Azure Files nätverksöverväganden

✔️ Applies to: Alla Azure fildelningar

Den här artikeln beskriver nätverksbeslut att fatta innan du distribuerar Azure Files: hur man skyddar data under överföring, hur klienter ansluter till en filresurs och hur man kontrollerar inkommande och utgående åtkomst. För konfigurationssteg, se Konfigurera nätverksändpunkter för Azure-fildelningar. För andra driftsättningsbeslut, se Planera en driftsättning av Azure Files.

De tillgängliga alternativen beror på vilken resursleverantör du använder för att skapa fildelningen och på protokollet som klienterna använder. Klassiska fildelningar (Microsoft. Storage) stöder SMB, NFS och FileREST. Fildelningar som skapats med Microsoft.FileShares stöder endast NFS. För andra skillnader mellan resursleverantörerna, se Azure Files management concepts.

Följande tabell visar hur klienter kan nå en fildelning, baserat på klientplats och protokoll:

Klientens plats	SMB	NFS	FileREST
Azure-virtuellt nätverk	Offentlig endpoint eller privat endpoint	Publik ändpunkt genom en tjänsteändpunkt, eller privat ändpunkt	Offentlig endpoint eller privat endpoint
On-premises, med VPN eller ExpressRoute privat peering	Privat slutpunkt	Privat slutpunkt	Privat slutpunkt
On-premises eller internet, utan VPN eller ExpressRoute privat peering	Offentlig slutpunkt	Stöds ej	Offentlig slutpunkt

SMB kommunicerar via TCP-port 445. Vissa organisationer och internetleverantörer blockerar utgående trafik på denna port. Klienter som inte kan använda port 445 kan ansluta via VPN eller ExpressRoute, eller använda SMB över QUIC via Azure File Sync.
NFS använder nätverksbaserad autentisering, så det stöder inte åtkomst från internetklienter.

Den här videon visar nätverkskonfiguration för klassiska fildelningar. Denna artikel beskriver också Microsoft. FileShares där det är tillämpligt.

Kryptering vid överföring

Kryptering under överföring skyddar data mellan klienter och Azure Files från avlyssning och modifiering, inklusive av en man-in-the-middle-attackerare. Den gäller trafik via både offentliga och privata slutpunkter.

SMB: SMB 3.x skyddar data genom SMB-kanalkryptering. Azure Files stöder AES-128-CCM med SMB 3.0, samt AES-128-GCM och AES-256-GCM med SMB 3.1.1. Klienten och tjänsten förhandlar fram algoritmen från de algoritmer som båda tillåter. SMB 2.1 stöder inte kanalkryptering. Om du begränsar de tillåtna algoritmerna kan vissa klienter inte ansluta sig. Till exempel stöder äldre Windows-klienter inte AES-256-GCM.
NFS: NFS-fildelningar med endera resursleverantören stödjer kryptering under överföring genom en TLS-tunnel. AzNFS-monteringshjälparen använder stunnel för att transportera NFS-trafik genom en TLS 1.2- eller TLS 1.3-anslutning och validerar serverns certifikat. Applikationer använder NFS-protokollet utan ändringar. TLS lägger inte till användarbaserad autentisering i NFS.
FileREST: FileREST skyddar data under överföring via HTTPS, med TLS 1.2 eller TLS 1.3. Nya lagringskonton kräver HTTPS som standard och avvisar okrypterade HTTP-förfrågningar. Ha detta krav aktiverat. Du kan också ställa in en minsta TLS-version.

Krav på kryptering och standardinställningar varierar beroende på resursleverantör. För att se och ändra dem, se:

Klassiska fildelningar: Konfigurera kryptering under överföring för Azure Files. För att begränsa SMB-krypteringsalgoritmer, se SMB-säkerhetsinställningar. För att montera en NFS-fildelning med kryptering, se Montera en klassisk NFS-delning med hjälp av AzNFS-monteringshjälpen.
Microsoft. FileShares: Krypteringskrav vid skapande av en fildelning och uppdatera fildelningsegenskaper med PowerShell eller Azure CLI.

