Red y seguridad · Entrada, salida y acceso privado

El navegador descarga las webs y consulta APIs por el WAF compartido. El origen Static Web Apps sigue siendo un endpoint público, con allowedIpRanges limitado a la IP pública del WAF; no se despliega un Private Endpoint para esas webs.
WAF → Nginx usa HTTPS privado. Nginx solo admite la subred del gateway; las APIs tienen ingress interno al entorno ACA y validan identidad, rol y propietario.
HTTP 80 solo sirve /.well-known/acme-challenge/*; las demás rutas redirigen a HTTPS. La conexión WAF → orígenes valida cadena TLS y SNI.

Las UDR de apps y Functions incluyen rutas específicas hacia endpoints/datos por el Firewall. Las políticas de red de los PE están activadas y los NSG restringen entrada/salida; el Firewall hace SNAT para mantener el retorno.
Dev no puede acceder a los datos de Prod, ni Prod a los de Dev. No hay peering directo entre spokes. La administración autorizada tiene reglas específicas para ambos entornos.
El agente inicia HTTPS saliente a GitHub para recibir trabajos. No necesita una IP pública ni conexiones entrantes desde GitHub. Repo, etiquetas y permisos OIDC se configuran por separado.
La subred del Application Gateway no tiene una UDR 0/0 al Firewall: sus conexiones a SWA y su integración de plataforma siguen el diseño del gateway.

Cosmos, Storage, Functions, Event Grid habilitado y vaults mantienen acceso público deshabilitado. El PaaS está fuera de la VNet: dentro están sus interfaces Private Endpoint y las integraciones de cómputo.
El vault TLS conserva bypass AzureServices para que Application Gateway valide su secreto. Su identidad solo puede leer waf-tls. Los vaults de aplicación usan bypass None.
El emisor privado de certificados lee su cuenta ACME en AKV y usa un lease en certificate-locks. No tiene permiso para leer el contenedor tfstate.
Las zonas DNS y vínculos son recursos de control globales, no servidores alojados en una subred. Los nombres privados los resuelve el proxy DNS del Firewall.
CIDR, capacidades y regiones son valores de referencia. El detalle y los recuentos de objetos están en Recursos incluidos; carga, restauración y acceso corporativo requieren validación propia.