O Site1 (no local) está conectado à VNet1 por meio de uma VPN Site a Site. Você tem uma conta de armazenamento chamada storage1 na assinatura do Azure. Você quer que os servidores no Site1 se conectem ao storage1 pela VPN S2S com o menor esforço administrativo. O que você deve criar na VNet1?

Um private endpoint é a solução correta porque ele cria uma interface de rede privada para o storage1 dentro da VNet1. Isso permite que os servidores no Site1 acessem o storage1 pela VPN S2S usando endereços IP privados, mantendo o tráfego dentro da rede privada do Azure e do seu ambiente local. Um Azure Application Gateway é um balanceador de carga da camada 7 e não é usado para conectar redes locais a serviços de armazenamento. Um serviço Azure Private Link é usado para expor seu próprio serviço a outras VNets, não para acessar serviços do Azure. Um service endpoint permite que a VNet1 acesse o storage1 pela rede backbone do Azure, mas o tráfego do Site1 ainda sairia da rede local para a internet pública antes de entrar na rede do Azure, o que não atende ao requisito de usar a VPN S2S para todo o tráfego.