Anslutningsvägar

En klient når en fildelning via den offentliga slutpunkten eller via en privat slutpunkt. Båda slutpunkterna använder samma värdnamn. DNS-upplösning avgör vilken ändpunkt en klient använder.

Offentlig slutpunkt

En publik endpoint har en publik IP-adress. En offentlig adress innebär inte obegränsad åtkomst: protokollkrav, inkommande åtkomstkontroller och auktorisation avgör om en begäran är tillåten.

Varje protokoll har sina egna begränsningar för offentlig ändpunktsåtkomst, separata från nätverksreglerna som du konfigurerar:

SMB: Krypterade SMB 3.x-anslutningar kan komma från klienter både inom och utanför Azure. Azure Files begränsar dem endast genom autentisering och auktorisation. Okrypterade SMB-anslutningar är begränsade till klienter i samma Azure-region och kräver en konfiguration som tillåter okrypterad åtkomst. Klienter i den regionen utanför dina virtuella nätverk kan också ansluta. Om du tillåter okrypterad SMB, begränsa den publika ändpunkten genom att använda nätverksregler.
NFS: Klienter kan endast komma åt den publika endpointen via en service-endpoint. Fildelningens nätverksregler måste tillåta klientsubnätet. NFS stöder inte direktåtkomst från internetklienter.
FileREST: Förfrågningar kan komma från klienter inom eller utanför Azure. Azure Files begränsar dem endast genom autentisering och auktorisation. Som standard avvisar Azure Files också okrypterade HTTP-förfrågningar.

Slutpunkter för tjänster

En service-endpoint låter klienter i ett virtuellt nätverkssubnät använda den publika endpointen när nätverksregler begränsar den till utvalda subnät. Trafiken från subnätet går till Azure Files via Azure-ryggraden, men den använder fortfarande den publika ändpunktens IP-adress. Nätverkslagret identifierar källsubnätet för denna trafik, så Azure Files kan kontrollera subnätet mot nätverksreglerna. För att tillåta ett subnät, lägg till en virtuell nätverksregel för det.

Routning av offentligt slutpunktsnätverk

Routingpreferensen finns endast för klassiska HDD-fildelningar som använder faktureringsmodellen betala per användning för StorageV2 lagringskonton. Det stöds inte för provisionerade fildelningar i FileStorage lagringskonton eller för Microsoft.FileShares.

För dessa pay-as-you-go-konton avgör routingpreferensen hur internettrafiken når den publika ändpunkten:

Microsoft-routing (standard): Trafiken mellan klienten och lagringskontot färdas över Microsoft globala nätverksryggrad så länge som möjligt innan den går till internet. Detta alternativ stöder služba Active Directory (AD) domänanslutningsscenarier och Azure File Sync.
Internetrouting: Trafiken går över det offentliga internet så tidigt som möjligt. Detta alternativ stöder inte AD-domänanslutningsscenarier eller Azure File Sync.

Important

Använd inte internetrouting för Azure Files. Behåll standardroutingen, Microsoft-routning. Routningspreferens är en inställning i lagringskontot. Det är tillgängligt eftersom StorageV2 lagringskonton också innehåller blobs, köer och tabeller, som alla delar samma inställning.

För att kontrollera eller ändra routningsvalet, se Konfigurera routningspreferens.

Privata slutpunkter

En privat endpoint ger resursen (ett lagringskonto eller en Microsoft. FileShares-fildelning) en privat IP-adress i ett subnät av ditt virtuella nätverk. Klienter kan nå den adressen från samma virtuella nätverk, från peerade virtuella nätverk och från lokala nätverk som ansluter till det virtuella nätverket via VPN eller ExpressRoute. För att ge tillgång från fler virtuella nätverk kan du skapa mer än en privat slutpunkt för samma resurs.

