Rede com link privado no servidor flexível do Banco de Dados do Azure para PostgreSQL

O Link Privado do Azure permite criar pontos de extremidade privados para seu servidor flexível do Banco de Dados do Azure para PostgreSQL, levando o servidor para sua rede virtual. Essa funcionalidade é uma alternativa recomendada aos recursos de rede fornecidos pela integração de rede virtual.

Usando Link Privado, o tráfego entre sua rede virtual e o serviço viaja pela rede de backbone Microsoft. Você não precisa mais expor seu serviço à Internet pública. Você pode criar o próprio serviço de link privado em sua rede virtual e oferecê-lo aos seus clientes. A configuração e o consumo por meio do Link Privado são consistentes entre os serviços PaaS do Azure, serviços de propriedade do cliente e serviços de parceiros compartilhados.

Dois tipos de recursos Azure expõem Link Privado aos usuários:

• Pontos de extremidade privados (Microsoft.Network/PrivateEndpoints)
• Serviços de Link privado (Microsoft.Network/PrivateLinkServices)

Pontos de extremidade privados

Um ponto de extremidade privado adiciona uma interface de rede a um recurso, fornecendo a ele um endereço IP privado atribuído a partir da sua rede virtual. Depois de aplicá-lo, você pode se comunicar com esse recurso exclusivamente por meio da rede virtual. Para obter uma lista de serviços de PaaS que dão suporte à funcionalidade Link Privado, consulte a documentação do Link Privado. Um ponto de extremidade privado é um endereço IP privado em uma rede virtual e uma sub-rede específicas.

Vários pontos de extremidade privados em redes virtuais ou sub-redes diferentes, mesmo que tenham espaços de endereço sobrepostos, podem referenciar o mesmo serviço público.

Principais benefícios do Link Privado

O Link Privado fornece os seguintes benefícios:

• Acesse serviços privadamente na plataforma Azure: conecte sua rede virtual usando pontos de extremidade privados a todos os serviços que você pode usar como componentes de aplicativo no Azure. Os provedores de serviços podem renderizar seus serviços em sua própria rede virtual. Os consumidores podem acessar esses serviços em sua rede virtual local. A plataforma de Link Privado manipula a conectividade entre o consumidor e os serviços na rede de backbone do Azure.
• Redes locais e emparelhadas: acesse serviços em execução no Azure do local por meio de emparelhamento privado do Azure ExpressRoute, túneis de VPN (rede virtual privada) e redes virtuais emparelhadas usando pontos de extremidade privados. Não é necessário configurar o emparelhamento da Microsoft no ExpressRoute nem atravessar a Internet para acessar o serviço. O Link Privado fornece uma forma segura de migrar cargas de trabalho para o Azure.
• Proteção contra vazamento de dados: um ponto de extremidade privado é mapeado para uma instância de um recurso de PaaS em vez de todo o serviço. Os consumidores só podem se conectar ao recurso específico. O acesso a qualquer outro recurso no serviço é bloqueado. Esse mecanismo fornece proteção contra riscos de vazamento de dados.
• Alcance global: conecte-se privadamente aos serviços em execução em outras regiões: A rede virtual do consumidor pode estar na região A. Ele pode se conectar a serviços por trás de Link Privado na região B.

Casos de uso do Link Privado com o Banco de Dados do Azure para PostgreSQL

Os clientes podem se conectar ao ponto de extremidade privado de:

• Na mesma rede virtual.
• Uma rede virtual extremidade na mesma região ou entre regiões.
• Conexão entre redes entre regiões.

Os clientes também podem se conectar do local usando o ExpressRoute, o emparelhamento privado ou o túnel VPN. O diagrama simplificado a seguir mostra os casos de uso comuns.

Recursos com suporte para Link Privado

Confira uma matriz de disponibilidade de recursos cruzados para pontos de extremidade privados em um servidor flexível do Banco de Dados do Azure para PostgreSQL.

