通过

Azure 专用链接常见问题解答 (FAQ)

  • 常见问题解答

专用链接

什么是 Azure 专用终结点和 Azure 专用链接服务？

  • Azure 专用终结点 ：Azure 专用终结点是一个网络接口，可以通过私密且安全的方式将你连接到 Azure 专用链接支持的服务。 可以使用专用终结点连接到支持专用链接的 Azure PaaS 服务，或者连接到你自己的专用链接服务。
  • Azure 专用链接服务 ：Azure 专用链接服务是服务提供商创建的服务。 目前，专用链接服务可以附加到标准负载均衡器的前端 IP 配置。

使用专用链接时流量是如何发送的？

流量是使用 Azure 主干以私密方式发送的。 它不会遍历 Internet。 Azure 专用链接不存储客户数据。

服务终结点和专用终结点之间的区别是什么？

  • 专用终结点授予对特定资源的网络访问权，这些资源位于提供细粒度分段的给定服务之后。 流量可以从本地到达服务资源，而无需使用公共终结点。
  • 服务终结点仍是公开可路由的 IP 地址。 专用终结点是配置了专用终结点的虚拟网络的地址空间中的专用 IP。

专用链接服务与专用终结点之间的关系是什么？

多个专用链接资源类型支持通过专用终结点进行访问。 资源包括 Azure PaaS 服务和你自己的专用链接服务。 这是一种一对多关系。

一个专用链接服务可以接收来自多个专用终结点的连接。 一个专用终结点连接到一个专用链接服务。

是否需要禁用专用链接的网络策略？

是。 专用链接服务需要禁用网络策略才能正常工作。

是否可以针对专用终结点仅用于用户定义的路由或网络安全组，还是可以同时用于它们两个？

是的。 若要使用用户定义的路由和网络安全组等策略，需要为专用终结点的虚拟网络中的子网启用网络策略。 此设置会影响子网中的所有专用终结点。

专用终结点

是否可在同一 VNet 中创建多个专用终结点？ 它们可以连接到不同的服务吗？

是。 可以在同一 VNet 或子网中创建多个专用终结点。 它们可以连接到不同的服务。

我们可以链接多个同名的专用 DNS 区域吗？

否。不支持为单个虚拟网络创建具有相同名称的多个区域。

专用终结点是否需要专用子网？

否。 专用终结点不需要专用子网。 可以从部署了你的服务的 VNet 的任何子网中选择专用终结点 IP。

专用终结点是否可以跨 Microsoft Entra 租户连接到专用链接服务？

是的。 专用终结点可以跨 Microsoft Entray 租户连接到专用链接服务或 Azure PaaS。 跨租户的专用终结点需要手动请求批准。

专用终结点是否可以跨 Azure 区域连接到 Azure PaaS 资源？

是的。 专用终结点可以跨 Azure 区域连接到 Azure PaaS 资源。

能否修改专用终结点网络接口卡 (NIC)？

创建专用终结点时，将分配一个只读 NIC。 NIC 无法修改，将在专用终结点的生命周期中保留。

在发生区域性故障时，如何在使用专用终结点的同时实现可用性？

专用终结点是具有 SLA 的高度可用资源，其 SLA 依据 Azure 专用链接的 SLA。 但是，由于它们是区域资源，任何 Azure 区域中断都可能会影响可用性。 若要在发生区域性故障时实现可用性，可以在不同的区域中部署多个连接到同一目标资源的 PE。 这样一来，如果一个区域出现故障，你仍可以通过不同区域中的 PE 来路由恢复方案的流量，以访问目标资源。 若要了解如何在目标服务端处理区域性故障，请查看有关故障转移和恢复的服务文档。 专用链接流量遵循目标终结点的 Azure DNS 解析。

在发生可用性区域故障时，如何在使用专用终结点的同时实现可用性？

专用终结点是具有 SLA 的高度可用资源，其 SLA 依据 Azure 专用链接的 SLA。 专用终结点与区域无关：专用终结点区域中的可用性区域故障不会影响专用终结点的可用性。

专用终结点是否支持 ICMP 流量？

仅专用终结点支持 TCP 和 UDP 流量。 有关详细信息，请参阅专用链接的限制。

专用链接服务

创建专用链接服务的先决条件是什么？

服务后端应当位于虚拟网络中，并位于标准负载均衡器后面。

如何缩放专用链接服务？

可以通过几种不同的方式缩放专用链接服务：

  • 向标准负载均衡器后面的池添加后端 VM
  • 向专用链接服务添加 IP。 每个专用链接服务最多允许 8 个 IP。
  • 向标准负载均衡器添加新的专用链接服务。 每个标准负载均衡器最多允许 8 个专用链接服务。

专用链接服务中使用的 NAT（网络地址转换）IP 配置是什么？ 如何在可用端口和连接方面进行缩放？

  • NAT IP 配置确保源（使用者）和目标（服务提供商）地址空间没有 IP 冲突。 此配置为目标的专用链接流量提供源 NAT。 NAT IP 地址将显示为服务收到的所有数据包的源 IP，并显示为服务发送的所有数据包的目标 IP。 可以从服务提供商虚拟网络中的任何子网选择 NAT IP。
  • 每个 NAT IP 为标准负载均衡器后的每个 VM 提供 64k TCP 连接（64k 端口）。 为了扩展和添加更多连接，可以添加新的 NAT IP，或在标准负载均衡器后面添加更多 VM。 这样做会扩展端口可用性，并允许更多连接。 连接将分布在 NAT IP 和标准负载均衡器后面的 VM 上。

是否可以将服务连接到多个专用终结点？

是。 一个专用链接服务可以接收来自多个专用终结点的连接。 但是，一个专用终结点只能连接到一个专用链接服务。

应该如何控制我的专用链接服务的公开？

你可以使用专用链接服务上的可见性配置来控制公开。 可见性支持三种设置：

  • 无 - 只有具有基于角色的访问权限的订阅才能找到该服务。
  • 限制 - 只有已批准的具有基于角色的访问权限的订阅才能找到该服务。
  • 全部 - 所有人都可以找到服务。

是否可以使用基本负载均衡器创建专用链接服务？

不是。 不支持通过基本负载均衡器的专用链接服务。

专用链接服务是否需要专用子网？

不是。 专用链接服务不需要专用子网。 可以选择部署了你的服务的 VNet 中的任何子网。

我是使用 Azure 专用链接的服务提供商。 我是否需要确保所有客户都具有唯一的 IP 空间且不会与我的 IP 空间重叠？

不知道。 Azure 专用链接会为你提供此功能。 你无需具有与客户的地址空间不重叠的地址空间。

后续步骤