Configurar o Private Link do Gateway de Aplicação do Azure

Definir uma sub-rede para Configuração de Link Privado

Para habilitar a Configuração de Link Privado, uma sub-rede, diferente da sub-rede do Application Gateway, é necessária para a configuração de IP de link privado. O Link Privado deve usar uma sub-rede que não contenha nenhum Application Gateways. O dimensionamento da sub-rede é determinado pelo número de conexões necessárias para sua implantação. Cada endereço IP alocado para essa sub-rede garante conexões TCP simultâneas de 64 K que podem ser estabelecidas via Private Link em um único ponto no tempo. Aloque mais endereços IP para permitir mais conexões via Private Link. Por exemplo: n * 64K; onde n é o número de endereços IP que estão sendo provisionados.

Conclua as seguintes etapas para criar uma nova sub-rede:

Adicionar, alterar ou eliminar uma sub-rede de rede virtual

Configurar o Private Link

A configuração de link privado define a infraestrutura usada pelo Application Gateway para habilitar conexões de pontos de extremidade privados. Ao criar a configuração Private Link, certifique-se de que um ouvinte esteja utilizando ativamente a respeitada configuração de IP frontend. Conclua as seguintes etapas para criar a configuração de Link Privado:

1. Aceda ao Portal do Azure

2. Procure e selecione Gateways de Aplicativos.

3. Selecione o nome do gateway de aplicativo que você deseja habilitar o link privado.

4. Selecione Link privado

5. Configure os seguintes itens:

   • Nome: O nome da configuração do link privado.
   • Sub-rede de link privado: Os endereços IP da sub-rede devem ser consumidos.
   • Configuração de IP Frontend: O endereço IP frontend para o qual o link privado deve encaminhar o tráfego no Application Gateway.
   • Configurações de endereço IP privado: especifique pelo menos um endereço IP

6. Selecione Adicionar.

7. Na folha de propriedades do Application Gateways, obtenha e anote a ID do Recurso, isso é necessário se você estiver configurando um Ponto de Extremidade Privado dentro de um locatário diferente do Microsoft Entra.

Configurar ponto de extremidade privado

Um ponto de extremidade privado é uma interface de rede que usa um endereço IP privado da rede virtual que contém clientes que desejam se conectar ao seu Application Gateway. Cada um dos clientes usa o endereço IP privado do ponto de extremidade privado para encapsular o tráfego para o Application Gateway. Para criar um ponto de extremidade privado, conclua as seguintes etapas:

1. Selecione o separador Ligações de ponto final privado.
2. Selecione Criar.
3. Na guia Noções básicas, configure um grupo de recursos, nome e região para o Ponto de extremidade privado. Selecione Seguinte.
4. Na guia Recurso, selecione Avançar.
5. Na guia Rede Virtual, configure uma rede virtual e uma sub-rede para a qual a interface de rede de ponto de extremidade privada deve ser provisionada. Configure se o ponto de extremidade privado deve ter um endereço IP dinâmico ou estático. Selecione Seguinte.
6. Na guia Marcas, opcionalmente, configure as tags de recurso. Selecione Seguinte.
7. Selecione Criar.

Para configurar o link Privado em um Gateway de Aplicativo existente por meio do Azure PowerShell, use os seguintes comandos:

# Disable Private Link Service Network Policies
# https://video2.skills-academy.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-PSH'
    ResourceGroupName = 'AppGW-PL-PSH-RG'
}
$vnet = Get-AzVirtualNetwork @net

($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}).PrivateLinkServiceNetworkPolicies = "Disabled"

$vnet | Set-AzVirtualNetwork

# Get Application Gateway Frontend IP Name
$agw = Get-AzApplicationGateway -Name AppGW-PL-PSH -ResourceGroupName AppGW-PL-PSH-RG
# List the names
$agw.FrontendIPConfigurations | Select Name

# Add a new Private Link configuration and associate it with an existing Frontend IP
$PrivateLinkIpConfiguration = New-AzApplicationGatewayPrivateLinkIpConfiguration `
                            -Name "ipConfig01" `
                            -Subnet ($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}) `
                            -Primary

# Add the Private Link configuration to the gateway configuration
Add-AzApplicationGatewayPrivateLinkConfiguration `
                            -ApplicationGateway $agw `
                            -Name "privateLinkConfig01" `
                            -IpConfiguration $PrivateLinkIpConfiguration

