WEBVTT

00:00:00.080 --> 00:00:06.000
Готовы к 10 дням погружения в Microsoft 365, Капайлот, ИИ, Азур и знакомство с людьми,

00:00:06.180 --> 00:00:12.380
определяющими будущие работы. В этом январе М365Кон возвращается, и мы берем новую высоту.

00:00:12.600 --> 00:00:16.620
Присоединяйтесь к нам ради прямых эфиров, демонстрации реальных кейсов и практических

00:00:16.620 --> 00:00:21.920
знаний от MVP и экспертов со всего мира. Никаких общих слайдов и бесконечных модных словечек.

00:00:22.020 --> 00:00:27.180
Мы беремся за реальные задачи, Капайлот Студия, ИИ Агенты, Фабрик, Безопасность,

00:00:27.180 --> 00:00:31.780
Управление и Автоматизация. Независимо от того, являетесь ли вы это специалистом,

00:00:31.940 --> 00:00:35.360
разработчиком или руководителем, у нас найдутся сессии специально для вас.

00:00:35.540 --> 00:00:40.460
За 10 полных дней вы сможете изучить множество технологий и пообщаться с мировым сообществом.

00:00:40.680 --> 00:00:44.660
Смотрите в прямом эфире и применяйте практические идеи в своей организации.

00:00:44.860 --> 00:00:51.040
Январь 2027 года, 10 дней, единое сообщество Microsoft. Регистрация уже открыта.

00:00:51.460 --> 00:00:56.140
Переходите на m365кон.нет и забронируйте свое место сегодня.

00:00:56.140 --> 00:00:58.900
Это m365кон.нет

00:00:58.900 --> 00:01:02.960
Присоединяйтесь сейчас на m365кон.нет

00:01:02.960 --> 00:01:04.820
Увидимся в прямом эфире в январе.

00:01:04.960 --> 00:01:09.220
Добро пожаловать в очередной выпуск «Микрознаний Microsoft» на M365FM.

00:01:09.380 --> 00:01:10.860
Ваш ведущий – Мир Куперотцы.

00:01:11.060 --> 00:01:14.720
Сегодняшняя тема – то, о чем слышали почти все, но мало кто может внятно объяснить.

00:01:14.840 --> 00:01:15.840
Azure Private Link.

00:01:16.040 --> 00:01:19.780
Вы наверняка видели эту опцию при настройке учетной записи хранения или базы данных SQL,

00:01:19.780 --> 00:01:21.940
но что она на самом деле делает и нужна ли она вам.

00:01:22.120 --> 00:01:23.720
Вот в чем большинство людей ошибается.

00:01:23.720 --> 00:01:27.980
Они полагают, что если сервис работает внутри Azure, он автоматически является частным,

00:01:28.180 --> 00:01:30.080
что он по умолчанию как бы отделен от интернета.

00:01:30.220 --> 00:01:32.200
Это неправда, и даже близко не так.

00:01:32.420 --> 00:01:38.300
Большинство PAS-сервисов Azure, хранилища SQL, Key Vault сразу поставляются с публичной конечной точкой.

00:01:38.440 --> 00:01:41.360
Это означает, что любой пользователь в интернете может получить к ним доступ,

00:01:41.560 --> 00:01:43.660
если у него есть правильный URL и учетные данные.

00:01:43.660 --> 00:01:47.200
К концу этого выпуска вы поймете, что такое Private Link на самом деле,

00:01:47.420 --> 00:01:50.540
зачем он нужен и как он изолирует ваш трафик от публичного интернета.

00:01:50.700 --> 00:01:52.780
Мы разберем это с помощью простых аналогий.

00:01:52.940 --> 00:01:54.980
Без маркетинговой шелухи, без жаргона.

00:01:55.240 --> 00:01:58.320
Просто о старом способе с публичными точками доступа повсюду.

00:01:58.500 --> 00:01:59.420
Начнем с проблемы.

00:01:59.640 --> 00:02:04.500
До появления Private Link каждый PAS-сервис Azure по умолчанию получал публичную конечную точку.

00:02:04.660 --> 00:02:06.080
Вы создаете учетную запись хранения,

00:02:06.200 --> 00:02:10.380
и Azure дает вам что-то вроде mydefiz storage defiz account.blog.cor.windows.net.

00:02:10.380 --> 00:02:12.680
Этот URL преобразуется в публичный IP-адрес.

00:02:12.840 --> 00:02:15.380
Любой, у кого есть доступ в интернет, может попытаться подключиться к нему.

00:02:15.500 --> 00:02:17.220
Теперь представьте, что у вас есть виртуальная машина,

00:02:17.380 --> 00:02:19.140
работающая внутри вашей собственной виртуальной сети Azure.

00:02:19.280 --> 00:02:22.020
Этой виртуальной машине нужно прочитать файлы из хранилища Биелоби объектов.

