1 Azure Storage 방화벽 및 가상 네트워크 규칙 (Azure Storage Firewalls and Virtual Network Rules)

Azure Storage 계정은 기본적으로 인터넷을 통해 접근 가능하지만, 특정 IP 주소 범위나 가상 네트워크 (Virtual Network, VNet) 내에서만 접근을 허용하도록 강력한 방화벽 규칙을 설정할 수 있습니다. IP 기반 규칙은 온프레미스 네트워크나 특정 공용 IP에서만 접근을 허용할 때 유용하며, 가상 네트워크 규칙은 특정 서브넷 내의 Azure 리소스만 스토리지에 접근하도록 허용하여 보안 경계를 강화합니다. 이는 스토리지 계정 수준에서 가장 기본적인 네트워크 보안 제어 메커니즘을 제공합니다.

2 서비스 엔드포인트 (Service Endpoints) for Azure Storage

서비스 엔드포인트는 가상 네트워크 (VNet)의 특정 서브넷이 Azure 서비스(예: Storage, SQL Database)에 안전하게 연결될 수 있도록 해주는 기능입니다. 이는 트래픽을 Azure 백본 네트워크를 통해 직접 라우팅하여 공용 인터넷 노출을 줄이고, VNet의 ID를 서비스에 확장하여 서비스 방화벽에서 특정 서브넷의 접근만을 허용하도록 구성할 수 있게 합니다. 서비스 엔드포인트는 추가 비용 없이 구현 가능하며, VNet 내의 VM이나 서비스가 Storage에 보다 안전하고 최적화된 경로로 접근하도록 합니다.

3 프라이빗 엔드포인트 (Private Endpoints) 및 Azure Private Link

프라이빗 엔드포인트는 Azure 서비스(예: Storage 계정)에 대한 네트워크 인터페이스를 가상 네트워크 (VNet) 내에 직접 생성하여, 해당 서비스가 VNet의 사설 IP 주소를 가지도록 합니다. 이는 Azure Private Link 서비스에 의해 지원되며, 스토리지 트래픽이 공용 인터넷을 거치지 않고 VNet 내부에서만 이루어지도록 보장합니다. 프라이빗 엔드포인트를 사용하면 데이터 유출 (data exfiltration) 위험을 완벽하게 차단하고, 온프레미스에서 ExpressRoute나 VPN Gateway를 통해 VNet으로 연결된 경우에도 스토리지에 사설 IP로 안전하게 접근할 수 있게 됩니다.

**서비스 엔드포인트 vs. 프라이빗 엔드포인트 (Service Endpoints vs. Private Endpoints) 비교:** 두 기능의 목적, 구현 방식, 보안 수준, 비용 차이 (서비스 엔드포인트는 무료, 프라이빗 엔드포인트는 비용 발생)를 명확히 이해해야 합니다. 특히, 데이터 유출 방지 (data exfiltration protection) 관점에서 프라이빗 엔드포인트의 강점을 기억하세요.

**스토리지 계정 방화벽 규칙 적용 순서:** IP 기반 규칙과 가상 네트워크 (서비스 엔드포인트) 규칙이 어떻게 상호작용하는지, 'Public network access' 설정이 'Enabled from selected virtual networks and IP addresses' 또는 'Disabled' 일 때의 동작 방식을 이해하는 것이 중요합니다.

**DNS 해석 (DNS Resolution)의 중요성:** 프라이빗 엔드포인트를 사용할 때 Azure Private DNS Zone 또는 온프레미스 DNS 서버와의 통합을 통해 서비스 FQDN이 사설 IP로 올바르게 해석되도록 구성하는 것이 필수적입니다. 이는 프라이빗 엔드포인트가 작동하는 핵심 메커니즘 중 하나입니다.

**라우팅 고려사항:** 프라이빗 엔드포인트는 기본적으로 VNet 라우팅 테이블에 의해 처리되므로, UDR (User-Defined Routes)이나 강제 터널링 (Force Tunneling) 환경에서 프라이빗 엔드포인트 트래픽이 올바른 경로를 타는지 확인해야 합니다.