Connessione di rete con collegamento privato in Database di Azure per PostgreSQL - Server flessibile

collegamento privato di Azure consente di creare endpoint privati per il server flessibile Database di Azure per PostgreSQL, portando il server nella rete virtuale. Questa funzionalità è un'alternativa consigliata alle funzionalità di rete fornite dall'integrazione della rete virtuale.

Usando collegamento privato, il traffico tra la rete virtuale e il servizio passa attraverso la rete backbone Microsoft. Non è più necessario esporre il servizio alla rete Internet pubblica. È possibile creare un servizio di collegamento privato personale nella rete virtuale e distribuirlo ai clienti. La configurazione e l'uso tramite collegamento privato sono coerenti tra i servizi PaaS di Azure, quelli di proprietà del cliente e i servizi partner condivisi.

Due tipi di risorse Azure espongono collegamento privato agli utenti:

• Endpoint privati ​​(Microsoft.Network/PrivateEndpoints)
• Servizi di collegamento privato (Microsoft.Network/PrivateLinkServices)

Endpoint privati

Un endpoint privato aggiunge un'interfaccia di rete a una risorsa, assegnando un indirizzo IP privato assegnato dalla rete virtuale. Dopo l'applicazione, è possibile comunicare con questa risorsa esclusivamente tramite la rete virtuale. Per l'elenco dei servizi PaaS che supportano la funzionalità collegamento privato, vedere la documentazione di collegamento privato. Un endpoint privato è un indirizzo IP privato all'interno di una rete virtuale specifica e di una subnet.

Più endpoint privati in reti virtuali o subnet diverse, anche se hanno spazi di indirizzi sovrapposti, possono fare riferimento allo stesso servizio pubblico.

Vantaggi principali del collegamento privato

Collegamento privato offre i vantaggi seguenti:

• Accesso privato ai servizi nella piattaforma Azure: connettere la rete virtuale usando endpoint privati a tutti i servizi che è possibile usare come componenti dell'applicazione in Azure. I provider di servizi possono offrire i propri servizi nella loro rete virtuale. I consumer possono accedere a tali servizi nella rete virtuale locale. La piattaforma Collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure.
• Reti locali e con peering: accedere ai servizi in esecuzione in Azure dall'ambiente locale tramite peering privato Azure ExpressRoute, tunnel della rete privata virtuale (VPN) e reti virtuali con peering usando endpoint privati. Non è necessario configurare ExpressRoute Microsoft peering o attraversare Internet per raggiungere il servizio. Collegamento privato offre un modo sicuro per eseguire la migrazione dei carichi di lavoro in Azure.
• Protezione dalla perdita di dati: Un endpoint privato esegue il mapping a un'istanza di una risorsa PaaS anziché all'intero servizio. I consumer possono connettersi solo alla risorsa specifica. L'accesso a qualsiasi altra risorsa del servizio è bloccato. Questo meccanismo offre protezione dai rischi di perdita dei dati.
• Copertura globale: connettersi privatamente ai servizi in esecuzione in altre aree: La rete virtuale del consumer può trovarsi nell'area A. Può connettersi ai servizi dietro collegamento privato nell'area B.

Casi d'uso per il collegamento privato con Database di Azure per PostgreSQL

I client possono connettersi all'endpoint privato da:

• La stessa rete virtuale.
• Una rete virtuale peering nella stessa area o tra aree diverse.
• Una connessione da rete a rete tra aree.

I client possono anche connettersi da locale usando ExpressRoute, peering privato o tunneling VPN. Il diagramma semplificato seguente illustra i casi d'uso più comuni.

Funzionalità supportate per il collegamento privato

Ecco una matrice di disponibilità incrociata delle funzionalità per gli endpoint privati in un server flessibile di Database di Azure per PostgreSQL.

Gli endpoint privati possono essere configurati solo per i server creati dopo Database di Azure per PostgreSQL introduce il supporto per collegamento privato. È necessario configurare la modalità di rete per non usare l'integrazione della rete virtuale ma l'accesso pubblico.

