한눈에 보기
- PaaS(스토리지·SQL 등)에 안전하게 연결하는 두 방식 Private Endpoint와 Service Endpoint를 비교합니다.
- 핵심: Service Endpoint는 공용 IP를 유지하되 VNet만 허용, Private Endpoint는 사설 IP를 VNet 안에 부여.
- 온프레미스·피어링까지 사설로 닿아야 하면 Private Endpoint.
스토리지나 SQL 같은 PaaS는 기본이 공용 엔드포인트입니다. 이를 내 네트워크로만 제한하는 방법이 두 가지인데, 보안 수준과 구조가 다릅니다.
두 방식 비교
| 구분 | Service Endpoint | Private Endpoint |
|---|---|---|
| 주소 | 서비스의 공용 IP 유지 | VNet 내 사설 IP 부여 |
| 접근 제어 | 특정 VNet/서브넷만 허용 | 사설 연결, 공용 노출 차단 가능 |
| 온프레미스 | 기본적으로 미지원 | 지원(사설 IP로 도달) |
| 비용 | 무료 | 시간당+처리 요금 |
| 적합 | VNet 내부만, 간단·무료 | 완전 사설·하이브리드 |
Service Endpoint: 간단하고 무료
서브넷에 서비스 엔드포인트를 켜고, 대상 리소스 방화벽에서 그 VNet만 허용합니다. 트래픽은 Azure 백본으로 흐르고 공용 IP는 유지됩니다. 빠르고 무료지만, 온프레미스에서 사설로 접근하긴 어렵습니다.
Private Endpoint: 완전한 사설 연결
대상 PaaS에 VNet 내부의 사설 IP가 생깁니다(프라이빗 링크). 공용 접근을 막고, 피어링·VPN·ExpressRoute를 통해 온프레미스에서도 사설로 접근합니다. 대신 시간당 요금과 프라이빗 DNS 영역 설정이 필요합니다.
# 스토리지에 Private Endpoint 생성(개념 예시)
az network private-endpoint create -g <RG> -n pe-st \
--vnet-name <VNET> --subnet <SUBNET> \
--private-connection-resource-id <STORAGE_ID> \
--group-id blob --connection-name conn-st이렇게 고르세요
- VNet 내부에서만, 무료·간단 → Service Endpoint.
- 공용 노출 완전 차단·온프레미스 접근 → Private Endpoint.
- 규제·내부망 요건이 있으면 Private Endpoint가 사실상 표준.
흔한 실수
- Private Endpoint 만들고 DNS 미설정 — 이름이 공용 IP로 풀려 연결이 안 됩니다. 프라이빗 DNS 영역을 꼭 연결하세요.
- 공용 접근을 안 막음 — Private Endpoint만 만들고 공용 네트워크 접근을 열어두면 노출이 남습니다.
- Service Endpoint로 온프레미스 기대 — 기본 구조상 맞지 않습니다.
자주 묻는 질문(FAQ)
- Q. 둘 중 더 안전한 건? A. 공용 노출을 없애는 Private Endpoint가 더 강합니다. 단, 비용·DNS 설정이 따릅니다.
- Q. Private Endpoint는 왜 연결이 안 되죠? A. 대개 프라이빗 DNS 영역 미설정 때문입니다. 이름이 사설 IP로 풀리는지 확인하세요.
- Q. 무료로 시작하려면? A. VNet 내부만 필요하면 Service Endpoint로 충분합니다.
마치며
VNet 내부만이면 Service Endpoint(무료·간단), 완전 사설·온프레미스 접근이면 Private Endpoint. Private Endpoint를 쓸 땐 프라이빗 DNS 설정을 잊지 마세요.