Compartilhar via


Início Rápido: criar um ponto de extremidade privado usando a CLI do Azure

Introdução ao Link Privado do Azure ao criar e usar um ponto de extremidade privado para se conectar com segurança a um aplicativo Web do Azure.

Neste início rápido, crie um ponto de extremidade privado para um aplicativo Web dos Serviços de Aplicativos do Azure e, em seguida, crie e implante uma máquina virtual (VM) para testar a conexão privada.

Você pode criar pontos de extremidade privados para vários serviços do Azure, como o SQL do Azure e o Armazenamento do Microsoft Azure.

Diagrama dos recursos criados no início rápido do ponto de extremidade privado.

Pré-requisitos

  • Uma conta do Azure com uma assinatura ativa. Se você ainda não tiver uma conta do Azure, crie uma conta gratuitamente.

  • Um Aplicativo Web do Azure com um PremiumV2-tier ou um plano de serviço de aplicativo mais alto implantado em sua assinatura do Azure.

Criar um grupo de recursos

Um grupo de recursos do Azure é um contêiner lógico no qual os recursos do Azure são implantados e gerenciados.

Primeiro, crie um grupo de recursos usando az group create:

az group create \
    --name test-rg \
    --location eastus2

Criar uma rede virtual e um bastion host

Uma rede virtual e uma sub-rede são necessárias para hospedar o endereço IP privado para o ponto de extremidade privado. Você cria um bastion host para se conectar com segurança à máquina virtual e testar o ponto de extremidade privado. Você cria a máquina virtual em uma seção posterior.

Observação

Os preços por hora começam a partir do momento em que o Bastion é implantado, independentemente do uso de dados de saída. Para saber mais, confira Preços e SKUs. Se você estiver implantando o Bastion como parte de um tutorial ou teste, recomendamos que você exclua esse recurso depois de terminar de usá-lo.

Crie uma rede virtual com az network vnet create.

az network vnet create \
    --resource-group test-rg \
    --location eastus2 \
    --name vnet-1 \
    --address-prefixes 10.0.0.0/16 \
    --subnet-name subnet-1 \
    --subnet-prefixes 10.0.0.0/24

Crie uma sub-rede do bastion com az network vnet subnet create.

az network vnet subnet create \
    --resource-group test-rg \
    --name AzureBastionSubnet \
    --vnet-name vnet-1 \
    --address-prefixes 10.0.1.0/26

Crie um endereço IP público para o bastion host com az network public-ip create.

az network public-ip create \
    --resource-group test-rg \
    --name public-ip \
    --sku Standard \
    --zone 1 2 3

Crie um bastion host com az network bastion create.

az network bastion create \
    --resource-group test-rg \
    --name bastion \
    --public-ip-address public-ip \
    --vnet-name vnet-1 \
    --location eastus2

Levará alguns minutos para que o host do Azure Bastion seja implantado.

Criar um ponto de extremidade privado

Para configurar o ponto de extremidade privado e a conexão com a rede virtual é necessário um serviço do Azure que dê suporte a pontos de extremidade privado. Para os exemplos neste artigo, use o Azure WebApp dos pré-requisitos. Para saber mais sobre os serviços do Azure que dão suporte a um ponto de extremidade privado, confira Disponibilidade do Link Privado do Azure.

Um ponto de extremidade privado pode ter um endereço IP estático ou dinamicamente atribuído.

Importante

Você deve ter um aplicativo Web dos Serviços de Aplicativo do Azure implantado anteriormente para prosseguir com as etapas neste artigo. Para mais informações, consulte os Pré-requisitos.

Coloque a ID do recurso do aplicativo Web que você criou anteriormente em uma variável do shell com az webapp list. Crie o ponto de extremidade privado com az network private-endpoint create.

id=$(az webapp list \
    --resource-group test-rg \
    --query '[].[id]' \
    --output tsv)

az network private-endpoint create \
    --connection-name connection-1 \
    --name private-endpoint \
    --private-connection-resource-id $id \
    --resource-group test-rg \
    --subnet subnet-1 \
    --group-id sites \
    --vnet-name vnet-1    

Configurar a zona DNS privada

Uma zona DNS privada é usada para resolver o nome DNS do ponto de extremidade privado na rede virtual. Para este exemplo, estamos usando as informações de DNS para um Azure WebApp. Para obter mais informações sobre a configuração DNS de pontos de extremidade privados, consulte a Configuração do DNS do Ponto de Extremidade Privado do Azure].

