource-group $resourceGroupName \
    --vnet-name $vnetName \
    --name $subnetName \
    --private-link-service-network-policies Disabled

# Create Private Link service Direct Connect
az network private-link-service create \
    --resource-group $resourceGroupName \
    --name $plsName \
    --destination-ip-address $destinationIP \
    --location $location \
    --ip-configurations '[
      {
        "name": "ipconfig1",
        "primary": true,
        "private-ip-allocation-method": "Static",
        "private-ip-address": "10.0.1.10",
        "subnet": {
          "id": "/subscriptions/<your-subscription-id>/resourceGroups/'$resourceGroupName'/providers/Microsoft.Network/virtualNetworks/'$vnetName'/subnets/'$subnetName'"
        }
      },
      {
        "name": "ipconfig2", 
        "primary": false,
        "private-ip-allocation-method": "Static",
        "private-ip-address": "10.0.1.11",
        "subnet": {
          "id": "/subscriptions/<your-subscription-id>/resourceGroups/'$resourceGroupName'/providers/Microsoft.Network/virtualNetworks/'$vnetName'/subnets/'$subnetName'"
        }
      }
    ]'

echo "Private Link service created successfully!"
echo "Destination IP Address: $destinationIP"

Terraform

Utilisez cette configuration Terraform pour créer un service Private Link Direct Connect :

# Configure the Azure Provider
terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~>4.0"
    }
    random = {
      source  = "hashicorp/random"
      version = "~>3.1"
    }
  }
}

# Configure the Microsoft Azure Provider
provider "azurerm" {
  features {}
}

# Create a random pet name for unique resource naming
resource "random_pet" "rg_name" {
  prefix = "rg"
}

# Create Resource Group
resource "azurerm_resource_group" "rg" {
  name     = random_pet.rg_name.id
  location = "REGION"
}

# Create Virtual Network
resource "azurerm_virtual_network" "vnet" {
  name                = "${random_pet.rg_name.id}-vnet"
  location            = azurerm_resource_group.rg.location
  resource_group_name = azurerm_resource_group.rg.name
  address_space       = ["10.0.0.0/16"]
}

# Create subnet for Private Link service
resource "azurerm_subnet" "pls_subnet" {
  name                 = "pls-subnet"
  resource_group_name  = azurerm_resource_group.rg.name
  virtual_network_name = azurerm_virtual_network.vnet.name
  address_prefixes     = ["10.0.1.0/24"]

  # Required for Private Link service Direct Connect
  private_link_service_network_policies_enabled = false
}

# Create Private Link service Direct Connect
resource "azurerm_private_link_service" "pls" {
  name                = "${random_pet.rg_name.id}-pls"
  location            = azurerm_resource_group.rg.location
  resource_group_name = azurerm_resource_group.rg.name

  # Destination IP address for direct routing
  destination_ip_address = "10.0.1.100"

  # Minimum 2 IP configurations required for destination IP
  nat_ip_configuration {
    name     = "ipconfig1"
    primary  = true
    subnet_id = azurerm_subnet.pls_subnet.id
  }

  nat_ip_configuration {
    name     = "ipconfig2"
    primary  = false
    subnet_id = azurerm_subnet.pls_subnet.id
  }
}

# Output the Private Link service details
output "private_link_service_id" {
  description = "ID of the Private Link service"
  value       = azurerm_private_link_service.pls.id
}

output "private_link_service_alias" {
  description = "Alias of the Private Link service"
  value       = azurerm_private_link_service.pls.alias
}

output "destination_ip_address" {
  description = "Destination IP address"
  value       = azurerm_private_link_service.pls.destination_ip_address
}

output "resource_group_name" {
  description = "Name of the resource group"
  value       = azurerm_resource_group.rg.name
}

Créer un point de terminaison privé pour tester la connectivité

Après avoir créé votre service Private Link Direct Connect, créez un point de terminaison privé pour tester la connectivité :