00:02:22.160 --> 00:02:24.060
Вы думаете, что трафик останется внутри Azure?

00:02:24.220 --> 00:02:26.300
Верно, оба ресурса находятся в одном облаке.

00:02:26.440 --> 00:02:27.760
Но это работает совсем не так.

00:02:27.920 --> 00:02:30.020
Виртуальная машина должна покинуть вашу виртуальную сеть,

00:02:30.180 --> 00:02:32.060
выйти в публичный интернет, а затем вернуться в Azure,

00:02:32.240 --> 00:02:34.160
чтобы получить доступ к этой учетной записи хранения.

00:02:34.160 --> 00:02:37.320
Это похоже на то, как если бы вы находились в одной комнате офисного здания,

00:02:37.420 --> 00:02:39.460
и вам нужно было что-то взять из кладовой в том же здании.

00:02:39.620 --> 00:02:42.480
Но вместо того, чтобы пройти по коридору, вам приходится выйти на улицу,

00:02:42.660 --> 00:02:44.180
обойти квартал и войти через другую дверь.

00:02:44.320 --> 00:02:46.480
Это лишено смысла, но именно это и происходило.

00:02:46.580 --> 00:02:47.660
Это серьезная проблема.

00:02:47.920 --> 00:02:49.780
Ваши данные передаются через публичный интернет,

00:02:49.980 --> 00:02:52.960
хотя оба ресурса находятся в собственных центрах обработки данных Microsoft.

00:02:53.200 --> 00:02:56.620
Конечно, этот трафик зашифрован, но он все равно открыт для общего интернета.

00:02:56.780 --> 00:02:59.000
Он по-прежнему проходит через маршрутизаторы и коммутаторы,

00:02:59.180 --> 00:03:00.180
которые вы не контролируете.

00:03:00.180 --> 00:03:03.680
И если кто-то сумеет перехватить этот трафик, он сможет увидеть, что вы отправляете.

00:03:03.920 --> 00:03:05.660
Существует распространенный миф на этот счет.

00:03:05.820 --> 00:03:08.860
Многие думают, ну, это в моей подписке, значит, это конфиденциально.

00:03:09.000 --> 00:03:09.980
Это работает не так.

00:03:10.120 --> 00:03:13.540
Ваша подписка – это граница для выставления счетов и управления, а не сетевая граница.

00:03:13.660 --> 00:03:16.240
По умолчанию ваши службы Azure доступны из интернета.

00:03:16.600 --> 00:03:19.980
Единственное, что их защищает, это уровень аутентификации и авторизации,

00:03:20.180 --> 00:03:21.960
ключи, паролей и правила Брандмауэра.

00:03:22.100 --> 00:03:23.860
Но сам сетевой путь остается публичным,

00:03:23.980 --> 00:03:26.840
поэтому в Microsoft посмотрели на это и решили, должен быть способ получше.

00:03:26.940 --> 00:03:27.820
И они его создали.

00:03:27.820 --> 00:03:29.380
Они назвали это PrivateLink.

00:03:29.580 --> 00:03:32.860
Решение – частная конечная точка в качестве сетевого интерфейса.

00:03:32.980 --> 00:03:36.660
PrivateLink – это общая служба, но ключевой элемент, который нужно понять,

00:03:36.800 --> 00:03:40.180
это частная конечная точка, виртуальная сетевая карта или NIC,

00:03:40.400 --> 00:03:44.240
которая находится внутри вашей виртуальной сети и подключается к PES-службе.

00:03:44.360 --> 00:03:45.300
Вот как это работает.

00:03:45.540 --> 00:03:48.620
Вы создаете частную конечную точку для своей учетной записи хранения,

00:03:48.760 --> 00:03:51.760
и Azure создает виртуальную сетевую карту внутри вашей виртуальной сети

00:03:51.760 --> 00:03:53.480
с частным IP-адресом из вашей подсети.

00:03:53.480 --> 00:03:56.240
Эта сетевая карта подключается к учетной записи хранения

00:03:56.240 --> 00:03:57.980
через частную ссылку на стороне бэкенда.

00:03:58.100 --> 00:04:00.280
Таким образом, с точки зрения вашей виртуальной машины,

00:04:00.440 --> 00:04:02.120
учетная запись хранения теперь выглядит так,

00:04:02.240 --> 00:04:04.580
будто она находится внутри вашей сети с частным IP-адресом,

00:04:04.680 --> 00:04:05.640
как и любой другой ресурс.

00:04:05.740 --> 00:04:08.740
Когда ваша виртуальная машина отправляет трафик в эту учетную запись хранения,

00:04:08.860 --> 00:04:10.700
он попадает на частный IP-адрес сетевой карты

00:04:10.700 --> 00:04:12.440
и передается по магистральной сети Microsoft,

00:04:12.680 --> 00:04:14.060
никогда не выходя в публичный интернет.

