IoT Hub-ondersteuning voor virtuele netwerken met Azure Private Link

Standaard worden IoT Hub hostnamen toegewezen aan een openbaar eindpunt met een openbaar routeerbaar IP-adres via internet. Verschillende klanten delen dit IoT Hub openbaar eindpunt en IoT-apparaten in wide area networks en on-premises netwerken hebben allemaal toegang tot dit eindpunt.

Opmerking

IoT Hub introduceert aanvullende eindpunten ter ondersteuning van TLS 1.3 (preview). Deze eindpunten zijn additief en vervangen niet het bestaande eindpunt dat wordt gebruikt door Private Link (<hub>.azure-devices.net). Bestaande privé-eindpuntconfiguraties blijven werken zonder wijzigingen.

Zie eindpunten met TLS 1.3-functionaliteit voor meer informatie over deze eindpunten.

Diagram met het openbare IoT Hub-eindpunt en verschillende interacties.

Sommige IoT Hub-functies, waaronder berichtroutering, bestandsupload en bulksgewijs importeren/exporteren van apparaten, vereisen ook connectiviteit van IoT Hub naar een Azure-resource die eigendom is van de klant via het openbare eindpunt. Deze connectiviteitspaden vormen het uitgaande verkeer van IoT Hub naar klantresources.

Mogelijk wilt u de connectiviteit met uw Azure-resources (inclusief IoT Hub) beperken via een virtueel netwerk waarvan u de eigenaar bent en om verschillende redenen werkt, waaronder:

  • Introductie van netwerkisolatie voor uw IoT-hub door blootstelling aan de connectiviteit met het openbare internet te voorkomen.

  • Het inschakelen van een privéverbindingservaring van uw on-premises netwerkassets, waardoor uw gegevens en verkeer rechtstreeks naar het Backbone-netwerk van Azure worden verzonden.

  • Exfiltratieaanvallen van gevoelige on-premises netwerken voorkomen.

  • Het volgen van vastgestelde Azure-wide connectiviteitspatronen met behulp van privé-eindpunten.

In dit artikel wordt beschreven hoe u deze doelen kunt bereiken met behulp van Azure Private Link voor inkomend verkeer met IoT Hub en door gebruik te maken van vertrouwde Microsoft-services uitzondering voor uitgaande verbindingen van IoT Hub met andere Azure resources.

Een privé-eindpunt is een privé-IP-adres dat is toegewezen in een virtueel netwerk dat eigendom is van de klant, waarmee een Azure-resource bereikbaar is. Met behulp van Azure Private Link kunt u een privé-eindpunt instellen voor uw IoT hub, zodat services in uw virtuele netwerk IoT Hub kunnen bereiken zonder verkeer naar het openbare eindpunt van IoT Hub te verzenden. Op dezelfde manier kunnen uw on-premises apparaten Azure VPN-gateway of Azure ExpressRoute-peering gebruiken om verbinding te maken met uw virtuele netwerk en uw IoT-hub (via het privé-eindpunt). Als gevolg hiervan kunt u de connectiviteit met de openbare eindpunten van uw IoT hub beperken of volledig blokkeren met behulp van IoT Hub IP-filter of de openbare netwerktoegangsknop. Met deze benadering houd je de verbinding met je hub in stand via het privé-eindpunt voor apparaten. De belangrijkste focus van deze installatie is voor apparaten in een on-premises netwerk. Deze installatie wordt niet aanbevolen voor apparaten die zijn geïmplementeerd in een wide area-netwerk.

Diagram met inkomend verkeer van virtueel IoT Hub-netwerk.

Voordat u doorgaat, moet u ervoor zorgen dat aan de volgende vereisten wordt voldaan:

Een privé-eindpunt instellen voor IoT Hub-ingress

Privé-eindpunten werken voor IoT Hub-apparaat-API's (zoals apparaat-naar-cloud-berichten) en service-API's (zoals het maken en bijwerken van apparaten).

  1. Ga in de Azure-portal naar uw IoT-hub.

  2. Selecteer in het linkerdeelvenster onder Beveiligingsinstellingen de optiePrivétoegang> en selecteer vervolgens Een privé-eindpunt maken.

    Schermopname die laat zien waar een privé-eindpunt voor een IoT-hub moet worden toegevoegd.

  3. Voer het abonnement, de resourcegroep, de naam, de naam van de netwerkinterface en de regio in om het nieuwe privé-eindpunt te maken. Maak het privé-eindpunt in dezelfde regio als uw hub.

  4. Selecteer Volgende: Resource en voer het abonnement voor uw IoT Hub-resource in. Selecteer vervolgens Microsoft.Devices/IotHubs voor het resourcetype, de naam van uw IoT-hub als de resource en iotHub als doelsubresource.

  5. Selecteer Volgende: Virtual Network en voer uw virtual network en subnet in om het privé-eindpunt te maken.

  6. Selecteer Volgende: DNS en selecteer desgewenst de optie om te integreren met een privé-DNS-zone.

  7. Selecteer Volgende: Tags en eventueel eventuele tags voor uw resource invoeren.

  8. Selecteer Volgende: Beoordelen en maken om de details voor uw Private Link-resource te controleren en selecteer vervolgens Maken om de resource te maken.

Ingebouwd Event Hubs-compatibel eindpunt

U kunt ook toegang krijgen tot het ingebouwde event hubs-compatibele eindpunt via een privé-eindpunt . Wanneer u private link configureert, ziet u een andere privé-eindpuntverbinding en -configuratie voor het ingebouwde eindpunt. Het is degene met servicebus.windows.net in de FQDN.

Schermopname van twee privé-eindpunten voor een Privékoppeling van IoT Hub, waarin de FQDN en configuratie voor het ingebouwde eindpunt worden gemarkeerd.

U kunt desgewenst het IP-filter van IoT Hub gebruiken om de openbare toegang tot het ingebouwde eindpunt te beheren.

Als u de toegang tot uw IoT-hub volledig wilt blokkeren, schakelt u openbare netwerktoegang uit of gebruikt u IP-filter om alle IP-adressen te blokkeren en selecteert u de optie om regels toe te passen op het ingebouwde eindpunt.

Voor prijsdetails, zie Azure Private Link pricing.

Uitgaande connectiviteit van IoT Hub naar andere Azure-resources

IoT Hub kan verbinding maken met uw Azure Blob Storage-, Event Hubs- en Service Bus-resources voor berichtroutering, bestandsupload en bulkimport/-export van apparaten via het openbare eindpunt van deze resources. Als u uw resource aan een virtueel netwerk bindt, wordt de verbinding met de resource standaard geblokkeerd. Als gevolg hiervan voorkomt deze configuratie dat IoT-hubs gegevens naar uw resources verzenden. U kunt dit probleem oplossen door connectiviteit vanuit uw IoT Hub resource in te schakelen naar uw opslagaccount, Event Hub of Service Bus resources via de optie trusted Microsoft service.

Als u wilt dat andere services uw IoT-hub kunnen vinden als een vertrouwde Microsoft-service, moet uw hub een beheerde identiteit gebruiken. Zodra een beheerde identiteit is ingericht, verleent u toestemming aan de beheerde identiteit van uw hub om toegang te krijgen tot uw aangepaste eindpunt. Volg de procedures in ioT Hub-ondersteuning voor beheerde identiteiten voor het inrichten van een beheerde identiteit met een RBAC-machtiging (op rollen gebaseerd toegangsbeheer) van Azure en voeg het aangepaste eindpunt toe aan uw IoT-hub. Als u uw IoT-hubs toegang wilt geven tot het aangepaste eindpunt, moet u de uitzondering van de vertrouwde Microsoft first party inschakelen als u de firewallconfiguraties hebt geïnstalleerd.

Prijzen voor vertrouwde Microsoft-serviceoptie

De uitzonderingsfunctie voor vertrouwde services van Microsoft is gratis. De kosten voor de ingerichte opslagaccounts, Event Hubs of Service Bus-resources zijn afzonderlijk van toepassing.

Volgende stappen

Zie de volgende bronnen voor meer informatie over IoT Hub functies:

  • Last updated on