Использование частных конечных точек Azure для подключения к локальной среде Azure

В этой статье представлен обзор частных конечных точек Azure в локальной среде Azure, включая поддерживаемые и неподдерживаемые сценарии, а также ключевые требования к успешному подключению.

Сведения о частных конечных точках

Частная конечная точка — это сетевой интерфейс, использующий частный IP-адрес из виртуальной сети. Частные конечные точки позволяют службам Azure обращаться через частное сетевое подключение, а не через общедоступный Интернет. Это руководство поможет вам понять, как подключиться из локальной среды Azure к разным службам Azure PaaS, таким как служба хранилища Azure, Azure Key Vault, База данных SQL Azure и Реестр контейнеров Azure с помощью частных конечных точек.

Поддерживаемые сценарии частных конечных точек

Локальная инфраструктура Azure (включая узлы и виртуальную машину моста ресурсов Arc) поддерживает множество типов частных конечных точек Azure, но Приватный канал Azure Arc не поддерживается. Из-за этого локальная служба Azure всегда регистрируется в Azure Arc с помощью общедоступных конечных точек Arc.

Дополнительные сведения см. в статье "Приватный канал Azure" для подключения компьютеров к Azure Arc с помощью частной конечной точки и устранения проблем с мостом ресурсов Azure Arc.

В следующей таблице приведены ключевые моменты использования поддерживаемых частных конечных точек с локальной службой Azure.

Сценарий Исходящий маршрут частной конечной точки Поддерживаемые типы частных конечных точек Ключевые требования или ограничения
1. Нет прокси-сервера, нет шлюза Arc Прямой.
Маршрутизация через Express Route или VPN S2S		 Хранилище, SQL, Key Vault, Реестр контейнеров Azure и другие службы PaaS, поддерживающие приватный канал Настройка маршрутизации и DNS для частных конечных точек; обход прокси-сервера не требуется
2. С прокси-сервером нет шлюза Arc Прокси-сервер обойден.
Маршрутизация через Express Route или VPN S2S		 Хранилище, SQL, Key Vault, Реестр контейнеров Azure и другие службы PaaS, поддерживающие приватный канал Настройте маршрутизацию, DNS и список обхода прокси-сервера для полных доменных имен частных конечных точек
3. Нет прокси-сервера с шлюзом Arc IP-прокси кластера AKS был обойден.
Маршрутизация через Express Route или VPN S2S		 Хранилище, SQL, Key Vault, Реестр контейнеров Azure и другие службы PaaS, поддерживающие приватный канал Настройте маршрутизацию, DNS и переменные среды для моста ресурсов AKS/Arc после регистрации Arc, чтобы обойти FQDN частных конечных точек.
4. С прокси-сервером с шлюзом Arc Прокси-сервер обойден.
Маршрутизация через Express Route или VPN S2S		 Хранилище, SQL, Key Vault, Реестр контейнеров Azure и другие службы PaaS, поддерживающие приватный канал Настройка маршрутизации, обхода DNS и прокси для FQDN частной конечной точки

Требования к DNS

Локальная инфраструктура Azure всегда должна перенаправлять конечные точки Azure Arc на общедоступные IP-адреса. Приватный канал Azure Arc не поддерживается для локальных узлов Azure или виртуальной машины моста ресурсов Arc.

  • Если в вашей организации используется Приватный канал Azure Arc в другом месте, Azure Local должен использовать отдельные DNS-серверы, которые не разрешают конечные точки Arc к частным IP-адресам.

    • Обязательное разрешение публичного DNS: Конечные точки Azure Arc должны иметь возможность разрешения на общедоступные IP-адреса для локальных узлов Azure и корпоративных прокси-серверов.

      • gbl.his.arc.azure.com
      • agentserviceapi.guestconfiguration.azure.com

    • Разрешение на диапазоны частных IP-адресов: диапазоны частных IP-адресов (10.x.x.x, 192.168.x, 172.16.x.x.x) не поддерживаются.

  • DNS для служб Azure PaaS — частные конечные точки для таких служб, как Key Vaults, учетные записи хранения, SQL, Реестр контейнеров Azure или других предложений PaaS наряду с Azure Local.

    • Инфраструктура DNS должна разрешить полное доменное имя (FQDN) службы PaaS во внутренний IP-адрес.
    • Маршрутизация сети должна правильно направлять трафик по назначению:
      • В общедоступный Интернет или через шлюз Arc для общедоступных конечных точек Azure.
      • Через VPN Azure ExpressRoute/Site-to-Site (S2S) для частных конечных точек.

Мост ресурсов Arc и зарезервированные подсети сети AKS с частными конечными точками

При развертывании виртуальной машины Моста ресурсов Arc в локальной среде Azure:

  • Помните, что следующие диапазоны IP-адресов зарезервированы для модулей pod и служб Kubernetes.

    Service Назначенный диапазон IP-адресов
    Модули Kubernetes pod для моста ресурсов Arc 10.244.0.0/16 (от 10.244.0.1 до 10.244.255.254)
    Службы Kubernetes для моста ресурсов Arc 10.96.0.0/12 (от 10.96.0.1 до 10.111.255.54)

  • Убедитесь, что IP-адреса частных конечных точек PaaS в подсети виртуальной сети Azure, используемой рабочими нагрузками AKS, не перекрываются с какими-либо зарезервированными подсетями Kubernetes.

    Например, если у частной конечной точки есть IP-адрес из подсети Azure 10.244.1.0/24, AKS понимает такой IP-адрес, как зарезервированный, и запрос не покидает виртуальные сети AKS и никогда не достигает частной конечной точки в виртуальной сети Azure. Однако если IP-адрес частной конечной точки находится в подсети Azure 10.245.0.0/24, AKS разрешает конечную точку как внешнюю и направляет трафик для достижения частной конечной точки.

Неподдерживаемые сценарии

Локальные виртуальные машины Azure и AKS не поддерживают приватный канал Azure Arc в локальной среде Azure.

Узнайте, как развернуть частные конечные точки Azure для локальной среды Azure в следующих сценариях:

  • Последнее обновление: