Konfigurieren von Azure Application Gateway Private Link

Deaktivieren von Netzwerkrichtlinien im Subnetz für private Verknüpfungen

Um die Verbindung mit privaten Links zuzulassen, müssen Sie die Netzwerkrichtlinien für den privaten Linkdienst im Subnetz deaktivieren, das für PRIVATE Link-IP-Konfigurationen festgelegt ist.

Führen Sie die folgenden Schritte aus, um Netzwerkrichtlinien zu deaktivieren:

1. Navigieren Sie zum Azure-Portal.
2. Suchen Sie nach Virtuelle Netzwerke, und wählen Sie diese Option aus.
3. Wählen Sie das virtuelle Netzwerk aus, das das Subnetz für private Verknüpfungen enthält.
4. Wählen Sie im linken Navigationsbereich Subnetze aus.
5. Wählen Sie das subnetz aus, das für private Verknüpfungen bestimmt ist.
6. Wählen Sie unter Den Netzwerkrichtlinien für den privaten Linkdienstdie Option "Deaktiviert" aus.
7. Klicken Sie auf Speichern, um die Änderungen zu übernehmen.
   1. Warten Sie ein paar Minuten, bis die Änderungen wirksam werden.
8. Vergewissern Sie sich, dass die Einstellung für Netzwerkrichtlinien für den privaten Linkdienst jetzt deaktiviert ist.

Konfigurieren von Private Link

Die Konfiguration für private Verknüpfung definiert die Infrastruktur, die Verbindungen von privaten Endpunkten zu Ihrem Anwendungsgateway ermöglicht. Stellen Sie vor dem Erstellen der Konfiguration für private Links sicher, dass ein Listener aktiv für die Verwendung der Ziel-Frontend-IP-Konfiguration konfiguriert ist.

Führen Sie die folgenden Schritte aus, um die Konfiguration für private Verknüpfungen zu erstellen:

1. Suchen und wählen Sie Anwendungsgateways aus.
2. Wählen Sie Ihre Application Gateway-Instanz aus.
3. Wählen Sie im linken Navigationsbereich den Link "Privat" und dann "+Hinzufügen" aus.
4. Konfigurieren Sie die folgenden Einstellungen:
   • Name: Geben Sie einen Namen für die Konfiguration für private Verknüpfungen ein.
   • Subnetz für private Links: Wählen Sie das dedizierte Subnetz für IP-Adressen für private Links aus.
   • Front-End-IP-Konfiguration: Wählen Sie die Frontend-IP-Konfiguration aus, an die private Verknüpfung Datenverkehr weiterleiten soll
   • Einstellungen für private IP-Adressen: Konfigurieren von mindestens einer IP-Adresse
5. Wählen Sie "Hinzufügen" aus, um die Konfiguration zu erstellen.
6. Kopieren Und speichern Sie die Ressourcen-ID aus den Anwendungsgatewayeinstellungen. Dieser Bezeichner ist erforderlich, wenn private Endpunkte aus verschiedenen Microsoft Entra-Mandanten eingerichtet werden.

Konfigurieren eines privaten Endpunkts

Ein privater Endpunkt ist eine Netzwerkschnittstelle, die eine private IP-Adresse aus Ihrem virtuellen Netzwerk verwendet, um eine sichere Verbindung mit dem Azure-Anwendungsgateway herzustellen. Clients verwenden die private IP-Adresse des privaten Endpunkts, um Verbindungen mit dem Anwendungsgateway über einen sicheren Tunnel herzustellen.

Führen Sie die folgenden Schritte aus, um einen privaten Endpunkt zu erstellen:

1. Wählen Sie im Portal "Anwendungsgateway" die Registerkarte "Private Endpunktverbindungen " aus.
2. Wählen Sie + Privater Endpunkt aus.
3. Auf der Registerkarte "Grundlagen":
   • Konfigurieren der Ressourcengruppe, des Namens und der Region für den privaten Endpunkt
   • Weiter auswählen: Ressource >
4. Auf der Registerkarte "Ressource":
   • Überprüfen der Zielressourceneinstellungen
   • Wählen Sie Weiter: Virtuelles Netzwerk > aus.
5. Auf der Registerkarte "Virtuelles Netzwerk ":
   • Wählen Sie das virtuelle Netzwerk und das Subnetz aus, in dem die Private Endpoint-Netzwerkschnittstelle erstellt wird.
   • Wählen Sie "Weiter" aus: DNS >
6. Auf der Registerkarte DNS :
   • Konfigurieren von DNS-Einstellungen nach Bedarf
   • Weiter auswählen: Tags >
7. Auf der Registerkarte "Tags":
   • Optional die Ressourcentags hinzufügen
   • Wählen Sie Weiter aus: Überprüfen + Erstellen >
8. Überprüfen Sie die Konfiguration, und wählen Sie dann Erstellen aus.