Den publika slutpunkten förblir tillgänglig efter att du skapat en privat slutpunkt. För att endast tillåta åtkomst via privata endpoints, inaktivera offentlig nätverksåtkomst. En privat endpoint begränsar inte heller vart klienter kan skicka trafik. För dessa kontroller, se Utgående åtkomstkontroll.

Information om hur du skapar en privat slutpunkt finns i Skapa en privat slutpunkt.

Ansluta från lokal miljö

Lokala klienter kan nå en privat endpoint via en VPN eller ExpressRoute privat peeringanslutning. Denna metod gäller både SMB och NFS. SMB- och FileREST-klienter kan också nå den publika slutpunkten via internet eller ExpressRoute Microsoft-peering. Om nätverksregler begränsar den publika ändpunkten, lägg till en IP-adressregel för klienternas publika IP-adresser.

För SMB fungerar en anslutning till den publika ändpunkten ofta inte från lokala nätverk. Denna begränsning finns eftersom SMB använder TCP-port 445, och många organisationer och internetleverantörer blockerar utgående trafik på denna port. En VPN- eller ExpressRoute-anslutning transporterar SMB-trafik till den privata ändpunkten inom anslutningen, så blockeringen gäller inte. För lokala SMB-klienter, planera för en privat endpoint med VPN- eller ExpressRoute-anslutning, såvida du inte har bekräftat att ditt nätverk tillåter utgående TCP-port 445 till Azure.

Följande alternativ kopplar lokala klienter till Azure:

Point-to-site VPN: Kopplar en enskild klient till ett virtuellt Azure-nätverk. Den stödjer fjärranvändare och enheter som inte är anslutna via organisationens platsnätverk. För installationssteg, se Konfigurera serverinställningar för autentisering av P2S VPN Gateway-certifikat.
VPN från plats till plats: Kopplar en organisations nätverk till ett virtuellt Azure-nätverk via en VPN-gateway. Klienter på det anslutna nätverket delar den anslutningen. För installationssteg, se Tutorial: Skapa en site-to-site VPN-anslutning i Azure-portalen.
ExpressRoute: Privat peering kopplar ett lokalt nätverk till Azure virtuella nätverk utan att gå över det publika internet. ExpressRoute krypterar inte trafiken som standard. Använd kryptering vid överföring för att skydda fildata på anslutningen. För anslutningsalternativ, se Vad är Azure ExpressRoute?.
SMB över QUIC: Bär SMB-trafik över UDP-port 443, så det fungerar när TCP-port 445 är blockerad. Azure Files stöder inte SMB direkt över QUIC. Klienter ansluter till en Windows Server-cache av en klassisk SMB-filshare, och Azure File Sync håller cachen synkroniserad med fildelningen. Cachen kan vara lokal eller i Azure. Cacheservern tillhandahåller QUIC-endpointen, och klienterna behöver SMB över QUIC-stöd. För mer information, se SMB över QUIC i Windows Server-dokumentationen och SMB över QUIC för Azure File Sync.

Följande diagram visar SMB över QUIC med en Azure File Sync-cache:

För att ställa in åtkomst för lokala klienter via en privat endpoint, följ följande steg:

Skapa en privat endpoint för fildelningen. Se även Skapa en privat slutpunkt.
Koppla det lokala nätverket eller klienten till den privata endpointens virtuella nätverk med ett av alternativen i föregående lista.
Konfigurera DNS så att lokala klienter i den lokala miljön löser fildelningens värdnamn till den privata ändpunktens IP-adress. Se Konfigurera DNS-vidarebefordring för Azure Files. Point-to-site-klienter kanske inte använder dina lokala DNS-servrar. För dessa klienter, lägg till DNS-forwardern eller resolvern som en anpassad DNS-server i VPN-klienten. Se valfria inställningar för Azure VPN Client.
Kontrollera att värdnamnet resolveras till den privata endpointens IP-adress. Se Verifiera att DNS-vidarebefordran fungerar.
Montera fildelningen. Se Montera SMB Azure-filresurs på Windows, Montera en Azure-filresurs på macOS, Montera SMB Azure-filresurser på Linux-klienter eller Montera NFS Azure-filresurser på Linux.