Pontos de extremidade privados só podem ser configurados para servidores que você criar depois que o Banco de Dados do Azure para PostgreSQL passar a oferecer suporte ao link privado. Você deve configurar o modo de rede para não usar a integração de rede virtual, mas o acesso público.

Não é possível configurar pontos de extremidade privados para servidores que você criou antes dessa data se tiver configurado o modo de rede para não usar a integração com rede virtual, mas sim o acesso público. O uso de pontos de extremidade privados não é atualmente suportado em servidores criados com integração de rede virtual.

Conectar-se a partir de uma VM do Azure em uma rede virtual pareada

Configure o emparelhamento de rede virtual para estabelecer conectividade com um servidor flexível do Banco de Dados do Azure para PostgreSQL a partir de uma máquina virtual (VM) do Azure em uma rede virtual emparelhada.

Conectar a partir de uma VM do Azure num ambiente de interconexão de redes

Configure uma conexão de gateway VPN de rede para rede para estabelecer conectividade com um servidor flexível do Banco de Dados do Azure para PostgreSQL a partir de uma VM do Azure em uma região ou assinatura diferente.

Conecte-se de um ambiente local por VPN

Para se conectar de um ambiente local a Banco de Dados do Azure para PostgreSQL servidor flexível, escolha e implemente uma das seguintes opções:

• Conexão ponto a site
• Conexão VPN site a site
• Circuito do ExpressRoute

Segurança de rede e Link Privado

Quando você usa pontos de extremidade privados, protege o tráfego para um recurso do link privado. A plataforma valida conexões de rede e só permite conexões que atingem o recurso de link privado especificado. Para acessar mais sub-recursos dentro do mesmo serviço do Azure, são necessários mais pontos de extremidade privados com destinos correspondentes. Por exemplo, no Armazenamento do Azure, você precisa de pontos de extremidade privados separados para acessar os sub-recursos de arquivo e blob.

Os pontos de extremidade privados fornecem um endereço IP acessível de forma privada para o serviço do Azure, mas não necessariamente restringem o acesso à rede pública a ele. Todos os outros serviços Azure exigem outro controle de acesso. Esses controles fornecem uma camada de segurança de rede extra para seus recursos, ajudando a impedir o acesso ao serviço de Azure associado ao recurso de link privado.

Os ponto de extremidade privados dão suporte a políticas de rede. As políticas de rede habilitam o suporte para NSGs (grupos de segurança de rede), UDRs (rotas definidas pelo usuário) e ASGs (grupos de segurança de aplicativo). Para saber como habilitar políticas de rede para um ponto de extremidade privado, confira Gerenciar políticas de rede para pontos de extremidade privados. Para usar um ASG com um ponto de extremidade privado, confira Configurar um grupo de segurança de aplicativo com um ponto de extremidade privado.

Link Privado e DNS

Ao usar um ponto de extremidade privado, você precisa se conectar ao mesmo serviço do Azure, mas usar o endereço IP do ponto de extremidade privado. A conexão de ponto de extremidade privado requer configurações de DNS (sistema de nomes de domínio) separadas para resolver o endereço IP privado para o nome do recurso.

As zonas DNS privadas fornecem resolução de nomes de domínio em uma rede virtual sem uma solução DNS personalizada. Você vincula as zonas DNS privadas a cada rede virtual para fornecer serviços DNS a essa rede.

As zonas DNS privadas fornecem nomes de zona DNS separados para cada serviço do Azure. Por exemplo, se você configurou uma zona DNS privada para o serviço blob da conta de armazenamento na imagem anterior, o nome da zona DNS será privatelink.blob.core.windows.net. Revise a documentação da Microsoft para ver mais dos nomes de zona DNS privada para todos os serviços do Azure.

DNS híbrido para recursos do Azure e locais

O DNS é uma consideração de design crítica na arquitetura geral da zona de destino. Algumas organizações podem querer usar seus investimentos existentes em DNS. Outras podem querer adotar recursos nativos do Azure para todas as suas necessidades de DNS.