00:04:14.160 --> 00:04:16.460
Он никогда не покидает внутреннюю инфраструктуру Azure.

00:04:16.620 --> 00:04:19.360
Представьте это как тот самый безопасный коридор в офисном здании.

00:04:19.360 --> 00:04:21.700
Вместо того, чтобы идти на улицу и обходить квартал,

00:04:21.880 --> 00:04:23.700
вы просто идете по коридору прямо в кладовую.

00:04:23.840 --> 00:04:25.860
Прямое подключение без обходных путей.

00:04:26.020 --> 00:04:28.240
А теперь нюанс, который многие упускают из виду.

00:04:28.380 --> 00:04:29.760
Включение частной конечной точки

00:04:29.760 --> 00:04:32.320
не отключает общедоступную конечную точку автоматически.

00:04:32.480 --> 00:04:34.160
Обе они могут существовать одновременно.

00:04:34.360 --> 00:04:35.940
Если вы создали частную конечную точку,

00:04:36.020 --> 00:04:37.360
но не меняли настройки общедоступной,

00:04:37.480 --> 00:04:39.820
ваша учетная запись хранения по-прежнему доступна из интернета.

00:04:39.960 --> 00:04:42.040
Вам нужно явно отключить доступ к общедоступной сети,

00:04:42.240 --> 00:04:43.360
чтобы полностью ее изолировать.

00:04:43.360 --> 00:04:46.080
Многие думают, что создание частной конечной точки достаточно.

00:04:46.280 --> 00:04:46.860
Это не так.

00:04:46.980 --> 00:04:49.280
Нужно сообщить Azure, что вам нужен только частный доступ.

00:04:49.280 --> 00:04:51.520
Позвольте мне развеять еще один миф, пока мы здесь.

00:04:51.780 --> 00:04:54.640
PrivateLink — это не то же самое, что VPN или ExpressRu.

00:04:54.740 --> 00:04:57.720
Они решают разные задачи, и мы разберем это сравнение позже.

00:04:57.860 --> 00:05:01.120
Пока просто знайте, PrivateLink предназначен для доступа к конкретной службе,

00:05:01.280 --> 00:05:03.020
а не для подключения всей вашей сети к Azure.

00:05:03.160 --> 00:05:04.780
Итак, у вас есть частная конечная точка,

00:05:04.880 --> 00:05:07.880
и ваша виртуальная машина может обращаться к учетной записи хранения по частному IP.

00:05:08.060 --> 00:05:10.540
Но как именно виртуальная машина находит эту учетную запись?

00:05:10.540 --> 00:05:13.500
Раньше она преобразовывала общедоступный URL в общедоступный IP.

00:05:13.660 --> 00:05:14.980
Теперь ей нужен частный IP.

00:05:15.140 --> 00:05:15.880
Как это работает?

00:05:16.140 --> 00:05:19.000
Здесь на помощь приходит DNS, и именно это мы рассмотрим далее.

00:05:19.280 --> 00:05:22.020
DNS — это секретный ингредиент, благодаря которому все работает.

00:05:22.180 --> 00:05:23.520
У вас есть частная конечная точка,

00:05:23.660 --> 00:05:26.860
и ваша виртуальная машина может обращаться к учетной записи хранения по частному IP.

00:05:27.040 --> 00:05:27.820
Но вот в чем дело.

00:05:28.020 --> 00:05:29.900
Ваша виртуальная машина не знает этот IP.

00:05:30.120 --> 00:05:33.240
Она знает URL учетной записи хранения, что-то вроде MyStaradjakan.

00:05:33.460 --> 00:05:37.240
blob.core.windows.net — это имя, которое она использует для подключения.

00:05:37.380 --> 00:05:39.560
Как же она находит частный IP вместо общедоступного?

00:05:39.560 --> 00:05:42.020
Именно здесь DNS берет на себя всю сложную работу.

00:05:42.160 --> 00:05:45.920
Когда вы создаете частную конечную точку и выбираете интеграцию с частной зоной DNS,

00:05:46.120 --> 00:05:48.620
что и следует делать, Azure автоматически создает ее для вас.

00:05:48.620 --> 00:05:51.760
Для учетной записи Blob Staradj эта зона называется PrivateLink.

00:05:51.960 --> 00:05:55.660
blob.core.windows.net — внутри этой зоны Azure добавляет запись A,

00:05:55.780 --> 00:05:58.840
которая связывает имя вашей учетной записи хранения с частным IP конечной точки.

00:05:59.000 --> 00:06:00.180
А теперь самое интересное.

00:06:00.380 --> 00:06:02.560
Исходный общедоступный URL по-прежнему разрешается,

00:06:02.700 --> 00:06:07.220
но вместо прямого возврата общедоступного IP он возвращает запись CNMI, указывающую на частную зону.