DNS-upplösning

Klienter använder samma värdnamn för den publika ändpunkten och för en privat slutpunkt. DNS avgör vilken IP-adress värdnamnet översätts till.

Klassiska fildelningar: Värdnamnet är <storage-account-name>.file.core.windows.net.
Microsoft. FileShares: Varje fildelning har sitt eget genererade värdnamn, i fildelningens hostName egenskap. Värdnamnet är separat från fildelningens resursnamn och från dess mount-namn.

När du skapar en privat endpoint blir den publika DNS-posten för värdnamnet ett alias (CNAME) för ett namn i zonen privatelink.file.core.windows.net . Klienter i ett virtuellt nätverk som är kopplat till en privat DNS-zon med det namnet löser aliaset till den privata endpointens IP-adress. Andra klienter löser aliaset till den publika ändpunktens IP-adress. För att skapa den privata DNS-zonen med den privata slutpunkten, se Skapa en privat slutpunkt. För att kontrollera resultatet, se Kontrollera anslutningen.

On-premises-klienter använder inte Azure DNS som standard, så en VPN- eller ExpressRoute-anslutning ensam ger dem ingen privat namnupplösning. Vidarebefordra deras DNS-frågor för fildelningens domän till Azure via Azure DNS Private Resolver eller en virtuell dator som fungerar som DNS-vidarebefordrare. För steg, se Konfigurera DNS-vidarebefordran för Azure Files. För andra lokala DNS-designer, se Azure Private Endpoint DNS integration.

Värdnamnen och zonnamnen i denna sektion gäller för Azure:s publika moln. Andra Azure-moln använder en annan domän, till exempel core.usgovcloudapi.net i Azure Government. För de privata DNS-zonnamnen i varje moln, se Azure Private Endpoint privata DNS-zonvärden.

Inkommande åtkomstkontroll

Inkommande åtkomstkontroller avgör vilka klienter som kan nå en fildelning:

Trafik för privat slutpunkt omfattas inte av inställningen för offentlig nätverksåtkomst, nätverksregler eller en nätverkssäkerhetsperimeter.
Offentlig endpoint-trafik måste följa inställningen för offentlig nätverksåtkomst. Om lagringskontot är kopplat till en nätverkssäkerhetsperimeter har perimeterns åtkomstregler företräde framför nätverksreglerna. Annars är det nätverksreglerna som bestämmer åtkomsten.
Auktorisation gäller för varje förfrågan som når fildelningen, via någon av de två slutpunkterna.

Åtkomst till offentligt nätverk

Du kan inaktivera åtkomst till offentligt nätverk, eller ha det aktiverat och begränsa det med nätverksregler. Att inaktivera tillgång till publikt nätverk förhindrar också klientåtkomst via service-endpoints. Åtkomst till privat slutpunkt är oberoende av denna inställning. För klassiska fildelningar kvarstår befintliga undantag för betrodda tjänster och resursinstanser även efter att du inaktiverat offentlig nätverksåtkomst.

För konfigurationssteg för båda resursleverantörerna, se Begränsa offentlig endpoint-åtkomst.

Nätverksregler

Nätverksregler styr vilka klienter som kan nå den publika slutpunkten. Det finns två typer:

Virtuella nätverksregler tillåter klienter i ett subnät som har en tjänstslutpunkt. Båda resursleverantörerna stöder regler för virtuella nätverk. NFS-klienter behöver en service-endpoint, så virtuella nätverksregler är hur du tillåter dem.
IP-adressregler tillåter klienter baserat på offentlig IP-adress. Endast klassiska fildelningar stöder IP-adressregler, för SMB och FileREST.