Você pode usar o Resolvedor Privado de DNS do Azure em conjunto com zonas DNS privadas do Azure para resolução de nomes entre locais. O Resolvedor Privado DNS pode encaminhar uma solicitação DNS para outro servidor DNS e também fornece um endereço IP que um servidor DNS externo pode usar para encaminhar solicitações. Portanto, servidores DNS locais externos podem resolver nomes localizados em uma zona de DNS privado.

Para obter mais informações sobre como usar o Resolvedor Privado DNS com um encaminhador DNS local para encaminhar o tráfego DNS para DNS do Azure, consulte:

• Integração do DNS do endpoint privado do Azure
• Crie uma infraestrutura DNS de ponto de extremidade privado com o Azure Private Resolver para uma carga de trabalho local

As soluções descritas permitem estender a rede local que já tem uma solução DNS em vigor para resolver recursos em uma arquitetura Azure.Microsoft.

Integração de Link Privado do Azure e DNS em arquiteturas de rede hub-and-spoke

Normalmente, você hospeda centralmente zonas DNS privadas na mesma assinatura do Azure na qual implanta a rede virtual de hub. Essa prática de hospedagem central é orientada pela resolução de nomes DNS entre instalações e por outras necessidades de resolução de DNS central, como o Microsoft Entra. Na maioria dos casos, somente administradores de rede e identidade têm permissões para gerenciar registros DNS nas zonas.

Nessa arquitetura, você configura os seguintes componentes:

• Os servidores DNS locais têm encaminhadores condicionais configurados para cada zona DNS pública de ponto de extremidade privado, apontando para o Resolvedor DNS Privado hospedado na rede virtual do hub.
• O Resolvedor Privado de DNS hospedado na rede virtual do hub usa o DNS fornecido pelo Azure (168.63.129.16) como encaminhador.
• Você vincula a rede virtual do hub aos nomes de zona de DNS privado dos serviços do Azure (como privatelink.postgres.database.azure.com, para um servidor flexível do Banco de Dados do Azure para PostgreSQL).
• Todas as redes virtuais Azure usam o resolvedor de DNS privado hospedado na rede virtual do hub.
• O resolvedor de DNS Privado não é autoritário para os domínios corporativos de um cliente porque é apenas um reencaminhador (por exemplo, nomes de domínio do Microsoft Entra). Ela deve ter encaminhadores de ponto de extremidade de saída para os domínios corporativos do cliente, apontados para os servidores DNS locais ou para servidores DNS implantados no Azure que sejam autoritativos para essas zonas.

Link Privado e grupos de segurança de rede

Por padrão, as políticas de rede são desabilitadas para uma sub-rede em uma rede virtual. Para usar políticas de rede, como UDRs e suporte a NSGs, você deve habilitar o suporte à política de rede para a sub-rede. Essa configuração se aplica somente a pontos de extremidade privados na sub-rede. Essa configuração afeta todos os pontos de extremidade privados na sub-rede. Para os demais recursos na sub-rede, o acesso é controlado com base nas regras de segurança do no NSG.

Você pode habilitar as políticas de rede somente para NSGs, somente para UDRs ou para ambos. Para obter mais informações, confira Gerenciar políticas de rede para pontos de extremidade privados.

As limitações para NSGs e pontos de extremidade privados estão listadas em O que é um ponto de extremidade privado?.

Link Privado combinado com regras de firewall

As seguintes situações e resultados são possíveis quando você usa o Link Privado em combinação com regras de firewall:

• Se você não configurar nenhuma regra de firewall, por padrão, o tráfego não poderá acessar o servidor Banco de Dados do Azure para PostgreSQL flexível.

• Se você configurar o tráfego público ou um ponto de extremidade de serviço e criar pontos de extremidade privados, diferentes tipos de tráfego de entrada serão autorizados pelo tipo correspondente de regra de firewall.

