Was ist ein Community-Endpunkt?

A ist eine Sammlung vertrauenswürdiger Ziele und Verbindungen zu Verkehrsknotenpunkten, die Enklavenkommunikation community endpoint zu privaten Netzwerken außerhalb der Gemeinschaftsgrenzen ermöglichen.

Enklave-Verbindungen, die mit einem Community-Endpunkt verbunden sind, ermöglichen es, sich source enclave mit innerhalb des Community-Endpunkts definierten Zielen zu verbinden. Diese Endpunkte bieten einen kontrollierten Mechanismus für Enklaven, um mit externen Diensten zu kommunizieren und gleichzeitig die Netzwerkisolationsgrenzen von Azure Enklave aufrechtzuerhalten.

Die Netzwerkregeln der Azure Firewall setzen Community-Endpunkte durch und stellen sicher, dass die ausgehende Verbindung von Enklaven explizit definiert und geregelt wird.

Architektur eines Community-Endpunkts

Diagramm, das eine Community mit Verbindungen über Community-Endpunkte zu externen Ressourcen zeigt.

In diesem Architekturmodell:

  1. Ein Initiator startet enclave die ausgehende Verbindung.
  2. Der Verkehr wird durch die community endpoint.
  3. Die Anfrage wird gegen Azure Firewall network rulesausgewertet.
  4. Wenn eine Regel übereinstimmt, ist die Verbindung mit dem Ziel zulässig.

Dieses Modell stellt sicher, dass der gesamte ausgehende Verkehr von Enklaven durch zentrale Richtliniendurchsetzung läuft.

Regeltypen für Community-Endpunkte

Community-Endpunkte unterstützen mehrere Regeltypen, die definieren, wie Enklaven eine Verbindung mit externen Ressourcen herstellen können.

  • IP AddressAktiviere den Datenverkehr von einer Enklave zu einer bestimmten IP-Adresse außerhalb des gemeinschaftlichen Virtual WAN.

  • Fully Qualified Domain Name (FQDN) Aktiviere den Datenverkehr von einer Enklave zu einem vertrauenswürdigen Domainnamen (zum Beispiel portal.azure.com).
    FQDN-Regeln unterstützen TCP and UDP protocols, sodass du dich mit Diensten verbinden kannst, die Endpunkte über DNS und nicht über statische IP-Adressen bereitstellen.

  • FQDN TagAktiviere den Datenverkehr von Enklaven zu bekannten Microsoft Azure-Diensten über FQDN tags, wie zum AzurePortalBeispiel .

  • Service TagAktiviere den Datenverkehr von Enklaven zu Azure-Diensten mit Azure Service Tags. Service Tags repräsentieren Gruppen von IP-Adresspräfixen für bestimmte Azure-Dienste, was die Erstellung von Sicherheitsregeln vereinfacht. Wenn Sie ein Service Tagverwenden, verwaltet Azure automatisch die zugrunde liegenden IP-Adressbereiche, sobald sie sich ändern, sodass Sie keine Regeln manuell aktualisieren müssen, wenn Service-IP-Adressen geändert werden.

    Zu den allgemeinen Service-Tags gehören:

    • AzureCloud- Alle Azure IP-Adressen des Rechenzentrums
    • AzureStorage- Azure Storage Dienst-IP-Adressen
    • AzureKeyVault- Azure Key Vault Dienst-IP-Adressen
    • AzureActiveDirectory- Microsoft Entra ID Dienst-IP-Adressen
    • AzureMonitor- Azure Monitor Dienst-IP-Adressen
    • Sql- Azure SQL-Datenbank Dienst-IP-Adressen

    Eine vollständige Liste der verfügbaren Diensttags finden Sie unter Virtual Network Diensttags.

  • Private Network Aktiviere den Datenverkehr von Enklaven zu einem externen privaten Netzwerk über eine bestehende transit hub Verbindung. Der Verkehrsknotenpunkt muss existieren, bevor man eine private Netzwerkregel erstellen kann.

Community-Endpunkte für gemeinsame Dienste

Azure Enclave unterstützt die Erstellung von Community-Endpunkten für gemeinsame Dienste, die viele Organisationen benötigen. Administratoren können Endpunkte für häufig genutzte Azure- und Microsoft Services konfigurieren, um die Ermöglichung der Konnektivität zu vereinfachen, ohne eine manuelle Firewall-Regelkonfiguration erforderlich zu machen.

Zu den gängigen Dienstendpunkten gehören Verbindungen mit:

  • Azure-Verwaltungsdienste – Portal-, Resource Manager- und Verwaltungs-APIs
  • Microsoft Update-Dienste – Windows Update- und Microsoft Update-Endpunkte
  • Azure Überwachungsdienste – Azure Monitor, Log Analytics und Application Insights
  • Identitätsdienste – Microsoft Entra ID Authentifizierungs- und Autorisierungsendpunkte
  • Zertifikatdienste – Zertifikatsperrliste (Certificate Revocation List, CRL) und OCSP-Endpunkte (Online Certificate Status Protocol)

Die Verwendung von vorkonfigurierten allgemeinen Dienstendpunkten bietet mehrere Vorteile:

  • Vereinfachte Konfiguration – Keine notwendigkeit, einzelne IP-Adressen oder FQDNs manuell zu identifizieren und zu konfigurieren
  • Automatische Updates – Endpunkte werden von Azure verwaltet und aktualisiert, wenn sich Dienstadressen ändern
  • Ausrichtung bewährter Methoden – Vorkonfigurierte Endpunkte folgen Microsoft empfohlenen Verbindungsmustern
  • Reduzierter Verwaltungsaufwand – Minimiert die laufende Wartung, die für ausgehende Konnektivitätsregeln erforderlich ist.

Informationen zum Aktivieren allgemeiner Dienstendpunkte für Ihre Community finden Sie unter Erstellen eines Community-Endpunkts.

FQDN-Netzwerkregeln

Unterstützung von Community-Endpunkten FQDN-based Azure Firewall network rules für TCP and UDP protocols. Mit dieser Funktion können Enklaven eine Verbindung mit domänenbasierten Zielen herstellen, ohne dass Administratoren statische IP-Adresslisten verwalten müssen.

Wenn eine Community-Endpunktregel eine FQDN destinationRegelung angibt, löst die Azure Firewall den Domainnamen während der Regelbewertung auf die zugehörigen IP-Adressen auf. Der Datenverkehr wird dann basierend auf den konfigurierten Regelparametern wie Protokoll und Zielport zugelassen oder verweigert.

Die Verwendung von FQDN-basierten Regeln bietet mehrere Vorteile:

  • Vereinfacht die Firewallregelverwaltung mithilfe von Domänennamen anstelle von IP-Adressen.
  • Unterstützt Dienste mit dynamic or frequently changing IP ranges
  • Ermöglicht eine einfachere Konnektivität zu SaaS platforms and Azure platform services
  • Verbessert die Skalierbarkeit für große Azure Enklavenbereitstellungen

Da die Regelauswertung auf dem Verhalten von Azure Firewall basiert, folgt die Konnektivität von Community-Endpunkten der standardmäßigen Regelverarbeitungs- und Filterlogik von Azure Firewall.

Weitere Informationen finden Sie in der folgenden Azure Firewall Dokumentation:

  • Last updated on