Nätverksregler gäller för dataåtkomst via SMB, NFS och FileREST. De gäller inte för hanteringsoperationer via Azure Resource Manager, som att skapa en fildelning eller ändra dess egenskaper. När du bläddrar bland fildata i Azure-portalen skickar din webbläsare FileREST-förfrågningar till filtjänstens endpoint, så nätverksreglerna måste tillåta din dator. För de behörigheter som portalbläddring behöver, se Auktorisera åtkomst till fildata i Azure-portalen.

Regler för virtuellt nätverk

En virtuell nätverksregel tillåter trafik från ett subnät som har en Microsoft.Storage eller Microsoft.Storage.Global tjänsteändpunkt. Både resursleverantörerna Microsoft.Storage (lagringskonton) och Microsoft.FileShares använder dessa tjänsteändpunktsnamn. Tänk på följande:

Subnätet kan ligga i en annan region än resursen. För åtkomst från andra regioner, använd service-endpointen Microsoft.Storage.Global . Ett subnät kan endast ha en av dessa två tjänsteändpunkter.
Subnätet kan finnas i en annan prenumeration eller Microsoft Entra-tenant. För att lägga till ett subnät från en annan klientorganisation, använd Azure PowerShell eller Azure CLI. Azure-portalen visar inte subnät i andra tenants.
Varje resurs stöder upp till 400 virtuella nätverksregler. För att lägga till en regel behöver du behörigheten Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/action på subnätet.
Att ta bort ett subnät tar bort det från lagringskontots nätverksregler. Ett nytt subnät med samma namn får inte åtkomst förrän du lägger till det i nätverksreglerna. (Endast klassiska fildelningar.)
Om du planerar att växla över ett geo-redundant lagringskonto, skapa de virtuella nätverken i den sekundära regionen innan du behöver dem. Lägg till virtuella nätverksregler för deras subnät så att klienter i dessa virtuella nätverk kan ansluta efter en failover. (Endast klassiska fildelningar.)

IP-adressregler

Klassiska fildelningar stödjer IP-adressregler för SMB- och FileREST-åtkomst från internet. Microsoft. FileShares stöder inte IP-adressregler. Tänk på följande:

IP-adressregler accepterar endast publika IPv4-adresser. Du kan inte lägga till privata adressintervall, såsom adresser som börjar på 10, 172.16 till 172.31 eller 192.168.
Ange adressintervall i CIDR-notation, såsom 203.0.113.0/24. Intervall med ett /31 eller /32 prefix stöds inte. Lägg till dessa adresser som individuella IP-adressregler.
IP-adressregler har ingen effekt på förfrågningar från klienter i samma Azure-region som lagringskontot, eller från klienter i ett subnät som har en tjänsteändpunkt. Använd virtuella nätverksregler för dessa klienter. Undantaget är en regel för IP-adressen till en standardtjänstslutpunkt.
Ett lagringskonto stöder upp till 400 IP-adressregler.
För att tillåta klienter i ett lokalt nätverk, lägg till de publika IP-adresser som nätverket använder för internettrafik. Om du använder Azure ExpressRoute med Microsoft-peering, lägg till de IP-adresser för nätverksadressöversättning (NAT) som Microsoft-peering använder.

Undantag för Azure-tjänster

För klassiska fildelningar kan du tillåta Azure-tjänster som inte kan använda virtuella nätverks- eller IP-adressregler:

Betrodda Microsoft-tjänster: Undantaget Tillåt betrodda Microsoft-tjänster att komma åt den här resursen tillåter tjänster som Azure File Sync. Aktivera det endast när en integration behöver det. För listan över tjänster, se Trusted Azure services.
Resursinstanser: En resursinstansregel tillåter en specifik Azure-resurs i din Microsoft Entra-tenant att nå den publika slutpunkten. Resursen behöver fortfarande auktorisation för att komma åt fildata.

En nätverkssäkerhetsperimeter är det nyare sättet att tillåta Azure-tjänster. Den styr åtkomst till många resurser på ett och samma ställe. Vi rekommenderar en avgränsning när de tjänster du använder är anslutna till den. Du kan fortfarande behöva dessa undantag för tjänster som inte har integrerats, som Azure Backup, eller om du inte använder perimeter.

