Confiabilidade e conectividade de rede
A conectividade de rede inclui três modelos do Azure para conectividade de rede privada:
- Injeção de VNet
- Pontos de extremidade do serviço de VNet
- Link privado
A injeção de VNet se aplica aos serviços implantados especificamente para você, como:
- nós do AKS (Serviço de Kubernetes do Azure)
- Instância Gerenciada de SQL
- Máquinas Virtuais
Esses recursos se conectam diretamente à sua rede virtual.
Rede Virtual pontos de extremidade de serviço (VNet) fornecem conectividade segura e direta aos serviços do Azure. Esses pontos de extremidade de serviço usam uma rota otimizada pela rede do Azure. Os pontos de extremidade de serviço permitem que os endereços IP privados na VNet alcancem o ponto de extremidade de um serviço do Azure sem precisar de um endereço IP público na VNet.
Link Privado fornece acesso dedicado usando endereços IP privados para instâncias de PaaS do Azure ou serviços personalizados por trás de um Azure Load Balancer Standard.
Considerações sobre o design
A conectividade de rede inclui as seguintes considerações de design relacionadas a uma carga de trabalho confiável:
Use Link Privado, quando disponível, para serviços de PaaS do Azure compartilhados. Link Privado geralmente está disponível para vários serviços e está em versão prévia pública para vários.
Acesse os serviços de PaaS do Azure do local por meio do emparelhamento privado do ExpressRoute .
Use injeção de rede virtual para serviços dedicados do Azure ou Link Privado do Azure para serviços compartilhados do Azure disponíveis. Para acessar os serviços de PaaS do Azure no local, quando a injeção de rede virtual ou o Link Privado não estiver disponível, use o ExpressRoute com o emparelhamento da Microsoft. Esse método evita o trânsito pela Internet pública.
Use pontos de extremidade de serviço de rede virtual para proteger o acesso aos serviços de PaaS do Azure de dentro de sua rede virtual. Use pontos de extremidade de serviço de rede virtual somente quando Link Privado não estiver disponível e não houver preocupações com a movimentação não autorizada de dados.
Os pontos de extremidade de serviço não permitem que um serviço de PaaS seja acessado de redes locais. Os pontos de extremidade privados sim.
Para resolver preocupações sobre a movimentação não autorizada de dados com pontos de extremidade de serviço, use a filtragem de NVA (dispositivo virtual de rede). Você também pode usar políticas de ponto de extremidade de serviço de rede virtual para o Armazenamento do Azure.
Os serviços de segurança de rede nativos a seguir são serviços totalmente gerenciados. Os clientes não incorrem nos custos operacionais e de gerenciamento associados a implantações de infraestrutura, que podem se tornar complexos em escala:
- Firewall do Azure
- Gateway de Aplicativo
- Porta da frente do Azure
Os serviços de PaaS normalmente são acessados por pontos de extremidade públicos. A plataforma do Azure fornece recursos para proteger esses pontos de extremidade ou torná-los totalmente privados.
Você também poderá usar NVAs (soluções de virtualização de rede) de terceiros se o cliente preferir situações em que os serviços nativos não atendam a requisitos específicos.
Lista de verificação
Você configurou a conectividade de rede com a confiabilidade em mente?
- Não implemente o túnel forçado para habilitar a comunicação do Azure com os recursos do Azure.
- A menos que você use a filtragem de NVA (dispositivo virtual) de rede, não use pontos de extremidade de serviço de rede virtual quando houver preocupações sobre a movimentação não autorizada de dados.
- Não habilite pontos de extremidade de serviço de rede virtual por padrão em todas as sub-redes.