Microsoft AZ-900: Sieci — Przewodnik do nauki

By Laurynas Brazys · 23 July 2026 · #microsoft #az-900 #certification #exam-prep #study-guide

Część Microsoft Azure AZ-900 — Przewodnik do nauki. Ćwicz ze zweryfikowanymi odpowiedziami w centrum egzaminów Microsoft, albo rozwiąż testy na czas na ExamRoll.io.

Sieci w Azure stanowią fundament bezpiecznego łączenia obciążeń, użytkowników i usług między regionami oraz między środowiskami on-premises i chmurowymi. Obejmują one prywatne sieci definiowane programowo, łączność hybrydową, globalną dystrybucję ruchu oraz warstwowe mechanizmy obrony przed zagrożeniami. Dobre projekty zaczynają się od przejrzystego planowania adresacji, granic izolacji i rozwiązywania nazw, a następnie dodają odpowiednią kombinację łączności i ochrony, aby osiągnąć cele wydajnościowe i zgodności z przepisami.

Podstawy sieci wirtualnych: VNet, podsieci, adresacja IP i DNS

Sieć wirtualna (VNet) to granica izolacji dla prywatnej komunikacji sieciowej w Azure. Sieci VNet obejmują jeden region, są przypisane do subskrypcji i wykorzystują zdefiniowane przez Ciebie przestrzenie adresowe RFC1918. Wewnątrz sieci VNet podsieci dzielą przestrzeń adresową na logiczne warstwy (na przykład web, app i data). Podsieci obsługują polityki sieciowe, takie jak sieciowe grupy zabezpieczeń (NSG), tabele routingu, punkty końcowe usług oraz delegowanie do określonych usług PaaS. Przemyślane planowanie CIDR pozwala uniknąć nakładania się adresacji z sieciami on-premises i innymi sieciami VNet, z którymi możesz w przyszłości nawiązać peering. Adresacja IP w Azure obejmuje adresy prywatne i publiczne. Prywatne adresy IP są przypisywane do kart sieciowych (NIC) maszyn wirtualnych i innych zasobów w celu obsługi ruchu wschód-zachód wewnątrz sieci VNet lub przez połączenia peering, VPN/ExpressRoute. Prywatne adresy IP w podsieci mogą być dynamiczne lub statyczne. Publiczne adresy IP udostępniają zasoby w internecie lub zapewniają łączność wychodzącą za pomocą NAT. Standardowe publiczne adresy IP są redundantne strefowo (jeśli jest to dostępne), domyślnie zablokowane dla ruchu przychodzącego i powinny być używane w połączeniu z load balancerami, Application Gateways lub Azure Firewall, a nie przypisywane bezpośrednio do maszyn wirtualnych, chyba że istnieje silne uzasadnienie. Rozwiązywanie nazw jest domyślnie obsługiwane przez dostarczany przez Azure resolver DNS (168.63.129.16), który rozwiązuje nazwy hostów wewnątrz sieci VNet. Dla prywatnych punktów końcowych i hybrydowego rozwiązywania nazw, strefy Azure Private DNS mapują prywatne nazwy FQDN (na przykład privatelink.database.windows.net) na prywatne adresy IP. Możesz połączyć strefy Azure Private DNS z wieloma sieciami VNet. Jeśli używasz niestandardowych serwerów DNS, upewnij się, że przekierowywanie warunkowe (conditional forwarding) obejmuje strefy Azure Private DNS, aby zasoby rozwiązywały prywatne punkty końcowe zamiast publicznych punktów końcowych usług.

• Zasięg
  • Prywatny IP: Wewnątrz VNet / sieci połączonych peeringiem / sieci hybrydowych
  • Publiczny IP: Dostępny z internetu
• Przypisanie
  • Prywatny IP: Dynamiczne lub statyczne na kartę NIC/podsieć
  • Publiczny IP: Dynamiczne lub statyczne; zalecane SKU Standard
• Typowe zastosowania
  • Prywatny IP: Komunikacja VM-do-VM, Private Link, wewnętrzny load balancing
  • Publiczny IP: Ruch przychodzący przez LB/App Gateway; ruch wychodzący przez SNAT/NAT Gateway
• Poziom bezpieczeństwa
  • Prywatny IP: Kontrolowany przez NSG, UDR
  • Publiczny IP: Domyślnie zablokowany (Standard); ograniczany przez NSG/Firewall

Łączność hybrydowa i prywatna: VPN Gateway, ExpressRoute, VNet peering i Private Link