PowerShell

# Variables for Private Endpoint
$peResourceGroupName = "rg-pe-test"
$peVnetName = "pe-vnet"
$peSubnetName = "pe-subnet"
$privateEndpointName = "pe-to-pls"
$privateLinkserviceId = "/subscriptions/your-subscription-id/resourceGroups/rg-pls-destinationip/providers/Microsoft.Network/privateLinkservices/pls-directconnect"

# Create resource group for PE
New-AzResourceGroup -Name $peResourceGroupName -Location $location

# Create VNet for Private Endpoint
$peSubnet = New-AzVirtualNetworkSubnetConfig -Name $peSubnetName -AddressPrefix "10.1.1.0/24" -PrivateEndpointNetworkPoliciesFlag "Disabled"
$peVnet = New-AzVirtualNetwork -Name $peVnetName -ResourceGroupName $peResourceGroupName -Location $location -AddressPrefix "10.1.0.0/16" -Subnet $peSubnet

# Get subnet reference for Private Endpoint
$peSubnet = Get-AzVirtualNetworkSubnetConfig -VirtualNetwork $peVnet -Name $peSubnetName

# Create Private Endpoint
$privateLinkserviceConnection = @{
    Name = "connection-to-pls"
    PrivateLinkserviceId = $privateLinkserviceId
}

$privateEndpoint = New-AzPrivateEndpoint -Name $privateEndpointName -ResourceGroupName $peResourceGroupName -Location $location -Subnet $peSubnet -PrivateLinkserviceConnection $privateLinkserviceConnection

Write-Output "Private Endpoint created: $($privateEndpoint.Name)"

Service de contrôle d’accès Azure (CLI)

# Variables for Private Endpoint
peResourceGroupName="rg-pe-test"
peVnetName="pe-vnet" 
peSubnetName="pe-subnet"
privateEndpointName="pe-to-pls"
privateLinkserviceId="/subscriptions/<your-subscription-id>/resourceGroups/rg-pls-directconnect/providers/Microsoft.Network/privateLinkservices/pls-directconnect"

# Create resource group for PE
az group create --name $peResourceGroupName --location $location

# Create VNet for Private Endpoint
az network vnet create \
    --resource-group $peResourceGroupName \
    --name $peVnetName \
    --address-prefix 10.1.0.0/16 \
    --subnet-name $peSubnetName \
    --subnet-prefix 10.1.1.0/24

# Disable Private Endpoint network policies
az network vnet subnet update \
    --resource-group $peResourceGroupName \
    --vnet-name $peVnetName \
    --name $peSubnetName \
    --disable-private-endpoint-network-policies true

# Create Private Endpoint
az network private-endpoint create \
    --resource-group $peResourceGroupName \
    --name $privateEndpointName \
    --vnet-name $peVnetName \
    --subnet $peSubnetName \
    --private-connection-resource-id $privateLinkserviceId \
    --connection-name "connection-to-pls"

echo "Private Endpoint created: $privateEndpointName"

Terraform

# Create Private Endpoint to test PLS connectivity
resource "azurerm_resource_group" "pe_rg" {
  name     = "${random_pet.rg_name.id}-pe"
  location = "westus"
}

resource "azurerm_virtual_network" "pe_vnet" {
  name                = "${random_pet.rg_name.id}-pe-vnet"
  location            = azurerm_resource_group.pe_rg.location
  resource_group_name = azurerm_resource_group.pe_rg.name
  address_space       = ["10.1.0.0/16"]
}

resource "azurerm_subnet" "pe_subnet" {
  name                 = "pe-subnet"
  resource_group_name  = azurerm_resource_group.pe_rg.name
  virtual_network_name = azurerm_virtual_network.pe_vnet.name
  address_prefixes     = ["10.1.1.0/24"]

  private_endpoint_network_policies_enabled = false
}

resource "azurerm_private_endpoint" "pe" {
  name                = "${random_pet.rg_name.id}-pe"
  location            = azurerm_resource_group.pe_rg.location
  resource_group_name = azurerm_resource_group.pe_rg.name
  subnet_id           = azurerm_subnet.pe_subnet.id

  private_service_connection {
    name                           = "connection-to-pls"
    private_connection_resource_id = azurerm_private_link_service.pls.id
    is_manual_connection           = false
  }
}

output "private_endpoint_ip" {
  description = "IP address of the Private Endpoint"
  value       = azurerm_private_endpoint.pe.private_service_connection[0].private_ip_address
}

