WEBVTT

00:00:00.000 --> 00:00:07.680
מיוחנים למד מינוס עשרה ימים של Microsoft 365, Copilot, בינה מלאכותית, Azure ואנשים שמעצבים את עתיד העבודה.

00:00:07.860 --> 00:00:12.400
בינואר הקרוב, M365Con חוזרת ואנחנו הולכים בגדול.

00:00:12.580 --> 00:00:18.600
הצטרפו אלינו למפגשים חיים, הדגמות מהעולם האמיתי וידע מעשי ממומחי תוכן וMVPS מכל העולם.

00:00:18.840 --> 00:00:21.680
בלי שקפים גנריים, בלי מילות buzzes אינסופיות.

00:00:21.940 --> 00:00:29.260
אנחנו מתמודדים עם האתגרים האמיתיים Copilot Studio, סוכני AI, Fabric, אבטחה, ממשל ואוטומציה.

00:00:29.260 --> 00:00:35.020
בין אם אתם אנשי אית, מפתחים או מובילים עסקיים, יש מפגשים שתוכננו במיוחד עבורכם.

00:00:35.400 --> 00:00:40.520
במשך עשרה ימים מלאים, תוכלו לחקור טכנולוגיות רבות ולהתחבר לקהילה גלובלית.

00:00:40.760 --> 00:00:44.740
צפו בשידור חי וקחו תובנות מעשיות בחזרה לארגון שלכם.

00:00:45.040 --> 00:00:49.360
ינואר 2027, עשרה ימים, קהילת מייקרוסופט אחת.

00:00:49.520 --> 00:00:50.860
ההרשמה פתוחה כעת.

00:00:51.600 --> 00:00:56.160
עברו להם 365Con.net והבטיחו את מקומכם היום.

00:00:56.160 --> 00:00:59.040
זה M365Con.net.

00:00:59.260 --> 00:01:04.760
הצטרפו עכשיו ב-M365Con.net ונתראה בשידור חי בינואר.

00:01:04.880 --> 00:01:09.120
ברוכים הבאים לפרק נוסף של פניני ידע של מייקרוסופט, כאן ב-M365FM.

00:01:09.240 --> 00:01:11.080
אני המערך שלכם, מרקו פרוצי.

00:01:11.200 --> 00:01:14.680
נושא היום הוא משהו שכמעט כולם שמרו עליו, אבל מעטים יכולים להסביר בבירור.

00:01:14.840 --> 00:01:15.840
Azure Private Link.

00:01:15.840 --> 00:01:19.480
בטח ראיתם את האפשרות הזו בהגדרת חשבון יחסון או בסיס נתונים SQL.

00:01:19.780 --> 00:01:21.920
אבל מה זה באמת עושה והאם אתם באמת צריכים את זה?

00:01:22.040 --> 00:01:23.900
הנה מה שרוב האנשים מבינים לא נכון.

00:01:24.080 --> 00:01:27.820
הם מניחים שבגלל שהשירות רץ בתוך Azure הוא פרטי אוטומטית,

00:01:28.060 --> 00:01:30.000
שהוא חסום מהאינטרנט כברירת מחדל.

00:01:30.180 --> 00:01:31.800
זה לא נכון, אפילו לא קרוב.

00:01:31.800 --> 00:01:35.760
רוב שירותי הפועס של Azure, איכסון, SQL, Key Vault,

00:01:36.020 --> 00:01:38.340
מגיעים עם נקודת קצה ציבורית כברירת מחדל.

00:01:38.520 --> 00:01:43.760
זה אומר שכל אחד באינטרנט יכול להגיע אליהם כל עוד יש לו את כתובת ה-URL הנכונה והרשאות מתאימות.

00:01:43.860 --> 00:01:46.640
בסוף הפרק הזה, תבינו מה זה באמת Private Link,

00:01:46.860 --> 00:01:50.440
למה הוא קיים ואיך הוא שומר על התעבורה שלכם מחוץ לאינטרנט הציבורי.

00:01:50.440 --> 00:01:52.620
נפרק את זה בעזרת אנלוגיות פשוטות.

00:01:52.800 --> 00:01:54.620
בלי סיסמאות שיווקיות, בלי ז'רגון,

00:01:54.620 --> 00:01:58.400
רק הסבר פשוט על הדרך הישנה עם נקודות קצה ציבוריות בכל מקום.

00:01:58.540 --> 00:01:59.360
נתחיל בבעיה.

00:01:59.560 --> 00:02:01.060
לפני ש-Private Link היה קיים,

00:02:01.260 --> 00:02:04.680
כל שירות PAS של Azure קיבל נקודת קצה ציבורית כברירת מחדל.

00:02:04.800 --> 00:02:05.840
אתם יוצרים חשבון איכסון.

00:02:06.020 --> 00:02:07.160
Azure נותנת לכם משהו כמו

00:02:07.160 --> 00:02:10.260
mymcfstorage.com.blog.cor.windows.net

00:02:10.260 --> 00:02:12.820
כתובת ה-URL הזו מתרגמת לכתובת IP ציבורית.

00:02:12.820 --> 00:02:15.340
כל מי שיש לו גישה לאינטרנט יכול לנסות להתחבר אליה.

00:02:15.340 --> 00:02:17.600
עכשיו, תארו לעצמכם שיש לכם מכונה וירטואלית

00:02:17.600 --> 00:02:19.360
שרצה בתוך הרשת הוירטואלית שלכם באז'ר.

00:02:19.500 --> 00:02:21.800
המכונה הזו צריכה לקרוא קבצים מהיחסון הבלוב.

00:02:21.960 --> 00:02:24.380
אתם חושבים שהתעבורה תישאר בתוך Azure, נכון?

00:02:24.580 --> 00:02:26.340
שני המשאבים נמצאים באותו ענן.

00:02:26.500 --> 00:02:27.700
אבל לא כך זה עובד.

00:02:27.860 --> 00:02:30.100
ה-VM חייב לצאת מהרשת הוירטואלית שלך

00:02:30.100 --> 00:02:31.520
לעבור דרך האינטרנט הציבורי,

00:02:31.520 --> 00:02:34.240
ואז לחזור לתוך Azure כדי להגיע לחשבון ההיחסון הזה.

00:02:34.380 --> 00:02:36.740
זה כמו שאתה עומד בחדר אחד בבניין משרדים,

00:02:36.940 --> 00:02:39.340
וצריך להוציא מה שהוא מערון הציוד באותו הבניין.

00:02:39.480 --> 00:02:40.860
אבל, במקום ללכת במסדרון,

00:02:40.980 --> 00:02:42.700
אתה חייב לצאת החוצה, להקיף את הבלוק,

00:02:42.840 --> 00:02:44.240
ולחזור פנימה דרך דלת אחרת.

00:02:44.440 --> 00:02:46.500
זה לא הגיוני, אבל זה בדיוק מה שהיה קורה.

00:02:46.680 --> 00:02:47.560
זו בעיה אמיתית.

00:02:47.720 --> 00:02:49.720
הנתונים שלך עוברים דרך האינטרנט הציבורי,

00:02:49.720 --> 00:02:53.100
למרות ששני המשאבים נמצאים בתוך מרכזי הנתונים של מייקרוסופט עצמה.

00:02:53.220 --> 00:02:54.940
התעבורה הזו מוצפנת, בטח,

00:02:54.940 --> 00:02:56.860
אבל היא עדיין חשופה לאינטרנט הפתוח.

00:02:57.040 --> 00:03:00.200
היא עדיין עוברת דרך נתבים ומתגים שאין לך שליטה עליהם.

00:03:00.320 --> 00:03:02.520
ואם מי שהוא יצליח ליראת את התעבורה הזו,

00:03:02.700 --> 00:03:04.020
הוא יוכל לראות מה אתה שולח.

00:03:04.200 --> 00:03:05.380
יש כאן מיתוס נפוץ.

00:03:05.560 --> 00:03:08.940
הרבה אנשים חושבים, ובכן, זה במנוי שלי, אז זה פרטי.

00:03:09.080 --> 00:03:09.980
זה לא עובד ככה.

00:03:09.980 --> 00:03:13.000
המנוי שלך הוא גבול לחיוב וניהול, לא גבול רשת.

00:03:13.160 --> 00:03:16.360
כברירת מחדל, שירותי האז'ר שלך נגישים מהאינטרנט.

00:03:16.360 --> 00:03:19.500
הדבר היחיד שמגן עליהם הוא שכבת האימות וההרשאות,

00:03:19.620 --> 00:03:21.920
המפתחות, הסיסמאות, חוקי הפיירוול.

00:03:22.080 --> 00:03:23.920
אבל נתיב הרשת עצמו הוא ציבורי.

00:03:24.040 --> 00:03:25.640
אז מייקרוסופט בחנה זאת ואמרה,

00:03:25.760 --> 00:03:26.880
חייבת להיות דרך טובה יותר.

00:03:27.080 --> 00:03:27.800
והם בנו אותה.

00:03:27.900 --> 00:03:29.380
הם קראו לזה Private Link.

00:03:29.580 --> 00:03:32.620
הפתרון, נקודת קצה פרטית ככרטיס ממשק רשת.

00:03:32.620 --> 00:03:34.520
Private Link הוא השירות הכולל,

00:03:34.700 --> 00:03:38.100
אבל החלק המרכזי שצריך להבין הוא נקודת הקצה הפרטית,

00:03:38.280 --> 00:03:40.440
כרטיס ממשק רשת וירטואלי, או ניק,

00:03:40.440 --> 00:03:44.220
שיושב בתוך הרשת הווירטואלית שלך ומתחבר לשירות PAS.

00:03:44.520 --> 00:03:45.320
כך זה עובד.

00:03:45.480 --> 00:03:48.480
אתה יוצר נקודת קצה פרטית עבור חשבון ההכסון שלך,

00:03:48.720 --> 00:03:53.700
ואז'ר בונה ניק וירטואלי בתוך הרשת הווירטואלית שלך עם IP פרטי מהסאב נט שלך.

00:03:53.700 --> 00:03:57.800
הניק הזה מתחבר לחשבון ההכסון דרך Private Link בצד האחורי.

00:03:57.880 --> 00:04:00.180
אז, מנקודת המבט של ה-VM שלך,

00:04:00.460 --> 00:04:04.080
חשבון ההכסון נראה עכשיו כאילו הוא חי בתוך הרשת שלך עם IP פרטי,

00:04:04.300 --> 00:04:05.560
בדיוק כמו כל משאב אחר.

00:04:05.560 --> 00:04:08.320
כשה-VM שלך שולח תעבורה לחשבון ההכסון ההוא,

00:04:08.520 --> 00:04:12.380
היא פוגעת באיפ הפרטי של הניק ועוברת מעל רשת הבקיבון של מייקרוסופט,

00:04:12.540 --> 00:04:13.980
לעולם לא דרך האינטרנט הציבורי.

00:04:14.100 --> 00:04:16.580
היא לעולם לא עוזבת את התשתית הפנימית של אז'ואל.

00:04:16.580 --> 00:04:19.420
תחשוב על זה כמו על המסדרון המאובטח בבניין המשרדים.

00:04:19.560 --> 00:04:21.580
במקום ללכת החוצה ולהקיף את הבלוק,

00:04:21.800 --> 00:04:23.900
אתה פשוט הולך במסדרון לתוך ארון הציוד.

00:04:24.040 --> 00:04:25.640
חיבור ישיר ללא עיקוף.

00:04:25.800 --> 00:04:28.180
עכשיו, הנה דקאנס שהרבה אנשים מפספסים.

00:04:28.180 --> 00:04:32.340
הפעלת נקודת קצה פרטית לא מחבה את נקודת הקצה הציבורית באופן אוטומטי.

00:04:32.440 --> 00:04:34.100
שניהם יכולים להתקיים בו זמנית.

00:04:34.260 --> 00:04:37.580
אם תיצור נקודת קצה פרטית, אך לא תשנה את הגדרות נקודת הקצה הציבורית.

00:04:37.580 --> 00:04:39.900
חשבון ההכסון שלך עדיין יהיה נגיש מהאינטרנט.

00:04:39.980 --> 00:04:43.300
עליך להשביט במפורש את הגישה לרשת ציבורית כדי לחסום אותו לחלוטין.

00:04:43.440 --> 00:04:46.140
אנשים רבים חושבים שיצירת נקודת הקצה הפרטית היא מספיקה.

00:04:46.280 --> 00:04:46.820
זה לא כך.

00:04:46.820 --> 00:04:49.320
עליך לומר לאז'ר שאתה מעוניין בגישה פרטית בלבד.

00:04:49.460 --> 00:04:51.700
הרשו לי להפריך מיתוס נוסף בזמן שאנחנו כאן.

00:04:51.840 --> 00:04:54.520
פרייבט לינק זה לא כמו VPN או ExpressRoute.

00:04:54.520 --> 00:04:57.660
הם פותרים בעיות שונות וניכנס להשוואה הזו בהמשך.

00:04:57.780 --> 00:05:01.000
כרגע, רק דה שפרייבט לינק נועד לגישה לשירות ספציפי,

00:05:01.220 --> 00:05:02.960
לא לחיבור כל הרשת שלך לאז'ר.

00:05:03.100 --> 00:05:04.700
אז, יש לך נקודת קצה פרטית,

00:05:04.780 --> 00:05:07.860
והיא VM שלך יכול להגיע לחשבון ההכסון דרך כתובת IP פרטית.

00:05:07.860 --> 00:05:10.480
אבל איך ה-VM שלך מוצא בפועל את חשבון ההכסון הזה?

00:05:10.640 --> 00:05:13.540
בעבר הוא היה פותר את כתובת ה-URL הציבורית לכתובת IP ציבורית.

00:05:13.540 --> 00:05:15.220
עכשיו הוא צריך כתובת IP פרטית.

00:05:15.360 --> 00:05:16.040
איך זה עובד?

00:05:16.160 --> 00:05:19.040
כאן נכנס ה-DNS לתמונה וזה מה שנבחן בהמשך.

00:05:19.180 --> 00:05:21.880
DNS הוא המרכיב הסודי שגורם להקל לעבוד.

00:05:22.040 --> 00:05:23.380
יש לך נקודת קצה פרטית,

00:05:23.440 --> 00:05:26.800
וה-VM שלך יכול להגיע לחשבון ההכסון דרך כתובת IP פרטית.

00:05:26.960 --> 00:05:27.800
אבל הנה העניין,

00:05:27.960 --> 00:05:29.900
ה-VM שלך לא מכיר את הכתובת הזו.

00:05:29.900 --> 00:05:31.960
הוא מכיר את כתובת ה-URL של חשבון ההכסון,

00:05:32.160 --> 00:05:33.320
מה שהוא כמו My Storage Account.

00:05:33.540 --> 00:05:35.280
blob.core.windows.net

00:05:35.280 --> 00:05:37.200
זה השם שבו הוא משתמש כדי להתחבר.

00:05:37.200 --> 00:05:39.580
אז, איך הוא מוצא את ה-IP הפרטי במקום הציבורי?

00:05:39.660 --> 00:05:41.960
זה המקום שבו ה-DNS עושה את העבודה הקשה.

00:05:42.100 --> 00:05:45.780
כאשר אתה יוצר נקודת קצה פרטית ובוחר לשלב אותה עם אזור DNS פרטי,

00:05:45.980 --> 00:05:46.720
מה שכדאי לעשות,

00:05:46.880 --> 00:05:48.660
Azure יוצרת אחד עבורך באופן אוטומטי.

00:05:48.800 --> 00:05:49.980
עבור חשבון יכסון blob,

00:05:50.160 --> 00:05:51.720
האזור הזה נקרא Private Link.

00:05:51.940 --> 00:05:53.860
blob.core.windows.net

00:05:53.860 --> 00:05:54.700
בתוך האזור הזה,

00:05:54.840 --> 00:05:58.760
Azure מוסיפה רשומת A שממפה את שם חשבון ההכסון שלך לכתובת ה-IP הפרטית של נקודת הקצה.

00:05:58.860 --> 00:06:00.420
עכשיו, הנה החלק החכם.

00:06:00.420 --> 00:06:02.920
כתובת ה-URL הציבורית המקורית עדיין נפטרת,

00:06:03.100 --> 00:06:04.820
אך במקום להחזיר IP ציבורי ישירות,

00:06:05.020 --> 00:06:07.180
היא מחזירה רשומת סינאים שמפנה לאזור הפרטי.

00:06:07.260 --> 00:06:09.080
אז, שרשרת הפתרון נראית כך.

00:06:09.220 --> 00:06:12.100
ה-VM שלך מבקש את כתובת ה-URL של חשבון ההכסון,

00:06:12.280 --> 00:06:14.660
ה-DNS מחזיר סינאים שמפנה ל-My Storage Account.

00:06:14.660 --> 00:06:17.580
private-link.blob.core.windows.net

00:06:17.580 --> 00:06:21.020
שנמצא בתוך אזור ה-DNS הפרטי המקושר לרשת הווירטואלית שלך.

00:06:21.160 --> 00:06:23.180
ה-DNS פותר זאת לכתובת IP פרטית,

00:06:23.320 --> 00:06:25.320
ה-VM שלך מתחבר לאותו IP פרטי,

00:06:25.500 --> 00:06:27.500
והתעבורה לעולם לא נוגעת באינטרנט הציבורי.

00:06:27.600 --> 00:06:30.000
חשוב על זה כמו על דלפק קבלה בבניין משרדים.

00:06:30.160 --> 00:06:32.340
מי שהוא נכנס ושואל איפה ארון ההספקה,

00:06:32.520 --> 00:06:34.000
והפקיד לא שולח אותו החוצה.

00:06:34.080 --> 00:06:36.320
הוא מכוון אותו למסדרון הנכון בתוך הבניין.

00:06:36.320 --> 00:06:38.740
אזור ה-DNS הפרטי מתפקד כמו פקיד קבלה

00:06:38.740 --> 00:06:41.160
שמפנה תעבורה ליעדה הנכון מבלי לצאת מהבניין.

00:06:41.300 --> 00:06:44.040
ובכן, האופן שבו זה עובד תלוי במיקום של ה-VM שלך.

00:06:44.160 --> 00:06:46.820
אם הוא נמצא באותה רשת וירטואלית של נקודת הקצה הפרטית,

00:06:47.000 --> 00:06:49.620
אזור ה-DNS הפרטי מקושר והרזולוציה מתבצעת אוטומטי.

00:06:49.700 --> 00:06:50.880
אם הוא נמצא ברשת מקושרת,

00:06:50.880 --> 00:06:53.080
פירד, הלך לקשר את האזור גם לאותה רשת.

00:06:53.220 --> 00:06:54.020
עבור מחשבים מקומיים,

00:06:54.140 --> 00:06:54.640
און פרמיסס,

00:06:54.640 --> 00:06:56.460
המחוברים דרך VPN או ExpressRoute,

00:06:56.580 --> 00:06:57.220
העניין מורכב יותר.

00:06:57.420 --> 00:06:59.120
בדרך כלל מגדירים DNS Forward R

00:06:59.120 --> 00:07:01.120
או משתמשים ב-Azure DNS Private Resolver

00:07:01.120 --> 00:07:02.820
כדי לוודא ששאילתות יגיעו לאזור הפרטי.

00:07:02.920 --> 00:07:04.620
אך ברוב התרחישים בתוך Azure,

00:07:04.820 --> 00:07:06.240
היסודות מטופלים עבורך.

00:07:06.440 --> 00:07:08.700
DNS יכול להפוך למורכב בסביבות גדולות,

00:07:08.700 --> 00:07:09.840
אך במקרה הסטנדרטי,

00:07:10.000 --> 00:07:13.040
כאשר ה-VM באותה רשת וירטואלית של נקודת הקצה הפרטית,

00:07:13.260 --> 00:07:14.500
Azure מטפלת בזה אוטומטית.

00:07:14.660 --> 00:07:16.100
אין לך צורך לגעת בדבר.

00:07:16.100 --> 00:07:18.240
בואו נראה זאת בפעולה עם דוגמה אמיתית.

00:07:18.420 --> 00:07:19.560
סקירה מהעולם האמיתי.

00:07:19.700 --> 00:07:21.740
קישור פרטי, Private Link, עם Azure Storage.

00:07:21.940 --> 00:07:23.160
בואו נהפוך את זה לממשי.

00:07:23.280 --> 00:07:24.820
נניח שיש לך מכונה וירטואלית

00:07:24.820 --> 00:07:26.800
שרצה בתוך הרשת הוירטואלית שלך באזור.

00:07:26.940 --> 00:07:30.080
ה-VM הזאת צריכה למשוך קבצים מחשבון Azure Blob Storage.

00:07:30.080 --> 00:07:31.260
זו הגדרה נפוצה.

00:07:31.420 --> 00:07:33.520
אולי אפליקציה ששומרת העלאות משתמשים

00:07:33.520 --> 00:07:35.740
או משימת עיבוד נתונים שקורית מקונטנר.

00:07:35.880 --> 00:07:37.680
ללא Private Link, הנה מה שקורה.

00:07:37.820 --> 00:07:39.800
ה-VM שלך מחפשת את הכתובת הציבורית

00:07:39.800 --> 00:07:41.980
של חשבון היחסון ומקבלת כתובת IP ציבורי.

00:07:42.080 --> 00:07:44.060
התעבורה עוזבת את הרשת הוירטואלית שלך

00:07:44.060 --> 00:07:45.200
יוצאת לאינטרנט הציבורי

00:07:45.200 --> 00:07:47.820
ואז נכנסת שוב לאז'ר כדי להגיע לחשבון היחסון.

00:07:47.960 --> 00:07:49.180
המסלול הזה מיותר.

00:07:49.340 --> 00:07:51.000
שני המשאבים כבר נמצאים באז'ר

00:07:51.000 --> 00:07:53.820
אך הנתונים עושים עיקוף דרך האינטרנט הפתוח בכל מקרה.

00:07:53.960 --> 00:07:56.220
עם Private Link, אתה פורס נקודת קצה פרטית

00:07:56.220 --> 00:07:58.300
עבור תת המשאב של הבלוב בחשבון היחסון.

00:07:58.300 --> 00:08:00.900
זהו החלק הספציפי שמטפל בנתוני הבלוב.

00:08:01.040 --> 00:08:03.400
Azure יוצרת כרטיס רשת וירטואלי ברשת שלך

00:08:03.400 --> 00:08:04.580
עם כתובת IP פרטית,

00:08:04.780 --> 00:08:06.380
מגדירה את אזור ה-DNS הפרטי

00:08:06.380 --> 00:08:09.000
ושרשרת הרזולוציה עליה דיברנו נכנסת לפעולה.

00:08:09.080 --> 00:08:11.260
כעת שה-VM שלך פותרת את אותה כתובת.

00:08:11.400 --> 00:08:14.180
mystorageaccount.blob.core.windows.net

00:08:14.180 --> 00:08:16.020
היא מקבלת את ה-IP הפרטי במקום הציבורי.

00:08:16.120 --> 00:08:19.100
התעבורה זורמת מה-VM לנקודת הקצה הפרטית

00:08:19.100 --> 00:08:22.300
ואז על גבי התשתית של מייקרוסופט אל חשבון היחסון.

00:08:22.300 --> 00:08:24.720
היא לעולם לא עוזבת את הרשת הפנימית של Azure.

00:08:24.920 --> 00:08:26.020
זו הנקודה המרכזית.

00:08:26.220 --> 00:08:27.620
האפליקציה שלך לא משתנה.

00:08:27.760 --> 00:08:28.960
אין שינוי במחרוזות התחברות,

00:08:29.120 --> 00:08:30.260
אין עדכון קבצי קונפיגורציה.

00:08:30.380 --> 00:08:32.180
הכתובת URL נשארת אותו דבר.

00:08:32.340 --> 00:08:34.740
הדבר היחיד שמשתנה הוא הדרך שבה הכתובת הזו נפטרת.

00:08:34.900 --> 00:08:36.360
מנקודת המבט של האפליקציה

00:08:36.360 --> 00:08:38.060
היא עדיין מתחברת לאותו חשבון יחסון.

00:08:38.220 --> 00:08:39.100
אך מאחורי הקלעים,

00:08:39.240 --> 00:08:40.500
מסלול התעבורה שונה לחלוטין.

00:08:40.620 --> 00:08:41.940
ואם ברצונך ללכת עד הסוף,

00:08:41.940 --> 00:08:44.340
באפשרותך לבטל את נקודת הקצה הציבורית לחלוטין.

00:08:44.500 --> 00:08:47.800
זה אומר שחשבון היחסון שלך נגיש רק דרך נקודת הקצה הפרטית.

00:08:47.980 --> 00:08:49.220
חשיפה אפסית לאינטרנט.

00:08:49.420 --> 00:08:51.560
אף אחד אפילו לא יכול לנסות להתחבר מבחוץ.

00:08:51.720 --> 00:08:53.140
עוד דבר אחד שכדאי לציין.

00:08:53.320 --> 00:08:55.340
לחשבונות יחסון יש משאבי משני מרובים.

00:08:55.500 --> 00:08:56.240
אחד מהם הוא בלוב,

00:08:56.340 --> 00:08:57.980
אך ישנם גם פייל, טייבל וקיו.

00:08:58.120 --> 00:09:00.260
לכל אחד מהם יכולה להיות נקודת קצה פרטית משלו.

00:09:00.260 --> 00:09:03.300
ניתן להחזיק נקודה אחת לתעבורת בלוב ואחת נפרדת לתעבורת פייל.

00:09:03.420 --> 00:09:06.340
או להשתמש בנקודת קצה אחת שמכסה את כולם בהתאם לצרכים שלך.

00:09:06.460 --> 00:09:09.700
כעת, ייתכן שאתה תוהה במה זה שונה מאפשרויות קישוריות אחרות באז'ר.

00:09:09.840 --> 00:09:12.080
VPN, אקספרס ראוט, נקודות קצה של שירות.

00:09:12.220 --> 00:09:13.220
כולם נשמעים דומים.

00:09:13.440 --> 00:09:14.580
בואו נעשה קצת סדר.

00:09:14.760 --> 00:09:17.960
פרייבט לינק מול VPN מול אקספרס ראוט מול נקודות קצה של שירות.

00:09:17.960 --> 00:09:22.000
אז, איך פרייבט לינק משתווה ל-VPN, אקספרס ראוט ונקודות קצה של שירות?

00:09:22.100 --> 00:09:23.960
כולם נשמעים כאילו הם עושים את אותו הדבר.

00:09:24.180 --> 00:09:25.580
אך למעשה הם פותרים בעיות שונות.

00:09:25.660 --> 00:09:27.620
ובמקרים רבים, תשתמש בהם יחד.

00:09:27.760 --> 00:09:28.620
נתחיל ב-VPN.

00:09:29.000 --> 00:09:33.200
רשת וירטואלית פרטית מחברת את הרשת המקומית שלך לאז'ר דרך האינטרנט הציבורי.

00:09:33.320 --> 00:09:36.120
היא יוצרת מנהרה מוצפנת בין האתר שלך לאז'ר.

00:09:36.120 --> 00:09:39.880
התעבורה מוצפנת, בטח, אבל היא עדיין עוברת דרך האינטרנט הציבורי.

00:09:39.880 --> 00:09:42.820
המנהרה מאובטחת, אבל הכביש שעליו היא נמצאת וציבורי.

00:09:42.920 --> 00:09:45.580
פרייבט לינק לא מחליף את ה-VPN, הוא עובד לצידו.

00:09:45.700 --> 00:09:48.380
אתה עשוי להשתמש ב-VPN כדי לחבר את המשרד שלך לאז'ר,

00:09:48.500 --> 00:09:51.980
ואז להשתמש בפרייבט לינק כדי לגשת לחשבון ההכסון שלך באופן פרטי מאותו חיבור.

00:09:52.140 --> 00:09:53.240
אקספרס ראוט הוא שונה.

00:09:53.380 --> 00:09:56.560
הוא נותן לך מעגל פרטי יהודי ממרכז הנתונים שלך לאז'ר.

00:09:56.560 --> 00:09:59.120
התעבורה לעולם לא נוגעת באינטרנט הציבורי כלל.

00:09:59.120 --> 00:10:02.260
זה כמו להחזיק כביש פרטי משלך ישירות לתוך הרשת של מייקרוסופט.

00:10:02.360 --> 00:10:03.360
אבל הנה המלכוד.

00:10:03.540 --> 00:10:06.680
אקספרס ראוט לבדו לא נותן לך גישה פרטית לשירותי פי-א-אס.

00:10:06.820 --> 00:10:10.740
הוא מחבר את הרשת שלך לאז'ר, אבל לחשבון ההכסון שלך עדיין יש נקודת קצה ציבורי.

00:10:10.820 --> 00:10:14.840
תצטרך לשלב את אקספרס ראוט עם פרייבט לינק כדי לקבל גישה פרטית אמיתית לשירותים אלו.

00:10:14.840 --> 00:10:17.200
נקודות קצה של שירות הן טכנולוגיה ישנה יותר.

00:10:17.200 --> 00:10:21.940
הן מאפשרות לך להגביל את הגישה לשירות אז'ור כך שרק תעבורה מהרשת הווירטואלית שלך תוכל להגיע אליו.

00:10:22.040 --> 00:10:24.900
אבל הנה העניין, לשירות עדיין יש נקודת קצה ציבורית.

00:10:25.040 --> 00:10:28.580
אתה פשוט מוסיף חוק חומת אש שאומר, אפשר רק תעבורה מהבנט הזה.

00:10:28.800 --> 00:10:31.080
נקודת הקצה עצמה עדיין חשופה לאינטרנט.

00:10:31.080 --> 00:10:35.580
פרייבט לינק מאובטח יותר מכיוון שנקודת הקצה נמצאת באמת בתוך הבנט שלך ויש לה איי-פי פרטי.

00:10:35.680 --> 00:10:37.440
אין נקודת קצה ציבורית שניתן לתקוף.

00:10:37.440 --> 00:10:39.200
תן לי לתת לך דרך פשוטה לחשוב על זה.

00:10:39.360 --> 00:10:41.520
VPN הוא מנהרה מאובטחת דרך כביש ציבורי.

00:10:41.660 --> 00:10:43.900
אקספרס ראוט הוא כביש פרטי שמוביל ישר לאז'ור.

00:10:44.060 --> 00:10:47.060
נקודות קצה של שירות הן שומר בשער הציבורי שבודק תעודות זהות.

00:10:47.220 --> 00:10:49.340
פרייבט לינק הוא מסדרון ישיר בתוך הבניין.

00:10:49.520 --> 00:10:51.020
אתה לעולם לא יוצא החוץ הכלל.

00:10:51.020 --> 00:10:52.700
אז, במי כדאי לך להשתמש?

00:10:52.920 --> 00:10:53.480
זה תלוי.

00:10:53.620 --> 00:10:57.600
כדי לחבר את המשרד לאז'ור, האפשרויות שלך הן VPN או אקספרס ראוט.

00:10:57.600 --> 00:11:01.260
לגישה מאובטחת לשירותי PAS, פרייבט לינק הוא התקן המוביל.

00:11:01.400 --> 00:11:03.660
ולהבטחה מקסימלית מומלץ לשלב ביניהם.

00:11:03.820 --> 00:11:06.420
אקספרס ראוט להעברת תעבורה לאז'ור באופן פרטי.

00:11:06.580 --> 00:11:08.760
ופרייבט לינק לגישה מאובטחת לשירותי משם.

00:11:08.900 --> 00:11:11.540
אבל פרייבט לינק אינו מיועד רק לשירותי מייקרוסופט.

00:11:11.540 --> 00:11:13.460
ניתן להשתמש בו גם עבור יישומים משלך.

00:11:13.580 --> 00:11:16.400
בעזרת שירות פרייבט לינק המערך נקודות קצה פרטיות משלך.

00:11:16.520 --> 00:11:18.420
הנה משהו שהרבה אנשים מפספסים.

00:11:18.420 --> 00:11:21.080
פרייבט לינק לא נועד רק לצריכת שירותי אז'ור.

00:11:21.240 --> 00:11:24.140
ניתן להשתמש בו גם כדי לחשוף את היישומים שלך לעולם.

00:11:24.360 --> 00:11:26.640
בשביל זה בדיוק נבנה שירות פרייבט לינק.

00:11:26.720 --> 00:11:28.080
דמיין שאתה ספק סס.

00:11:28.260 --> 00:11:31.660
יש לך יישום שרץ על מכונות וירטואליות מאחורי מאזן או מסים סטנדרטי.

00:11:31.660 --> 00:11:33.060
והלקוחות שלך ניגשים אליו.

00:11:33.180 --> 00:11:38.500
באופן מסורתי היו לך שתי אפשרויות לחשוף הכל לאינטרנט או להקים VPN בין הרשת שלך לי שלהם.

00:11:38.620 --> 00:11:40.580
בשתי הדרכים יש חסרונות משמעותיים.

00:11:40.580 --> 00:11:45.200
חשיפה ציבורית חושפת אותך לסיכוני הבטחה וVPN הוא מורכב לניהול ותחזוקה.

00:11:45.340 --> 00:11:47.440
שירות פרייבט לינק פותר את הבעיה הזו.

00:11:47.620 --> 00:11:50.380
אתה יוצר את השירות, מחבר אותו למאזן האומסים הסטנדרטי.

00:11:50.560 --> 00:11:53.360
ואז הלקוחות יוצרים נקודת קצה פרטית ברשת הווירטואלית שלהם.

00:11:53.360 --> 00:11:55.820
נקודת קצה זו מתחברת ישירות לשירות שלך.

00:11:55.940 --> 00:11:58.900
ללא פירין, ללא VPN וללא שום חשיפה ציבורית.

00:11:58.900 --> 00:12:03.680
התעבורה עוברת מנקודת הקצה הפרטית שלהם דרך התשתית של מייקרוסופט ישר לשירות שלך.

00:12:03.800 --> 00:12:05.220
היא לעולם לא נוגעת באינטרנט.

00:12:05.440 --> 00:12:11.220
השירות שלך מקבל כינוי ייחודי גלובלי, משהו כמו MyApp, G, Region, Azure, Private Link Service.

00:12:11.220 --> 00:12:15.960
זה הכינוי שהלקוחות משתמשים בו כדי להתחבר, ואתה שולט באופן מלא במי יכול לראות אותו.

00:12:16.100 --> 00:12:22.100
ניתן להגביל את הנראות לפי תפקידי RBSC, מנויים ספציפיים, או לאפשר לכל מי שיש לו את הכינוי לבקש חיבור.

00:12:22.100 --> 00:12:26.440
כל בקשת חיבור מגיעה אליך לאישור ידני, כך שאתה תמיד יודע בדיוק מי מתחבר.

00:12:26.620 --> 00:12:29.020
עבור ספקי SES, מדובר בשינוי משמעותי.

00:12:29.160 --> 00:12:34.440
במקום לפתוח חוקי חומת אש או לנהל הגדרות VPN מורכבות, אתה פשוט נותן ללקוח את הכינוי.

00:12:34.440 --> 00:12:37.680
הם יוצרים נקודת קצה פרטית, אתה מאשר אותה, וזהו.

00:12:37.780 --> 00:12:42.900
בוצה, מגבלה אחת בלבד, שירות Private Link עובד רק עם מזני עומסים סטנדרטיים, לא בסיסיים.

00:12:43.080 --> 00:12:46.340
אם אתה עדיין משתמש במאזן עומסים בסיסי, תצטרך לשדרג אותו קודם.

00:12:46.340 --> 00:12:49.700
זה מחיר קטן לשלם עבור האבטחה והפשטות שאתה מקבל בתמורה.

00:12:49.840 --> 00:12:51.880
עכשיו, כל האבטחה הזו נשמעת מצוין.

00:12:52.080 --> 00:12:54.520
אבל מה זה אומר בפועל על צורכי הציוט והתקציב שלך?

00:12:54.680 --> 00:12:56.580
שיקולי אבטחה, ציוט ועלות.

00:12:56.580 --> 00:13:00.840
בוא נדבר על מה ש Private Link באמת אומר עבור דרישות הציוט שלך והארנק שלך.

00:13:00.960 --> 00:13:02.380
ראשית, הצד האבטחתי.

00:13:02.500 --> 00:13:06.340
Private Link מצמצם את שטח התקיפה שלך על ידי ביטול מוחלט של נקודות קצה ציבוריות.

00:13:06.580 --> 00:13:07.740
זהו היתרון המרכזי.

00:13:07.740 --> 00:13:11.640
במקום חשבון נחסון או מסעד נתונים מסוג סיקואל שניתן להגיע עליהם מכל מקום באינטרנט,

00:13:11.860 --> 00:13:14.360
יש לך משאב שמגיב רק לתעבורה מתוך הרשת הווירטואלית שלך.

00:13:14.500 --> 00:13:17.260
אין כתובת IP ציבורית לסריקה, אין פורט פתוח לבדיקה.

00:13:17.260 --> 00:13:19.400
שטח התקיפה מצטמצם באופן דרמטי.

00:13:19.500 --> 00:13:22.860
הנה יתרון נוסף שלא מקבל מספיק תשומת לב, מניעת דליפת נתונים.

00:13:23.040 --> 00:13:25.640
כל נקודת קצה פרטית ממופה למופע משאב ספציפי,

00:13:25.640 --> 00:13:29.360
לא לשירות כולו, לא לכל חשבון נחסון במנוי שלך, רק לאותו אחד.

00:13:29.540 --> 00:13:32.300
לכן, אם מי שהוא פורץ לאומס עבודה ברשת הווירטואלית שלך,

00:13:32.500 --> 00:13:36.020
הוא לא יכול להשתמש בנקודת הקצה הפרטית הזו כדי להגיע לחשבונות נחסון אחרים.

00:13:36.020 --> 00:13:38.000
הם נעולים למשאב האחד שהשארת.

00:13:38.140 --> 00:13:40.760
עבור צוותי אבטחה, הבלימה הזו היא עניין גדול.

00:13:40.900 --> 00:13:43.480
בתחום התאימות, Private Link מסמן הרבה תיבות.

00:13:43.480 --> 00:13:49.400
תקנות כמו HIPAA, GDPR וPCI דורשות לעיתים קרובות שמידע רגיש לעולם לא יעבור ברשתות ציבוריות.

00:13:49.580 --> 00:13:51.900
Private Link נותן לך דרך נקייה להוכיח זאת.

00:13:51.900 --> 00:13:54.420
התעבורה שלך נשארת על עמוד השדרה של מייקרוסופט,

00:13:54.560 --> 00:13:57.180
ואתה יכול להצביע על יומני הביקורת ולומר, הנה ההוכחה.

00:13:57.260 --> 00:14:00.340
עבור תעשיות מוסדרות, זה לבדו יכול להצדיק את ההשקעה.

00:14:00.440 --> 00:14:03.060
עכשיו, בואו נדבר על עלות, כי כאן אנשים מופתעים.

00:14:03.220 --> 00:14:04.640
Private Link אינו בחינם.

00:14:04.640 --> 00:14:07.140
אתה משלם תשלום שעתי עבור כל נקודת קצה פרטית,

00:14:07.280 --> 00:14:09.820
בתוספת עמלות עיבוד נתונים עבור התעבורה שעוברת דרכה.

00:14:09.820 --> 00:14:12.800
בהתאם לשימוש שלך, זה יכול להיות פי שניים או שלושה יקר יותר

00:14:12.800 --> 00:14:14.980
משימוש בנקודת קצה ציבורית עם חוקי חומת אש.

00:14:15.140 --> 00:14:17.920
זה מצטבר מהר מאוד, במיוחד אם יש לך הרבה נקודות קצה.

00:14:18.020 --> 00:14:19.480
אז, הנה הדעה הכנה שלי.

00:14:19.640 --> 00:14:21.580
Private Link הוא לא תמיד הבחירה הנכונה.

00:14:21.780 --> 00:14:24.360
אם אתה מריץ סביבת פיתוח או בדיקות ללא מידע רגיש,

00:14:24.360 --> 00:14:28.000
נקודות קצה ציבוריות עם חוקי חומת אש מתאימים הם כנראה מספיקות.

00:14:28.000 --> 00:14:31.020
אם אתה מערך אתר ציבורי שאמור להיות נגיש מהאינטרנט,

00:14:31.180 --> 00:14:32.540
Private Link לא יעזור לך.

00:14:32.640 --> 00:14:34.940
אבל עבור עומסי עבודה בייצור בתעשיות מוסדרות,

00:14:35.060 --> 00:14:36.400
פיננסים, בריאות וממשל,

00:14:36.580 --> 00:14:37.700
Private Link הוא לרוב חובה.

00:14:37.840 --> 00:14:39.940
זה המחיר של עשיית עסקים בצורה מאובטחת.

00:14:40.060 --> 00:14:41.440
עכשיו, לפני שתיישם את זה,

00:14:41.620 --> 00:14:43.340
יש כמה מלכודות שכדאי לשים לב עליהן.

00:14:43.460 --> 00:14:44.380
מלכודות בישום.

00:14:44.580 --> 00:14:45.820
מה שמתחילים מפספסים.

00:14:45.980 --> 00:14:47.500
תן לי לחסוך לך כאבי ראש.

00:14:47.660 --> 00:14:49.540
הנה הטעויות הנפוצות ביותר שאנשים עושים

00:14:49.540 --> 00:14:51.020
כשהם מגדירים לראשונה Private Link.

00:14:51.020 --> 00:14:53.460
קודם כל, עליך להשביט את נקודת הקצה הציבורית

00:14:53.460 --> 00:14:54.940
לאחר יצירת נקודת הקצה הפרטית.

00:14:55.060 --> 00:14:56.480
זו המלכודת הגדולה ביותר.

00:14:56.600 --> 00:14:58.540
הרבה אנשים יוצרים את נקודת הקצה הפרטית

00:14:58.540 --> 00:15:00.060
ומניחים שזה מספיק, אבל זה לא.

00:15:00.240 --> 00:15:02.300
נקודת הקצה הציבורית נשארת פעילה כברירת מחדל.

00:15:02.440 --> 00:15:04.680
מה שאומר שהתעבורה שלך עדיין יכולה לעבור דרך האינטרנט.

00:15:04.680 --> 00:15:06.360
עליך להיכנס להגדרות הרשת

00:15:06.360 --> 00:15:08.440
ולחבות במפורש את הגישה לרשת ציבורית.

00:15:08.440 --> 00:15:11.060
אם תדלג על השלב הזה, לא באמת הבטחת שום דבר.

00:15:11.240 --> 00:15:13.600
לאחר מכן, רזולוציית DNS עבור לקוחות מקומיים,

00:15:13.760 --> 00:15:15.320
On-Premises, דורשת הגדרה נוספת.

00:15:15.440 --> 00:15:18.520
אם יש לכם מכונות במשרד שמתחברות דרך VPN או ExpressRoute,

00:15:18.720 --> 00:15:21.660
הן לא יתרגמו אוטומטית את כתובת ה-IP של ה-Private Endpoint שלכם.

00:15:21.840 --> 00:15:24.740
אזור ה-DNS הפרטי מקושר לרשת הווירטואלית שלכם ב-Azure

00:15:24.740 --> 00:15:26.760
ולא לשרתי ה-DNS המקומיים שלכם.

00:15:26.920 --> 00:15:30.340
עליכם להגדיר DNS Forward R או להשתמש ב-Azure DNS Private Resolver

00:15:30.340 --> 00:15:32.260
כדי לוודא שהשאילתות הללו מגיעות לאזור הפרטי.

00:15:32.260 --> 00:15:36.040
אנשים רבים מפספסים זאת ואז תוהים מדוע האפליקציות המקומיות שלהם לא מצליחות להתחבר.

00:15:36.200 --> 00:15:39.560
בנוסף, נקודות קצה פרטיות לא עובדות כבדרך קסם בין אזורים גיאוגרפיים שונים.

00:15:39.780 --> 00:15:41.800
אם הרשת הווירטואלית שלכם נמצאת במערב אירופה

00:15:41.800 --> 00:15:45.300
ואתם יוצרים נקודת קצה פרטית עבור חשבון נחסון במזרח ארצות הברית, זה לא יעבוד.

00:15:45.300 --> 00:15:48.760
נקודת הקצה הפרטית חייבת להיות באותו אזור שבו נמצאת הרשת הווירטואלית.

00:15:48.760 --> 00:15:53.120
שירות הפועס יכול להיות באזור אחר, אך נקודת הקצה עצמה חייבת להתאים לאזור של הבנה.

00:15:53.280 --> 00:15:54.260
תכננו בהתאם.

00:15:54.440 --> 00:15:58.920
דבר נוסף, קבוצות הבטחת רשת, NSG, משפיעות על כרטיס הרשת של נקודת הקצה הפרטית.

00:15:59.040 --> 00:16:01.980
נקודת הקצה הפרטית יוצרת כרטיס רשת ווירטואלי, ניק, בסבנט שלכם.

00:16:02.140 --> 00:16:05.760
כרטיס הרשת הזה כפוף לאותם חוקי NSG כמו כל דבר אחר באותו סבנה.

00:16:05.760 --> 00:16:09.000
אם תכסמו תעבורה לסאב נט של כרטיס הרשת, נקודת הקצה לא תעבוד.

00:16:09.000 --> 00:16:11.060
ובדאו שחוקי ה-NSG שלכם מאפשרים זאת.