【Azure 架构师学习笔记】- Azure Private Endpoint

本文属于【Azure 架构师学习笔记】系列。

前言

公有云的其中一个特点是默认允许公网访问， 这就对企业环境带来风险，也是很多年前企业对公有云抵触的其中一个原因，现在这类问题已经很少，因为有了很多技术来确保云上的资源被安全地访问。其中Private endpoint（PE）就起到了很重要的作用。

什么是Private Endpoint

云上的某个资源如VM会创建在特定的网络（VNet/Subnet）上， 而其他如Storage Account ， Azure SQL等PaaS服务则没有。 如果你需要用VM 来访问这些PaaS资源，VM 就会通过资源的公网IP 来访问。
一旦涉及公网访问，风险随之而来。为了避免这种风险，可以把这些PaaS资源放到VNet的Private Endpoint中。所以PE是建立在VNet之上网络接口。建立PE 之后，网络流量就会从公网IP 转成使用VNet进行。
PE会在VNet的可用地址区间中动态选择private IP并附加给PE，然后在PE的生命周期中保持IP 地址的一致。

PE 例子

假设有一个VNet，使用IP 地址范围为10.10.0.0/16。 在这个VNet中，有两个subnet， A ：10.10.5.0/24 和 B：0.10.6.0/24。在A 中有多个VM。有一个Storage account启用了private endpoint， 这个PE 在Subnet B中。<