2025-11-03

Запуск Azure Application Gateway без публичного IP-адреса

Годами «приватный» Azure Application Gateway всё равно требовал публичный IP-адрес и исходящий доступ в Интернет только для связи с управляющей плоскостью Microsoft. Управляющий (control plane) и пользовательский (data plane) трафик использовали одну и ту же «дверь» — архитектурное противоречие, которое вынуждало создавать громоздкие исключения в брандмауэрах, зависеть от DNS-служб Azure и вызывало неудовлетворённость аудиторов. Новая модель сетевой изоляции (Network Isolation) наконец решает эту проблему: управляющий трафик теперь полностью проходит по частной магистрали Azure и полностью отделён от пути данных вашего приложения. Достаточно включить флаг на уровне подписки и развернуть новые шлюзы — после этого можно убрать публичный IP, заблокировать весь исходящий трафик в Интернет, использовать собственный DNS и при этом сохранить работу WAF, проб состояния, масштабирования и автоматизации сертификатов. Ограничения: изоляция применяется только к новым шлюзам (переключить существующие нельзя), и сопряжение с Private Link на изолированных конфигурациях пока не поддерживается. Этот переход — не просто настройка, а смена подхода: нулевое доверие обеспечивается архитектурой, а не исключениями.

Apple Podcasts · Spotify · YouTube · YouTube Music

Run Azure Application Gateway Without Public IP Exposure (English)