Использование частных конечных точек для управления доступом

Вы можете использовать частные конечные точки для ресурса Azure Web PubSub, чтобы разрешить клиентам в виртуальной сети безопасно получать доступ к данным через приватный канал. Частная конечная точка использует IP-адрес из адресного пространства виртуальной сети для ресурса Web PubSub. Сетевой трафик между клиентами в VNet и ресурсом Web PubSub проходит через частный канал в сети Microsoft, исключая передачу через общедоступный Интернет.

Использование частных конечных точек для ресурса Web PubSub поможет вам:

• Защита ресурса Web PubSub с помощью сетевого управления доступом для блокировки всех подключений на общедоступной конечной точке для Web PubSub.
• улучшить безопасность в виртуальной сети благодаря возможностям предотвращения кражи данных из виртуальной сети.
• Безопасное подключение к Web PubSub из локальных сетей, которые подключаются к виртуальной сети с помощью VPN или Azure ExpressRoute с частным пирингом.

Использование частных конечных точек в виртуальной сети

Частная конечная точка — это особый сетевой интерфейс для службы Azure в виртуальной сети. При создании частной конечной точки для ресурса Web PubSub она обеспечивает безопасное подключение между клиентами в виртуальной сети и вашей службе. Частной конечной точке назначается IP-адрес из диапазона IP-адресов вашей виртуальной сети. Подключение между частной конечной точкой и Web PubSub использует безопасную частную связь.

Приложения в виртуальной сети могут легко подключаться к ресурсам Web PubSub с помощью частной конечной точки. Приложения используют те же строки подключения и механизмы авторизации, которые они использовали бы в ином случае.

Частные конечные точки можно использовать со всеми протоколами, поддерживаемыми ресурсом Web PubSub, включая REST API.

При создании частной конечной точки для ресурса Web PubSub в виртуальной сети запрос на согласие отправляется для утверждения владельцу ресурса Web PubSub. Если пользователь, запрашивающий частную конечную точку, также является владельцем ресурса Web PubSub, этот запрос согласия будет автоматически утвержден.

Вы можете управлять запросами согласия и частными конечными точками для ресурса Web PubSub на вкладке "Частные конечные точки" в портал Azure.

Подключение к частной конечной точке

Клиенты в виртуальной сети, использующей частную конечную точку, должны использовать ту же строку подключения для ресурса Web PubSub, что и клиенты, подключающиеся через общедоступную конечную точку. Мы опираемся на разрешение системы доменных имен (DNS) для автоматического маршрутизации подключений из виртуальной сети в Web PubSub по приватной ссылке.

Мы создаем частную зону DNS, подключенную к виртуальной сети, с необходимыми обновлениями для частных конечных точек по умолчанию. Если вы используете собственный DNS-сервер, может потребоваться внести другие изменения в конфигурацию DNS. В следующем разделе описываются обновления, необходимые для частных конечных точек.

Изменения DNS для частных конечных точек

При создании частной конечной точки запись ресурса DNS CNAME для ресурса Web PubSub обновляется до псевдонима в поддомене с префиксом privatelink. По умолчанию также создается частная зона DNS, соответствующая поддомену privatelink, с записями ресурсов DNS A для частных конечных точек.

Когда вы разрешаете доменное имя ресурса Web PubSub за пределами виртуальной сети с частной конечной точкой, она разрешается в общедоступную конечную точку ресурса Web PubSub. При разрешении доменного имени из виртуальной сети, в которой размещена частная конечная точка, доменное имя разрешается в IP-адрес частной конечной точки.

Для показанного выше примера ресурсные записи DNS для ресурса Web PubSub sample при его разрешении вне виртуальной сети (VNet), в которой размещена частная конечная точка:

Вы можете запретить или контролировать доступ для клиентов за пределами виртуальной сети через общедоступную конечную точку с помощью управления доступом к сети.

Записи ресурсов DNS для ресурса Web PubSub sample, когда он разрешается клиентом в виртуальной сети (VNet), в которой размещена частная конечная точка, аналогичны следующему примеру:

Этот подход предоставляет доступ к Web PubSub с помощью одной и той же строки подключения как для клиентов в виртуальной сети (VNet), в которой размещена частная конечная точка, так и для клиентов за пределами виртуальной сети.

Если вы используете пользовательский DNS-сервер в сети, клиенты должны иметь возможность разрешать полное доменное имя (FQDN) для конечной точки ресурса Web PubSub до IP-адреса частной конечной точки. Необходимо настроить DNS-сервер так, чтобы делегировать поддомен частного канала частной зоне DNS для VNet, либо настроить A-записи для sample.privatelink.webpubsub.azure.com, чтобы они использовали IP-адрес частной конечной точки.