00:06:07.220 --> 00:06:09.160
Цепочка разрешения и имен выглядит так.

00:06:09.260 --> 00:06:11.800
Ваша виртуальная машина запрашивает URL учетной записи.

00:06:11.960 --> 00:06:14.680
DNS возвращает CNMI, указывающий на MyStaradjakan.

00:06:14.680 --> 00:06:21.100
privatelink.blog.core.windows.net, которая находится в частной зоне DNS, связанной с вашей виртуальной сетью.

00:06:21.260 --> 00:06:22.860
DNS разрешает его в частный IP.

00:06:23.100 --> 00:06:27.320
Виртуальная машина подключается к этому IP, и трафик никогда не выходит в общедоступный интернет.

00:06:27.500 --> 00:06:29.900
Представьте себе стойку регистрации в офисном здании.

00:06:30.100 --> 00:06:34.000
Кто-то заходит и спрашивает, где кладовая, а администратор не отправляет его на улицу.

00:06:34.140 --> 00:06:36.340
Он указывает путь к нужному коридору внутри здания.

00:06:36.540 --> 00:06:41.060
Частная зона DNS — это своего рода администратор, который перенаправляет трафик в нужное место, не покидая здание.

00:06:41.060 --> 00:06:44.140
Теперь о том, как это работает, в зависимости от местоположения вашей виртуальной машины.

00:06:44.280 --> 00:06:46.960
Если она находится в той же виртуальной сети, что и частная конечная точка,

00:06:47.040 --> 00:06:49.640
то зона DNS связана с ней, и разрешение имен происходит автоматически.

00:06:49.780 --> 00:06:53.240
Если же она в пиринговой сети, вам также нужно связать зону с этой пиринговой сетью.

00:06:53.380 --> 00:06:57.140
Для локальных компьютеров, подключенных через VPN или ExpressRoot, все немного сложнее.

00:06:57.300 --> 00:07:02.600
Обычно вы настраиваете DNS-пересылку или используете Azure DNS Private Resolver, чтобы запросы доходили до частной зоны.

00:07:02.740 --> 00:07:06.500
Но для большинства сценариев внутри Azure основные задачи решаются автоматически.

00:07:06.500 --> 00:07:11.960
DNS может усложняться в крупных средах, но в стандартном случае, когда виртуальная машина находится в той же сети,

00:07:12.220 --> 00:07:14.320
что и конечная точка, Azure все делает сам.

00:07:14.460 --> 00:07:16.120
Вам вообще ничего не нужно настраивать.

00:07:16.320 --> 00:07:18.620
Давайте посмотрим, как это работает на реальном примере.

00:07:18.760 --> 00:07:19.960
Разбор реального примера.

00:07:20.000 --> 00:07:21.540
Private Link с хранилищем Azure.

00:07:21.700 --> 00:07:22.920
Давайте перейдем к практике.

00:07:23.040 --> 00:07:26.540
Представьте, что у вас есть виртуальная машина, работающая внутри виртуальной сети Azure.

00:07:26.680 --> 00:07:29.820
Этой машине нужно получить файлы из учетной записи хранилища Azure Blobs Storage.

00:07:30.000 --> 00:07:31.440
Это распространенная конфигурация.

00:07:31.620 --> 00:07:35.720
Например, приложение, сохраняющее пользовательские файлы, или задание по обработке данных, читающее из контейнера.

00:07:35.720 --> 00:07:37.880
Без использования Private Link происходит следующее.

00:07:38.040 --> 00:07:42.060
Ваша виртуальная машина ищет публичный URL-адрес учетной записи хранения и получает публичный IP-адрес.

00:07:42.180 --> 00:07:45.060
Трафик покидает вашу виртуальную сеть, выходит в публичный интернет,

00:07:45.200 --> 00:07:47.740
а затем снова возвращается в Azure, чтобы достичь хранилища.

00:07:47.860 --> 00:07:49.300
Этот обходной путь избыточен.

00:07:49.440 --> 00:07:53.600
Оба ресурса уже находятся в Azure, но данные все равно совершают путь через открытый интернет.

00:07:53.720 --> 00:07:58.160
С помощью Private Link вы развертываете частную конечную точку для подресурса больших двоичных объектов учетной записи хранения.

00:07:58.300 --> 00:08:01.240
Это именно тот компонент, который отвечает за обработку данных BLOB.

00:08:01.240 --> 00:08:05.740
Azure создает виртуальный сетевой адаптер в вашей сети с частным IP, настраивает зону DNS,

00:08:06.040 --> 00:08:08.900
и запускается вся цепочка разрешения имен, о которой мы говорили.

00:08:09.040 --> 00:08:11.160
Теперь, когда ваша машина обращается к тому же URL,

00:08:11.360 --> 00:08:15.880
mystarajacant.blog.core.windows.net, она получает частный IP вместо публичного.

