> ## Documentation Index
> Fetch the complete documentation index at: https://clickhouse.com/docs/llms.txt
> Use this file to discover all available pages before exploring further.
# BYOC on Azure 私有网络设置
> 为 BYOC on Azure 配置 VNet 对等互连或 Private Link
export const Image = ({img, alt, size = "lg"}) => {
const normalizedSize = ["sm", "md", "lg"].includes(size) ? size : "lg";
return ;
};
Azure 上的 ClickHouse BYOC 支持两种私有连接选项：[Azure 虚拟网络对等互连](https://learn.microsoft.com/azure/virtual-network/virtual-network-peering-overview)和 [Azure Private Link](https://learn.microsoft.com/azure/private-link/private-link-overview)。两者均可确保流量始终通过 Azure 骨干网络传输，不会经过公网。
## 前置条件
VNet 对等互连和 Private Link 共用的步骤。
### 为 ClickHouse BYOC 启用私网负载均衡器
在 ClickHouse Cloud 控制台中，为您的 BYOC 基础设施启用**私网负载均衡器**。两种连接选项都会经由此内部负载均衡器，因此在启用它之前均无法使用。
记下基础设施的**易读名称**。ClickHouse 会将您的 BYOC 基础设施部署到您自己的 Azure 订阅中，部署在名为 `clickhouse-cloud--default` 的托管资源组内。您可在该资源组中找到以下步骤所需的 BYOC VNet。
## 配置 VNet 对等互连
开始前，请先了解 [Azure 虚拟网络对等互连](https://learn.microsoft.com/azure/virtual-network/virtual-network-peering-overview)及其[要求和约束](https://learn.microsoft.com/azure/virtual-network/virtual-network-manage-peering#requirements-and-constraints)。ClickHouse BYOC 使用私网负载均衡器，使网络可通过对等互连连接到 ClickHouse 服务。
示例步骤适用于简单场景：您的一个 VNet 直接与 BYOC VNet 建立对等互连。对于中心辐射型拓扑或本地部署连接等高级场景，需要进行一些调整——请参阅[限制](#vnet-peering-limitations)。
### 对等互连的其他前置条件
**地址空间不能重叠。** 对等互连的虚拟网络不能使用重叠的 IP 地址范围。请将您的 VNet 地址空间与 Azure 门户中 BYOC VNet **Overview** 页面显示的 BYOC VNet 地址空间进行比较。如果两者重叠，请改用 Private Link。
**权限。** 创建对等互连需要在*两个*虚拟网络上拥有 `Microsoft.Network/virtualNetworks/virtualNetworkPeerings/write` 和 `Microsoft.Network/virtualNetworks/peer/action` 权限。内置 **网络参与者** 角色包含这些权限。请参阅[虚拟网络对等互连权限](https://learn.microsoft.com/azure/virtual-network/virtual-network-manage-peering#permissions)。
1. 登录 [Azure 门户](https://portal.azure.com)，并切换到 **BYOC 订阅**。
2. 搜索 **虚拟网络**，然后选择位于 `clickhouse-cloud--default` 资源组中的 BYOC VNet。
3. 在 **设置** 下，选择 **对等互连**，然后选择 **+ 添加**。
4. 填写对等互连的两端：
5. 单击 **添加**。
Azure 对等互连由两个部分组成，每个方向各一个；只有两个部分都创建完成后，流量才能流通。如果门户已在上一步中创建了两个部分，请跳过此步骤。
如果您仅创建了 BYOC 侧的部分 (因为您的 VNet 位于其他订阅或租户中) ，其状态将为 **已启动**。请从您自己的 VNet 创建对应的部分：
1. 切换到拥有您的 VNet 的订阅，并使用在该订阅中具有 **网络参与者** 角色的账户登录。
2. 选择您的 VNet，然后选择 **对等互连** → **+ 添加**。
3. 选择 **我知道我的资源 ID**，粘贴 **BYOC VNet 资源 ID**，并选择拥有 BYOC 订阅的 **目录**。如果出现提示，请选择 **身份验证**。
4. 选择 **添加**。
