Pasarela de red privada

Una pasarela de red privada conecta el cálculo serverless de Azure Databricks a uno o más recursos de tu VNet a través de una única pasarela gestionada.

Después de delegar una subred de tu VNet a Azure Databricks, tu entorno serverless puede acceder a los recursos que esa subred puede, incluyendo redes conectadas de forma transitiva a tu VNet, como sistemas locales a través de ExpressRoute o una VPN.

Databricks recomienda crear una nueva subred dedicada a la puerta de enlace privada y delegarla en Azure Databricks. Asegúrate de que la subred tenga conectividad de salida hacia todos los recursos de destino a los que pretendes acceder a través de la puerta de enlace.

Una pasarela de red privada complementa Private Link en lugar de reemplazarla:

• Utiliza una regla de punto de conexión privado de Private Link para establecer una conexión directa y privada con un recurso específico gestionado en la nube, como el almacenamiento de objetos.
• Utiliza una puerta de enlace de red privada para acceder a los recursos de tu VNet o de una red conectada, o para enrutar el tráfico saliente sin servidor a través de tu propio cortafuegos o de una ruta de salida dedicada.

Para configurar una pasarela de red privada, consulte Configurar una pasarela de red privada.

Overview

Una pasarela de red privada cubre varias necesidades de conectividad sin servidor con una sola configuración:

• Conectividad amplia sin necesidad de incorporación por recurso. Accede a muchos recursos en tu VNet, o a sistemas locales a través de una ExpressRoute o VPN conectada, sin configurar un punto final privado separado para cada recurso.
• Salida a través de tus propios dispositivos de seguridad. Dirige el tráfico de salida sin servidor a través de tu propio firewall o dispositivo de seguridad de red, como Palo Alto o el servicio de firewall de tu proveedor de nube, para que se inspeccione el contenido antes de que el tráfico salga de tu red.
• Direcciones IP de origen estables e identificables. Envía el tráfico de salida sin servidor desde tu propio conjunto de direcciones IP, de modo que los sistemas de destino puedan identificar el tráfico en la capa de red. Esto resulta útil para crear listas de permitidos seguras en entornos multitenant.

También puedes usar una pasarela de red privada para controlar cómo la computación serverless llega a internet:

• Firewall para acceso a internet sin servidor a través de tus propios dispositivos de seguridad.
• Accede a internet desde tu propio conjunto dedicado de direcciones IP.

Cómo funciona

Cuando creas una pasarela de red privada, Azure Databricks inyecta la puerta de enlace en la subred a la que delegaste Microsoft.Databricks/workspaces en tu VNet. El tráfico sin servidor hacia los destinos que configuras fluye a través de la puerta de enlace hacia tu VNet y luego hacia cualquier red a la que tu VNet se dirige, incluyendo redes conectadas de forma transitiva como sistemas locales a través de ExpressRoute o una VPN.

Azure Databricks evalúa el tráfico serverless saliente contra tus rutas de red configuradas en orden de prioridad, usando la primera ruta que coincide con el destino de cada conexión:

Los endpoints de servicio de Azure solo acceden a recursos públicos de Azure PaaS. No cubren recursos solo privados. El almacenamiento de blobs siempre se enruta a través de la ruta del punto de conexión del servicio de Azure y no puede ser anulado por una puerta de enlace de red privada.

Una pasarela de red privada funciona con tu red serverless existente de la siguiente manera:

• Reutiliza tu NCC existente: Una pasarela de red privada reutiliza tu configuración de conectividad de red (NCC) existente en lugar de introducir un nuevo modelo de objetos. Un NCC es un objeto a nivel de cuenta que gestiona redes serverless. Después de crear una pasarela de red privada dentro de un NCC y conectar ese NCC a tus espacios de trabajo, los productos serverless en esos espacios de trabajo pueden usar la pasarela automáticamente.
• Los controles de salida permiten automáticamente los destinos del gateway: Cuando configuras un gateway de red privada en modo SPECIFIC_DESTINATIONS, Azure Databricks permite automáticamente los destinos que especifiques en tu control de tráfico de salida sin servidor. No necesitas añadirlos por separado a tu política de red. Esto refleja la forma en que los dominios añadidos como entradas de Private Link para un equilibrador de carga de red se incluyen implícitamente en la lista de permitidos. Sin embargo, si tu puerta de enlace de red privada está en modo ALL_TRAFFIC, debes añadir explícitamente a tu política de red de tráfico saliente todos los destinos a los que quieras conectarte a través de la puerta de enlace. Para más información, consulta ¿Qué es el control de salida serverless?.
• Las reglas de punto final privado tienen prioridad: Si existe una regla de punto final privado para un recurso específico, el tráfico hacia ese recurso siempre utiliza el punto final privado en lugar de la pasarela de red privada, incluso en ALL_TRAFFIC modo.

Modos de tráfico

Una puerta de enlace dirige el tráfico en uno de dos modos, según se establezca con traffic_mode al crearla.

• SPECIFIC_DESTINATIONS. Solo dirige a través de la pasarela los nombres DNS que enumeres en destinations. Todo el resto del tráfico sigue las reglas de enrutamiento existentes. Este modo se recomienda para la mayoría de los usos porque ofrece un control preciso sin afectar al tráfico no relacionado.
• ALL_TRAFFIC. Todo el tráfico saliente del cómputo sin servidor se enruta a través de la puerta de enlace, excepto el tráfico que corresponda a una ruta más específica, como Private Link. Usa este modo cuando necesites que todas las salidas pasen por tu propio cortafuegos o dispositivo de seguridad.

Se admite la coincidencia de sufijo de destino para el modo SPECIFIC_DESTINATIONS: por ejemplo, especificar mydb.contoso.com también coincide con sub.mydb.contoso.com.

Limitations

Se aplican las siguientes limitaciones durante la versión preliminar:

• La puerta de enlace y su subred deben estar en la misma región que el NCC.
• Puedes configurar el gateway usando la consola de la cuenta, la API REST de Networking v1 o Terraform.
• Los gateways de Azure soportan niveles de ancho de banda de 10, 30, 50 y 100 Gbps. La consola de la cuenta selecciona inicialmente 30 Gbps.
• Una pasarela se conecta a recursos de tu VNet y de las redes conectadas transitivamente. No se conecta a servicios alojados en la nube, como Azure Data Lake Storage, que utilizan endpoints de servicio.
• Una pasarela admite productos serverless de Azure Databricks Runtime y servicios de IA.
• Un NCC soporta como máximo dos gateways. Una pasarela soporta como máximo dos resolvers DNS y como máximo 100 destinos.