Configurar o Private Link do Gateway de Aplicação do Azure

O Application Gateway Private Link permite que você conecte suas cargas de trabalho por meio de uma conexão privada que abrange redes virtuais e assinaturas. Para obter mais informações, consulte Link privado do gateway de aplicativo.

Opções de configuração

O Link Privado do Gateway de Aplicativo pode ser configurado por meio de várias opções, como, entre outras, o portal do Azure, o Azure PowerShell e a CLI do Azure.

Portal do Azure

Definir uma sub-rede para Configuração de Link Privado

Para habilitar a Configuração de Link Privado, uma sub-rede, diferente da sub-rede do Application Gateway, é necessária para a configuração de IP de link privado. O Link Privado deve usar uma sub-rede que não contenha nenhum Application Gateways. O dimensionamento da sub-rede é determinado pelo número de conexões necessárias para sua implantação. Cada endereço IP alocado para essa sub-rede garante conexões TCP simultâneas de 64 K que podem ser estabelecidas via Private Link em um único ponto no tempo. Aloque mais endereços IP para permitir mais conexões via Private Link. Por exemplo: n * 64K; onde n é o número de endereços IP que estão sendo provisionados.

Nota

O número máximo de endereços IP por configuração de link privado é oito. Apenas a alocação dinâmica é suportada.

Conclua as seguintes etapas para criar uma nova sub-rede:

Adicionar, alterar ou eliminar uma sub-rede de rede virtual

Configurar o Private Link

A configuração de link privado define a infraestrutura usada pelo Application Gateway para habilitar conexões de pontos de extremidade privados. Ao criar a configuração Private Link, certifique-se de que um ouvinte esteja utilizando ativamente a respeitada configuração de IP frontend. Conclua as seguintes etapas para criar a configuração de Link Privado:

1. Aceda ao Portal do Azure

2. Procure e selecione Gateways de Aplicativos.

3. Selecione o nome do gateway de aplicativo que você deseja habilitar o link privado.

4. Selecione Link privado

5. Configure os seguintes itens:

   • Nome: O nome da configuração do link privado.
   • Sub-rede de link privado: Os endereços IP da sub-rede devem ser consumidos.
   • Configuração de IP Frontend: O endereço IP frontend para o qual o link privado deve encaminhar o tráfego no Application Gateway.
   • Configurações de endereço IP privado: especifique pelo menos um endereço IP

6. Selecione Adicionar.

7. Na folha de propriedades do Application Gateways, obtenha e anote a ID do Recurso, isso é necessário se você estiver configurando um Ponto de Extremidade Privado dentro de um locatário diferente do Microsoft Entra.

Configurar ponto de extremidade privado

Um ponto de extremidade privado é uma interface de rede que usa um endereço IP privado da rede virtual que contém clientes que desejam se conectar ao seu Application Gateway. Cada um dos clientes usa o endereço IP privado do ponto de extremidade privado para encapsular o tráfego para o Application Gateway. Para criar um ponto de extremidade privado, conclua as seguintes etapas:

1. Selecione o separador Ligações de ponto final privado.
2. Selecione Criar.
3. Na guia Noções básicas, configure um grupo de recursos, nome e região para o Ponto de extremidade privado. Selecione Seguinte.
4. Na guia Recurso, selecione Avançar.
5. Na guia Rede Virtual, configure uma rede virtual e uma sub-rede para a qual a interface de rede de ponto de extremidade privada deve ser provisionada. Configure se o ponto de extremidade privado deve ter um endereço IP dinâmico ou estático. Selecione Seguinte.
6. Na guia Marcas, opcionalmente, configure as tags de recurso. Selecione Seguinte.
7. Selecione Criar.

Nota

Se o recurso de configuração de IP público ou privado estiver ausente ao tentar selecionar um subrecurso de destino na guia Recurso da criação de ponto final privado, certifique-se de que um ouvinte esteja utilizando ativamente a configuração de IP de front-end respeitada. As configurações de IP frontend sem um ouvinte associado não serão mostradas como um subrecurso de destino.

Nota

Se você estiver provisionando um Ponto de Extremidade Privado de dentro de outro locatário, precisará utilizar a ID do Recurso do Gateway de Aplicativo do Azure e o Nome da configuração IP do Frontend como o subrecurso de destino. Por exemplo, se eu tivesse um IP privado associado ao Application Gateway e o Nome listado na configuração de IP Frontend do portal para o IP privado fosse PrivateFrontendIp, o valor do subrecurso de destino seria: PrivateFrontendIp.

Nota

Se você precisar mover um Ponto de Extremidade Privado para outra assinatura, deverá primeiro excluir a conexão existente do Ponto de Extremidade Privado entre o Link Privado e o Ponto de Extremidade Privado. Quando isso for concluído, você terá que recriar uma nova conexão de Ponto Final Privado na nova assinatura para estabelecer conexão entre Link Privado e Ponto de Extremidade Privado.

