Azure Storage나 Azure SQL Database 같은 PaaS 서비스는 만들자마자 인터넷에서 접근할 수 있는 주소를 갖습니다. 편리하지만, 회사 데이터를 담은 서비스가 인터넷 공개 주소로만 열려 있다는 사실이 불안한 조직도 많습니다. 이때 등장하는 개념이 퍼블릭 엔드포인트와 프라이빗 엔드포인트이고, AZ-900 공식 출제 범위에는 "퍼블릭 엔드포인트와 프라이빗 엔드포인트를 정의한다"는 독립 항목으로 들어 있습니다.
이 글은 AZ-900 딥다이브 시리즈의 네트워킹 보강편입니다. 가상 네트워크, VPN Gateway, ExpressRoute 같은 기본 개념은 컴퓨팅과 네트워킹에서 먼저 익히고, 여기서는 두 엔드포인트의 차이와 시험에서 자주 섞이는 서비스 엔드포인트까지 정리합니다.
---
엔드포인트란 무엇인가?
엔드포인트는 서비스에 접속하는 입구, 즉 주소입니다. 회사 건물에 비유하면 퍼블릭 엔드포인트는 누구나 찾아올 수 있는 정문이고, 프라이빗 엔드포인트는 사내 직원만 쓰는 전용 출입구입니다. 같은 사무실로 이어지지만 누가 그 입구를 쓸 수 있는지가 다릅니다.
Microsoft Learn의 정의는 짧습니다. 퍼블릭 엔드포인트는 공용 IP 주소를 갖고 전 세계 어디서나 접근할 수 있고, 프라이빗 엔드포인트는 가상 네트워크 안에 있으며 그 가상 네트워크 주소 공간의 사설 IP 주소를 갖습니다.
| 구분 | 퍼블릭 엔드포인트 | 프라이빗 엔드포인트 | |------|------|------| | 주소 | 공용 IP 주소 | 내 VNet 주소 공간의 사설 IP 주소 | | 어디서 접근하나 | 전 세계 어디서나 (방화벽 규칙으로 좁힐 수 있음) | VNet 안, 그리고 그 VNet에 연결된 네트워크 | | 위치 | 서비스 쪽에 있음 | 내 VNet의 서브넷 안에 만들어짐 | | 대표 예 | 스토리지 계정의 기본 주소 (mystorage.blob.core.windows.net) | VNet 안에 생긴 10.0.1.5 주소의 네트워크 인터페이스 |
시험 팁: "공용 IP 주소를 가지며 어디서나 접근 가능" → 퍼블릭 엔드포인트, "가상 네트워크 주소 공간의 사설 IP 주소" → 프라이빗 엔드포인트입니다. 정의 문장을 그대로 바꿔 묻는 문제가 많으니 두 문장을 정확히 기억하세요.
---
퍼블릭 엔드포인트는 위험한가요?
퍼블릭 엔드포인트가 있다고 해서 누구나 데이터를 읽을 수 있는 것은 아닙니다. 주소가 공개되어 있다는 것과 접근이 허용된다는 것은 다른 이야기입니다. 공용 주소로 들어오는 요청도 다음 장치를 거칩니다.
인증과 권한: 대부분의 요청은 Microsoft Entra ID나 액세스 키 같은 자격 증명으로 인증해야 하고, 무엇을 할 수 있는지는 RBAC 같은 권한 설정이 정함 네트워크 규칙: 서비스 방화벽에서 허용할 IP 범위나 가상 네트워크를 지정하고 나머지는 거부 전송 중 암호화: HTTPS(TLS)로 통신해 중간에서 내용을 엿볼 수 없음
그래도 주소 자체가 인터넷에 드러나 있으면 공격 시도의 대상이 되고, 규정상 데이터가 오가는 경로가 인터넷에 열려 있으면 안 되는 조직도 있습니다. 이럴 때 프라이빗 엔드포인트로 사설 경로를 만들고 공용 접근을 닫습니다.
시험 팁: "퍼블릭 엔드포인트는 인증 없이 누구나 접근할 수 있다"는 보기는 틀린 설명입니다. 퍼블릭과 프라이빗을 가르는 기준은 인증 여부가 아니라 주소(공용 IP와 사설 IP)와 접근 경로입니다.
---
프라이빗 엔드포인트는 어떻게 동작하나요?