00:08:16.000 --> 00:08:18.880
Трафик идет от виртуальной машины к частной конечной точке,

00:08:19.160 --> 00:08:22.440
а затем по магистральной сети Microsoft к учетной записи хранения.

00:08:22.680 --> 00:08:24.820
Данные никогда не покидают внутреннюю сеть Azure.

00:08:25.000 --> 00:08:25.860
Вот ключевой момент.

00:08:25.860 --> 00:08:27.660
Ваше приложение при этом не меняется.

00:08:27.820 --> 00:08:30.500
Не нужно менять строки подключения или обновлять файлы конфигурации.

00:08:30.700 --> 00:08:31.880
URL остается прежним.

00:08:32.120 --> 00:08:34.740
Единственное, что меняется, это способ разрешения этого URL.

00:08:34.980 --> 00:08:37.880
С точки зрения приложения, оно все так же подключается к хранилищу,

00:08:37.980 --> 00:08:40.340
но на заднем плане путь трафика становится совершенно иным.

00:08:40.480 --> 00:08:42.300
А если вы хотите обеспечить максимальную безопасность,

00:08:42.440 --> 00:08:44.220
можно полностью отключить публичную конечную точку.

00:08:44.340 --> 00:08:47.880
Это означает, что ваша учетная запись хранения будет доступна только через частную конечную точку.

00:08:48.040 --> 00:08:49.400
Никакого доступа из интернета.

00:08:49.580 --> 00:08:51.620
Никто даже не сможет попытаться подключиться извне.

00:08:51.800 --> 00:08:53.040
Стоит отметить еще кое-что.

00:08:53.040 --> 00:08:55.460
Учетные записи хранения имеют несколько подресурсов.

00:08:55.580 --> 00:08:58.000
Blob — это один из них, но есть еще файлы, таблицы и очереди.

00:08:58.140 --> 00:09:00.360
Для каждого из них можно создать свою собственную частную конечную точку.

00:09:00.520 --> 00:09:03.220
Можно выделить одну для трафика Blob, а другую — для файлового трафика.

00:09:03.340 --> 00:09:06.360
Или использовать единую конечную точку для всех них, в зависимости от ваших нужд.

00:09:06.460 --> 00:09:09.700
Теперь вы можете задаться вопросом, чем это отличается от других вариантов подключения в Azure.

00:09:09.840 --> 00:09:12.040
VPN, ExpressRoot, конечные точки службы.

00:09:12.160 --> 00:09:13.260
Все они звучат похоже.

00:09:13.440 --> 00:09:14.580
Давайте внесем ясность.

00:09:14.740 --> 00:09:18.020
PrivateLink против VPN, ExpressRoot и конечных точек службы.

00:09:18.020 --> 00:09:21.940
Так как же PrivateLink соотносится с VPN, ExpressRoot и конечными точками службы?

00:09:23.040 --> 00:09:25.480
Одно и то же, но на самом деле они решают разные задачи.

00:09:25.540 --> 00:09:27.740
И во многих случаях вы будете использовать их вместе.

00:09:27.940 --> 00:09:28.820
Начнем с VPN.

00:09:29.100 --> 00:09:33.040
Виртуальная частная сеть подключает вашу локальную сеть к Azure через публичный интернет.

00:09:33.220 --> 00:09:36.060
Она создает зашифрованный туннель между вашим сайтом и Azure.

00:09:36.220 --> 00:09:39.720
Трафик зашифрован, конечно, но он все равно проходит через публичный интернет.

00:09:39.900 --> 00:09:42.800
Туннель безопасен, но дорога, на которой он находится, публичная.

00:09:42.960 --> 00:09:45.640
PrivateLink не заменяет VPN, он работает вместе с ним.

00:09:45.640 --> 00:09:47.980
Вы можете использовать VPN для подключения офиса к Azure,

00:09:48.120 --> 00:09:51.640
а затем PrivateLink для конфиденциального доступа к учетной записи хранения через это соединение.

00:09:51.640 --> 00:09:53.340
ExpressRoot — это другое дело.

00:09:53.480 --> 00:09:56.900
Он предоставляет выделенный частный канал от вашего центра обработки данных до Azure.

00:09:57.060 --> 00:09:59.140
Трафик вообще не затрагивает публичный интернет.

00:09:59.280 --> 00:10:02.080
Это как иметь собственную частную дорогу прямо в сеть Microsoft.

00:10:02.360 --> 00:10:03.320
Но вот в чем подвох.

00:10:03.480 --> 00:10:06.520
Сам по себе ExpressRoot не дает частного доступа к службам по Azure.

00:10:06.640 --> 00:10:07.720
Он подключает вашу сеть к Azure,

00:10:07.880 --> 00:10:10.760
но у вашей учетной записи хранения все еще остается публичная конечная точка.

00:10:10.880 --> 00:10:12.600
Вам нужно объединить ExpressRoot с PrivateLink,

00:10:12.600 --> 00:10:14.780
чтобы получить настоящий частный доступ к этим службам.

00:10:14.780 --> 00:10:17.260
Конечные точки службы — это более старая технология.

00:10:17.420 --> 00:10:19.300
Они позволяют ограничить доступ к службе Azure так,

00:10:19.480 --> 00:10:21.800
чтобы до нее мог доходить только трафик из вашей виртуальной сети.

00:10:21.960 --> 00:10:22.620
Но вот в чем дело.

00:10:22.740 --> 00:10:24.740
У службы все еще есть публичная конечная точка.

00:10:24.880 --> 00:10:26.340
Вы просто добавляете правило Брандмауэра,

00:10:26.460 --> 00:10:28.740
которое говорит разрешать трафик только из этой виртуальной сети.

00:10:28.980 --> 00:10:31.240
Сама конечная точка по-прежнему открыта для интернета.

00:10:31.360 --> 00:10:32.240
PrivateLink безопаснее,

00:10:32.380 --> 00:10:34.560
потому что конечная точка находится внутри вашей виртуальной сети

00:10:34.560 --> 00:10:35.560
и имеет частный IP-адрес.

00:10:35.560 --> 00:10:37.280
Нет публичной конечной точки для атаки.

00:10:37.420 --> 00:10:39.260
Позвольте предложить простой способ осмысления этого.

00:10:39.260 --> 00:10:41.540
VPN — это безопасный туннель через публичную дорогу.

00:10:41.660 --> 00:10:43.940
ExpressRoute — это частная дорога, ведущая прямо в Азур.

00:10:44.040 --> 00:10:47.080
Конечные точки службы — это охранник на публичных воротах, проверяющий документы.

00:10:47.220 --> 00:10:49.340
PrivateLink — это прямой коридор внутри здания.

00:10:49.500 --> 00:10:50.860
Вы вообще не выходите на улицу.

00:10:51.040 --> 00:10:52.620
Итак, что же вам следует использовать?

00:10:52.840 --> 00:10:53.780
Зависит от ситуации.

00:10:53.980 --> 00:10:56.620
Для подключения вашего офиса к Azure есть два варианта —

00:10:56.620 --> 00:10:57.760
VPN или ExpressRoute.

00:10:57.920 --> 00:11:01.240
Для приватного доступа к PAS-сервисам стандартом является PrivateLink.

00:11:01.240 --> 00:11:03.740
А для максимальной безопасности используйте их вместе.

00:11:03.920 --> 00:11:05.740
ExpressRoute — для передачи трафика в Azure,

00:11:05.960 --> 00:11:08.740
а затем PrivateLink для приватного доступа к вашим сервисам.

00:11:08.740 --> 00:11:11.540
Но PrivateLink предназначен не только для сервисов Microsoft.

00:11:11.840 --> 00:11:14.340
Вы также можете использовать его для собственных приложений,

00:11:14.540 --> 00:11:16.320
размещая их через PrivateLink-сервис.

00:11:16.480 --> 00:11:18.180
Многие упускают один важный момент.

00:11:18.400 --> 00:11:20.980
PrivateLink нужен не только для потребления сервисов Azure.

00:11:21.140 --> 00:11:24.160
Вы можете использовать его, чтобы предоставить доступ к своим приложениям другим.

00:11:24.320 --> 00:11:26.440
Именно для этого и был создан PrivateLink-сервис.

00:11:26.600 --> 00:11:28.380
Представьте, что вы SAAS Provider.

00:11:28.380 --> 00:11:31.780
У вас есть приложение на виртуальных машинах за стандартным балансировщиком нагрузки,

00:11:31.940 --> 00:11:33.120
к которому обращаются клиенты.

00:11:33.320 --> 00:11:35.700
Раньше у вас было два пути — открыть все для интернета

00:11:35.700 --> 00:11:38.460
или настроить VPN между вашей сетью и сетью клиента.

00:11:38.460 --> 00:11:40.680
Оба варианта имеют существенные недостатки.

00:11:40.860 --> 00:11:45.100
Публичный доступ создает риски безопасности, а VPN сложно администрировать.

00:11:45.240 --> 00:11:47.280
PrivateLink-сервис решает эту проблему.

00:11:47.460 --> 00:11:50.260
Вы создаете сервис, привязываете его к стандартному балансировщику,

00:11:50.420 --> 00:11:53.200
и клиенты создают приватную конечную точку в своей виртуальной сети.

00:11:53.380 --> 00:11:55.860
Эта конечная точка подключается напрямую к вашему сервису.

00:11:55.860 --> 00:11:59.180
Никакого перинга, никакого VPN и абсолютно никакого публичного доступа.

