Управление сетевыми политиками для частных конечных точек

По умолчанию политики сети отключены для подсети в виртуальной сети. Чтобы использовать политики сети, такие как определяемые пользователем маршруты и поддержка группы безопасности сети, необходимо включить поддержку политики сети для подсети. Этот параметр применяется только к частным конечным точкам в подсети и влияет на все частные конечные точки в подсети. Для других ресурсов в подсети управление доступом осуществляется на основе правил безопасности в группе безопасности сети.

Политики сети можно включить только для групп безопасности сети, только для определяемых пользователем маршрутов или для обоих.

Если вы включите политики безопасности сети для определяемых пользователем маршрутов, можно использовать префикс пользовательского адреса, равный или больше, чем адресное пространство виртуальной сети, чтобы сделать недопустимым маршрут /32 по умолчанию, распространяемый частной конечной точкой. Эта возможность может быть полезной, если вы хотите убедиться, что запросы на подключение к частной конечной точке проходят через брандмауэр или виртуальную (модуль). В противном случае маршрут /32 по умолчанию отправляет трафик непосредственно в частную конечную точку в соответствии с самым длинным алгоритмом сопоставления префикса.

Важно!

Чтобы сделать маршрут частной конечной точки недействительным, определяемые пользователем маршруты должны иметь префикс, равный или больше, чем адресное пространство виртуальной сети, в котором подготовлена частная конечная точка. Например, определяемый пользователем маршрут по умолчанию (0.0.0.0/0) не делает недопустимыми маршруты частной конечной точки. Политики сети должны быть включены в подсети, где размещается частная конечная точка.

Чтобы включить или отключить политику сети для частных конечных точек, выполните следующие действия.

• Портал Azure
• Azure PowerShell
• Azure CLI
• шаблоны Azure Resource Manager (шаблоны ARM);

В следующих примерах описывается включение и отключение PrivateEndpointNetworkPolicies виртуальной сети myVNet с default подсетью размещенной 10.1.0.0/24 в группе ресурсов с именем myResourceGroup.

Включение политики сети

Портал

1. Войдите на портал Azure.

2. В поле поиска в верхней части портала введите виртуальные сети. Выберите Виртуальные сети.

3. Выберите myVNet.

4. В параметрах myVNet выберите Подсети.

5. Выберите подсеть default.

6. В свойствах подсети по умолчанию выберите проверка boxes для групп безопасности сети, таблиц маршрутов или в политике СЕТИ ДЛЯ ЧАСТНЫх конечных точек.

7. Выберите Сохранить.

PowerShell

Для включения политики используйте Get-AzVirtualNetwork, Set-AzVirtualNetworkSubnetConfig и Set-AzVirtualNetwork.

$net = @{
    Name = 'myVNet'
    ResourceGroupName = 'myResourceGroup'
}
$vnet = Get-AzVirtualNetwork @net

$sub = @{
    Name = 'default'
    VirtualNetwork = $vnet
    AddressPrefix = '10.1.0.0/24'
    PrivateEndpointNetworkPoliciesFlag = 'Enabled'  # Can be either 'Disabled', 'NetworkSecurityGroupEnabled', 'RouteTableEnabled', or 'Enabled'
}
Set-AzVirtualNetworkSubnetConfig @sub

$vnet | Set-AzVirtualNetwork

CLI

Используйте команду az network vnet subnet update, чтобы включить политику. Azure CLI поддерживает только значения true или false. Это не позволяет выборочно включать политики только для определяемых пользователем маршрутов или групп безопасности сети:

az network vnet subnet update \
  --disable-private-endpoint-network-policies false \
  --name default \
  --resource-group myResourceGroup \
  --vnet-name myVNet

JSON

В этом разделе описывается включение политик частной конечной точки подсети с помощью шаблона ARM. Возможные значенияprivateEndpointNetworkPolicies: Disabled, NetworkSecurityGroupEnabledи RouteTableEnabledEnabled.

{ 
          "name": "myVNet", 
          "type": "Microsoft.Network/virtualNetworks", 
          "apiVersion": "2019-04-01", 
          "location": "WestUS", 
          "properties": { 
                "addressSpace": { 
                     "addressPrefixes": [ 
                          "10.1.0.0/16" 
                        ] 
                  }, 
                  "subnets": [ 
                         { 
                                "name": "default", 
                                "properties": { 
                                    "addressPrefix": "10.1.0.0/24", 
                                    "privateEndpointNetworkPolicies": "Enabled" 
                                 } 
                         } 
                  ] 
          } 
} 

Отключение политики сети

Портал

1. Войдите на портал Azure.

2. В поле поиска в верхней части портала введите виртуальные сети. Выберите Виртуальные сети.

3. Выберите myVNet.

4. В параметрах myVNet выберите Подсети.

5. Выберите подсеть default.

6. В свойствах для подсети default выберите Отключено в ПОЛИТИКЕ СЕТИ ДЛЯ ЧАСТНЫХ КОНЕЧНЫХ ТОЧЕК.

7. Выберите Сохранить.

PowerShell

Для отключения политики используйте Get-AzVirtualNetwork, Set-AzVirtualNetwork и Set-AzVirtualNetworkSubnetConfig.

$net = @{
    Name = 'myVNet'
    ResourceGroupName = 'myResourceGroup'
}
$vnet = Get-AzVirtualNetwork @net

$sub = @{
    Name = 'default'
    VirtualNetwork = $vnet
    AddressPrefix = '10.1.0.0/24'
    PrivateEndpointNetworkPoliciesFlag = 'Disabled'
}
Set-AzVirtualNetworkSubnetConfig @sub

$vnet | Set-AzVirtualNetwork

CLI

Используйте команду az network vnet subnet update, чтобы отключить политику.

az network vnet subnet update \
  --disable-private-endpoint-network-policies true \
  --name default \
  --resource-group myResourceGroup \
  --vnet-name myVNet
  

JSON

В этом разделе описывается отключение политик частной конечной точки подсети с помощью шаблона ARM.

{ 
          "name": "myVNet", 
          "type": "Microsoft.Network/virtualNetworks", 
          "apiVersion": "2019-04-01", 
          "location": "WestUS", 
          "properties": { 
                "addressSpace": { 
                     "addressPrefixes": [ 
                          "10.1.0.0/16" 
                        ] 
                  }, 
                  "subnets": [ 
                         { 
                                "name": "default", 
                                "properties": { 
                                    "addressPrefix": "10.1.0.0/24", 
                                    "privateEndpointNetworkPolicies": "Disabled" 
                                 } 
                         } 
                  ] 
          } 
} 

Важно!

Существуют ограничения для частных конечных точек в отношении функции политики сети и групп безопасности сети и определяемых пользователем маршрутов. Дополнительные сведения см. в статье Ограничения.

Следующие шаги

• Дополнительные сведения см. в статье "Что такое частная конечная точка?".