Рекомендуется использовать privatelink.webpubsub.azure.com в качестве имени зоны DNS для частных конечных точек ресурса Web PubSub.

Дополнительные сведения о настройке собственного DNS-сервера для поддержки частных конечных точек см. в следующих статьях:

• Разрешение имен ресурсов в виртуальных сетях Azure
• Конфигурация DNS для частных конечных точек

Создание частной конечной точки

В следующих разделах описывается создание частной конечной точки и нового экземпляра Web PubSub и создание частной конечной точки для существующего экземпляра Web PubSub.

Создать частную конечную точку в новом экземпляре Web PubSub

1. В портале Azure создайте новый экземпляр Azure Web PubSub. На вкладке "Сеть" для метода подключения выберите частную конечную точку.

   

2. Выберите Добавить. Выберите или введите подписку, имя группы ресурсов, регион Azure и имя новой частной конечной точки. Выберите виртуальную сеть и подсеть для использования.

3. Выберите Просмотреть и создать.

Создание частной конечной точки для существующего ресурса Web PubSub

1. На портале Azure перейдите к своему ресурсу Web PubSub.

2. В меню слева в разделе "Параметры" выберите подключения к частной конечной точке.

3. Выберите Частный конечный объект.

4. Выберите или введите значения для подписки, группы ресурсов, имени ресурса и региона для новой частной конечной точки.

5. Выберите целевой ресурс Web PubSub.

6. Выберите целевую виртуальную сеть.

7. Выберите Просмотреть и создать.

Частные конечные точки с георепликацией

Azure Web PubSub целиком доступен через частную конечную точку. Вы не создаете частную конечную точку, которая указывает на определенную реплику. Вместо этого достаточно одной частной конечной точки родительского ресурса — она автоматически направляет трафик в здоровую реплику, так же, как и в общедоступной сети, на основе метрик работоспособности и производительности.

На следующей схеме показано, как трафик передается от клиента в виртуальной сети к реплике через одну частную конечную точку:

            ┌──────────────────────────────────┐
            │  Client in VNet                  │
            └────────────────┬─────────────────┘
                             │
                             ▼
            ┌──────────────────────────────────┐
            │  Private endpoint                │
            │  (private IP in your subnet)     │
            └────────────────┬─────────────────┘
                             │
                             ▼
            ┌──────────────────────────────────┐
            │  Closest healthy replica         │
            └──────────────────────────────────┘

Пример. Предположим, что клиентская виртуальная машина находится в восточной части США, основной ресурс Web PubSub находится в западной части США, а реплика находится в восточной части США. Когда клиент подключается к Web PubSub через частную конечную точку, реплика "Восточная часть США " выбирается для повышения производительности маршрутизации.

Failover

Если реплика, обслуживающая трафик, становится недоступной, Azure сетевая инфраструктура автоматически направляет новый трафик в другую здоровую реплику. Частная конечная точка всегда сопоставляется с одним и тем же частным IP-адресом внутри вашей виртуальной сети, поэтому никаких изменений на стороне клиента не требуется. Переключение при отказе может занять несколько минут.

Чтобы вручную инициировать и проверить аварийное переключение, остановите подключенную реплику, подождите несколько минут и снова подключитесь с тестового клиента. Клиент должен приземлиться на другой реплике.

Цены

Дополнительные сведения о ценах см. на странице цен на службу "Приватный канал" Azure.

Известные проблемы

Имейте в виду следующие известные проблемы, связанные с использованием частных конечных точек в Web PubSub.

Ограничения уровня "Бесплатный"

Экземпляр Azure Web PubSub, созданный с использованием ценовой категории Free, нельзя интегрировать с частной конечной точкой.

Ограничения доступа для клиентов в виртуальных сетях с частными конечными точками

Клиенты в виртуальных сетях, где уже настроены частные конечные точки, имеют ограничения при обращении к другим экземплярам Web PubSub, у которых также есть частные конечные точки. Например, виртуальная сеть N1 имеет частную конечную точку для экземпляра Web PubSub W1. Если экземпляр Web PubSub W2 имеет частную конечную точку в виртуальной сети N2, клиенты в виртуальной сети N1 также должны получить доступ к экземпляру Web PubSub W2 с помощью частной конечной точки.

Если экземпляр Web PubSub W2 не имеет частных конечных точек, клиенты в виртуальной сети N1 могут получить доступ к ресурсу Web PubSub в этой учетной записи без использования частной конечной точки. Это ограничение является результатом изменений DNS, внесенных при создании частной конечной точки экземпляра Web PubSub W2.