Gateway voor privénetwerk

Een private network gateway verbindt Azure Databricks serverless compute met één of meer resources in je VNet via één beheerde gateway.

Nadat je één subnet in je VNet hebt gedelegeerd aan Azure Databricks, kan je serverloze omgeving de resources bereiken die dat subnet kan, inclusief netwerken die transitief verbonden zijn met je VNet zoals on-premises systemen via ExpressRoute of een VPN.

Databricks raadt aan om een nieuw subnet te creëren dat toegewijd is aan de private netwerkgateway en dit te delegeren aan Azure Databricks. Zorg ervoor dat het subnet downstream-connectiviteit heeft met alle resource-doelen die je via de gateway wilt bereiken.

Een private netwerkgateway vult Private Link aan in plaats van deze te vervangen:

• Gebruik een Private Link private endpoint-regel voor een directe, private verbinding met een specifieke cloudbeheerde bron, zoals objectopslag.
• Gebruik een privénetwerkgateway om bronnen in je VNet of een verbonden netwerk te bereiken, of om serverloze uitgangen via je eigen firewall of een speciaal uitgangspad te leiden.

Om een private netwerkgateway op te zetten, zie Configureer een private netwerkgateway.

Overview

Een private network gateway voldoet aan verschillende serverloze connectiviteitsbehoeften met één enkele setup:

• Brede connectiviteit zonder ingebruikname per resource. Bereik veel bronnen in je VNet, of on-premises systemen via een verbonden ExpressRoute of VPN, zonder voor elke bron een apart privé-eindpunt te configureren.
• E-out via je eigen beveiligingsapparatuur. Routeer serverless egress via je eigen firewall of netwerkbeveiligingsapparaat, zoals Palo Alto of de firewalldienst van je cloudprovider, voor contentinspectie voordat het verkeer je netwerk verlaat.
• Stabiele, identificeerbare bron-IP-adressen. Stuur serverless egress vanaf je eigen set IP-adressen, zodat downstream-systemen het verkeer op de netwerklaag kunnen identificeren. Dit is handig voor veilige allowlisting in multi-tenant omgevingen.

Je kunt ook een privénetwerkgateway gebruiken om te bepalen hoe serverless compute het internet bereikt:

• Beveilig serverloze toegang tot internet via uw eigen beveiligingsapparaten.
• Bereik het internet via je eigen toegewijde set IP-adressen.

Hoe werkt het?

Wanneer je een privé-netwerkgateway maakt, injecteert Azure Databricks de gateway in het subnet in je VNet dat je hebt gedelegeerd aan Microsoft.Databricks/workspaces. Serverloos verkeer naar de door je configurerende bestemmingen stroomt via de gateway naar je VNet en verder naar elk netwerk waar je VNet naartoe leidt, inclusief transitief verbonden netwerken zoals on-premises systemen via ExpressRoute of een VPN.

Azure Databricks evalueert uitgaand serverloos verkeer tegen je geconfigureerde netwerkpaden in prioriteitsvolgorde, waarbij het eerste pad wordt gebruikt dat overeenkomt met de bestemming van elke verbinding:

Azure service endpoints bereiken alleen openbaar toegankelijke Azure PaaS-resources. Ze dekken geen uitsluitend particuliere bronnen. Blobopslag loopt altijd via het Azure-service-eindpunt pad en kan niet worden overschreven door een private netwerkgateway.

Een private netwerkgateway werkt als volgt met je bestaande serverless netwerk:

• Hergebruikt je bestaande NCC: Een private netwerkgateway hergebruikt je bestaande netwerkconnectiviteitsconfiguratie (NCC) in plaats van een nieuw objectmodel te introduceren. Een NCC is een account-niveau object dat serverless netwerken beheert. Nadat je een private netwerkgateway binnen een NCC hebt gemaakt en die NCC aan je werkruimtes hebt gekoppeld, kunnen de serverless producten in die werkruimtes automatisch de gateway gebruiken.
• Met egress controls kunnen gatewaybestemmingen automatisch worden toegestaan: Wanneer je een private netwerkgateway configureert in de modus SPECIFIC_DESTINATIONS, staat Azure Databricks automatisch de bestemmingen toe die je opgeeft in je serverloze uitgaandeverkeerscontrole. Je hoeft ze niet apart aan je netwerkbeleid toe te voegen. Dit weerspiegelt hoe domeinen die als Private Link-vermeldingen voor een network load balancer worden toegevoegd, impliciet op de lijst met toegestane items worden geplaatst. Als je privénetwerkgateway echter in ALL_TRAFFIC modus staat, moet je expliciet alle bestemmingen toevoegen waarmee je via de gateway wilt verbinden aan je uitgangsnetwerkbeleid. Voor meer informatie, zie Wat is serverless egress control?.
• Regels voor privé-eindpunten hebben voorrang: Als er een privé-eindpuntregel bestaat voor een specifieke hulpbron, gebruikt het verkeer naar die bron altijd het privé-eindpunt in plaats van de privé-netwerkgateway, zelfs in ALL_TRAFFIC modus.

Verkeersmodi

Een gateway routeert verkeer in een van twee modi, ingesteld door traffic_mode wanneer je deze maakt.

• SPECIFIC_DESTINATIONS. Leidt alleen de DNS-namen die je vermeldt destinations via de gateway. Al het overige verkeer volgt de bestaande routeringsregels. Deze modus wordt aanbevolen voor de meeste gebruikssituaties omdat het fijnmazige controle biedt zonder invloed te hebben op niet-gerelateerd verkeer.
• ALL_TRAFFIC. Routeert al het uitgaande verkeer van serverless compute via de gateway, behalve verkeer dat overeenkomt met een specifiekere route zoals Private Link. Gebruik deze modus wanneer je wilt dat alle uitgangen door je eigen firewall of beveiligingsapparaat gaan.

Matching van bestemmingsachtervoegsels wordt ondersteund voor de modus SPECIFIC_DESTINATIONS: bijvoorbeeld komt het opgeven van mydb.contoso.com ook overeen met sub.mydb.contoso.com.

Limitations

De volgende beperkingen gelden tijdens de Privé Preview:

• De gateway en zijn subnet moeten zich in dezelfde regio bevinden als de NCC.
• Je configureert de gateway alleen via de account REST API. Er is geen ondersteuning voor de gebruikersinterface of Terraform.
• Een gateway verbindt met bronnen in je VNet en transitief verbonden netwerken. Het maakt geen verbinding met cloud-gehoste diensten, zoals Azure Data Lake Storage, die gebruikmaken van service-endpoints.
• Een gateway ondersteunt serverless Azure Databricks Runtime-producten.
• Een NCC ondersteunt hooguit twee gateways. Een gateway ondersteunt maximaal twee DNS-resolvers en maximaal 100 bestemmingen.