网络 · AZ-700 · 2026-10-10

Private Link 与 DNS：私有访问不只是一个端点

理解私有终结点、专用 DNS 区域、解析路径和 PaaS 数据面保护。

概念笔记

Private Link 让客户端通过虚拟网络（Virtual Network，VNet）内的私有 IP 访问支持的平台即服务（Platform as a Service，PaaS），减少公网数据面暴露。但很多故障来自域名系统（Domain Name System，DNS）：同一个服务完全限定域名（Fully Qualified Domain Name，FQDN）必须解析到私有终结点地址，否则流量仍可能走公网路径或直接失败。设计时要同时关注私有终结点、网络策略、专用 DNS 区域、区域链接、本地解析转发和防火墙规则。私有终结点加 DNS 不等于授权、服务防火墙，也不一定自动关闭公网访问；还需要身份、基于角色的访问控制（Role-Based Access Control，RBAC）、服务防火墙和日志共同生效。

取舍与安全实验

纸面/本地安全实验：画出应用访问存储账户的两条解析路径：未配置 Private Link 时解析到公共地址，配置后解析到私有地址。写下验证命令的期望输出，但不要执行真实资源。再列出风险：多个 VNet 是否都链接 DNS 区域，本地网络是否能解析，删除端点后是否留下错误记录。这个练习能避免把连通性问题误判为应用代码问题。

完成检查

• 能解释私有终结点与服务防火墙的配合。
• 能说明 DNS 是 Private Link 成败关键。
• 能设计跨 VNet 或本地访问的解析路径。