在任一虚拟网络中打开 **对等互连**。两侧的 **对等互连状态** 都必须显示为 **已连接**。某一端持续处于 **已启动** 状态，表示另一端尚未创建；显示 **已断开连接** 则表示另一端已被删除。
无需更改路由表。Azure 会自动在两侧为对等互连地址空间安装系统路由。您可以在 VNet 中任一网络接口的 **有效路由** 下进行确认，其中 BYOC 地址空间的下一跳类型应显示为 **VNet 对等互连**。
BYOC 子网受 ClickHouse 管理的[网络安全组](https://learn.microsoft.com/azure/virtual-network/network-security-groups-overview)保护，该安全组默认拒绝 VNet 内部流量。由于 [`VirtualNetwork` 服务标签](https://learn.microsoft.com/azure/virtual-network/service-tags-overview#available-service-tags)涵盖已对等互连 VNet 的地址空间，因此在添加允许入站流量的规则之前，通过对等互连到达的流量会被丢弃。
请联系 ClickHouse 支持团队，请求添加包含已对等互连 VNet CIDR 范围的入站规则。若不执行此步骤，对等互连会显示为 **已连接**，但连接将超时。
要私密访问 ClickHouse，系统会预配私网负载均衡器和端点，以便从已对等互连的 VNet 安全连接。私网端点遵循公网端点的格式，并带有 `-private` 后缀。例如：
* **公网端点**：`h5ju65kv87.mhp0y4dmph.westus3.azure.clickhouse-byoc.com`
* **私网端点**：`h5ju65kv87-private.mhp0y4dmph.westus3.azure.clickhouse-byoc.com`
### 限制
**对等互连不具备传递性。** 只有与 BYOC VNet 直接建立对等互连的 VNet 才能访问您的服务。中心辐射型拓扑中位于中心 VNet 后方的辐射 VNet 客户端，以及通过 ExpressRoute 或 VPN 网关接入的本地客户端，均无法通过单个对等互连访问服务。这些拓扑需要额外配置，例如 **允许转发流量** 和网关传输 — 请参阅[网关和本地连接](https://learn.microsoft.com/azure/virtual-network/virtual-network-peering-overview#gateways-and-on-premises-connectivity) — 或改用 Private Link。
**跨区域对等互连可用，但成本更高。** 不同区域中 VNet 之间的对等互连属于全局对等互连，可正常访问 ClickHouse — BYOC 私网负载均衡器为 Standard SKU 内部负载均衡器，而 Azure 对通过全局对等互连访问负载均衡器前端的限制仅适用于 Basic SKU 负载均衡器。您需要承担额外的往返延迟和[跨区域数据传输费用](https://azure.microsoft.com/pricing/details/virtual-network)。对于延迟敏感型工作负载，建议使用同区域对等互连。如果跨区域对等互连显示为 **已连接**，但连接仍然失败，则并非区域导致的问题 — 最常见的原因是缺少允许您地址空间入站流量的网络安全组规则，因此请联系 ClickHouse 支持团队。
**地址空间变更需要重新同步。** 如果在建立对等互连后调整 VNet 的地址空间，请[同步对等互连](https://learn.microsoft.com/azure/virtual-network/update-virtual-network-peering-address-space)，以通告新的地址范围，并联系 ClickHouse 支持团队扩展入站网络安全组规则，使其涵盖这些范围。
**对等互连流量需计费。** Azure 会对通过对等互连的入口和出口流量收费。请参阅[虚拟网络定价](https://azure.microsoft.com/pricing/details/virtual-network)。
### 删除对等互连
可从任一端删除对等互连。删除其中一端会断开连接，并使另一端处于 **已断开连接** 状态，因此请删除两端以彻底清理。请参阅[删除对等互连](https://learn.microsoft.com/azure/virtual-network/virtual-network-manage-peering#delete-a-peering)。
## 设置 Private Link
Azure Private Link 为您的 ClickHouse BYOC 服务提供安全的私网连接。所有流量均通过 Azure 网络传输，确保不会经过公网。
请确保已启用**私网负载均衡器**，这是前置条件。
获取端点服务名称} id="step-2-obtain-endpoint-service-name">
1. 在 ClickHouse Cloud 控制台中，前往要通过 Private Link 连接的服务的 Settings 页面。
2. 点击“Set up private endpoint”。
