• 學習要點

  • Bastion 是受管的跳板機：從瀏覽器用 HTML5 連線，VM 完全不需要公用 IP，也不用開 3389/22 對外

  • SKU 差異（2026 考點）：

    • Developer：免費，但一次只能連一台 VM、不支援 VNet peering、只在部分 region 可用、不需要 AzureBastionSubnet
    • Basic / Standard / Premium：每小時計費，需要 AzureBastionSubnet 且至少 /26

  • Service endpoint vs Private endpoint（最愛考的對比）：

    	Service endpoint	Private endpoint

    | PaaS 的 IP | 仍是公用 IP | 你 VNet 內的私有 IP |
    | 流量路徑 | 走 Azure 骨幹，不出網際網路 | 走 Private Link |
    | 存取控制 | 在 PaaS 端的防火牆允許特定子網路 | 直接就是私有網路可達 |
    | 跨 region / 地端 | 不支援（只限同 region VNet） | 支援（可透過 VPN/ER 從地端存取） |
    | DNS | 不需額外處理 | 必須設 Private DNS zone，否則名稱仍解析到公用 IP |
    | 費用 | 免費 | 需確認 Private Link 計費 |

  • Private endpoint 最常見的故障就是 DNS 沒設對：xxx.blob.core.windows.net 會先解析到 xxx.privatelink.blob.core.windows.net，再由 Private DNS zone 解析成私有 IP

• 實作Lab

  • 建一台沒有公用 IP 的 VM
  • 部署 Bastion Developer SKU，從瀏覽器連入（若你的 region 不支援，先用 az vm list-skus 或 Portal 確認可用 region）
  • 建一個儲存體帳戶，設定 service endpoint：在 VNet 子網路加 Microsoft.Storage，在儲存體防火牆只允許該子網路，從 VM 內測試存取、從本機測試被擋
  • 改用 private endpoint：建立私人端點 + Private DNS zone，在 VM 內 nslookup 確認解析到 10.x.x.x
  • 比較兩者的 nslookup 結果差異（這張截圖對比放在 blog 裡非常有說服力）

• 今日心得

我覺得實務面我還沒很理解啥時要開哪個，Service endpoint 感覺就是快速便宜可以用，不需要跨 region 一律都用 Service endpoint，否則有甚麼其他需求才需要考慮 Private endpoint ，費用也比較高一點