Vérifier la configuration

Après avoir créé le service Private Link et le point de terminaison privé, vérifiez la configuration :

Vérifier l’état du service Private Link

PowerShell

# Get Private Link service details
$pls = Get-AzPrivateLinkservice -Name $plsName -ResourceGroupName $resourceGroupName

Write-Output "Private Link service: $($pls.Name)"
Write-Output "Provisioning State: $($pls.ProvisioningState)"
Write-Output "Destination IP: $($pls.DestinationIPAddress)"
Write-Output "IP Configurations: $($pls.IpConfigurations.Count)"

# Check Private Endpoint connections
$connections = $pls.PrivateEndpointConnections
foreach ($connection in $connections) {
    Write-Output "PE Connection: $($connection.Name) - Status: $($connection.PrivateLinkserviceConnectionState.Status)"
}

Service de contrôle d’accès Azure (CLI)

# Get Private Link service details
az network private-link-service show \
    --name $plsName \
    --resource-group $resourceGroupName \
    --query "{name:name, provisioningState:provisioningState, destinationIpAddress:destinationIpAddress, ipConfigCount:length(ipConfigurations)}"

# Check Private Endpoint connections
az network private-link-service show \
    --name $plsName \
    --resource-group $resourceGroupName \
    --query "privateEndpointConnections[].{name:name, status:privateLinkserviceConnectionState.status}"

Résolution des problèmes

Problèmes courants et solutions

Problème : « Vous devez inclure au minimum 2 configurations IP dans plusieurs de 2 »

Solution : veillez à configurer au moins 2 configurations IP lors de la configuration de PLS Direct Connect.

Problème : « Impossible d’atteindre l’adresse IP de destination »

Solution : Vérifiez que :

• L’adresse IP de destination est accessible au sein du réseau virtuel
• Il n’existe aucun transfert IP ou NAT entre l’adresse IP PLS et l’adresse IP de destination
• Les groupes de sécurité réseau autorisent le trafic requis

Nettoyer les ressources

Après les tests, nettoyez les ressources pour éviter des frais récurrents :

PowerShell

# Remove resource groups (this deletes all resources within them)
Remove-AzResourceGroup -Name $resourceGroupName -Force
Remove-AzResourceGroup -Name $peResourceGroupName -Force

Service de contrôle d’accès Azure (CLI)

# Remove resource groups (this deletes all resources within them)
az group delete --name $resourceGroupName --yes --no-wait
az group delete --name $peResourceGroupName --yes --no-wait

Terraform

# Destroy all Terraform-managed resources
terraform destroy -auto-approve

Questions fréquentes (FAQ)

L’indicateur de fonctionnalité n’est pas visible sur le portail. Comment m’inscrire à la fonctionnalité ?

• Inscrivez l’indicateur de fonctionnalité Microsoft.Network/AllowPrivateLinkserviceUDR via Azure CLI ou PowerShell, consultez ce guide pratique pour savoir comment : configurer des fonctionnalités en préversion dans l’abonnement Azure - Azure Resource Manager | Microsoft Learn.

La propriété privateLinkServiceNetworkPolicies doit-elle être définie sur True, comme par GA ?

• La propriété privateLinkServiceNetworkPolicies n’est pas nécessaire pour cette fonctionnalité. Définissez-la donc sur false.

Pourquoi la carte réseau Direct Connect du service Private Link affiche-t-elle la désactivation du transfert IP ?

• La carte réseau s’affiche avec le transfert IP désactivé en raison des exigences de la plateforme. Cela est attendu, le service Private Link Direct Connect effectue toujours le comportement de transfert requis en interne et le trafic est routé correctement.

Étapes suivantes

• Vue d’ensemble d’Azure Private Link
• Vue d’ensemble du service Azure Private Link
• Créer un point de terminaison privé à l’aide de Terraform
• Résoudre les problèmes de connectivité Azure Private Link