未配置Private Endpoint的Azure资源间流量路径及私有端点优势咨询

针对第一个疑问的解答 #

那篇2017年文章的核心结论没有过时。这里首先要澄清一个绝大多数Azure用户都有的认知误区：流量使用公网IP地址≠流量经过公共互联网传输。

Azure的全球骨干网设计逻辑一直没有变：所有目标地址属于微软官方公布的Azure服务公网IP段的流量，只要是在Azure基础设施内部发起，默认都会直接通过微软私有骨干网路由，不会经过第三方ISP的公共网络节点，哪怕你用的是PaaS服务的公网访问端点也是如此。

仅存在少数例外场景会让流量走公网：

• 资源分别部署在完全隔离的Azure云环境（比如Azure中国区和Azure全球区）
• 你手动配置了自定义路由，将访问PaaS服务的流量强制导流到公网出口
• 访问的PaaS服务没有接入微软骨干网路由体系（这类服务几乎不存在）

针对第二个疑问的解答 #

即使默认流量已经走微软骨干网，Private Endpoint仍然有不可替代的核心价值，除了分配私有IP之外的核心优势如下：

• 收敛攻击面：未配置PE的PaaS服务默认会暴露公网访问入口，你需要依赖IP白名单、VNet防火墙规则做访问限制，很容易因为配置疏漏被公网扫描、暴力破解。PE可以让PaaS服务完全关闭公网入口，仅允许来自你自有VNet内部的访问，直接把外部攻击面降到最低。
• 防止数据渗出：PE支持搭配服务端点策略，你可以强制限制VNet内的资源只能访问你指定的PaaS实例，就算内部资源被入侵，攻击者也无法把数据传输到你租户外的其他PaaS账号，比公网白名单的防护粒度细得多。
• 满足合规要求：等保2.0、PCI DSS、HIPAA等多数行业合规规范都明确要求，核心业务数据的访问路径不能涉及公网可暴露的服务端点。PE可以将PaaS服务完全纳入你的私有IP地址空间，全程走私有网络传输，完全符合这类合规审计要求，这是公网传输+骨干网的模式无法实现的。
• 降低运维成本：无需维护大量PaaS服务公网IP段的白名单、路由规则，尤其是跨区域访问场景下，PE流量直接走VNet对等链路，不用单独配置公网访问策略，也不需要处理大量公网访问带来的SNAT端口耗尽问题。
• 网络路径可控：你可以完全掌控PE流量的路由路径，搭配NSG、UDR等工具实现细粒度的流量审计、管控，公网访问模式下你无法干预骨干网的路由决策。

内容的提问来源于stack exchange，提问作者Ashish Gupta