00:11:59.280 --> 00:12:03.720
Трафик идет от их приватной конечной точки через магистральную сеть Microsoft прямо к вашему сервису.

00:12:03.820 --> 00:12:05.280
Он никогда не выходит в интернет.

00:12:05.280 --> 00:12:11.220
Ваш сервис получает глобально уникальный псевдоним, например, MyApp, Git, Region, Azure, PrivateLink Service.

00:12:11.400 --> 00:12:15.940
Клиенты используют этот псевдоним для подключения, а вы полностью контролируете, кто его видит.

00:12:16.040 --> 00:12:19.420
Вы можете ограничить видимость через роли RBAC, указать конкретные подписки

00:12:19.420 --> 00:12:21.960
или позволить любому владельцу псевдонима запросить подключение.

00:12:21.960 --> 00:12:26.620
Каждый запрос на подключение требует вашего ручного подтверждения, поэтому вы всегда знаете, кто подключается.

00:12:26.840 --> 00:12:29.080
Для SAAS провайдеров это огромный шаг вперед.

00:12:29.280 --> 00:12:34.200
Вместо изменения правил фаервола или сложной настройки VPN, вы просто передаете клиенту псевдоним.

00:12:34.340 --> 00:12:37.680
Они создают приватную конечную точку, вы одобряете ее и все.

00:12:37.900 --> 00:12:38.340
Готово.

00:12:38.480 --> 00:12:39.420
Есть одно ограничение.

00:12:39.660 --> 00:12:43.040
PrivateLink сервис работает только со стандартными балансировщиками, а не с базовыми.

00:12:43.200 --> 00:12:46.260
Если вы все еще используете базовый балансировщик, его нужно будет обновить.

00:12:46.400 --> 00:12:49.780
Это небольшая плата за безопасность и простоту, которые вы получаете взамен.

00:12:49.780 --> 00:12:54.060
Вся эта безопасность звучит отлично, но что это значит для вашего соответствия требованиям и бюджета?

00:12:54.320 --> 00:12:56.940
Безопасность, соответствие требованиям и экономические аспекты.

00:12:57.080 --> 00:13:00.980
Давайте обсудим, что PrivateLink на самом деле означает для ваших требований комплайнса и кошелька.

00:13:01.160 --> 00:13:02.420
Во-первых, безопасность.

00:13:02.560 --> 00:13:06.200
PrivateLink сокращает поверхность атаки, полностью исключая публичные конечные точки.

00:13:06.420 --> 00:13:07.780
В этом его главное преимущество.

00:13:07.980 --> 00:13:11.240
Вместо учетной записи хранения или базы данных SQL, доступных из любой точки интернета,

00:13:11.360 --> 00:13:14.180
вы получаете ресурс, который отвечает только на трафик внутри вашей виртуальной сети.

00:13:14.360 --> 00:13:17.260
Никаких публичных IP для сканирования, никаких открытых портов для зондирования.

00:13:17.420 --> 00:13:19.220
Поверхность атаки значительно сокращается.

00:13:19.420 --> 00:13:23.080
Вот еще одно преимущество, которому уделяют недостаточно внимания – предотвращение утечки данных.

00:13:23.200 --> 00:13:26.180
Каждая частная конечная точка привязана к конкретному экземпляру ресурса,

00:13:26.320 --> 00:13:29.480
а не ко всей службе или всем учетным записям хранения в подписке, а только к одной.

00:13:29.600 --> 00:13:32.660
Поэтому, если кто-то скомпрометирует рабочую нагрузку в вашей виртуальной сети,

00:13:32.800 --> 00:13:35.660
он не сможет использовать эту конечную точку для доступа к другим хранилищам.

00:13:35.820 --> 00:13:38.180
Они ограничены только тем ресурсом, который вы одобрили.

00:13:38.340 --> 00:13:40.680
Для групп безопасности такая изоляция – это очень важно.

00:13:40.680 --> 00:13:43.740
Что касается соответствия требованиям, PrivateLink решает множество задач.

00:13:43.740 --> 00:13:49.540
Регламенты, такие как HIPAA, GDPR и PCI, часто требуют, чтобы конфиденциальные данные никогда не передавались через публичные сети.

00:13:49.680 --> 00:13:51.980
PrivateLink дает вам надежный способ доказать это.

00:13:52.160 --> 00:13:56.840
Ваш трафик остается в магистральной сети Microsoft, и вы можете сослаться на журналы аудита, как на доказательство.

00:13:57.000 --> 00:14:00.180
Для регулируемых отраслей одного этого достаточно, чтобы оправдать инвестиции.

00:14:00.320 --> 00:14:03.180
Теперь давайте поговорим о затратах, потому что здесь людей часто ждут сюрпризы.

00:14:03.300 --> 00:14:04.900
PrivateLink не является бесплатным.

