Proteja sua origem com o Private Link no Azure Front Door Premium

  • Artigo

O Azure Private Link permite-lhe aceder a serviços e serviços PaaS do Azure alojados no Azure através de um ponto de extremidade privado na sua rede virtual. O tráfego entre a sua rede virtual e o serviço passa pela rede de backbone da Microsoft, eliminando a exposição à Internet pública.

O Azure Front Door Premium pode se conectar à sua origem usando o Private Link. Sua origem pode ser hospedada em uma rede virtual ou hospedada como um serviço PaaS, como o Azure Web App ou o Armazenamento do Azure. O Private Link elimina a necessidade de a sua origem ser acedida publicamente.

Diagrama da Porta da Frente do Azure com Link Privado habilitado.

Quando você habilita o Private Link para sua origem no Azure Front Door Premium, o Front Door cria um ponto de extremidade privado em seu nome a partir de uma rede privada regional gerenciada pelo Azure Front Door. Você recebe uma solicitação de ponto de extremidade privado do Azure Front Door na origem aguardando sua aprovação.

Importante

Você deve aprovar a conexão de ponto de extremidade privado antes que o tráfego possa passar para a origem de forma privada. Você pode aprovar conexões de ponto de extremidade privado usando o portal do Azure, a CLI do Azure ou o Azure PowerShell. Para obter mais informações, consulte Gerenciar uma conexão de ponto de extremidade privado.

Depois de habilitar uma origem para Private Link e aprovar a conexão de ponto de extremidade privado, pode levar alguns minutos para que a conexão seja estabelecida. Durante esse tempo, as solicitações para a origem recebem uma mensagem de erro do Azure Front Door. A mensagem de erro desaparece assim que a conexão é estabelecida.

Depois que sua solicitação for aprovada, um endereço IP privado será atribuído da rede virtual gerenciada pela Porta da Frente do Azure. O tráfego entre sua porta frontal do Azure e sua origem se comunica usando o link privado estabelecido na rede de backbone da Microsoft. O tráfego de entrada para sua origem agora está protegido ao chegar à sua Porta da Frente do Azure.

Captura de tela da caixa de seleção ativar serviço de Link Privado na página de configuração de origem.

Associação de um ponto de extremidade privado com um perfil do Azure Front Door

Criação de ponto final privado

Dentro de um único perfil do Azure Front Door, se duas ou mais origens habilitadas para Link Privado forem criadas com o mesmo conjunto de Link Privado, ID de recurso e ID de grupo, para todas essas origens apenas um ponto de extremidade privado será criado. As conexões com o back-end podem ser habilitadas usando esse ponto de extremidade privado. Essa configuração significa que você só precisa aprovar o ponto de extremidade privado uma vez porque apenas um ponto de extremidade privado é criado. Se você criar mais origens habilitadas para Link Privado usando o mesmo conjunto de local de Link Privado, ID de recurso e ID de grupo, não precisará mais aprovar pontos de extremidade privados.

Ponto de extremidade privado único

Por exemplo, um único ponto de extremidade privado é criado para todas as origens diferentes em diferentes grupos de origem, mas no mesmo perfil da Porta da Frente do Azure, conforme mostrado na tabela a seguir:

Diagrama mostrando um único ponto de extremidade privado criado para origens criadas no mesmo perfil do Azure Front Door.

Vários endpoints privados

Um novo ponto de extremidade privado é criado no seguinte cenário:

  • Se a região, o ID do recurso ou o ID do grupo forem alterados:

    Diagrama mostrando um ponto de extremidade privado múltiplo criado devido a alterações na região e na ID do recurso para a origem.

    Nota

    O local do Link Privado e o nome do host foram alterados, resultando em pontos de extremidade privados extras criados e exigem aprovação para cada um.

  • Quando o perfil da Porta da Frente do Azure é alterado:

    Diagrama mostrando um ponto de extremidade privado múltiplo criado porque a origem está associada a vários perfis do Azure Front Door.

    Nota

    Habilitar o Private Link para origens em diferentes perfis de Front Door criará pontos de extremidade privados extras e exigirá aprovação para cada um.

Remoção de ponto final privado

Quando um perfil do Azure Front Door é excluído, os pontos de extremidade privados associados ao perfil também são excluídos.

Ponto de extremidade privado único

Se AFD-Profile-1 for excluído, o ponto de extremidade privado PE1 em todas as origens também será excluído.

Diagrama mostrando se AFD-Profile-1 é excluído, então PE1 em todas as origens é excluído.

Vários endpoints privados

  • Se AFD-Profile-1 for excluído, todos os pontos de extremidade privados de PE1 até PE4 serão excluídos.

    Diagrama mostrando se AFD-Profile-1 é excluído, todos os pontos de extremidade privados de PE1 a PE4 são excluídos.

  • A exclusão de um perfil do Azure Front Door não afeta os pontos de extremidade privados criados para um perfil diferente do Front Door.

    Diagrama mostrando o perfil do Azure Front Door sendo excluído, mas não afeta pontos de extremidade privados em outros perfis do Front Door.

    Por exemplo:

    • Se AFD-Profile-2 for excluído, somente PE5 será removido.
    • Se AFD-Profile-3 for excluído, somente PE6 será removido.
    • Se AFD-Profile-4 for excluído, somente PE7 será removido.
    • Se AFD-Profile-5 for excluído, somente o PE8 será removido.

Disponibilidade da região

O link privado do Azure Front Door está disponível nas seguintes regiões:

Américas Europa África Ásia-Pacífico
Sul do Brasil França Central Norte da África do Sul Leste da Austrália
Canadá Central Alemanha Centro-Oeste Índia Central
E.U.A. Central Europa do Norte Leste do Japão
E.U.A. Leste Leste da Noruega Coreia do Sul Central
E.U.A. Leste 2 Sul do Reino Unido Ásia Leste
E.U.A. Centro-Sul Europa Ocidental
EUA Oeste 3 Suécia Central
US Gov - Arizona
US Gov - Texas

Limitações

O suporte do Origin para conectividade direta de ponto final privado está atualmente limitado a:

  • Armazenamento de Blobs
  • Aplicação Web
  • Balanceadores de carga internos ou quaisquer serviços que exponham balanceadores de carga internos, como o Serviço Kubernetes do Azure, os Aplicativos de Contêiner do Azure ou o Red Hat OpenShift do Azure
  • Site estático de armazenamento
  • Application Gateway (Visualizar somente no PowerShell e na CLI. Não usar em ambientes de produção)
  • Gerenciamento de API (visualização somente no PowerShell e na CLI. Não usar em ambientes de produção)

Nota

  • Este recurso não é suportado com os Slots ou Funções do Serviço de Aplicativo do Azure.
  • Atualmente, não há suporte para integrações do Azure Application Gateway e do APIM Management usando o portal do Azure.

O recurso Azure Front Door Private Link é independente de região, mas para obter a melhor latência, você sempre deve escolher uma região do Azure mais próxima de sua origem ao optar por habilitar o ponto de extremidade do Azure Front Door Private Link.

Próximos passos