同一区域内DevOps流水线与云VM自托管代理是否通过微软私有骨干网通信？

问题 #

请问当DevOps组织/流水线与部署在云虚拟机（VM）上的自托管代理处于同一区域时，二者之间的连接是否通过微软私有骨干网络建立？

参考信息（来自微软官方文档截图） #

• 自托管代理通信URL列表截图：

  展示了代理需要对接的Azure DevOps组织域名、核心服务端点等必要通信地址。

• 出站连接IP范围截图：

  列出了Azure DevOps服务的出站IP地址段，用于配置防火墙放行规则。

• 代理与Azure Pipelines通信机制截图：

  明确代理采用主动发起HTTPS长连接的方式与Azure Pipelines服务通信，连接由代理端向外建立。

答案 #

当Azure DevOps组织/流水线和部署在Azure云VM上的自托管代理处于同一区域时，二者之间的连接默认通过微软私有骨干网络建立，不会走公网传输。

原因在于：

• 同一区域内的Azure资源与Azure DevOps服务通信时，流量会自动路由到微软私有骨干网络，这是Azure内部资源交互的默认机制，能降低延迟并提升安全性。
• 自托管代理仅需与Azure DevOps官方服务的IP/域名通信，这些流量在Azure内部网络中会被引导至私有骨干，无需经过公网链路。

内容的提问来源于stack exchange，提问作者Soon Kien Yuan sd200 40