Serviços PaaS como o Azure Storage e o Azure SQL Database ganham um endereço acessível pela internet assim que são criados. Isso é prático, mas muitas organizações não ficam tranquilas sabendo que um serviço com dados da empresa está aberto apenas por um endereço público da internet. É aqui que entram os pontos de extremidade públicos e privados, e o conteúdo oficial do AZ-900 traz "definir pontos de extremidade públicos e privados" como um objetivo independente.
Este artigo é o complemento de redes da nossa série de análises aprofundadas do AZ-900. Aprenda primeiro os fundamentos, como redes virtuais, VPN Gateway e ExpressRoute, em Computação e Redes. Aqui esclarecemos a diferença entre os dois tipos de ponto de extremidade, junto com os pontos de extremidade de serviço, que costumam se misturar nas questões do exame.
---
O que é um ponto de extremidade?
Um ponto de extremidade (endpoint) é a entrada de um serviço, ou seja, o endereço dele. Pensando em um prédio comercial, um ponto de extremidade público é a porta principal por onde qualquer pessoa pode chegar, e um ponto de extremidade privado é uma entrada exclusiva para funcionários. As duas levam ao mesmo escritório, mas muda quem pode usar cada entrada.
As definições do Microsoft Learn são curtas. Os pontos de extremidade públicos têm um endereço IP público e podem ser acessados de qualquer lugar do mundo. Os pontos de extremidade privados existem dentro de uma rede virtual e têm um endereço IP privado do espaço de endereços dessa rede virtual.
| Categoria | Ponto de extremidade público | Ponto de extremidade privado | |------|------|------| | Endereço | Um endereço IP público | Um endereço IP privado do espaço de endereços da sua VNet | | De onde é acessado | De qualquer lugar do mundo (pode ser restringido com regras de firewall) | De dentro da VNet e das redes conectadas a ela | | Onde fica | Do lado do serviço | Criado dentro de uma sub-rede da sua VNet | | Exemplo típico | O endereço padrão de uma conta de armazenamento (mystorage.blob.core.windows.net) | Uma interface de rede com o endereço 10.0.1.5 dentro da sua VNet |
Dica para o exame: "Tem um endereço IP público e pode ser acessado de qualquer lugar" → ponto de extremidade público. "Um endereço IP privado do espaço de endereços da rede virtual" → ponto de extremidade privado. Muitas questões apenas reformulam essas definições, então lembre as duas frases com precisão.
---
Um ponto de extremidade público é perigoso?
Ter um ponto de extremidade público não significa que qualquer pessoa possa ler os seus dados. Um endereço ser público e o acesso ser permitido são coisas diferentes. As solicitações que chegam ao endereço público continuam passando por estas proteções.
Autenticação e permissões: a maioria das solicitações precisa se autenticar com credenciais como o Microsoft Entra ID ou chaves de acesso, e as configurações de permissão, como o RBAC, definem o que quem chama pode fazer Regras de rede: o firewall do serviço indica quais faixas de IP ou redes virtuais são permitidas e nega o restante Criptografia em trânsito: a comunicação ocorre por HTTPS (TLS), então ninguém no meio do caminho consegue ler o conteúdo
Mesmo assim, um endereço exposto à internet vira alvo de tentativas de ataque, e algumas organizações não podem, por regulação, manter aberto à internet o caminho por onde seus dados trafegam. Nesses casos, cria-se um caminho privado com um ponto de extremidade privado e fecha-se o acesso público.
Dica para o exame: uma opção que diga "um ponto de extremidade público pode ser acessado por qualquer pessoa sem autenticação" é uma afirmação errada. O que separa o público do privado não é haver ou não autenticação, e sim o endereço (IP público versus IP privado) e o caminho de acesso.
---
Como funciona um ponto de extremidade privado?
Um ponto de extremidade privado é uma interface de rede (NIC) que usa um endereço IP privado da sua VNet. Como essa interface se conecta de forma privada a um serviço com tecnologia Azure Private Link, o efeito é, nas palavras da própria Microsoft, "trazer o serviço para dentro da sua rede virtual". Do ponto de vista da VM, a conta de armazenamento parece mais um servidor da mesma rede.
Recebe um endereço IP privado da sub-rede, e esse endereço não muda enquanto o ponto de extremidade privado existir Pode ser acessado não só da mesma VNet, mas também de VNets emparelhadas e de redes locais conectadas por VPN Gateway ou ExpressRoute Conecta-se a um recurso específico (por exemplo, uma única conta de armazenamento), não ao serviço inteiro É preciso configurar o DNS para que o mesmo nome (FQDN) aponte para o IP privado, normalmente com uma zona DNS privada
!Como um ponto de extremidade privado oferece um caminho privado até um serviço PaaS
Um ponto de extremidade privado sozinho não bloqueia o acesso público
Esse é um mal-entendido comum. Um ponto de extremidade privado acrescenta ao serviço mais uma entrada com endereço privado; ele não fecha automaticamente a porta principal que já existia (o ponto de extremidade público). Para bloquear também o acesso pela internet, você precisa desativar o acesso à rede pública no serviço ou restringi-lo separadamente com regras de firewall.
Dica para o exame: se uma questão disser "fazer com que a conta de armazenamento só seja acessível por um IP privado dentro da VNet", a resposta é um ponto de extremidade privado. Lembre que, na prática, também se desativa o acesso à rede pública junto com ele.
---
Não confunda com pontos de extremidade de serviço
Existe também um recurso de nome parecido chamado ponto de extremidade de serviço (service endpoint). Ele não aparece diretamente na redação dos objetivos do AZ-900, mas a unidade de redes virtuais do Microsoft Learn o apresenta como uma forma de os recursos do Azure se comunicarem com segurança, então ele pode aparecer como opção errada.
Um ponto de extremidade de serviço é configurado em uma sub-rede. Ele leva a identidade da VNet no tráfego que sai dessa sub-rede e o envia pela rede de backbone do Azure até o serviço, de modo que o firewall do serviço possa ter uma regra dizendo "permitir somente esta sub-rede". A diferença decisiva em relação a um ponto de extremidade privado é que o serviço continua usando o endereço público.
| Categoria | Ponto de extremidade de serviço | Ponto de extremidade privado | |------|------|------| | Endereço do serviço | O serviço continua usando um endereço IP público | Um endereço IP privado dentro da sua VNet | | Como funciona | Passa a identidade da sub-rede ao serviço, e o firewall do serviço permite essa sub-rede | Cria dentro da sua VNet uma interface de rede vinculada ao recurso do serviço | | Acesso a partir da rede local | Não é possível por padrão | É possível por VPN Gateway ou ExpressRoute | | A que se conecta | O tráfego da sub-rede para aquele tipo de serviço | Um recurso específico |
Dica para o exame: se aparecer "dar ao serviço um endereço IP privado" ou "acessar por um caminho privado a partir da rede local", a resposta é um ponto de extremidade privado. Se a questão disser "o serviço mantém o endereço público, mas só é permitido o tráfego de uma sub-rede específica", a resposta é um ponto de extremidade de serviço.
---
Qual a diferença em relação a outras conexões de rede?
Os objetivos de redes do AZ-900 incluem vários recursos ligados a "conectar", então eles aparecem como opção errada uns dos outros. Organizá-los pelo que conectam a quê os mantém bem separados.
| Recurso | O que conecta | Resumo em uma linha | |------|------|------| | Emparelhamento de VNet | VNet ↔ VNet | Conecta diretamente duas redes virtuais pelo backbone da Microsoft | | VPN Gateway | Uma rede local ou um PC ↔ uma VNet | Um túnel criptografado pela internet pública | | ExpressRoute | Uma rede local ↔ o Azure | Uma conexão privada dedicada que não passa pela internet | | Ponto de extremidade privado | Uma VNet ↔ um recurso PaaS específico | Dá a um recurso PaaS um endereço IP privado da VNet | | Ponto de extremidade de serviço | Uma sub-rede ↔ um tipo de serviço PaaS | O firewall do serviço permite o tráfego vindo daquela sub-rede |
Enquanto os três primeiros conectam redes a redes, os dois tipos de ponto de extremidade conectam uma rede a serviços PaaS. Por isso costumam ser usados juntos. Uma configuração típica tem um escritório local conectado a uma VNet pelo ExpressRoute, chegando a uma conta de armazenamento por um ponto de extremidade privado dessa VNet.
---
Qual escolher?
Estas são as três opções organizadas por situação.
| Situação | Escolha | |------|------| | Qualquer pessoa na internet precisa conseguir se conectar, como em um site público | Ponto de extremidade público | | Manter o endereço público, mas permitir conexões só a partir da faixa de IP da empresa | Ponto de extremidade público + regras de firewall | | Uma VM precisa chegar a uma conta de armazenamento por um IP privado, sem exposição à internet | Ponto de extremidade privado | | Um escritório local precisa acessar o Azure SQL Database de forma privada pelo ExpressRoute | Ponto de extremidade privado | | Deixar o endereço público da conta de armazenamento como está, mas permitir acesso só a partir de uma sub-rede específica | Ponto de extremidade de serviço | | Reduzir o risco de exfiltração de dados conectando-se só a um recurso aprovado | Ponto de extremidade privado |
O ponto central desta tabela é "quem entra e de onde". Se pessoas de fora precisam entrar, use a porta principal (público); se só a rede interna deve entrar, use a entrada de funcionários (privado). Pensar assim resolve a maioria das questões.
---
Referência Rápida do Exame
Os pontos principais para conferir uma última vez antes de entrar no exame.
| Tema | Ponto-chave | |------|------| | Ponto de extremidade público | Um endereço IP público, acessível de qualquer lugar do mundo | | Ponto de extremidade privado | Uma