Konfigurieren von Azure Application Gateway Private Link

Application Gateway Private Link ermöglicht es Ihnen, Ihre Arbeitsauslastung über eine private Verbindung über VNets und Abonnements hinweg zu verbinden. Weitere Informationen finden Sie unter Application Gateway Private Link.

Konfigurationsoptionen

Application Gateway Private Link können über mehrere Optionen so wie Azure-Portal, Azure PowerShell und Azure CLI konfiguriert werden.

Azure portal

Definieren eines Subnetzes für Private Link Konfiguration

Um Private Link Konfiguration zu aktivieren, ist ein Subnetz, das sich vom Application Gateway Subnetz unterscheidet, für die IP-Konfiguration für private Verknüpfungen erforderlich. Private Link müssen ein Subnetz verwenden, das keine Anwendungsgateways enthält. Die Subnetzanpassung wird durch die Anzahl der Verbindungen bestimmt, die für Ihre Bereitstellung erforderlich sind. Jede IP-Adresse, die diesem Subnetz zugeordnet ist, stellt gleichzeitige TCP-Verbindungen mit 64-K sicher, die über Private Link zu einem einzelnen Zeitpunkt eingerichtet werden können. Weisen Sie weitere IP-Adressen zu, um mehr Verbindungen über Private Link zu ermöglichen. Zum Beispiel: n * 64K; wobei n die Anzahl der bereitgestellten IP-Adressen darstellt.

Hinweis

Die maximale Anzahl von IP-Adressen pro Konfiguration für private Verknüpfungen beträgt acht. Nur dynamische Zuordnung wird unterstützt.

Führen Sie die folgenden Schritte aus, um ein neues Subnetz zu erstellen:

Subnetz eines virtuellen Netzwerks hinzufügen, ändern oder löschen

Konfigurieren von Private Link

Die Konfiguration für private Verknüpfung definiert die Infrastruktur, die von Application Gateway verwendet wird, um Verbindungen von privaten Endpunkten zu aktivieren. Stellen Sie beim Erstellen der Konfiguration für Private Link sicher, dass ein Listener aktiv die entsprechende Front-End-IP-Konfiguration verwendet. Führen Sie die folgenden Schritte aus, um die Konfiguration für Private Link zu erstellen:

1. Navigieren Sie zum Azure-Portal.

2. Suchen und wählen Sie Anwendungsgateways aus.

3. Wählen Sie den Namen des Anwendungsgateways aus, das Sie privaten Link aktivieren möchten.

4. Wählen Sie Private Link aus

5. Konfigurieren Sie die folgenden Elemente:

   • Name: Der Name der Konfiguration für Private Link-Verknüpfungen.
   • Private Link-Subnetz: Die Subnetz-IP-Adressen, die dazu genutzt werden sollten.
   • Front-End-IP-Konfiguration: Die Front-End-IP-Adresse, an die Private Link Datenverkehr an Application Gateway weiterleiten soll.
   • IP-Adressen-Einstellung für Private Link: Geben Sie mindestens eine IP-Adresse an

6. Klicken Sie auf Hinzufügen.

7. Besorgen Sie sich auf dem Eigenschaftenblatt von Application Gateways die Ressourcen-ID, und notieren Sie diese. Sie wird erforderlich sein, wenn Sie einen privaten Endpunkt innerhalb eines anderen Microsoft Entra-Mandanten einrichten.

Konfigurieren des privaten Endpunkts

Ein privater Endpunkt ist eine Netzwerkschnittstelle, die eine private IP-Adresse aus dem virtuellen Netzwerk verwendet, die Clients enthält, die eine Verbindung mit Ihrem Application Gateway herstellen möchten. Jeder der Clients verwendet die private IP-Adresse des privaten Endpunkts, um den Datenverkehr zu den Application Gateway zu tunneln. Führen Sie die folgenden Schritte aus, um einen privaten Endpunkt zu erstellen:

1. Wählen Sie die Registerkarte Verbindungen mit privatem Endpunkt aus.
2. Klicken Sie auf Erstellen.
3. Konfigurieren Sie auf der Registerkarte Grundlagen eine Ressourcengruppe, einen Namen und eine Region für den privaten Endpunkt. Wählen Sie Weiter aus.
4. Wählen Sie auf der Registerkarte Ressource die Option Weiter aus.
5. Konfigurieren Sie auf der Registerkarte Virtual Network ein virtuelles Netzwerk und ein Subnetz, in dem die private Endpunktnetzwerkschnittstelle bereitgestellt werden soll. Wählen Sie Weiter aus.
6. Konfigurieren Sie auf der Registerkarte Tags optional Ressourcentags. Wählen Sie Weiter aus.
7. Klicken Sie auf Erstellen.

Hinweis

Wenn die öffentliche oder private IP-Konfigurationsressource fehlt, wenn Sie versuchen, eine Zielunterressource auf der Registerkarte Ressource der Erstellung privater Endpunkte auszuwählen, stellen Sie sicher, dass ein Listener die respektierte Front-End-IP-Konfiguration aktiv verwendet. Front-End-IP-Konfigurationen ohne zugeordnete Listener werden nicht als Zielunterressource angezeigt.

Hinweis

Wenn Sie einen privaten Endpunkt aus einem anderen Mandanten heraus bereitstellen, müssen Sie die Ressourcen-ID von Azure Application Gateway und den Namen der Front-End-IP-Konfiguration als Zielunterressource verwenden. Wenn beispielsweise eine private IP-Adresse der Application Gateway-Instanz zugeordnet war und der Name in der Front-End-IP-Konfiguration des Portals für die private IP PrivateFrontendIp lautet, wäre der Unterressourcenwert des Ziels: PrivateFrontendIp.

Hinweis

Wenn Sie einen privaten Endpunkt in ein anderes Abonnement verschieben müssen, müssen Sie zuerst die vorhandene Verbindung mit privatem Endpunkt zwischen Private Link und dem privaten Endpunkt löschen. Nachdem dies abgeschlossen ist, müssen Sie im neuen Abonnement eine neue Verbindung mit privatem Endpunkt erstellen, um eine Verbindung zwischen Private Link und dem privaten Endpunkt herzustellen.

Azure PowerShell

Um Private Link für eine vorhandene Application Gateway über Azure PowerShell zu konfigurieren, verwenden Sie die folgenden Befehle:

# Disable Private Link Service Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-PSH'
    ResourceGroupName = 'AppGW-PL-PSH-RG'
}
$vnet = Get-AzVirtualNetwork @net

($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}).PrivateLinkServiceNetworkPolicies = "Disabled"

$vnet | Set-AzVirtualNetwork

# Get Application Gateway Frontend IP Name
$agw = Get-AzApplicationGateway -Name AppGW-PL-PSH -ResourceGroupName AppGW-PL-PSH-RG
# List the names
$agw.FrontendIPConfigurations | Select Name

# Add a new Private Link configuration and associate it with an existing Frontend IP
$PrivateLinkIpConfiguration = New-AzApplicationGatewayPrivateLinkIpConfiguration `
                            -Name "ipConfig01" `
                            -Subnet ($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}) `
                            -Primary

# Add the Private Link configuration to the gateway configuration
Add-AzApplicationGatewayPrivateLinkConfiguration `
                            -ApplicationGateway $agw `
                            -Name "privateLinkConfig01" `
                            -IpConfiguration $PrivateLinkIpConfiguration

# Associate private link configuration to Frontend IP
$agwPip = ($agw | Select -ExpandProperty FrontendIpConfigurations| Where-Object {$_.Name -eq 'appGwPublicFrontendIp'}).PublicIPAddress.Id
$privateLinkConfiguration = ($agw | Select -ExpandProperty PrivateLinkConfigurations | Where-Object {$_.Name -eq 'privateLinkConfig01'}).Id
Set-AzApplicationGatewayFrontendIPConfig -ApplicationGateway $agw -Name "appGwPublicFrontendIp" -PublicIPAddressId $agwPip -PrivateLinkConfigurationId $privateLinkConfiguration

# Apply the change to the gateway
Set-AzApplicationGateway -ApplicationGateway $agw

# Disable Private Endpoint Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-Endpoint-PSH-VNET'
    ResourceGroupName = 'AppGW-PL-Endpoint-PSH-RG'
}
$vnet_plendpoint = Get-AzVirtualNetwork @net

($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}).PrivateEndpointNetworkPolicies = "Disabled"

$vnet_plendpoint | Set-AzVirtualNetwork

# Create Private Link Endpoint - Group ID is the same as the frontend IP configuration
$privateEndpointConnection = New-AzPrivateLinkServiceConnection -Name "AppGW-PL-Connection" -PrivateLinkServiceId $agw.Id -GroupID "appGwPublicFrontendIp"

## Create private endpoint
New-AzPrivateEndpoint -Name "AppGWPrivateEndpoint" -ResourceGroupName $vnet_plendpoint.ResourceGroupName -Location $vnet_plendpoint.Location -Subnet ($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}) -PrivateLinkServiceConnection $privateEndpointConnection

Es folgt eine Liste aller Azure PowerShell Verweise für Private Link-Konfiguration auf Application Gateway:

• Get-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkIpConfiguration
• Add-AzApplicationGatewayPrivateLinkConfiguration
• Remove-AzApplicationGatewayPrivateLinkConfiguration
• Set-AzApplicationGatewayPrivateLinkConfiguration

Azure-Befehlszeilenschnittstelle

Um Private Link für eine vorhandene Application Gateway über Azure CLI zu konfigurieren, verwenden Sie die folgenden Befehle:

# Disable Private Link Service Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
az network vnet subnet update \
				--name AppGW-PL-Subnet \
				--vnet-name AppGW-PL-CLI-VNET \
				--resource-group AppGW-PL-CLI-RG \
				--disable-private-link-service-network-policies true

# Get Application Gateway Frontend IP Name
az network application-gateway frontend-ip list \
							--gateway-name AppGW-PL-CLI \
							--resource-group AppGW-PL-CLI-RG

# Add a new Private Link configuration and associate it with an existing Frontend IP
az network application-gateway private-link add \
							--frontend-ip appGwPublicFrontendIp \
							--name privateLinkConfig01 \
							--subnet /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/virtualNetworks/AppGW-PL-CLI-VNET/subnets/AppGW-PL-Subnet \
							--gateway-name AppGW-PL-CLI \
							--resource-group AppGW-PL-CLI-RG

# Get Private Link resource ID
az network application-gateway private-link list \
				--gateway-name AppGW-PL-CLI \
				--resource-group AppGW-PL-CLI-RG



# Disable Private Endpoint Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
az network vnet subnet update \
				--name MySubnet \
				--vnet-name AppGW-PL-Endpoint-CLI-VNET \
				--resource-group AppGW-PL-Endpoint-CLI-RG \
				--disable-private-endpoint-network-policies true

# Create Private Link Endpoint - Group ID is the same as the frontend IP configuration
az network private-endpoint create \
	--name AppGWPrivateEndpoint \
	--resource-group AppGW-PL-Endpoint-CLI-RG \
	--vnet-name AppGW-PL-Endpoint-CLI-VNET \
	--subnet MySubnet \
	--group-id appGwPublicFrontendIp \
	--private-connection-resource-id /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/applicationGateways/AppGW-PL-CLI \
	--connection-name AppGW-PL-Connection

Eine Liste aller Azure PowerShell-Verweise für Private Link-Konfiguration auf Application Gateway ist hier verfügbar: Azure CLI CLI - Private Link

Nächste Schritte

• Erfahren Sie mehr über Azure Private Link: Was ist Azure Private Link.