Microsoft. FileShares stöder inte dessa undantag.

Nätverkssäkerhetsperimeter

En nätverkssäkerhetsgräns placerar PaaS-resurser inom en logisk gräns och kontrollerar publik nätverksåtkomst till dem. Endast klassiska fildelningar stödjer nätverkssäkerhetsperimetrar.

När du kopplar ett lagringskonto till en perimeter, går åtkomstreglerna i perimeterprofilen före lagringskontots nätverksregler. Perimetern har två åtkomstlägen:

Transition: standardläget. Om ingen perimeterregel tillåter anslutning gäller lagringskontots egna nätverksregler och undantag för Azure-tjänster. Genom att använda diagnostiska loggar kan du hitta trafik som perimeterreglerna inte tillåter. Använd Transition-läget endast som ett tillfälligt steg.
Tvingande: Endast perimeterregler gäller. Lagringskontots regler för virtuella nätverk, IP-adressregler och undantag för Azure-tjänster gäller inte. För att tillåta en Azure-tjänst som inte är ansluten till nätverkssäkerhetsperimetern, lägg till en inkommande prenumerationsbaserad åtkomstregel.

En perimeter avgör vilka klienter som kan nå lagringskontot via den publika slutpunkten. Det gör det möjligt för klienter på två sätt:

Resurs till resurs: Andra PaaS-resurser i perimetern, och Azure-resurser i prenumerationer som en inkommande prenumerationsbaserad regel tillåter. Perimetern identifierar dessa klienter med deras Microsoft Entra-identitet, som endast OAuth-förfrågningar innehåller. För Azure Files gäller denna åtkomst endast för FileREST med OAuth.
Klienter efter IP-adress: Inkommande IP-baserade regler tillåter klienter baserat på offentlig IP-adress.
- Klienter i virtuella Azure-nätverk ansluter via en standardtjänstslutpunkt. En IP-baserad regel för tjänstslutpunktens IP-adress tillåter SMB, NFS och FileREST. I Enforced-läge nekar perimetern trafik genom service-endpoints som inte har en tilldelad IP-adress.
- Klienter utanför Azure ansluter från sin publika IP-adress. En IP-baserad regel för den adressen tillåter SMB och FileREST. NFS stöder inte klienter utanför Azure.

Trafik till privata endpoint omfattas inte av perimeterregler.

Följande tabell visar vilka inkommande regler som gäller för varje protokoll och autentiseringsmetod:

Tillträde	Regler för inkommande perimeterskydd som gäller
FileREST med OAuth	Alla regler: IP-baserade, prenumerationsbaserade och tillgång från andra resurser i perimetern
FileREST med delad nyckel eller SAS	Endast IP-baserade regler
SMB med NTLM eller Kerberos	Endast IP-baserade regler
NFS	IP-baserade regler endast för IP-adressen till en standardtjänstslutpunkt

Kontrollera dessa integrationer innan du kopplar ett lagringskonto till en perimeter:

Kundhanterade nycklar: Om nyckelvalvet som innehåller kundhanterade nyckeln ligger i en perimeter, placera lagringskontot i samma perimeter. Annars, konfigurera nyckelvalvets perimeterprofil så att lagringskontot tillåts.
Azure Backup: Azure Backup är inte onboarded till nätverkssäkerhetsperimetern. Använd inte ett perimeter för lagringskonton som använder Azure Backup.
Azure File Sync: Du kan inte koppla en Storage Sync-tjänst till en perimeter. Konfigurera Storage Sync Service för att använda hanterade identiteter. Lägg sedan till en inkommande prenumerationsbaserad åtkomstregel som tillåter Storage Sync Service-prenumerationen.

För att koppla en perimeter till ett lagringskonto, se Övergång till en nätverkssäkerhetsperimeter i Azure.

