Обеспечьте безопасность вашего источника с помощью частного соединения в Azure Front Door уровня "Премиум".

Приватный канал Azure обеспечивает доступ к службам PaaS Azure и к службам, размещенным в Azure, через частную конечную точку виртуальной сети. Трафик между вашей виртуальной сетью и службой проходит через магистральную сеть Майкрософт, что позволяет избежать рисков общедоступного Интернета.

Azure Front Door Premium может подключаться к вашему источнику с помощью Private Link. Ваш источник может быть размещен в виртуальной сети или как PaaS-сервис, например, в виде веб-приложения Azure или службы хранения Azure. "Private Link устраняет необходимость в публичном доступе к источнику."

Как работает Приватный канал

При включении Private Link к начальному узлу в Azure Front Door Premium, Front Door создает частную конечную точку от вашего имени в управляемой Azure Front Door региональной частной сети. Вы получаете запрос частной конечной точки Azure Front Door от источника, ожидающий утверждения.

После включения источника для Private Link и утверждения подключения к приватной конечной точке установка подключения может занять несколько минут. В это время запросы к источнику получают сообщение об ошибке Azure Front Door. Сообщение об ошибке исчезает после установки подключения.

После утверждения запроса частный IP-адрес назначается из виртуальной сети, управляемой Azure Front Door. Трафик между вашим Azure Front Door и вашим источником осуществляется с использованием установленной частной связи через магистральную сеть Microsoft. Входящий трафик к вашему источнику теперь защищен, когда он поступает через Azure Front Door.

Поддерживаемые источники

Поддержка прямого подключения к частной конечной точке в данный момент ограничена:

• Хранилище BLOB-объектов
• Веб-приложение
• Внутренние подсистемы балансировки нагрузки или любые службы, предоставляющие внутренние подсистемы балансировки нагрузки, такие как Служба Azure Kubernetes, приложения контейнеров Azure или Azure Red Hat OpenShift
• Статический веб-сайт хранилища
• Управление API
• Шлюз приложений
• Приложения контейнеров Azure (общедоступная предварительная версия). Не используйте в рабочих средах)

Доступность по регионам

Приватный канал Azure Front Door доступен в следующих регионах:

Функция Приватного канала Azure Front Door не зависит от региона, но для минимальной задержки всегда следует выбирать ближайший к источнику регион Azure при включении конечной точки Приватного канала Azure Front Door. Если регион источника не поддерживается в списке регионов AFD Приватный канал поддерживается, выберите следующий ближайший регион. Вы можете использовать статистику сетевой задержки Azure для определения следующего ближайшего региона с наименьшей задержкой.

Сопоставление частной конечной точки с профилем Azure Front Door

Создание частной конечной точки

В одном профиле Azure Front Door, если создаются два или более источников с поддержкой приватного канала с одинаковым набором идентификатора ресурса, идентификатора группы и региона, то для всех таких источников создается только одна частная конечная точка. Подключения к серверной части можно включить с помощью этой частной конечной точки. Эта настройка означает, что необходимо утвердить частную конечную точку только один раз, так как создается только одна частная конечная точка. Если вы создаете больше источников с поддержкой Private Link, используя тот же набор расположения Private Link, идентификатора ресурса и идентификатора группы, вам больше не нужно утверждать Private Link конечные точки.

Отдельная частная конечная точка

Например, одна частная конечная точка создается для всех разных источников в разных группах источников, но в одном профиле Azure Front Door, как показано в следующей таблице:

Несколько частных конечных точек

Новая частная конечная точка создается в следующем сценарии:

• Если регион, идентификатор ресурса или идентификатор группы изменяется:

  

  Примечание.

  Расположение Private Link и хостнейм изменились, что привело к созданию дополнительных частных конечных точек и требует утверждения для каждой из них.

• При изменении профиля Azure Front Door:

  

  Примечание.

  Включение Private Link для источников в разных профилях Front Door создаст дополнительные частные конечные точки и потребует одобрения для каждой из них.

Удаление частной конечной точки

При удалении профиля Azure Front Door частные конечные точки, связанные с профилем, также удаляются.

Отдельная частная конечная точка

Если AFD-Profile-1 удаляется, то частная конечная точка PE1 во всех источниках также удаляется.

Несколько частных конечных точек

• Если AFD-Profile-1 удаляется, все частные конечные точки с PE1 по PE4 удаляются.

  

• Удаление профиля Azure Front Door не влияет на частные конечные точки, созданные для другого профиля Azure Front Door.

  

  Например:

  • Если AFD-Profile-2 удаляется, удаляется только PE5.
  • Если AFD-Profile-3 удаляется, удаляется только PE6.
  • Если AFD-Profile-4 удаляется, удаляется только PE7.
  • Если AFD-Profile-5 удаляется, удаляется только PE8.

Следующие шаги

• Узнайте, как подключить Azure Front Door Premium к источнику веб-приложения через Private Link.
• Узнайте, как подключить Azure Front Door Premium к исходной учетной записи хранения с помощью Private Link.
• Узнайте, как подключать Azure Front Door версии "Премиум" к внутреннему источнику балансировки нагрузки с помощью Private Link.
• Узнайте, как подключить Azure Front Door Premium к статическому веб-сайту в хранилище с помощью Private Link.
• Узнайте, как подключить Azure Front Door Premium к узлу шлюза приложений с помощью Private Link.
• Узнайте, как подключить Azure Front Door Premium к источнику управления API с помощью Private Link.
• Узнайте, как подключить Azure Front Door Premium к источнику Azure Container Apps с помощью Private Link.