Non è possibile configurare endpoint privati per i server creati prima di tale data se è stata configurata la modalità di rete per non usare l'integrazione della rete virtuale ma l'accesso pubblico. L'uso di endpoint privati non è attualmente supportato nei server creati con l'integrazione della rete virtuale.

Connettersi da una macchina virtuale Azure in una rete virtuale con peering

Configurare il peering di rete virtuale per stabilire la connettività a un server flessibile Database di Azure per PostgreSQL da una macchina virtuale (VM) Azure in una rete virtuale con peering.

Connettersi da una macchina virtuale di Azure in un ambiente da rete a rete

Configurare una connessione gateway VPN da rete a rete per stabilire la connettività a un server flessibile Database di Azure per PostgreSQL da una macchina virtuale Azure in un'area o una sottoscrizione diversa.

Connettersi da un ambiente locale tramite VPN

Per connettersi da un ambiente locale a Database di Azure per PostgreSQL server flessibile, scegliere e implementare una delle opzioni seguenti:

• Connessione da punto a sito
• Connessione VPN da sito a sito
• Circuito ExpressRoute

Sicurezza di rete e collegamento privato

Quando si usano endpoint privati, si protegge il traffico verso una risorsa di collegamento privato. La piattaforma convalida le connessioni di rete e consente solo le connessioni che raggiungono la risorsa di collegamento privato specificata. Per accedere a più sottorisorse all'interno dello stesso servizio Azure, sono necessari più endpoint privati con destinazioni corrispondenti. Ad esempio, per Archiviazione di Azure, sono necessari endpoint privati separati per accedere alle sottorisorse di file e BLOB.

Gli endpoint privati forniscono un indirizzo IP accessibile privatamente per il servizio di Azure, ma non limitano necessariamente l'accesso alla rete pubblica. Tutti gli altri servizi Azure richiedono un altro controllo di accesso. Questi controlli forniscono un livello di sicurezza di rete aggiuntivo alle risorse, consentendo di impedire l'accesso al servizio di Azure associato alla risorsa di collegamento privato.

Gli endpoint privati supportano i criteri di rete. I criteri di rete consentono il supporto per i gruppi di sicurezza di rete (NSG), le route definite dall'utente (UDR) e gruppi di sicurezza delle applicazioni (ASG). Per altre informazioni sull'abilitazione dei criteri di rete per un endpoint privato, vedere Gestire i criteri di rete per endpoint privati. Per usare un ASG con un endpoint privato, vedere Configurare un gruppo di sicurezza delle applicazioni con un endpoint privato.

Collegamento privato e DNS

Quando si usa un endpoint privato, è necessario connettersi allo stesso servizio di Azure, ma usando l'indirizzo IP dell'endpoint privato. La connessione all'endpoint privato richiede impostazioni DNS (Domain Name System) separate per risolvere l'indirizzo IP privato nel nome della risorsa.

Le zone DNS privato forniscono la risoluzione dei nomi di dominio all'interno di una rete virtuale senza una soluzione DNS personalizzata. È possibile collegare le zone DNS privato a ogni rete virtuale per fornire servizi DNS a tale rete.

Le zone DNS privato forniscono nomi di zona DNS separati per ogni servizio di Azure. Ad esempio, se è stata configurata una zona DNS privato per il servizio BLOB dell'account di archiviazione nell'immagine precedente, il nome della zona DNS è privatelink.blob.core.windows.net. Per altre informazioni sui nomi delle zone DNS private per tutti i servizi di Azure, vedere la documentazione Microsoft.

DNS ibrido per le risorse di Azure e locali

Il DNS è un elemento fondamentale nella progettazione dell'architettura complessiva della landing zone. Alcune organizzazioni potrebbero voler usare gli investimenti esistenti in DNS. Altri utenti potrebbero voler adottare funzionalità native di Azure per tutte le esigenze DNS.