프라이빗 엔드포인트는 내 VNet의 사설 IP 주소를 쓰는 네트워크 인터페이스(NIC)입니다. 이 인터페이스가 Azure Private Link로 동작하는 서비스에 비공개로 연결되기 때문에, Microsoft 문서의 표현대로 "서비스를 내 가상 네트워크 안으로 가져오는" 효과가 납니다. VM 입장에서는 스토리지 계정이 같은 네트워크 안의 서버처럼 보입니다.
서브넷에서 사설 IP 주소를 받고, 그 주소는 프라이빗 엔드포인트가 있는 동안 바뀌지 않음 같은 VNet뿐 아니라 피어링된 VNet, VPN Gateway나 ExpressRoute로 연결된 온프레미스에서도 접근 가능 서비스 전체가 아니라 특정 리소스 하나(예: 스토리지 계정 하나)에 연결 같은 이름(FQDN)이 사설 IP를 가리키도록 DNS 설정이 필요하며, 보통 프라이빗 DNS 영역을 사용
!프라이빗 엔드포인트로 PaaS 서비스에 사설 경로로 접속하는 구조
프라이빗 엔드포인트만으로 공용 접근이 막히지는 않는다
자주 오해하는 부분입니다. 프라이빗 엔드포인트는 서비스에 사설 주소의 입구를 하나 더 만들 뿐, 원래 있던 정문(퍼블릭 엔드포인트)을 자동으로 닫지 않습니다. 인터넷 접근까지 막으려면 서비스에서 공용 네트워크 액세스를 끄거나 방화벽 규칙으로 따로 제한해야 합니다.
시험 팁: "스토리지 계정을 VNet 안의 사설 IP로만 접근하게 하라"는 문제라면 정답은 프라이빗 엔드포인트이고, 실무에서는 공용 네트워크 액세스 비활성화까지 함께 설정한다는 점을 기억하세요.
---
서비스 엔드포인트와 헷갈리지 않기
이름이 비슷한 서비스 엔드포인트(Service endpoint)도 있습니다. AZ-900 출제 문구에는 직접 나오지 않지만, Microsoft Learn의 가상 네트워크 단원에서 "Azure 리소스끼리 안전하게 통신하는 방법"으로 소개되어 오답 보기로 등장할 수 있습니다.
서비스 엔드포인트는 서브넷에 설정하는 기능입니다. 그 서브넷에서 나가는 트래픽에 VNet의 신원을 실어 Azure 백본 네트워크로 서비스까지 보내고, 서비스 쪽 방화벽에서 "이 서브넷만 허용"하는 규칙을 걸 수 있게 해 줍니다. 서비스는 여전히 공용 주소를 쓴다는 점이 프라이빗 엔드포인트와의 결정적인 차이입니다.
| 구분 | 서비스 엔드포인트 | 프라이빗 엔드포인트 | |------|------|------| | 서비스의 주소 | 서비스는 계속 공용 IP 주소 사용 | 내 VNet 안의 사설 IP 주소 | | 동작 방식 | 서브넷의 신원을 서비스에 전달하고, 서비스 방화벽에서 그 서브넷을 허용 | 서비스 리소스에 연결된 네트워크 인터페이스를 VNet 안에 만듦 | | 온프레미스에서 접근 | 기본적으로 불가 | VPN Gateway나 ExpressRoute로 가능 | | 연결 대상 | 서브넷에서 해당 서비스 유형으로 가는 트래픽 | 특정 리소스 하나 |
시험 팁: "서비스에 사설 IP 주소를 부여", "온프레미스에서 사설 경로로 접근"이 보이면 프라이빗 엔드포인트입니다. "서비스는 공용 주소를 그대로 쓰면서 특정 서브넷에서 오는 트래픽만 허용"이라면 서비스 엔드포인트입니다.
---
다른 네트워크 연결과 어떻게 다를까?
AZ-900의 네트워킹 항목에는 "연결"을 다루는 기능이 여럿 있어서 서로의 오답 보기로 함께 나옵니다. 무엇과 무엇을 잇는지로 구분하면 깔끔하게 정리됩니다.
| 기능 | 무엇과 무엇을 잇나 | 한 줄 요약 | |------|------|------| | VNet 피어링 | VNet ↔ VNet | 두 가상 네트워크를 Microsoft 백본으로 직접 연결 | | VPN Gateway | 온프레미스 네트워크나 PC ↔ VNet | 공용 인터넷 위의 암호화 터널 | | ExpressRoute | 온프레미스 네트워크 ↔ Azure | 인터넷을 거치지 않는 전용 사설 연결 | | 프라이빗 엔드포인트 | VNet ↔ 특정 PaaS 리소스 | PaaS 리소스에 VNet의 사설 IP 주소를 부여 | | 서비스 엔드포인트 | 서브넷 ↔ PaaS 서비스 유형 | 서비스 방화벽이 그 서브넷에서 온 트래픽을 허용 |
앞의 세 가지가 네트워크와 네트워크를 잇는다면, 엔드포인트 두 가지는 네트워크와 PaaS 서비스를 잇습니다. 그래서 함께 쓰는 경우가 많습니다. 예를 들어 온프레미스 사무실이 ExpressRoute로 VNet에 연결되고, 그 VNet의 프라이빗 엔드포인트를 통해 스토리지 계정에 접근하는 구성이 대표적입니다.
---
어떤 걸 골라야 할까?
세 가지를 상황별로 정리하면 다음과 같습니다.
| 상황 | 선택 | |------|------| | 공개 웹사이트처럼 불특정 다수가 접속해야 한다 | 퍼블릭 엔드포인트 | | 공용 주소는 유지하되 회사 IP 대역에서만 접속을 허용하고 싶다 | 퍼블릭 엔드포인트 + 방화벽 규칙 | | VM이 스토리지 계정에 인터넷 노출 없이 사설 IP로 접속해야 한다 | 프라이빗 엔드포인트 | | 온프레미스 사무실에서 ExpressRoute로 Azure SQL Database에 사설 접속해야 한다 | 프라이빗 엔드포인트 | | 스토리지의 공용 주소는 그대로 두고 특정 서브넷에서 오는 접근만 허용하고 싶다 | 서비스 엔드포인트 | | 허가된 리소스 하나에만 연결되도록 해서 데이터 유출 위험을 줄이고 싶다 | 프라이빗 엔드포인트 |
이 표의 핵심은 "누가 어디서 들어오는가"입니다. 바깥 사람이 들어와야 하면 정문(퍼블릭), 내부 네트워크에서만 들어와야 하면 전용 출입구(프라이빗)라는 기준으로 생각하면 대부분의 문제가 풀립니다.
---
시험 핵심 정리
시험장 가기 전 마지막으로 확인할 핵심 포인트입니다.
| 구분 | 핵심 암기 사항 | |------|------| | 퍼블릭 엔드포인트 | 공용 IP 주소, 전 세계 어디서나 접근 가능 | | 프라이빗 엔드포인트 | VNet 주소 공간의 사설 IP 주소를 가진 네트워크 인터페이스 | | Azure Private Link | 프라이빗 엔드포인트가 서비스에 비공개로 연결되는 기술 | | 접근 가능한 곳 | 같은 VNet, 피어링된 VNet, VPN·ExpressRoute로 연결된 온프레미스 | | DNS | 같은 이름이 사설 IP를 가리키도록 설정 (프라이빗 DNS 영역) | | 공용 접근 차단 | 프라이빗 엔드포인트만으로는 막히지 않음, 공용 네트워크 액세스를 따로 꺼야 함 | | 서비스 엔드포인트 | 서비스는 공용 IP 유지, 서브넷 신원으로 접근 허용 | | 온프레미스 사설 접근 | 프라이빗 엔드포인트는 가능, 서비스 엔드포인트는 기본적으로 불가 |
---
다음 단계
VNet, 서브넷, 피어링, VPN Gateway, ExpressRoute의 기본 구조는 컴퓨팅과 네트워킹에서, 프라이빗 엔드포인트로 자주 연결하는 스토리지 계정은 스토리지 서비스에서 이어서 확인하세요. 네트워킹 서비스끼리 헷갈린다면 AZ-900 헷갈리는 서비스 비교 총정리의 도메인 2 비교표가 도움이 됩니다.
정의를 외웠다면 AZ-900 모의고사로 실제 문제에 적용해 보세요. 엔드포인트 문제는 "공용 IP"와 "사설 IP", "어디서나"와 "VNet 안"이라는 단어 하나로 정답이 갈리는 경우가 많습니다.