https://thedotnetblog.com/pt/tags/networking/Articles, tutorials and insights from the .NET community.Hugopt@thedotnetblog (The .NET Blog)@thedotnetblogTue, 19 May 2026 00:00:00 +0000https://thedotnetblog.com/pt/news/emiliano-montesdeoca/aspire-azure-enterprise-networking-private-endpoints/Tue, 19 May 2026 00:00:00 +0000Emiliano Montesdeocahttps://thedotnetblog.com/pt/news/emiliano-montesdeoca/aspire-azure-enterprise-networking-private-endpoints/O novo suporte de rede empresarial do Azure para Aspire permite modelar VNets, endpoints privados, gateways NAT, NSGs e perímetros de segurança de rede diretamente no seu AppHost, sem deriva de infraestrutura.<p>Já vi esse cenário muitas vezes. A aplicação está pronta. A demonstração é ótima. Então aparece a lista de verificação de segurança: tire o armazenamento da internet pública, execute dentro de uma VNet, forneça IPs de saída para a lista de permissões do parceiro, prove que apenas as sub-redes corretas falam com os serviços corretos.</p> <p>Nesse ponto o modelo de aplicação e o modelo de infraestrutura começam a divergir de maneiras que são dolorosas de manter.</p> <p>O novo suporte de rede empresarial do Azure para Aspire aborda isso diretamente. Você descreve a forma da rede ao lado dos recursos que a usam, no seu AppHost.</p> <h2 id="os-blocos-de-construção">Os Blocos de Construção</h2> <p>Aqui está para que serve cada conceito de rede do Azure, destilado:</p> <table> <thead> <tr> <th>Recurso</th> <th>Use quando</th> <th>Por que é importante</th> </tr> </thead> <tbody> <tr> <td>Rede virtual</td> <td>Você precisa de um espaço de endereçamento privado</td> <td>O limite de rede para sub-redes, endpoints privados e roteamento</td> </tr> <tr> <td>Sub-rede</td> <td>Você precisa separar cargas de trabalho dentro da VNet</td> <td>Cada parte do sistema obtém seu próprio intervalo de endereços e superfície de política</td> </tr> <tr> <td>Sub-rede delegada</td> <td>Um serviço de plataforma (como ACA) precisa gerenciar uma sub-rede</td> <td>Permite que o serviço coloque infraestrutura gerenciada em sua VNet com segurança</td> </tr> <tr> <td>Gateway NAT</td> <td>Você precisa de IPs públicos de saída previsíveis</td> <td>Endereço estável para listas de permissões e auditoria</td> </tr> <tr> <td>Endpoint privado</td> <td>Você quer um recurso PaaS acessível privatamente</td> <td>Coloca um IP privado para esse serviço dentro da sua VNet, remove a exposição pública</td> </tr> <tr> <td>NSG</td> <td>Você precisa de regras de tráfego no nível da sub-rede</td> <td>Permitir/negar explícito para tráfego de entrada e saída por sub-rede</td> </tr> </tbody> </table> <h2 id="descrevendo-no-seu-apphost">Descrevendo no seu AppHost</h2> <p>A mudança chave aqui é que você está modelando a rede <em>junto</em> com os recursos que a usam, não em um arquivo Bicep separado que se afasta do modelo de aplicação com o tempo.</p> <p>Do AppHost, você pode:</p> <ul> <li>Criar VNets e sub-redes com <code>AddVirtualNetwork()</code> e <code>AddSubnet()</code></li> <li>Anexar um gateway NAT às sub-redes para IPs de saída estáveis</li> <li>Criar endpoints privados para armazenamento, Key Vault, SQL e outros serviços PaaS</li> <li>Definir NSGs com regras de segurança de entrada e saída</li> <li>Configurar Perímetros de Segurança de Rede para políticas entre recursos</li> </ul> <p>O resultado é que quando você executa <code>azd up</code>, a infraestrutura corresponde ao que o modelo de aplicação diz que precisa. Não o que diz um template mantido manualmente.</p> <h2 id="por-que-isso-importa-para-aplicações-reais">Por Que Isso Importa para Aplicações Reais</h2> <p>Algumas coisas que se tornam significativamente mais fáceis quando a rede é modelada no Aspire:</p> <p><strong>Endpoints privados para Key Vault e armazenamento</strong> — você descreve <code>WithPrivateEndpoint()</code> nesses recursos, e o Aspire lida com a configuração da zona DNS e o anexo de endpoints. A aplicação nunca muda.</p> <p><strong>IPs de saída consistentes</strong> — adicione um gateway NAT à sub-rede relevante e cada solicitação de saída da sua aplicação passa por um IP conhecido e estável. Os parceiros podem incluí-lo na lista de permissões. Os auditores podem rastreá-lo.</p> <p><strong>Regras NSG do código</strong> — em vez de clicar no portal ou manter um trecho Bicep, suas regras de segurança vivem no AppHost ao lado dos recursos que protegem.</p> <p>Este é o tipo de integração que não torna as demonstrações emocionantes, mas torna os sistemas de produção manuteníveis.</p> <h2 id="conclusão">Conclusão</h2> <p>A segurança de rede aparecendo tarde no ciclo de vida do projeto é um problema resolvido se você a modelar junto com a aplicação desde o início. O suporte de rede empresarial do Aspire torna isso possível sem exigir um rastreamento de infraestrutura separado.</p> <p>Detalhes completos na publicação original: <a href="https://devblogs.microsoft.com/aspire/aspire-azure-enterprise-networking/">Securing Azure apps with Aspire enterprise networking</a></p>