Crie uma nova zona DNS privada do Azure com az network private-dns zone create.

az network private-dns zone create \
    --resource-group test-rg \
    --name "privatelink.azurewebsites.net"

Vincule a zona DNS à rede virtual que você criou anteriormente com az network private-dns link vnet create.

az network private-dns link vnet create \
    --resource-group test-rg \
    --zone-name "privatelink.azurewebsites.net" \
    --name dns-link \
    --virtual-network vnet-1 \
    --registration-enabled false

Crie um grupo de zonas DNS com az network private-endpoint dns-zone-group create.

az network private-endpoint dns-zone-group create \
    --resource-group test-rg \
    --endpoint-name private-endpoint \
    --name zone-group \
    --private-dns-zone "privatelink.azurewebsites.net" \
    --zone-name webapp

Criar uma máquina virtual de teste

Para verificar o endereço IP estático e a funcionalidade do ponto de extremidade privado, é necessária uma máquina virtual de teste conectada à sua rede virtual.

Crie a máquina virtual com az vm create.

az vm create \
    --resource-group test-rg \
    --name vm-1 \
    --image Win2022Datacenter \
    --public-ip-address "" \
    --vnet-name vnet-1 \
    --subnet subnet-1 \
    --admin-username azureuser

Observação

Máquinas virtuais em uma rede virtual com um bastion host não precisam de endereços IP públicos. O Bastion fornece o IP público e as VMs usam IPs privados para se comunicar dentro da rede. Você pode remover os IPs públicos de qualquer VM em redes virtuais hospedadas no bastion. Para obter mais informações, confira dissociar um endereço IP público de uma VM do Azure.

Observação

O Azure fornece um IP de acesso de saída padrão para VMs que não receberam um endereço IP público ou que estão no pool de back-end de um balanceador de carga do Azure básico interno. O mecanismo de IP de acesso de saída padrão fornece um endereço IP de saída que não é configurável.

O IP de acesso de saída padrão é desabilitado quando um dos seguintes eventos acontece:

  • Um endereço IP público é atribuído à VM.
  • A VM é colocada no pool de back-end de um balanceador de carga padrão, com ou sem regras de saída.
  • Um recurso da Gateway da NAT do Azure é atribuído à sub-rede da VM.

As VMs criadas por conjuntos de dimensionamento de máquinas virtuais no modo de orquestração flexível não têm acesso de saída padrão.

Para mais informações sobre conexões de saída no Azure, confira Acesso de saída padrão no Azure e Usar SNAT (conversão de endereços de rede de origem) para conexões de saída.

Testar a conectividade com o ponto de extremidade privado

Use a VM que você criou anteriormente para se conectar ao aplicativo Web no ponto de extremidade privado.

  1. Na caixa de pesquisa na parte superior do portal insira Máquina virtual. Selecione Máquinas virtuais.

  2. Selecione vm-1.

  3. Na página de visão geral de vm-1, selecione Conectar e, em seguida, selecione a guia Bastion.

  4. Selecione Usar Bastion.

  5. Insira o nome de usuário e a senha que você usou quando criou a VM.

  6. Selecione Conectar.

  7. Depois de se conectar, abra o PowerShell no servidor.

  8. Digite nslookup webapp-1.azurewebsites.net. Você recebe uma mensagem semelhante ao exemplo a seguir:

    Server:  UnKnown
    Address:  168.63.129.16
    
    Non-authoritative answer:
    Name:    webapp-1.privatelink.azurewebsites.net
    Address:  10.0.0.10
    Aliases:  webapp-1.azurewebsites.net
    

    Um endereço IP privado de 10.0.0.10 é retornado para o nome do aplicativo Web se você tiver escolhido o endereço IP estático nas etapas anteriores. Esse endereço está na sub-rede da rede virtual criada anteriormente.

  9. Na conexão do Bastion com vm-1, abra o navegador Web.

  10. Insira a URL do seu aplicativo web, https://webapp-1.azurewebsites.net.

    Se o seu aplicativo Web não tiver sido implantado, você verá a seguinte página padrão do aplicativo Web:

    Captura de tela que mostra a página padrão do aplicativo Web em um navegador.

  11. Fechar a conexão com vm-1.

Limpar os recursos

Use o comando az group delete para remover o grupo de recursos, o serviço de link privado, o balanceador de carga e todos os recursos relacionados quando não forem mais necessários.

  az group delete \
    --name test-rg

Próximas etapas

Para obter mais informações sobre os serviços que dão suporte a um ponto de extremidade privado, confira: