Script · M4 — Redes (AZ-104 · 20–25% · ~1 h)

Formato de gravação: tela operada ~99%, voz narrando (TTS pt-BR). Região: East US · Narrativa: empresa ControlCrest.

Como ler: >> ACAO: = ação na tela (não falado); [pausa Ns] = silêncio; texto puro = narração. Blocos ★ prioritários. Custo (REGRA RÍGIDA): rede pura é grátis; borda (Bastion/VPN GW/App GW/LB) → criar → demonstrar → deletar na sessão. Nunca ficam ligados.

Bloco 1 — Criar a VNet e subnets ★

ACAO: busca "Virtual networks", clica em + Create [pausa 2s] A rede é o esqueleto que conecta tudo. Vamos criar a rede virtual da ControlCrest. [pausa 1s] ACAO: escolhe assinatura e rg-core, digita vnet-prd [pausa 2s] ACAO: aponta para o campo de address space [pausa 2s] Repare na notação CIDR. O endereço da rede precisa ser planejado para não conflitar com as outras redes da empresa, senão vira confusão na hora de conectar. [pausa 2s] ACAO: seleciona a região East US [pausa 1s] ACAO: clica na aba IP Addresses, mostra a subnet padrão [pausa 2s] ACAO: adiciona a subnet web e aponta para os endereços reservados [pausa 3s] Aqui vale uma pegadinha de prova: dentro de cada subnet, o Azure reserva alguns endereços. Cada sub-rede perde alguns IPs para rede, broadcast, gateway e DNS. [pausa 2s]

Bloco 2 — Peering (conexão entre VNets)

ACAO: na vnet-prd, clica em Peerings -> + Add [pausa 2s] Agora vamos conectar duas redes. Repare que o peering conecta redes virtuais. [pausa 1s] ACAO: escolhe a vnet de destino e o nome do peering [pausa 2s] ACAO: mostra as opções de permitir tráfego e trânsito [pausa 2s] ACAO: mostra a segunda direção do peering no retorno [pausa 3s] E a pegadinha de prova mais clássica de redes: peering não é transitivo. Se a rede A conecta com a B, e a B com a C, a A não fala diretamente com a C. [pausa 2s]

Bloco 3 — IPs público e privado

ACAO: busca "Public IP addresses", clica em + Create [pausa 2s] Vamos dar um endereço público dedicado a alguma coisa. [pausa 1s] ACAO: usa um IP com SKU Standard e atribuição estática [pausa 2s] Existe um conceito de prova aqui: o IP público básico está sendo aposentado, o padrão é o Standard e estático. E cada VM tem seu IP privado dinâmico. [pausa 2s]

Bloco 4 — Rotas (UDR)

ACAO: em vnet-prd -> Route tables, clica em + Create [pausa 2s] Aqui a gente define os caminhos do tráfego. Uma tabela de rotas define onde o pacote vai quando a rota padrão não serve. [pausa 1s] ACAO: cria uma tabela, adiciona uma rota para 10.0.0.0/16 -> Appliance [pausa 3s] Uma rota definida pelo usuário aponta o tráfego para um aparelho virtual. É o jeito de enviar tráfego por um firewall, por exemplo. [pausa 2s]

Bloco 5 — NSG e ASG (segurança) ★

ACAO: busca "Network security groups", clica em + Create [pausa 2s] Agora a regra de fogo. O grupo de segurança de rede controla o que entra e o que sai. [pausa 1s] ACAO: cria um NSG, clica em Inbound security rules -> + Add [pausa 2s] ACAO: cria uma regra que permite HTTPS na porta 443, com prioridade 100 [pausa 3s] Repare na ordem: as regras são avaliadas pela prioridade. Número menor vem antes. E tem uma pegadinha sobre a prioridade: o Azure avalia do menor para o maior. [pausa 2s] ACAO: mostra o uso de service tags e application security group [pausa 2s] O ASG agrupa máquinas virtuais por aplicação, o que simplifica as regras. E no NSG você pode usar service tags, que são grupos de endereços gerenciados pelo Azure. [pausa 2s] ACAO: associa o NSG a uma subnet [pausa 2s]

Bloco 6 — Bastion, service e private endpoint ★

ACAO: busca "Bastions", clica em + Create [pausa 2s] Para acessar as máquinas de forma segura, existe o Bastion. Ele é o cesso por jumpbox. [pausa 1s] ACAO: configura o Bastion na subnet AzureBastionSubnet [pausa 2s] ACAO: mostra que dá para acessar uma VM por RDP/SSH sem expor porta pública [pausa 3s] Agora, os endpoints. O service endpoint e o private endpoint são coisas diferentes. [pausa 1s] ACAO: em um recurso, mostra a opção de service endpoint [pausa 2s] O service endpoint conecta uma subnet a um serviço, mas o tráfego ainda é roteado pela rede pública do Azure. O service endpoint ainda é público. [pausa 2s] ACAO: mostra a opção de private endpoint [pausa 2s] O private endpoint dá um IP privado real ao serviço e desliga o acesso público. Essa é a diferença de prova: private endpoint não é público. [pausa 2s]

Bloco 7 — Azure Firewall

ACAO: busca "Firewalls", clica em + Create [pausa 2s] Para inspeção de tráfego, o firewall do Azure. Ele é stateful e trabalha em camada quatro e sete. [pausa 1s] ACAO: cria o firewall e mostra a rede do hub [pausa 2s] A pegadinha de prova: o firewall do Azure é stateful, ou seja, ele mantém o estado da conexão. E ele é roteado por rotas definidas pelo usuário. [pausa 2s]

Bloco 8 — Balanceamento (LB × App Gateway) ★

ACAO: busca "Load balancers", clica em + Create [pausa 2s] Para distribuir o tráfego, o balanceador de carga. Ele trabalha na camada quatro. [pausa 1s] ACAO: cria um balanceador, mostra o backend pool e a configuração de porta [pausa 3s] ACAO: mostra a sonda de saúde [pausa 1s] O balanceador usa regras e sondas de saúde para mandar o tráfego só para servidores saudáveis. Tem o balanceador público e o interno. O interno é só para dentro da rede. [pausa 2s] ACAO: busca "Application gateway", clica em + Create [pausa 2s] ACAO: aponta para a camada sete e o WAF [pausa 2s] O Application Gateway é de camada sete, e vem com o WAF. Ele trabalha com a aplicação, não só com a camada de transporte. [pausa 2s]

Bloco 9 — Network Watcher (troubleshoot)

ACAO: busca "Network Watcher", aponta para as ferramentas [pausa 2s] Para diagnosticar, o Network Watcher. Aqui tem a verificação de fluxo IP e a solução de problemas de conexão. [pausa 1s] ACAO: mostra a opção de IP flow verify e connection troubleshoot [pausa 2s]

Encerramento do M4

ACAO: mostra a topologia da rede criada [pausa 1s] Com isso, a rede da ControlCrest conecta tudo em segurança. Lembre que rede pura é grátis, mas os serviços de borda — o Bastion, o balanceador e o firewall — a gente demonstra na sessão e deleta, para não dormirem ligados. [pausa 2s]

Checklist do instrutor (M4)

• Narração batendo com os blocos 1–9 (~1 h).
• VNet + subnets (pegadinha dos IPs reservados).
• Peering demonstrado (pegadinha não transitivo).
• IP público Standard/estático.
• UDR (rota para appliance).
• NSG/ASG + prioridade + service tags.
• Bastion (acesso seguro); service vs private endpoint (pegadinha).
• Azure Firewall (stateful, via UDR).
• LB (camada 4) vs App Gateway (camada 7 + WAF).
• Network Watcher (IP flow verify / connection troubleshoot).
• Borda deletada na sessão (Bastion, LB, App GW, Firewall, VPN GW).

Próximo: M5 · Monitoramento & Backup — aproximar a narrativa de observabilidade e DR.