Azure PowerShell

Para configurar o link Privado em um Gateway de Aplicativo existente por meio do Azure PowerShell, use os seguintes comandos:

# Disable Private Link Service Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-PSH'
    ResourceGroupName = 'AppGW-PL-PSH-RG'
}
$vnet = Get-AzVirtualNetwork @net

($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}).PrivateLinkServiceNetworkPolicies = "Disabled"

$vnet | Set-AzVirtualNetwork

# Get Application Gateway Frontend IP Name
$agw = Get-AzApplicationGateway -Name AppGW-PL-PSH -ResourceGroupName AppGW-PL-PSH-RG
# List the names
$agw.FrontendIPConfigurations | Select Name

# Add a new Private Link configuration and associate it with an existing Frontend IP
$PrivateLinkIpConfiguration = New-AzApplicationGatewayPrivateLinkIpConfiguration `
                            -Name "ipConfig01" `
                            -Subnet ($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}) `
                            -Primary

# Add the Private Link configuration to the gateway configuration
Add-AzApplicationGatewayPrivateLinkConfiguration `
                            -ApplicationGateway $agw `
                            -Name "privateLinkConfig01" `
                            -IpConfiguration $PrivateLinkIpConfiguration

# Associate private link configuration to Frontend IP
$agwPip = ($agw | Select -ExpandProperty FrontendIpConfigurations| Where-Object {$_.Name -eq 'appGwPublicFrontendIp'}).PublicIPAddress.Id
$privateLinkConfiguration = ($agw | Select -ExpandProperty PrivateLinkConfigurations | Where-Object {$_.Name -eq 'privateLinkConfig01'}).Id
Set-AzApplicationGatewayFrontendIPConfig -ApplicationGateway $agw -Name "appGwPublicFrontendIp" -PublicIPAddressId $agwPip -PrivateLinkConfigurationId $privateLinkConfiguration

# Apply the change to the gateway
Set-AzApplicationGateway -ApplicationGateway $agw

# Disable Private Endpoint Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-Endpoint-PSH-VNET'
    ResourceGroupName = 'AppGW-PL-Endpoint-PSH-RG'
}
$vnet_plendpoint = Get-AzVirtualNetwork @net

($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}).PrivateEndpointNetworkPolicies = "Disabled"

$vnet_plendpoint | Set-AzVirtualNetwork

# Create Private Link Endpoint - Group ID is the same as the frontend IP configuration
$privateEndpointConnection = New-AzPrivateLinkServiceConnection -Name "AppGW-PL-Connection" -PrivateLinkServiceId $agw.Id -GroupID "appGwPublicFrontendIp"

## Create private endpoint
New-AzPrivateEndpoint -Name "AppGWPrivateEndpoint" -ResourceGroupName $vnet_plendpoint.ResourceGroupName -Location $vnet_plendpoint.Location -Subnet ($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}) -PrivateLinkServiceConnection $privateEndpointConnection

A seguir está uma lista de todas as referências do Azure PowerShell para Configuração de Link Privado no Gateway de Aplicativo:

• Get-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkIpConfiguration
• Add-AzApplicationGatewayPrivateLinkConfiguration
• Remove-AzApplicationGatewayPrivateLinkConfiguration
• Set-AzApplicationGatewayPrivateLinkConfiguration

CLI do Azure

Para configurar o link privado em um Gateway de Aplicativo existente por meio da CLI do Azure, use os seguintes comandos:

# Disable Private Link Service Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
az network vnet subnet update \
				--name AppGW-PL-Subnet \
				--vnet-name AppGW-PL-CLI-VNET \
				--resource-group AppGW-PL-CLI-RG \
				--disable-private-link-service-network-policies true

# Get Application Gateway Frontend IP Name
az network application-gateway frontend-ip list \
							--gateway-name AppGW-PL-CLI \
							--resource-group AppGW-PL-CLI-RG

# Add a new Private Link configuration and associate it with an existing Frontend IP
az network application-gateway private-link add \
							--frontend-ip appGwPublicFrontendIp \
							--name privateLinkConfig01 \
							--subnet /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/virtualNetworks/AppGW-PL-CLI-VNET/subnets/AppGW-PL-Subnet \
							--gateway-name AppGW-PL-CLI \
							--resource-group AppGW-PL-CLI-RG

# Get Private Link resource ID
az network application-gateway private-link list \
				--gateway-name AppGW-PL-CLI \
				--resource-group AppGW-PL-CLI-RG



# Disable Private Endpoint Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
az network vnet subnet update \
				--name MySubnet \
				--vnet-name AppGW-PL-Endpoint-CLI-VNET \
				--resource-group AppGW-PL-Endpoint-CLI-RG \
				--disable-private-endpoint-network-policies true

# Create Private Link Endpoint - Group ID is the same as the frontend IP configuration
az network private-endpoint create \
	--name AppGWPrivateEndpoint \
	--resource-group AppGW-PL-Endpoint-CLI-RG \
	--vnet-name AppGW-PL-Endpoint-CLI-VNET \
	--subnet MySubnet \
	--group-id appGwPublicFrontendIp \
	--private-connection-resource-id /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/applicationGateways/AppGW-PL-CLI \
	--connection-name AppGW-PL-Connection

Uma lista de todas as referências da CLI do Azure para Configuração de Link Privado no Gateway de Aplicativo está disponível aqui: CLI da CLI do Azure - Link Privado

Próximos passos

• Saiba mais sobre o Azure Private Link: O que é o Azure Private Link.