Usługa Azure VPN Gateway tworzy szyfrowane tunele przy użyciu protokołu IPsec/IKE dla połączeń typu site-to-site (S2S), point-to-site (P2S) i VNet-to-VNet. Jest to opłacalny sposób na rozszerzenie sieci lokalnej (on-premises) na platformę Azure za pośrednictwem publicznego internetu, przy jednoczesnym zachowaniu szyfrowania danych w tranzycie. Przepustowość i liczba tuneli skalują się wraz z jednostką SKU VpnGw, a wysoka dostępność jest domyślnie zapewniana przez instancje w trybie active/standby. Obsługa trybu active-active i protokołu BGP umożliwia dynamiczny routing i wyższą zagregowaną przepustowość. ExpressRoute zapewnia prywatną łączność warstwy 3 (Layer 3) z firmą Microsoft, objętą umową SLA, za pośrednictwem partnera lub połączenia bezpośredniego (direct peering). Ruch odbywa się poza publicznym internetem, co zapewnia przewidywalne opóźnienia i wyższe opcje przepustowości. Obwody ExpressRoute obsługują wiele rodzajów komunikacji równorzędnej (peering) (prywatna platformy Azure, Microsoft i Microsoft 365 w stosownych przypadkach) i wykorzystują podwójne, redundantne połączenia. Jest to preferowana opcja dla scenariuszy o znaczeniu krytycznym i wymagających dużej przepustowości, często łączona z topologią hub-and-spoke, w której sieć VNet typu hub hostuje bramę ExpressRoute lub VPN Gateway. VNet peering łączy sieci VNet za pośrednictwem sieci szkieletowej firmy Microsoft, zapewniając niskie opóźnienia i dużą przepustowość, co pozwala zasobom komunikować się przy użyciu prywatnych adresów IP, tak jakby znajdowały się w tej samej sieci. Peering nie jest przechodni (non-transitive): ruch nie jest automatycznie kierowany przez połączoną sieć VNet do trzeciej sieci VNet. Można włączyć tranzyt przez bramę (gateway transit), aby sieci VNet typu spoke korzystały z bramy VPN lub ExpressRoute znajdującej się w hubie. Aby uzyskać dostęp do usług PaaS za pośrednictwem prywatnego adresu IP, usługa Private Link tworzy prywatny punkt końcowy (private endpoint) – czyli kartę sieciową (NIC) w Twojej podsieci – który jest mapowany na konkretną instancję usługi, taką jak Azure Storage, SQL Database lub opublikowaną przez Ciebie usługę prywatną. Ruch odbywa się w całości w sieci szkieletowej Azure, a system DNS ma kluczowe znaczenie dla zapewnienia, że klienci rozpoznają nazwę na prywatny punkt końcowy. Wybór między tymi opcjami zależy od wymagań: VPN Gateway dla szyfrowanej łączności przez internet, ExpressRoute dla prywatnych obwodów o wysokiej wydajności, VNet peering dla prywatnej łączności wewnątrz platformy Azure oraz Private Link dla prywatnego dostępu do usług PaaS lub usług partnerskich bez udostępniania publicznych punktów końcowych.

• VPN Gateway
  • Warstwa łączności: L3 (IPsec/IKE)
  • Zakres: On-prem <-> Azure; VNet <-> VNet
  • Typowa przepustowość: Setki Mb/s do wielu Gb/s (zależnie od SKU)
  • Szyfrowanie: Tak (IPsec)
  • Główne zalety: Opłacalność, elastyczność, P2S/S2S
  • Główne zastosowania: Rozszerzenie hybrydowe, dev/test, szybkie uruchomienie
• ExpressRoute
  • Warstwa łączności: Prywatny obwód L3
  • Zakres: On-prem <-> Azure (przez partnera)
  • Typowa przepustowość: 50 Mb/s – 100 Gb/s (zależnie od obwodu)
  • Szyfrowanie: Obwód prywatny (IPsec nie jest wymagany)
  • Główne zalety: Przewidywalne opóźnienia, wysoka przepustowość, SLA
  • Główne zastosowania: Hybryda o znaczeniu krytycznym, replikacja danych, zgodność z przepisami
• VNet Peering
  • Warstwa łączności: Sieć szkieletowa Azure
  • Zakres: VNet <-> VNet (ten sam region lub globalnie)
  • Typowa przepustowość: Ograniczona przez NIC/hosta maszyny wirtualnej; niskie opóźnienia
  • Szyfrowanie: Nie (prywatna sieć szkieletowa)
  • Główne zalety: Prostota, szybkość, obsługa między dzierżawami
  • Główne zastosowania: Hub-spoke, regionalna/globalna siatka VNet
• Private Link
  • Warstwa łączności: Punkt końcowy L7 przez prywatną kartę NIC
  • Zakres: VNet klienta <-> Usługa PaaS/prywatna
  • Typowa przepustowość: Zależna od aplikacji; ograniczona przez NIC
  • Szyfrowanie: Izolacja w sieci szkieletowej
  • Główne zalety: Eliminuje publiczną ekspozycję, szczegółowa kontrola
  • Główne zastosowania: Prywatny dostęp do Storage, SQL, Key Vault, aplikacji partnerskich

Dystrybucja i akceleracja ruchu: Load Balancer, Application Gateway, Front Door, Traffic Manager i CDN

Azure Load Balancer działa w warstwie 4 dla protokołów TCP/UDP i zapewnia wysokowydajne równoważenie obciążenia o niskim opóźnieniu w obrębie regionu. Obsługuje scenariusze ruchu przychodzącego i wychodzącego, reguły NAT dla ruchu przychodzącego oraz sondy kondycji (health probes). Standard Load Balancer jest świadomy stref (zone-aware) i może obejmować wiele stref w regionie w celu zapewnienia odporności na awarie. Jest to właściwy wybór dla protokołów innych niż HTTP, backendów gier oraz scenariuszy wymagających portów HA lub SNAT dla łączności wychodzącej na dużą skalę za pomocą reguł ruchu wychodzącego (outbound rules) lub NAT Gateway. Application Gateway zapewnia routing HTTP/HTTPS w warstwie 7 z funkcjami takimi jak routing oparty na ścieżce URL i hoście, koligacja oparta na plikach cookie (cookie affinity) oraz odciążanie SSL (SSL offload). Po włączeniu jednostki SKU Web Application Firewall (WAF) oferuje zarządzane zestawy reguł OWASP, które pomagają chronić przed popularnymi exploitami i botami. Application Gateway jest usługą regionalną i często używaną przed VM Scale Sets, kontenerami lub App Services w konfiguracjach sieci prywatnych, zwłaszcza tam, gdzie wymagany jest zaawansowany routing HTTP i inspekcja WAF. Azure Front Door to globalny, działający w trybie anycast punkt wejścia w warstwie 7, który przyspiesza i chroni aplikacje internetowe dostępne z internetu. Zapewnia globalne równoważenie obciążenia z natychmiastowym przełączaniem awaryjnym (instant failover), inteligentne wyznaczanie ścieżek (smart pathing) i wbudowany WAF. Front Door Standard/Premium integruje funkcje CDN do akceleracji zawartości statycznej i dynamicznej na brzegu sieci (at the edge) i może kierować ruch do Application Gateways, App Services lub Storage jako źródeł (origin). Traffic Manager uzupełnia te usługi, realizując globalną dystrybucję opartą na DNS do dowolnych punktów końcowych (HTTP lub innych), używając metod takich jak priorytet, wydajność, ważona, geograficzna, podsieć i wielowartościowa. Do odciążania serwerów z zawartości statycznej, Azure CDN (w tym Front Door Standard/Premium lub Azure CDN od Microsoft/Verizon/Akamai) przechowuje zawartość w pamięci podręcznej bliżej użytkowników, zmniejszając obciążenie źródła (origin) i poprawiając wydajność. Łączenie usług jest powszechną praktyką. Typowy projekt dostępny z internetu wykorzystuje Azure Front Door z WAF jako globalny punkt wejścia (ingress), kierując ruch do regionalnych usług Application Gateway (z WAF lub bez), które przekazują go do wewnętrznych obciążeń roboczych. Dla protokołów innych niż HTTP/HTTPS, połącz Traffic Manager do przełączania awaryjnego na poziomie DNS z regionalnymi usługami Load Balancer. Umieszczaj publiczne adresy IP tylko na tych zarządzanych usługach brzegowych, utrzymując maszyny wirtualne aplikacji jako prywatne.

• Azure Load Balancer
  • Warstwa: L4
  • Zasięg: Regionalny
  • Protokoły: TCP/UDP
  • Wsparcie WAF: Nie
  • Koligacja sesji: Nie (w L7)
  • Typowe zastosowania: Obciążenia inne niż HTTP, wewnętrzne równoważenie obciążenia, SNAT dla ruchu wychodzącego
• Application Gateway
  • Warstwa: L7
  • Zasięg: Regionalny
  • Protokoły: HTTP/HTTPS
  • Wsparcie WAF: Tak (WAF v2)
  • Koligacja sesji: Tak (oparta na plikach cookie)
  • Typowe zastosowania: Aplikacje webowe w VNet, odciążanie SSL, routing wg ścieżki/hosta
• Azure Front Door
  • Warstwa: L7
  • Zasięg: Globalny
  • Protokoły: HTTP/HTTPS
  • Wsparcie WAF: Tak (WAF)
  • Koligacja sesji: Tak (plik cookie koligacji)
  • Typowe zastosowania: Globalny punkt wejścia, akceleracja na brzegu sieci, natychmiastowe przełączanie awaryjne
• Traffic Manager
  • Warstwa: DNS
  • Zasięg: Globalny
  • Protokoły: Dowolne (na poziomie DNS)
  • Wsparcie WAF: Nie
  • Koligacja sesji: Nie
  • Typowe zastosowania: Przełączanie awaryjne/dystrybucja obciążenia między regionami dla dowolnego punktu końcowego
• Azure CDN
  • Warstwa: Pamięć podręczna L7
  • Zasięg: Globalny
  • Protokoły: HTTP/HTTPS
  • Wsparcie WAF: Nie (użyj WAF w Front Door)
  • Koligacja sesji: Nie dotyczy
  • Typowe zastosowania: Buforowanie zawartości statycznej, odciążanie źródła, wydajność

Bezpieczeństwo sieci i bezpieczny dostęp: NSG, Azure Firewall, DDoS Protection, Bastion i Just-in-Time

Sieciowe grupy zabezpieczeń (NSG) stosują stanowe filtrowanie na warstwach 3/4 do podsieci i kart sieciowych (NIC). Reguły zezwalają na ruch lub go blokują w oparciu o 5-krotkę parametrów, z obsługą tagów usług i grup zabezpieczeń aplikacji w celu uproszczenia zarządzania. NSG są idealne do segmentacji warstw, ograniczania dostępu do portów zarządzania i egzekwowania zasady najniższych uprawnień między podsieciami. Są szybkie i rozproszone, ale nie zapewniają filtrowania na warstwie aplikacji, zapobiegania włamaniom ani scentralizowanego DNAT/SNAT. Azure Firewall to zarządzana, stanowa zapora sieciowa i usługa bezpieczeństwa sieci, która zapewnia zarówno reguły sieciowe, jak i reguły aplikacji (filtrowanie FQDN). Wersja Premium SKU dodaje inspekcję TLS, IDPS i filtrowanie adresów URL. Obsługuje DNAT/SNAT, filtrowanie oparte na analizie zagrożeń (threat intelligence) i integruje się z tabelami routingu, tworząc centralny punkt kontroli ruchu wychodzącego (egress) w topologiach hub-and-spoke. Azure Firewall uzupełnia NSG: NSG wymuszają lokalną mikrosegmentację wschód-zachód, podczas gdy zapora sieciowa egzekwuje scentralizowane zasady dla ruchu północ-południe i ruchu wychodzącego do internetu. Usługa Azure DDoS Protection jest dostępna w wariantach Basic i Standard. Wariant Basic to ochrona na poziomie platformy, stosowana automatycznie do usług Azure bez konieczności konfiguracji przez klienta. Wariant Standard dodaje adaptacyjne dostrajanie, telemetrię, alerty i szybkie łagodzenie skutków ataków dla zasobów z publicznymi adresami IP w chronionej sieci VNet, a także kredyty na pokrycie kosztów podczas udokumentowanych ataków. Aby zapewnić dostęp administracyjny bez publicznych adresów IP, usługa Azure Bastion umożliwia połączenia RDP/SSH przez TLS bezpośrednio z portalu Azure (oraz z obsługiwanych klientów natywnych w Bastion Standard), eliminując ekspozycję na ruch przychodzący. Dostęp do maszyn wirtualnych Just-in-Time (JIT), włączany za pośrednictwem Microsoft Defender for Cloud, utrzymuje porty zarządzania w NSG zamknięte i otwiera ograniczony czasowo dostęp tylko dla zatwierdzonych użytkowników i źródłowych adresów IP, minimalizując powierzchnię ataku przy jednoczesnym zachowaniu dostępu operacyjnego.

← Usługi obliczeniowe i aplikacyjne · Wszystkie domeny · Magazyn i bazy danych →

Przećwicz te pytania → · Testy na czas na ExamRoll.io →

Przeglądaj Microsoft →