Gateway de rede privada

Um gateway de rede privada conecta a computação serverless do Azure Databricks a um ou mais recursos da sua VNet por meio de um único gateway gerenciado.

Depois que você delega uma sub-rede do seu VNet para o Azure Databricks, seu ambiente serverless pode alcançar os recursos que essa sub-rede alcança, incluindo redes conectadas transitivamente ao seu VNet, como sistemas on-premises via ExpressRoute ou uma VPN.

A Databricks recomenda criar uma nova sub-rede dedicada ao gateway de rede privada e delegá-la ao Azure Databricks. Certifique-se de que a sub-rede tenha conectividade a jusante com todos os alvos de recursos que você pretende alcançar pelo gateway.

Um gateway de rede privada complementa o Link Privado em vez de substituí-lo:

• Use uma regra de endpoint privado do Link Privado para uma conexão direta e privada com um recurso específico gerenciado em nuvem, como armazenamento de objetos.
• Use um gateway de rede privado para acessar recursos na sua VNet ou em uma rede conectada, ou para encaminhar o tráfego de saída sem servidor pelo seu próprio firewall ou por um caminho dedicado de saída.

Para configurar um gateway de rede privado, veja Configurar um gateway de rede privado.

Overview

Um gateway de rede privado atende a várias necessidades de conectividade serverless com uma única configuração:

• Conectividade ampla sem integração por recurso. Acesse muitos recursos no seu VNet, ou sistemas on-premises via um ExpressRoute ou VPN conectados, sem configurar um endpoint privado separado para cada recurso.
• Saída por meio dos seus próprios dispositivos de segurança. Roteie a saída serverless pelo seu próprio firewall ou dispositivo de segurança de rede, como Palo Alto ou o serviço de firewall do seu provedor de nuvem, para inspeção de conteúdo antes que o tráfego saia da sua rede.
• Endereços IP de origem estáveis e identificáveis. Envie saídas serverless do seu próprio conjunto de endereços IP, para que os sistemas downstream possam identificar o tráfego na camada de rede. Isso é útil para listas seguras de permissões em ambientes multi-inquilino.

Você também pode usar um gateway de rede privada para controlar como a computação serverless chega à internet:

• Firewall para acesso serverless à internet por meio dos seus próprios dispositivos de segurança.
• Acesse a internet a partir do seu próprio conjunto dedicado de endereços IP.

Como funciona

Quando você cria um gateway de rede privado, o Azure Databricks injeta o gateway na sub-rede para a qual você delegou Microsoft.Databricks/workspaces no seu VNet. O tráfego sem servidor para os destinos que você configura flui pelo gateway para dentro da sua VNet e segue para qualquer rede para a qual sua VNet encaminha o tráfego, incluindo redes conectadas de forma transitiva, como sistemas locais via ExpressRoute ou uma VPN.

O Azure Databricks avalia o tráfego serverless de saída em relação aos seus caminhos de rede configurados em ordem de prioridade, usando o primeiro caminho que corresponde ao destino de cada conexão:

Os endpoints de serviço Azure só alcançam recursos públicos do Azure PaaS. Eles não cobrem recursos exclusivos para privados. O armazenamento de blobs sempre roteia pelo caminho do endpoint de serviço do Azure e não pode ser sobrescrito por um gateway de rede privado.

Um gateway de rede privada funciona com sua rede serverless existente da seguinte forma:

• Reutiliza sua NCC existente: Um gateway de rede privado reutiliza sua configuração de conectividade de rede (NCC) existente, em vez de introduzir um novo modelo de objeto. Um NCC é um objeto em nível de conta que gerencia redes serverless. Depois que você cria um gateway de rede privado dentro de um NCC e conecta esse NCC aos seus workspaces, os produtos serverless nesses workspaces podem usar o gateway automaticamente.
• Os controles de saída permitem automaticamente destinos de gateway: Quando você configura um gateway de rede privada no modo SPECIFIC_DESTINATIONS, o Azure Databricks permite automaticamente os destinos especificados no seu controle de saída sem servidor. Você não precisa adicioná-los separadamente à sua política de rede. Isso reflete a forma como os domínios adicionados como entradas de Link Privado para um balanceador de carga de rede são implicitamente incluídos na lista de permissões. Se o gateway da sua rede privada estiver no modo ALL_TRAFFIC, porém, você deverá adicionar explicitamente à sua política de rede de saída todos os destinos aos quais pretende se conectar por meio do gateway. Para mais informações, consulte O que é controle de saída sem servidor?.
• Regras de endpoint privado têm precedência: Se existir uma regra de endpoint privado para um recurso específico, o tráfego para esse recurso sempre usa o endpoint privado em vez do gateway de rede privada, mesmo no ALL_TRAFFIC modo.

Modos de tráfego

Um gateway roteia o tráfego em um de dois modos, definidos por traffic_mode quando você o cria.

• SPECIFIC_DESTINATIONS. Encaminha apenas os nomes DNS que você listar em destinations por meio do gateway. Todo o restante tráfego segue as regras de roteamento existentes. Esse modo é recomendado para a maioria dos casos de uso porque oferece controle detalhado sem afetar o tráfego não relacionado.
• ALL_TRAFFIC. Direciona todo o tráfego de saída da computação sem servidor pelo gateway, exceto o tráfego que corresponda a uma rota mais específica, como o Link Privado. Use esse modo quando precisar que toda a saída passe pelo seu próprio firewall ou dispositivo de segurança.

A correspondência de sufixo de destino é compatível com o modo SPECIFIC_DESTINATIONS: por exemplo, especificar mydb.contoso.com também faz com que sub.mydb.contoso.com corresponda.

Limitações

As seguintes limitações se aplicam durante a Prévia Privada:

• O gateway e sua sub-rede devem estar na mesma região do NCC.
• Você configura o gateway apenas pela API REST da conta. Não há suporte para interface do usuário nem para Terraform.
• Um gateway conecta a recursos no seu VNet e redes conectadas transitivamente. Ele não se conecta a serviços hospedados na nuvem, como o Azure Data Lake Storage, que utilizam endpoints de serviço.
• Um gateway oferece suporte a produtos serverless do Azure Databricks Runtime.
• Um NCC suporta no máximo dois gateways. Um gateway suporta no máximo dois resolvers DNS e no máximo 100 destinos.