Gateway de rede privada

Um gateway de rede privada conecta o poder computacional sem servidor do Azure Databricks a um ou mais recursos em sua VNet por meio de um único gateway gerenciado.

Depois que você delega uma sub-rede do seu VNet para o Azure Databricks, seu ambiente serverless pode alcançar os recursos que essa sub-rede alcança, incluindo redes conectadas transitivamente ao seu VNet, como sistemas on-premises via ExpressRoute ou uma VPN.

A Databricks recomenda criar uma nova sub-rede dedicada ao gateway de rede privada e delegá-la ao Azure Databricks. Certifique-se de que a sub-rede tenha conectividade a jusante com todos os alvos de recursos que você pretende alcançar pelo gateway.

Um gateway de rede privada complementa o Link Privado em vez de substituí-lo:

• Use uma regra de ponto de extremidade privado de Link Privado para uma conexão direta e privada com um recurso específico gerenciado na nuvem, como o armazenamento de objetos.
• Use um gateway de rede privado para acessar recursos na sua VNet ou em uma rede conectada, ou para encaminhar o tráfego de saída sem servidor pelo seu próprio firewall ou por um caminho dedicado de saída.

Para configurar um gateway de rede privado, veja Configurar um gateway de rede privado.

Overview

Um gateway de rede privado atende a várias necessidades de conectividade serverless com uma única configuração:

• Conectividade ampla sem integração por recurso. Acesse muitos recursos no seu VNet, ou sistemas on-premises via um ExpressRoute ou VPN conectados, sem configurar um endpoint privado separado para cada recurso.
• Saída por meio de seus próprios dispositivos de segurança. Roteie a saída sem servidor por meio de seu próprio firewall ou dispositivo de segurança de rede, como o Palo Alto ou o serviço de firewall do seu provedor de nuvem, para inspeção de conteúdo antes que o tráfego saia da sua rede.
• Endereços IP de origem estáveis e identificáveis. Envie a saída sem servidor de seu próprio conjunto de endereços IP, para que os sistemas downstream possam identificar o tráfego na camada de rede. Isso é útil para listas de permissão seguras em ambientes multilocatários.

Você também pode usar um gateway de rede privada para controlar como a computação serverless chega à internet:

• Firewall de acesso à Internet sem servidor por meio de seus próprios dispositivos de segurança.
• Acesse a internet a partir do seu próprio conjunto dedicado de endereços IP.

Como funciona

Quando você cria um gateway de rede privado, o Azure Databricks injeta o gateway na sub-rede para a qual você delegou Microsoft.Databricks/workspaces no seu VNet. O tráfego sem servidor para os destinos que você configura flui pelo gateway para dentro da sua VNet e segue para qualquer rede para a qual sua VNet encaminha o tráfego, incluindo redes conectadas de forma transitiva, como sistemas locais via ExpressRoute ou uma VPN.

O Azure Databricks avalia o tráfego serverless de saída em relação aos seus caminhos de rede configurados em ordem de prioridade, usando o primeiro caminho que corresponde ao destino de cada conexão:

Os endpoints de serviço Azure só alcançam recursos públicos do Azure PaaS. Eles não abrangem recursos somente privados. O armazenamento de blobs sempre roteia pelo caminho do ponto de extremidade do serviço do Azure e não pode ser substituído por um gateway de rede privada.

Um gateway de rede privada funciona com sua rede serverless existente da seguinte forma:

• Reutiliza sua NCC existente: Um gateway de rede privado reutiliza sua configuração de conectividade de rede (NCC) existente, em vez de introduzir um novo modelo de objeto. Um NCC é um objeto de nível de conta que gerencia redes sem servidor. Depois que você cria um gateway de rede privado dentro de um NCC e conecta esse NCC aos seus workspaces, os produtos serverless nesses workspaces podem usar o gateway automaticamente.
• Os controles de saída permitem automaticamente destinos de gateway: Quando você configura um gateway de rede privada no modo SPECIFIC_DESTINATIONS, o Azure Databricks permite automaticamente os destinos especificados no seu controle de saída sem servidor. Você não precisa adicioná-los separadamente à sua política de rede. Isso reflete a forma como os domínios adicionados como entradas de Link Privado para um balanceador de carga de rede são implicitamente incluídos na lista de permissões. Se o gateway da sua rede privada estiver no modo ALL_TRAFFIC, porém, você deverá adicionar explicitamente à sua política de rede de saída todos os destinos aos quais pretende se conectar por meio do gateway. Para mais informações, consulte O que é controle de saída sem servidor?.
• Regras de endpoint privado têm precedência: Se existir uma regra de endpoint privado para um recurso específico, o tráfego para esse recurso sempre usa o endpoint privado em vez do gateway de rede privada, mesmo no ALL_TRAFFIC modo.

Modos de tráfego

Um gateway roteia o tráfego em um de dois modos, definidos por traffic_mode quando você o cria.

• SPECIFIC_DESTINATIONS. Encaminha apenas os nomes DNS que você listar em destinations por meio do gateway. Todo o restante tráfego segue as regras de roteamento existentes. Esse modo é recomendado para a maioria dos casos de uso porque oferece controle detalhado sem afetar o tráfego não relacionado.
• ALL_TRAFFIC. Direciona todo o tráfego de saída da computação sem servidor pelo gateway, exceto o tráfego que corresponda a uma rota mais específica, como o Link Privado. Use esse modo quando precisar que toda a saída passe pelo seu próprio firewall ou dispositivo de segurança.

A correspondência de sufixo de destino é compatível com o modo SPECIFIC_DESTINATIONS por exemplo, especificar mydb.contoso.com também corresponde a sub.mydb.contoso.com.

Limitações

As seguintes limitações se aplicam durante a versão preliminar:

• O gateway e sua sub-rede devem estar na mesma região do NCC.
• Você pode configurar o gateway usando o console da conta, a API REST Networking v1 ou o Terraform.
• Os gateways do Azure oferecem suporte a níveis de largura de banda de 10, 30, 50 e 100 Gbps. O console da conta seleciona, inicialmente, 30 Gbps.
• Um gateway se conecta a recursos em sua VNet e redes conectadas transitivamente. Ele não se conecta a serviços hospedados na nuvem, como o Azure Data Lake Storage, que utilizam endpoints de serviço.
• Um gateway suporta produtos serverless do Azure Databricks Runtime e serviços de IA.
• Um NCC suporta no máximo dois gateways. Um gateway suporta no máximo dois resolvers DNS e no máximo 100 destinos.