Konfigurieren eines privaten Links mithilfe von PowerShell

Verwenden Sie die folgenden PowerShell-Befehle, um private Verknüpfungen auf einem vorhandenen Anwendungsgateway zu konfigurieren:

# Disable Private Link Service Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-PSH'
    ResourceGroupName = 'AppGW-PL-PSH-RG'
}
$vnet = Get-AzVirtualNetwork @net

($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}).PrivateLinkServiceNetworkPolicies = "Disabled"

# Apply the network policy changes
$vnet | Set-AzVirtualNetwork

# Get Application Gateway Frontend IP Name 
$agw = Get-AzApplicationGateway -Name AppGW-PL-PSH -ResourceGroupName AppGW-PL-PSH-RG
# List the available Frontend IP configuration Names
$agw.FrontendIPConfigurations | Select Name

# Create Private Link IP configuration
$PrivateLinkIpConfiguration = New-AzApplicationGatewayPrivateLinkIpConfiguration `
                            -Name "ipConfig01" `
                            -Subnet ($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}) `
                            -Primary

# Add Private Link configuration to Application Gateway
Add-AzApplicationGatewayPrivateLinkConfiguration `
    -ApplicationGateway $agw `
    -Name "privateLinkConfig01" `
    -IpConfiguration $PrivateLinkIpConfiguration

# Associate Private Link configuration with Frontend IP
$agwPip = ($agw | Select -ExpandProperty FrontendIpConfigurations| Where-Object {$_.Name -eq 'appGwPublicFrontendIp'}).PublicIPAddress.Id
$privateLinkConfiguration = ($agw | Select -ExpandProperty PrivateLinkConfigurations | Where-Object {$_.Name -eq 'privateLinkConfig01'}).Id
Set-AzApplicationGatewayFrontendIPConfig -ApplicationGateway $agw -Name "appGwPublicFrontendIp" -PublicIPAddressId $agwPip -PrivateLinkConfigurationId $privateLinkConfiguration

# Apply changes to Application Gateway
Set-AzApplicationGateway -ApplicationGateway $agw

# Configure Private Endpoint network (in the client/consumer virtual network)
# Disable Private Endpoint Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-Endpoint-PSH-VNET'
    ResourceGroupName = 'AppGW-PL-Endpoint-PSH-RG'
}
$vnet_plendpoint = Get-AzVirtualNetwork @net

($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}).PrivateEndpointNetworkPolicies = "Disabled"

$vnet_plendpoint | Set-AzVirtualNetwork

# Create Private Link Endpoint - Group ID is the same as the frontend IP configuration
$privateEndpointConnection = New-AzPrivateLinkServiceConnection -Name "AppGW-PL-Connection" -PrivateLinkServiceId $agw.Id -GroupID "appGwPublicFrontendIp"

## Create the Private Endpoint
New-AzPrivateEndpoint -Name "AppGWPrivateEndpoint" -ResourceGroupName $vnet_plendpoint.ResourceGroupName -Location $vnet_plendpoint.Location -Subnet ($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}) -PrivateLinkServiceConnection $privateEndpointConnection

PowerShell-Cmdlet-Referenz

Die folgenden Azure PowerShell-Cmdlets stehen für die Verwaltung von Konfigurationen für private Verknüpfungen des Anwendungsgateways zur Verfügung:

• Get-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkIpConfiguration
• Add-AzApplicationGatewayPrivateLinkConfiguration
• Remove-AzApplicationGatewayPrivateLinkConfiguration
• Set-AzApplicationGatewayPrivateLinkConfiguration

Konfigurieren eines privaten Links mit Azure CLI

Verwenden Sie die folgenden Azure CLI-Befehle, um private Verknüpfungen auf einem vorhandenen Anwendungsgateway zu konfigurieren:

# Disable Private Link Service Network Policies on the Private Link subnet
# Reference: https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
az network vnet subnet update \
    --name AppGW-PL-Subnet \
    --vnet-name AppGW-PL-CLI-VNET \
    --resource-group AppGW-PL-CLI-RG \
    --disable-private-link-service-network-policies true

# List available Frontend IP configurations
az network application-gateway frontend-ip list \
    --gateway-name AppGW-PL-CLI \
    --resource-group AppGW-PL-CLI-RG

# Create Private Link configuration and associate with Frontend IP
az network application-gateway private-link add \
    --frontend-ip appGwPublicFrontendIp \
    --name privateLinkConfig01 \
    --subnet /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/virtualNetworks/AppGW-PL-CLI-VNET/subnets/AppGW-PL-Subnet \
    --gateway-name AppGW-PL-CLI \
    --resource-group AppGW-PL-CLI-RG

# Verify Private Link configuration
az network application-gateway private-link list \
    --gateway-name AppGW-PL-CLI \
    --resource-group AppGW-PL-CLI-RG

# Configure Private Endpoint network (in the client/consumer virtual network)
# Disable Private Endpoint Network Policies
az network vnet subnet update \
    --name MySubnet \
    --vnet-name AppGW-PL-Endpoint-CLI-VNET \
    --resource-group AppGW-PL-Endpoint-CLI-RG \
    --disable-private-endpoint-network-policies true

# Create Private Endpoint
# Note: Group ID must match the Frontend IP configuration name
az network private-endpoint create \
    --name AppGWPrivateEndpoint \
    --resource-group AppGW-PL-Endpoint-CLI-RG \
    --vnet-name AppGW-PL-Endpoint-CLI-VNET \
    --subnet MySubnet \
    --group-id appGwPublicFrontendIp \
    --private-connection-resource-id /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/applicationGateways/AppGW-PL-CLI \
    --connection-name AppGW-PL-Connection

Azure CLI-Referenz

Umfassende Azure CLI-Befehlsreferenz für die Konfiguration des privaten Anwendungsgateways finden Sie unter Azure CLI – Private Verknüpfung für Anwendungsgateway.