• Se você não configurar nenhum tráfego público ou ponto de extremidade de serviço e criar pontos de extremidade privados, o servidor Banco de Dados do Azure para PostgreSQL flexível só poderá ser acessado por meio de pontos de extremidade privados. Se você não configurar o tráfego público ou um ponto de extremidade de serviço, depois que todos os pontos de extremidade privados aprovados forem rejeitados ou excluídos, nenhum tráfego poderá acessar o servidor Banco de Dados do Azure para PostgreSQL flexível.

Troubleshoot

Quando você usa endpoints do Link Privado com um servidor flexível do Banco de Dados do Azure para PostgreSQL, podem ocorrer problemas de conectividade devido a configurações incorretas ou restrições de rede. Para solucionar esses problemas, verifique a configuração de pontos de extremidade privados, configurações de DNS, NSGs (grupos de segurança de rede) e tabelas de rotas. Abordar sistematicamente essas áreas pode ajudá-lo a identificar e resolver problemas comuns, garantindo conectividade perfeita e acesso seguro ao seu banco de dados.

Problemas de conectividade com a rede baseada em endpoints privados

Se ocorrerem problemas de conectividade ao usar a rede baseada em pontos de extremidade privados, verifique as seguintes áreas:

• Verifique as atribuições de endereço IP: Verifique se o ponto de extremidade privado tem o endereço IP correto atribuído e se ele não está em conflito com outros recursos. Para obter mais informações sobre pontos de extremidade privados e IP, consulte Gerenciar Azure pontos de extremidade privados.
• Verifique os NSGs: Revise as regras do NSG da sub-rede do ponto de extremidade privado para garantir que o tráfego necessário seja permitido e que não haja regras conflitantes. Para obter mais informações sobre os NSGs, confira Grupos de segurança de rede.
• Validar a configuração da tabela de rotas: garanta que as tabelas de rotas associadas à sub-rede do endpoint privado e aos recursos conectados estejam configuradas corretamente com as rotas apropriadas.
• Usar monitoramento e diagnóstico de rede: use o Observador de Rede do Azure para monitorar e diagnosticar o tráfego de rede usando ferramentas como Monitor da Conexão ou Captura de Pacotes. Para obter mais informações sobre diagnóstico de rede, consulte O que é Observador de Rede do Azure?.

Para obter mais informações sobre como solucionar problemas de pontos de extremidade privados, consulte Solucionar problemas de conectividade de ponto de extremidade privado Azure.

Resolução de DNS com rede privada baseada em ponto de extremidade privado

Se você encontrar problemas de resolução de DNS ao usar a rede baseada em endpoints privados, verifique as seguintes áreas:

• Validar a resolução de DNS: Verifique se o servidor ou serviço DNS usado pelo ponto de extremidade privado e os recursos conectados estão funcionando corretamente. Verifique se as configurações de DNS do ponto de extremidade privado são precisas. Para obter mais informações sobre pontos de extremidade privados e configurações da zona DNS, consulte Valores da zona DNS privada do Azure Private Endpoint.
• Limpar o cache de DNS: limpe o cache de DNS no ponto de extremidade privado ou na máquina cliente para garantir que as informações de DNS mais recentes sejam recuperadas e para evitar erros divergentes.
• Analisar logs de DNS: revise os logs de DNS em busca de mensagens de erro ou padrões incomuns, como falhas de consulta DNS, erros de servidor ou tempos limite. Para obter mais informações sobre métricas DNS, consulte DNS do Azure métricas e alertas.

Limitações e considerações

• Você só pode configurar pontos de extremidade privados para servidores criados após a introdução do Link Privado. Os servidores que usam a integração de rede virtual (VNet) não são elegíveis para a configuração de endpoint privado.

• As restrições de rede do Azure, não o próprio serviço de banco de dados, limitam o número de pontos de extremidade privados. Especificamente, eles limitam o número de endpoints privados que você pode injetar em uma determinada sub-rede dentro de uma VNet.

• As máquinas virtuais podem se conectar ao banco de dados por meio de pontos de extremidade privados, desde que estejam configuradas corretamente na mesma rede virtual ou tenham o roteamento apropriado em vigor.

Conteúdo relacionado

• Portal do Azure
• CLI do Azure