IoT Hub是否应部署在专用VNet？如何实现及解决设备接入问题？

1. IoT Hub是否需要部署在专用VNet中？ #

不是强制要求，但如果你的场景涉及敏感设备数据、有严格合规要求，或者希望彻底避免IoT Hub暴露在公网中，强烈推荐部署到专用VNet。
如果只是普通的设备数据传输，用默认公共终结点配合IP访问限制，也能满足基础安全需求。

2. 如何将IoT Hub集成到现有基础设施？ #

按以下步骤操作：

• 启用专用终结点：在IoT Hub的「网络设置」里，添加专用终结点，选择你现有VNet的目标子网（注意子网不能包含其他服务的专用终结点，需单独预留或使用符合要求的子网）
• 限制公网访问：将IoT Hub的默认网络访问规则设为「拒绝公共网络访问」，仅允许专用VNet和指定的信任服务（比如Stream Analytics）访问
• 关联资源适配：
  • Stream Analytics：可以加入同一个VNet，或者配置专用终结点连接到IoT Hub
  • SQL数据库：若在VNet内可直接访问，否则也配置专用终结点接入VNet
  • App Service：通过「VNet集成」功能连接到IoT Hub所在的VNet，确保能读取SQL数据库的数据

3. 公网/外部的Raspberry Pi如何连接VNet内的IoT Hub？ #

如果Pi在你的专用VNet覆盖范围内（比如通过企业VPN/专线接入内网，内网已和Azure VNet打通），直接用IoT Hub的专用终结点域名发送数据即可，确保Pi能解析到专用终结点的私有IP。
如果Pi在公网环境，有两种安全的解决方案：

• 用IoT Edge网关做代理：在VNet内部署一台IoT Edge设备作为网关，公网的Raspberry Pi先连接到这个网关，再由网关转发数据到VNet内的IoT Hub
• 给Pi配置VPN客户端：让Raspberry Pi通过VPN接入你的Azure VNet，接入后即可直接访问IoT Hub的专用终结点

注意：不要为了方便重新开放IoT Hub的公共终结点，这会完全抵消专用VNet的安全价值

内容的提问来源于stack exchange，提问作者melain