Wat is een community-eindpunt?

A community endpoint is een verzameling vertrouwde bestemmingen en transithubverbindingen die enclave-communicatie naar privénetwerken buiten de gemeenschapsgrenzen mogelijk maken.

Enclave-verbindingen die gekoppeld zijn aan een community-eindpunt stellen de source enclave mogelijkheid om verbinding te maken met bestemmingen die binnen het gemeenschapseindpunt zijn gedefinieerd. Deze eindpunten bieden een beheerd mechanisme voor enclaves om te communiceren met externe services, terwijl de netwerkisolatiegrenzen van Azure Enclave behouden blijven.

Azure Firewall-netwerkregels handhaven gemeenschapseindpunten, waardoor uitgaande connectiviteit vanuit enclaves expliciet wordt gedefinieerd en gereguleerd.

Architectuur van een community-eindpunt

Diagram van een community met verbindingen via community-eindpunten naar externe resources.

In deze architectuur:

  1. Een initiatief initieert enclave uitgaande connectiviteit.
  2. Het verkeer wordt via de community endpoint.
  3. Het verzoek wordt beoordeeld aan de hand van Azure Firewall network rules.
  4. Als een regel overeenkomt, is de verbinding met het doel toegestaan.

Dit model zorgt ervoor dat al het uitgaande verkeer van enclaves door gecentraliseerde beleidshandhaving gaat.

Typen regels voor community-eindpunten

Community-eindpunten ondersteunen verschillende regeltypen die definiëren hoe enclaves verbinding kunnen maken met externe resources.

  • IP AddressSchakel verkeer in van een enclave naar een specifiek IP-adres buiten de community Virtual WAN.

  • Fully Qualified Domain Name (FQDN) Schakel verkeer in van een enclave naar een vertrouwde domeinnaam (bijvoorbeeld portal.azure.com).
    FQDN-regels ondersteunen TCP and UDP protocols, dus je kunt verbinding maken met diensten die endpoints via DNS exposeren in plaats van statische IP-adressen.

  • FQDN TagSchakel verkeer van enclaves naar bekende Microsoft Azure-diensten in via FQDN tags, zoals AzurePortal.

  • Service TagSchakel verkeer van enclaves naar Azure-diensten in door gebruik te maken van Azure Service Tags. Service Tags vertegenwoordigen groepen IP-adresprefixen voor specifieke Azure-diensten, wat het maken van beveiligingsregels vereenvoudigt. Wanneer je een Service Taggebruikt, houdt Azure automatisch de onderliggende IP-adresbereiken bij naarmate ze veranderen, zodat je de regels niet handmatig hoeft bij te werken wanneer service-IP-adressen worden gewijzigd.

    Algemene servicetags zijn onder andere:

    • AzureCloud- Alle IP-adressen van Azure datacenter
    • AzureStorage- IP-adressen van Azure Storage-service
    • AzureKeyVault- IP-adressen van Azure Key Vault service
    • AzureActiveDirectory- IP-adressen van Microsoft Entra ID service
    • AzureMonitor- IP-adressen van Azure Monitor service
    • Sql- IP-adressen van Azure SQL Database-service

    Zie Virtual Network servicetags voor een volledige lijst met beschikbare servicetags.

  • Private Network Schakel verkeer in van enclaves naar een extern privénetwerk via een bestaande transit hub verbinding. Het transitknooppunt moet bestaan voordat je een privénetwerkregel kunt maken.

Community-eindpunten voor algemene services

Azure Enclave ondersteunt het creëren van community-endpoints voor veelvoorkomende diensten die veel organisaties nodig hebben. Beheerders kunnen eindpunten configureren voor veelgebruikte Azure- en Microsoft-services om het mogelijk maken van connectiviteit te vereenvoudigen zonder handmatige firewallregelconfiguratie.

Veelvoorkomende service-eindpunten zijn connectiviteit met:

  • Azure beheerservices - Portal-, Resource Manager- en beheer-API's
  • Microsoft Update-services - Windows Update- en Microsoft Update-eindpunten
  • Azure-bewakingsservices - Azure Monitor, Log Analytics en Application Insights
  • Identiteitsservices - Microsoft Entra ID verificatie- en autorisatie-eindpunten
  • Certificaatservices - eindpunten voor certificaatintrekkingslijsten (CRL) en onlinecertificaatstatusprotocol (OCSP)

Het gebruik van vooraf geconfigureerde algemene service-eindpunten biedt verschillende voordelen:

  • Vereenvoudigde configuratie : u hoeft geen afzonderlijke IP-adressen of FQDN's handmatig te identificeren en configureren
  • Automatische updates- Eindpunten worden onderhouden door Azure en bijgewerkt wanneer serviceadressen veranderen
  • Uitlijning van aanbevolen procedures: vooraf geconfigureerde eindpunten volgen Microsoft aanbevolen verbindingspatronen
  • Minder administratieve overhead - Minimaliseert het doorlopende onderhoud dat nodig is voor uitgaande connectiviteitsregels

Zie Een community-eindpunt maken om algemene service-eindpunten voor uw community in te schakelen.

FQDN-netwerkregels

Community-endpointondersteuning FQDN-based Azure Firewall network rules voor TCP and UDP protocols. Met deze mogelijkheid kunnen enclaves verbinding maken met op een domein gebaseerde bestemmingen zonder dat beheerders statische IP-adreslijsten hoeven te onderhouden.

Wanneer een community-endpointregel een FQDN destinationspecificeert, lost Azure Firewall de domeinnaam op naar de bijbehorende IP-adressen tijdens de evaluatie van de regel. Verkeer wordt vervolgens toegestaan of geweigerd op basis van de geconfigureerde regelparameters, zoals protocol en doelpoort.

Het gebruik van op FQDN gebaseerde regels biedt verschillende voordelen:

  • Vereenvoudigt het beheer van firewallregels met behulp van domeinnamen in plaats van IP-adressen
  • Ondersteunt diensten met dynamic or frequently changing IP ranges
  • Maakt het mogelijk om gemakkelijker te verbinden met SaaS platforms and Azure platform services
  • Verbetert de schaalbaarheid voor grote Azure Enclave-implementaties

Omdat regelevaluatie afhankelijk is van Azure Firewall gedrag, volgt de connectiviteit van community-eindpunten standaard Azure Firewall regelverwerkings- en filterlogica.

Zie de volgende Azure Firewall documentatie voor meer informatie:

  • Laatst bijgewerkt om