È possibile usare Resolver privato DNS di Azure insieme alle zone DNS privato di Azure per la risoluzione dei nomi cross-premise. Il resolver privato DNS può inoltrare una richiesta DNS a un altro server DNS e fornisce anche un indirizzo IP che un server DNS esterno può usare per inoltrare le richieste. I server DNS locali esterni possono quindi risolvere i nomi che si trovano in una zona DNS privato.

Per altre informazioni sull'uso del resolver privato DNS con un server d'inoltro DNS locale per inoltrare il traffico DNS a DNS di Azure, vedere:

• Integrazione DNS dell'endpoint privato di Azure
• Creare un'infrastruttura DNS dell'endpoint privato con il Resolver privato di Azure per un carico di lavoro locale

Le soluzioni descritte estendono una rete locale che dispone già di una soluzione DNS per risolvere le risorse nell'architettura Azure.Microsoft.

Integrazione di collegamento privato e DNS nelle architetture di rete hub-spoke

In genere si ospitano zone DNS private centralmente nella stessa sottoscrizione Azure in cui si distribuisce la rete virtuale hub. Questa pratica di hosting centralizzato è guidata dalla risoluzione dei nomi DNS cross-premise e da altre esigenze di risoluzione DNS centralizzata, come Microsoft Entra. Nella maggior parte dei casi, solo gli amministratori di rete e di identità dispongono delle autorizzazioni per gestire i record DNS nelle zone.

In tale architettura vengono configurati i componenti seguenti:

• I server DNS locali dispongono di server d'inoltro condizionali configurati per ogni zona DNS pubblica dell'endpoint privato, che puntano al risolutore Domain Name Server privato ospitato nella rete virtuale dell'hub.
• Il risolutore Domain Name Server privato ospitato nella rete virtuale dell'hub utilizza il DNS fornito da Azure (168.63.129.16) come inoltro.
• È possibile collegare la rete virtuale hub ai nomi di zona DNS privato per i servizi Azure , ad esempio privatelink.postgres.database.azure.com, per un server flessibile Database di Azure per PostgreSQL.
• Tutte le reti virtuali Azure usano il resolver DNS privato ospitato nella rete virtuale hub.
• Il sistema di risoluzione DNS privato non è autorevole per i domini aziendali di un cliente perché è solo un server d'inoltro (ad esempio, Microsoft Entra nomi di dominio). Deve disporre di server di inoltro degli endpoint in uscita per i domini aziendali del cliente, che puntino ai server DNS locali o ai server DNS distribuiti su Azure che siano autorevoli per tali zone.

Collegamento privato e gruppi di sicurezza di rete

Per impostazione predefinita, i criteri di rete sono disabilitati per una subnet in una rete virtuale. Per usare il supporto per i criteri di rete come UDR e NSG, è necessario abilitare il supporto per i criteri di rete per la subnet. Questa impostazione si applica solo agli endpoint privati all'interno della subnet. Questa impostazione interessa tutti gli endpoint privati ​​all'interno della subnet. Per le altre risorse nella subnet, l'accesso è controllato in base alle regole di sicurezza nel gruppo di sicurezza di rete.

È possibile abilitare i criteri di rete solo per i gruppi di sicurezza di rete, solo per gli route definite dall'utente o per entrambi. Per altre informazioni, vedere Gestire i criteri di rete per gli endpoint privati.

Le limitazioni dei gruppi di sicurezza di rete e agli endpoint privati sono elencate in Che cos'è un endpoint privato?.

Collegamento privato combinato con le regole del firewall

Quando si usa il collegamento privato in combinazione con le regole del firewall, sono possibili le situazioni e i risultati seguenti:

• Se non si configurano regole del firewall, per impostazione predefinita, il traffico non può accedere al server flessibile Database di Azure per PostgreSQL.

• Se si configura il traffico pubblico o un endpoint di servizio e si creano endpoint privati, i diversi tipi di traffico in ingresso vengono autorizzati dal tipo corrispondente di regola del firewall.

• Se non si configura alcun traffico pubblico o endpoint di servizio e si creano endpoint privati, il server flessibile Database di Azure per PostgreSQL è accessibile solo tramite endpoint privati. Se non si configura il traffico pubblico o un endpoint di servizio, dopo che tutti gli endpoint privati approvati vengono rifiutati o eliminati, nessun traffico può accedere al server flessibile Database di Azure per PostgreSQL.

Troubleshoot

Quando si usano endpoint collegamento privato con un server flessibile Database di Azure per PostgreSQL, potrebbero verificarsi problemi di connettività a causa di configurazioni errate o vincoli di rete. Per risolvere questi problemi, verificare la configurazione di endpoint privati, configurazioni DNS, gruppi di sicurezza di rete (NSG) e tabelle di route. La risoluzione sistematica di queste aree consente di identificare e risolvere i problemi comuni, garantendo connettività senza problemi e accesso sicuro al database.

Problemi di connettività con la rete privata basata su endpoint

Se si verificano problemi di connettività quando si usa la rete basata su endpoint privato, verificare le aree seguenti:

• Verificare le assegnazioni di indirizzi IP: Assicurarsi che all'endpoint privato sia assegnato l'indirizzo IP corretto e che non sia in conflitto con altre risorse. Per altre informazioni su endpoint privati e IP, vedere Gestire Azure endpoint privati.
• Controllare i gruppi di sicurezza di rete: Esaminare le regole del gruppo di sicurezza di rete per la subnet dell'endpoint privato per assicurarsi che il traffico necessario sia consentito e che non siano presenti regole in conflitto. Per altre informazioni sui gruppi di sicurezza di rete, vedere Gruppi di sicurezza di rete.
• Convalidare la configurazione della tabella di route: assicurarsi che le tabelle di route associate alla subnet dell'endpoint privato e alle risorse connesse siano configurate correttamente con le route appropriate.
• Usare il monitoraggio e la diagnostica di rete: usare Azure Network Watcher per monitorare e diagnosticare il traffico di rete con strumenti come Monitoraggio connessione o Acquisizione pacchetti. Per altre informazioni sulla diagnostica di rete, vedere Che cos'è Azure Network Watcher?.

Per altre informazioni sulla risoluzione dei problemi relativi agli endpoint privati, vedere Risolvere i problemi di connettività degli endpoint privati Azure.

Risoluzione DNS con rete basata su endpoint privati

Se si verificano problemi di risoluzione DNS quando si usa la rete basata su endpoint privato, verificare le aree seguenti:

• Convalidare la risoluzione DNS: verificare se il server DNS o il servizio usato dall'endpoint privato e le risorse connesse funzionano correttamente. Assicurarsi che le impostazioni DNS dell'endpoint privato siano accurate. Per altre informazioni sugli endpoint privati e sulle impostazioni della zona DNS, consulta Valori della zona DNS privata per endpoint privato di Azure.
• Cancellare la cache DNS: cancellare la cache DNS nell'endpoint privato o nel computer client per assicurarsi che vengano recuperate le informazioni DNS più recenti e per evitare errori incoerenti.
• Analizzare i log DNS: esaminare i log DNS per individuare messaggi di errore o modelli insoliti, ad esempio errori di query DNS, errori del server o timeout. Per altre informazioni sulle metriche DNS, vedere DNS di Azure metriche e avvisi.

Limitazioni e considerazioni

• È possibile configurare endpoint privati solo per i server creati dopo l'introduzione di collegamento privato. I server che usano l'integrazione di rete virtuale non sono idonei per la configurazione dell'endpoint privato.

• Azure vincoli di rete, non il servizio di database stesso, limitano il numero di endpoint privati. In particolare, limitano il numero di endpoint privati che è possibile inserire in una determinata subnet all'interno di una rete virtuale.

• Le macchine virtuali possono connettersi al database tramite endpoint privati, purché siano configurate correttamente all'interno della stessa rete virtuale o abbiano il routing appropriato.

Contenuti correlati

• Portale di Azure
• CLI di Azure