00:14:04.900 --> 00:14:09.760
Вы платите почасовую ставку за каждую частную конечную точку плюс плату за обработку данных, проходящих через нее.

00:14:09.760 --> 00:14:14.940
В зависимости от использования, это может быть в 2-3 раза дороже, чем использование публичной конечной точки с правилами Брандмауэра.

00:14:15.060 --> 00:14:17.800
Расходы быстро растут, особенно если у вас много конечных точек.

00:14:17.920 --> 00:14:19.640
Итак, вот честный взгляд на ситуацию.

00:14:19.960 --> 00:14:21.640
PrivateLink не всегда лучший выбор.

00:14:21.780 --> 00:14:24.520
Если у вас среда разработки или тестирования без конфиденциальных данных,

00:14:24.720 --> 00:14:28.060
публичные конечные точки с правильными настройками Брандмауэра, вероятно, подойдут.

00:14:28.220 --> 00:14:32.480
Если вы размещаете публичный веб-сайт, доступный из интернета, PrivateLink вам не поможет.

00:14:32.580 --> 00:14:37.880
Но для рабочих нагрузок в регулируемых отраслях, финансах, здравоохранении, госсекторе, PrivateLink часто является обязательным.

00:14:37.880 --> 00:14:39.860
Это цена ведения безопасного бизнеса.

00:14:39.940 --> 00:14:43.260
Теперь, прежде чем внедрять это, обратите внимание на несколько подводных камней.

00:14:43.380 --> 00:14:44.460
Тонкости реализации.

00:14:44.700 --> 00:14:45.700
Что упускают новички?

00:14:45.860 --> 00:14:47.620
Позвольте мне избавить вас от головной боли.

00:14:47.780 --> 00:14:51.240
Вот самые распространенные ошибки, которые люди совершают при первой настройке PrivateLink.

00:14:51.420 --> 00:14:54.720
Во-первых, после создания частной конечной точки нужно отключить публичную.

00:14:54.860 --> 00:14:56.400
Это самый главный подводный камень.

00:14:56.580 --> 00:15:00.220
Многие создают частную конечную точку и думают, что этого достаточно, но это не так.

00:15:00.360 --> 00:15:04.680
Публичная конечная точка по умолчанию остается активной, а значит, трафик все еще может идти через интернет.

00:15:04.680 --> 00:15:08.280
Вам нужно зайти в настройки сети и явно отключить доступ к публичной сети.

00:15:08.440 --> 00:15:11.320
Если пропустить этот шаг, вы на самом деле ничего не обезопасили.

00:15:11.500 --> 00:15:15.280
Далее, для разрешения DNS имен локальными клиентами требуется дополнительная настройка.

00:15:15.440 --> 00:15:18.480
Если ваши офисные компьютеры подключаются через VPN или ExpressRoute,

00:15:18.620 --> 00:15:21.740
они не смогут автоматически определить IP-адрес вашей частной конечной точки.

00:15:21.940 --> 00:15:26.780
Частная зона DNS связана с вашей виртуальной сетью Azure, а не с вашими локальными DNS-серверами.

00:15:26.940 --> 00:15:32.140
Вам нужно настроить DNS-форвардер или использовать Azure DNS Private Resolver, чтобы запросы доходили до частной зоны.

00:15:32.140 --> 00:15:36.180
Многие упускают это из виду, а затем удивляются, почему их локальные приложения не могут подключиться.

00:15:36.340 --> 00:15:39.480
Кроме того, частные конечные точки не работают автоматически между регионами.

00:15:39.660 --> 00:15:41.540
Если ваша виртуальная сеть находится в Западной Европе,

00:15:41.600 --> 00:15:45.400
а вы создаете частную конечную точку для учетной записи хранения в восточной части США, это не сработает.

00:15:45.520 --> 00:15:48.660
Частная конечная точка должна находиться в том же регионе, что и виртуальная сеть.

00:15:48.800 --> 00:15:53.080
PAS-служба может находиться в другом регионе, но сама конечная точка должна соответствовать региону виртуальной сети.

00:15:53.260 --> 00:15:54.340
Планируйте это заранее.

00:15:54.500 --> 00:15:55.300
И еще кое-что.

00:15:55.300 --> 00:15:58.800
Группы сетевой безопасности влияют на сетевой интерфейс частной конечной точки.

00:15:58.980 --> 00:16:01.860
Частная конечная точка создает виртуальный сетевой интерфейс в вашей подсети.

00:16:02.040 --> 00:16:05.800
На этот интерфейс распространяются те же правила NSG, что и на все остальное в этой подсети.

00:16:05.980 --> 00:16:08.940
Если вы заблокируете трафик в подсети интерфейса, конечная точка работать не будет.

00:16:09.120 --> 00:16:11.040
Убедитесь, что ваши правила NSG разрешают это.

00:16:11.040 --> 00:16:41.020
Продолжение следует...