发 帖  
原厂入驻New
[问答]

虚拟机到PaaS的服务应该如何设置?

78 虚拟机
分享
2020-11-9 07:13:18   评论 分享淘帖 邀请回答
1个回答
Private Link(专用终结点连接) 是微软云Azure提供的比较新的功能。
  Private Link和之前介绍的Service Endpoint的主要区别是:Private Link支持PaaS服务加入到虚拟网络中。
  在Service Endpoint里,虚拟机的流量会离开Virtual Network,并访问到PaaS服务的公网端点。
  假设一个场景:如果我们企业内部的IT要求,所有Azure服务之间的流量,包括虚拟机到虚拟机,虚拟机到PaaS的服务,都需要经过IPS防火墙,我们应该如何设置?
  请记住:Service Endpoint的流量,以最佳方式路由到 Azure 资源。即使您的 subnet上有 UDR 将 Internet 流量路由回本地或通过防火墙设备,使用Servcie Endpoint也意味着流量会直接发送到 Azure 资源而不经过UDR设置后的本地或者防火墙设备
  所以采用Service Endpoint显然不符合某些企业的内部IT安全标准。
  通过Private Link,PaaS资源其实是加入到Virtual Network里,并在Virtual Network上获得一个专用的Private IP地址。虚拟机的流量不会离开Virtual Network,直接访问到PaaS资源的Private IP。
  通过Private Link,我们可以在subnet上设置 UDR,将 Internet 流量路由回本地或通过防火墙设备。显然符合某些企业的内部IT安全标准。
  

  使用Private Link的另外一个场景是,可以实现更细粒度的资源访问
  假设一个场景:我们有1台Windows VM,只允许这台VM访问UAT环境的SQL PaaS服务,但是不能访问Production环境的SQL PaaS服务。
  在之前介绍的Service Endpoint里,这个场景无法实现。因为Service Endpoint针对一类PaaS服务生效,比如Microsoft.SQL生效。但是无法针对PaaS服务单独的DNS地址或者IP生效。
  但是在Private Link里,这个场景是可以实现的。比如我们设置UAT环境的SQL PaaS服务,加入到Virtual Network里,获得一个内网IP地址10.1.0.4
  设置Production环境的SQL PaaS服务,也加入到Virtual Network里,获得一个内网IP地址为10.1.0.5
  然后我们可以设置Windows VM的NSG Outbound Rule,设置为只允许访问10.1.0.4(UAT环境),但是无法访问10.1.0.5 (Production环境)
  与Service Endpoint不同,Azure Private Link支持以下场景:


  • 允许通过VPN或ExpressRoute从本地IDC网络上的资源,访问云端的PaaS服务的Private IP
  • 通过同一个Virtual Network访问。如从Azure VM访问Azure SQL PaaS。
  • 通过VNet Peering的VNet进行访问。比如VNet A里的VM,访问Peering VNet B里的PaaS服务。


  Azure Private Link GA (General Availability)支持下面的服务:


  • Azure Storage
  • Azure Data Lake Storage Gen 2
  • Azure SQL
  • Azure Synap
  • Azure Cosmos数据库
  • PostgreSQL的Azure数据库
  • 适用于MySQL和MariaDB的Azure数据库
  • Azure Key Vault
  • Azure Kubernetes服务

  
  Azure Private Link在预览版(Preview)中支持下面的服务:


  • Azure Search
  • Azure Container Registry
  • Azure App Configuration
  • Azure Backup
  • Azure Event Hub
  • Azure Service Bus
  • Azure Relay
  • Azure Event Grid
  • Azure Web Apps
  • Azure Machine Learning

  
  
2020-11-9 14:18:55 评论

举报

撰写答案

你正在撰写答案

如果你是对答案或其他答案精选点评或询问,请使用“评论”功能。

高级模式
您需要登录后才可以回帖 登录 | 注册

声明:本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人,不代表电子发烧友网立场。文章及其配图仅供工程师学习之用,如有内容图片侵权或者其他问题,请联系本站作侵删。 侵权投诉
我要提问
关闭

站长推荐 上一条 /9 下一条

快速回复 返回顶部 返回列表