# Associate private link configuration to Frontend IP
$agwPip = ($agw | Select -ExpandProperty FrontendIpConfigurations| Where-Object {$_.Name -eq 'appGwPublicFrontendIp'}).PublicIPAddress.Id
$privateLinkConfiguration = ($agw | Select -ExpandProperty PrivateLinkConfigurations | Where-Object {$_.Name -eq 'privateLinkConfig01'}).Id
Set-AzApplicationGatewayFrontendIPConfig -ApplicationGateway $agw -Name "appGwPublicFrontendIp" -PublicIPAddressId $agwPip -PrivateLinkConfigurationId $privateLinkConfiguration

# Apply the change to the gateway
Set-AzApplicationGateway -ApplicationGateway $agw

# Disable Private Endpoint Network Policies
# https://video2.skills-academy.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-Endpoint-PSH-VNET'
    ResourceGroupName = 'AppGW-PL-Endpoint-PSH-RG'
}
$vnet_plendpoint = Get-AzVirtualNetwork @net

($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}).PrivateEndpointNetworkPolicies = "Disabled"

$vnet_plendpoint | Set-AzVirtualNetwork

# Create Private Link Endpoint - Group ID is the same as the frontend IP configuration
$privateEndpointConnection = New-AzPrivateLinkServiceConnection -Name "AppGW-PL-Connection" -PrivateLinkServiceId $agw.Id -GroupID "appGwPublicFrontendIp"

## Create private endpoint
New-AzPrivateEndpoint -Name "AppGWPrivateEndpoint" -ResourceGroupName $vnet_plendpoint.ResourceGroupName -Location $vnet_plendpoint.Location -Subnet ($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}) -PrivateLinkServiceConnection $privateEndpointConnection

A seguir está uma lista de todas as referências do Azure PowerShell para Configuração de Link Privado no Gateway de Aplicativo:

• Get-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkIpConfiguration
• Add-AzApplicationGatewayPrivateLinkConfiguration
• Remove-AzApplicationGatewayPrivateLinkConfiguration
• Set-AzApplicationGatewayPrivateLinkConfiguration

Para configurar o link privado em um Gateway de Aplicativo existente por meio da CLI do Azure, use os seguintes comandos:

# Disable Private Link Service Network Policies
# https://video2.skills-academy.com/azure/private-link/disable-private-endpoint-network-policy
az network vnet subnet update \
				--name AppGW-PL-Subnet \
				--vnet-name AppGW-PL-CLI-VNET \
				--resource-group AppGW-PL-CLI-RG \
				--disable-private-link-service-network-policies true

# Get Application Gateway Frontend IP Name
az network application-gateway frontend-ip list \
							--gateway-name AppGW-PL-CLI \
							--resource-group AppGW-PL-CLI-RG

# Add a new Private Link configuration and associate it with an existing Frontend IP
az network application-gateway private-link add \
							--frontend-ip appGwPublicFrontendIp \
							--name privateLinkConfig01 \
							--subnet /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/virtualNetworks/AppGW-PL-CLI-VNET/subnets/AppGW-PL-Subnet \
							--gateway-name AppGW-PL-CLI \
							--resource-group AppGW-PL-CLI-RG

# Get Private Link resource ID
az network application-gateway private-link list \
				--gateway-name AppGW-PL-CLI \
				--resource-group AppGW-PL-CLI-RG



# Disable Private Endpoint Network Policies
# https://video2.skills-academy.com/azure/private-link/disable-private-endpoint-network-policy
az network vnet subnet update \
				--name MySubnet \
				--vnet-name AppGW-PL-Endpoint-CLI-VNET \
				--resource-group AppGW-PL-Endpoint-CLI-RG \
				--disable-private-endpoint-network-policies true

# Create Private Link Endpoint - Group ID is the same as the frontend IP configuration
az network private-endpoint create \
	--name AppGWPrivateEndpoint \
	--resource-group AppGW-PL-Endpoint-CLI-RG \
	--vnet-name AppGW-PL-Endpoint-CLI-VNET \
	--subnet MySubnet \
	--group-id appGwPublicFrontendIp \
	--private-connection-resource-id /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/applicationGateways/AppGW-PL-CLI \
	--connection-name AppGW-PL-Connection

Uma lista de todas as referências da CLI do Azure para Configuração de Link Privado no Gateway de Aplicativo está disponível aqui: CLI da CLI do Azure - Link Privado