3. 在打开的弹出面板中，复制 `Service name` (Private Link 服务别名) 和 `DNS name` 的值——后续步骤中会用到它们。 (启用 Private Link 后，这些值可能需要一段时间才会生成。)
1. 打开您自己的 **Azure 门户** (即客户端应用程序所在的 Azure 订阅) → **Network Foundation** → **Private endpoints** → **Create**。
2. 在 **Basics** 选项卡中，选择专用终结点的订阅、资源组、名称和区域。该区域应与客户端应用程序连接所在的 VNet 区域相同。
3. 在 **Resource** 选项卡中，选择 **Connect to an Azure resource by resource ID or alias**，然后输入上一步获取的 `Service name`。
4. 在 **Virtual Network** 选项卡中，选择要创建专用终结点的虚拟网络和子网。您也可以附加应用程序安全组，以过滤流向专用终结点的流量。
5. 继续完成其余选项卡，然后单击 **Create**。创建的专用终结点的 **Connection status** 将保持 **Pending** 状态，直到您在后续步骤中将其 `Resource ID` 添加到 ClickHouse 服务允许列表。
6. 打开与专用终结点关联的网络接口，并复制 **Private IPv4 address**；您将在 DNS 设置步骤中使用它。
将专用终结点的 Resource ID 添加到 ClickHouse 服务允许列表} id="step-4-add-endpoint-id-to-services-allow-list">
要获取专用终结点 Resource ID，请在 Azure 门户中打开之前创建的专用终结点，点击 **JSON 视图**，然后复制顶层的 `id` 字段 (即视图顶部显示的 **Resource ID**，格式为 `/subscriptions/.../providers/Microsoft.Network/privateEndpoints/`) 。请勿使用 `properties` 对象中嵌套的 `id` 字段：
1. 在 ClickHouse Cloud 控制台中，前往要通过 Private Link 连接的 ClickHouse 服务的 Settings 页面。
2. 点击“设置专用终结点”。
3. 在打开的弹出面板中，将上面获取的 `Resource ID` 填入 `Endpoint ID` 字段，也可选择填写描述。
4. 点击“创建端点”。
如果要允许通过现有 Private Link 连接访问，请使用现有端点下拉列表。
下拉列表会显示同一基础设施内各服务的现有 Private Link 连接。
无需在 Azure 门户中手动批准——将 `Resource ID` 添加到允许列表后，端点连接会自动获批，其 `LinkID` 也会自动添加到 ClickHouse 服务的 Istio `AuthorizationPolicy` 中。您的订阅中该专用终结点的**连接状态**将变为**已批准**。
DNS 的配置方式多种多样。请根据具体用例配置 DNS。
您需要将 "DNS name" 的所有子域名 (通配符) (即服务 ID 后的所有内容，例如 `privatelink.mhp0y4dmph.westus3.azure.clickhouse-byoc.com`) 指向专用终结点 IP 地址。这样可确保 VNet 内的服务/组件能够正确解析该名称。以下是使用 Azure Private DNS 的典型配置：
1. [创建专用 DNS 区域](https://learn.microsoft.com/en-us/azure/dns/private-dns-getstarted-portal)，名称为去除开头服务 ID 后的 "DNS name"，例如 `privatelink.mhp0y4dmph.westus3.azure.clickhouse-byoc.com`。
2. 在该区域中创建通配符记录集：将 **Name** 设为 `*`，并在 **IP Address** 中输入之前复制的专用终结点 IP 地址。
3. [将专用 DNS 区域链接到虚拟网络](https://learn.microsoft.com/en-us/azure/dns/private-dns-getstarted-portal#link-the-virtual-network)，以便 VNet 中的客户端能够解析该区域。
在 VNet 内的主机上验证 DNS 配置——"DNS name" 应解析为专用终结点 IP：
```bash theme={null}
nslookup h5ju65kv87.privatelink.mhp0y4dmph.westus3.azure.clickhouse-byoc.com
```
1. 在 ClickHouse Cloud 控制台中，进入服务的设置页面。
2. 点击“设置专用终结点”。
3. 在打开的弹出面板中，复制 `DNS name`。
通过 Private Link 访问 ClickHouse 服务由服务级 **Istio Authorization Policy** 控制，该策略由 ClickHouse 在您的 BYOC 基础设施中管理。