Azure VNet中部署Azure SQL Database：子网委派与服务端点配置疑问

一、子网委派 vs 服务端点：核心差异 #

子网委派 #

• 核心是给Azure服务开放子网管理权限：把子网委派给指定服务后，该服务能自动配置自身运行所需的网络规则（比如NSG、路由表），不用手动折腾。
• 举个例子：把子网委派给Azure Function，Function会自行搞定运行必需的网络配置，不会因为漏加规则导致服务异常。
• 不启用的话：所有网络规则都得手动配置，容易出错、效率低，还可能因配置疏漏导致服务无法正常运行。

服务端点 #

• 核心是通过Azure骨干网访问服务：VNet内的资源访问Azure SQL时，不走公网直接走微软内部网络，同时可将SQL的访问权限限定在该VNet范围内。
• 关于家用机器访问的疑问：完全没问题，只要在SQL的防火墙规则中添加你家的公网IP即可。服务端点只是新增了VNet的安全访问通道，不会覆盖或删除已有的公网访问规则。

二、你的场景是否需要同时启用？ #

不需要，根据部署方式按需选择：

• 如果你的App Service/Function部署在已委派给它们的子网中（比如启用VNet集成并指定委派子网）：子网委派是必须的，否则服务无法正常配置网络；服务端点可选，启用后访问SQL的流量安全性更高。
• 如果你的App Service/Function仅通过VNet集成连接到普通子网：只需给SQL配置服务端点、允许该子网访问即可，子网委派没必要。

三、关于Azure Private Link的误区 #

Private Link不止适用于Azure到本地的场景：

• 它可以给Azure SQL分配一个所属VNet内的私有IP，App Service和Function直接通过这个私有IP访问SQL，完全不走公网，隔离性比服务端点更强。
• 你的纯Azure场景也能使用Private Link，这是微软推荐的安全私有访问方案，安全性拉满。

内容的提问来源于stack exchange，提问作者lcj