Standardtjänstslutpunkter

En standard service-endpoint är en service-endpoint som har en publik IP-adress tilldelad. Du skapar den publika IP-adressen och tilldelar den till subnätets Microsoft.Storage service-endpoint. Azure Storage använder sedan den adressen för att identifiera trafik från subnätet. Adressen märker bara upp trafiken. Trafiken dirigeras inte genom den, och klienterna använder den inte, så en klients egen publika IP-adress fungerar inte i stället för den. Azure:s nätverksdokumentation kallar denna adress för en nätverksidentifierare och kallar en service-endpoint utan en sådan för en basic service endpoint.

Standardservice-endpoints låter klienter i virtuella nätverk nå ett lagringskonto i en nätverkssäkerhetsperimeter utan en privat endpoint. Om du vill tillåta detta lägger du till en inkommande IP-baserad åtkomstregel för tjänstslutpunktens IP-adress i perimeterprofilen. Regeln tillåter SMB-, NFS- och FileREST-trafik från varje subnät som använder IP-adressen. En IP-adress kan representera många subnät och virtuella nätverk i samma region, inklusive virtuella nätverk i andra prenumerationer i samma Microsoft Entra-tenant. När du lägger till eller tar bort subnät som använder IP-adressen behöver du inte ändra perimeterns regler.

Ett lagringskontos IP-adressregler kan också tillåta tjänstslutpunktens IP-adress, utan en säkerhetsperimeter. Utan perimeter ger en grundläggande tjänstslutpunkt med virtuella nätverksregler samma åtkomst utan extra kostnad.

Tänk på följande:

En standardtjänstslutpunkt identifierar fortfarande källsubnätet. Regler för virtuella nätverk som gäller för subnätet fortsätter att gälla även efter att du tilldelar en IP-adress, tills perimetern är i Enforced-läge.
Tilldelning eller ändring av IP-adressen kopplar ned aktiva anslutningar från subnätet. Planera ändringen för en underhållsperiod.
Standardservice-endpoints stödjer inte trafik från lokala nätverk i det egna datacentret. Använd en private endpoint för åtkomst från lokal infrastruktur.
Standard service endpoints är en betald funktion som debiteras för varje virtuellt nätverk. Mer information finns i Priser för Azure Private Link.

Klienter i ett subnät som har en standardservice-endpoint kan fortfarande komma åt en Microsoft. FileShares-fildelning om subnätet finns i fildelningens tillåtna subnät.

För att konfigurera en standardservice-endpoint, se Tillåt åtkomst från en standard-service-endpoint.

Utgående åtkomstkontroll

Nätverksregler för en fildelning styr inkommande åtkomst. De begränsar inte kunders mål för utgående trafik. Till exempel kan en klient som kan läsa en fildelning kopiera data till en annan resurs den har behörighet att skriva till.

Begränsa utgående åtkomst med tjänsteendpoint-policys

För klassiska fildelningar kan du använda en service-endpoint-policy för att begränsa vilka lagringskonton klienter i ett subnät kan nå via service-endpoints. Policyn gäller för alla klienter i det subnätet. Destinationens nätverksregler och auktorisationskrav gäller fortfarande.

Tjänsteendpoint-policyer fungerar tillsammans med andra nätverkskontroller:

Tjänständpunktsrutter åsidosätter användardefinierade rutter (UDR) för matchande tjänsteadressprefix. Trafik som dirigeras genom en service-endpoint går inte via Azure Firewall eller en nätverksvirtuell appliance (NVA), så dessa enheter kan inte inspektera eller logga den. Mer information finns i Tjänstslutpunkter för virtuellt nätverk.
Regler för nätverkssäkerhetsgrupper (NSG) kan använda servicetaggar, såsom Storage.WestUS för att begränsa utgående trafik till en region. Servicetaggar kan inte begränsa trafiken till ett specifikt lagringskonto.

Policyns tillåtslista kan innehålla individuella lagringskonton, resursgrupper eller prenumerationer. Policyn blockerar klienter i det tillhörande subnätet från att komma åt andra lagringskonton via service-endpoints. Den begränsar inte andra utgående vägar från subnätet.