Azure Private Endpoint是什么？

Azure Private Endpoint是Azure PaaS服务的一个新功能，允许我们在虚拟网络中创建专用的终结点。这个专用终结点为PaaS服务提供了一个专用内部IP，这样一来，我们的虚拟网络到PaaS资源的所有流量都通过Azure的主干网络进行传递而非internet。为PaaS资源启用专用链接可带来以下好处：

• 可以使用私有IP访问PaaS资源
• 到PaaS资源的流量通过Azure的主干网络而非internet
• 支持对等虚拟网络和通过Express Route或***连接的本地资源的访问
• 用户访问仅限于特定资源（数据库/存储账户等），而不是整个服务。
• 可以将私有端点创建到虚拟网络的不同区域的资源，甚至不同的租户

使用Azure Private Endpoint我们可以访问Azure PaaS服务，例如：
Azure Storage
Azure SQL Database
Azure Cosmos DB
Azure Key Vault

Azure Private Endpoint的工作方式如下：
Azure私有链接将创建一个带有私有IP地址的端点，因此可以确保流量在我们的虚拟网络中流动，并且不需要NSG规则来允许您的虚拟网络之外的出站流量。

Private Endpoint和Service Endpoint之间的区别：

相信很多朋友看到这里，都会想到一个问题，Private Endpoint和Service Endpoint有什么不同？
服务终结点提供了一种方法来锁定从虚拟网络到PaaS资源的访问，但是我们仍然需要一个公共端点。使用服务端点，我们只能锁定对服务的访问而非特定资源的访问。使用专用终结点，仅允许访问特定资源。
由于专用链接使用专用IP创建端点，因此我们的流量仅在虚拟网络内部流动，并且不需要NSG规则，从而允许出站流量超出虚拟网络，这与服务端点不同。

说了这么多，接下来我们一起看下如何创建Private Endopint

要创建Private Endpoint ，首先我们需要创建一个存储账户：

设置资源组，存储账户名称和位置，点击下一步：

在网络位置，选择Private Endpoint接下来系统会出现新建Private Endpoint的选项卡，在这里我们设置名称，名称、网络以及是否要集成DNS区域等：

创建完成后，如下图所示：

确认无误后我们可以点击创建：

在刚刚的演示中我们是通过创建存储账户资源的过程中创建的Private Endpoint。除此之外我们也可以通过在Portal中的私有链接中心为其他PaaS服务创建私有链接：

接下来我们可以验证一下刚刚的配置。
我们在位于同一网络的VM内部运行nslookup，可以看到解析到的是一个私网地址：

我们复制存储账户的链接字符串，通过存储账户资源管理器进行链接，可以看到连接成功：

然后我们就可以看到存储账户中的相关内容：

关于Private Endpoint相关的介绍呢，我们今天就先聊到这里。其实借助于Private Endpoint，我们可以轻松减少PaaS服务在Internet上的暴露，并确保网络与Azure之间的通信安全。