Azure Cache for Redis 网络隔离选项

重要

Azure Cache for Redis 已正式公布所有 SKU 的退役时间表。建议尽快将现有Azure Cache for Redis实例移动到Azure托管 Redis。

迁移指南：

有关停用的更多详细信息：

在本文中，你将了解如何根据需要确定最佳网络隔离解决方案。我们将讨论Azure 专用链接（建议）、Azure 虚拟网络（VNet）注入和防火墙规则的基础知识。我们还将探讨它们的优势和限制。

Azure 专用链接（建议）

Azure 专用链接提供从虚拟网络到 Azure PaaS 服务的专用连接。专用链接简化了网络体系结构，并保护Azure中的终结点之间的连接。专用链接还通过消除对公共 Internet 的数据公开来保护连接。

Azure Cache for Redis实例的所有层（基本层、标准层、高级层）支持专用链接。
通过使用 Azure 专用链接，可以通过专用终结点从虚拟网络连接到Azure缓存实例。终结点在虚拟网络内的子网中分配了一个专用 IP 地址。通过此专用链接，可以从 VNet 内部和公共位置访问缓存实例。
在基本/标准/高级层缓存上创建专用终结点后，可以通过 publicNetworkAccess 标志限制对公用网络的访问。默认情况下，此标志设置为 Disabled，这将仅允许专用链接访问。可以使用 PATCH 请求将该值设置为 Enabled 或 Disabled。有关详细信息，请参阅 Azure Cache for Redis with Azure 专用链接。
任何外部缓存依赖项都不会影响 VNet 的 NSG 规则。
使用托管标识连接到存储帐户时，Premium 层支持将数据持久化到受防火墙规则保护的任何存储帐户，详细信息请参阅在 Azure Cache for Redis 中导入和导出数据。
专用链接通过减少缓存对其他网络资源的访问量来减少提供的特权。专用链接可阻止恶意行动者启动到您网络其他部分的流量。

注意

将专用终结点添加到缓存实例时，由于 DNS，所有 Redis 流量都将移至专用终结点。请确保之前调整了以前的防火墙规则。

注意

不建议进行虚拟网络注入。有关详细信息，请参阅 VNet 注入限制。

虚拟网络（VNet）使许多Azure资源能够安全地相互通信、Internet 和本地网络。 VNet 就像你会在自己的数据中心中运行的传统网络。

创建和维护虚拟网络配置通常容易出错。故障排除也具有挑战性。不正确的虚拟网络配置可能会导致问题：
- 从缓存实例进行的指标传输受阻
- 副本节点无法从主节点复制数据
- 可能丢失数据
- 管理操作（如缩放）失败
- 间歇性或完全性的 SSL/TLS 故障
- 未能应用更新，包括重要的安全性和可靠性改进
- 在最严重的情况下，会丧失可用性
使用 VNet 注入缓存时，必须保持 VNet 更新，以允许访问缓存依赖项，例如证书吊销列表、公钥基础结构、Azure 密钥保管库、Azure 存储、Azure Monitor等。
VNet 注入缓存仅适用于高级层Azure Cache for Redis实例，而不适用于其他层。
无法将现有Azure Cache for Redis实例注入虚拟网络。创建缓存时必须选择此选项。

Azure Cache for Redis允许配置防火墙规则以指定要允许连接到Azure Cache for Redis实例的 IP 地址。

配置防火墙规则时，仅指定 IP 地址范围内的客户端连接可以连接到缓存。始终允许来自 Azure Cache for Redis 监视系统的连接，即使配置了防火墙规则。定义的 NSG 规则也是允许的。