¿Qué es un punto de conexión privado?
Un punto de conexión privado es una interfaz de red que usa una dirección IP privada de la red virtual. Esta interfaz de red le conecta de forma privada y segura a un servicio con la tecnología de Azure Private Link. Al habilitar un punto de conexión privado, incorpora el servicio a la red virtual.
El servicio podría ser un servicio de Azure como:
- Azure Storage
- Azure Cosmos DB
- Azure SQL Database
- Su propio servicio mediante el servicio Private Link.
Propiedades del punto de conexión privado
Un punto de conexión privado especifica las siguientes propiedades:
| Propiedad | Descripción |
|---|---|
| Nombre | Nombre único dentro del grupo de recursos. |
| Subnet | Subred que se va a implementar, donde se asigna la dirección IP privada. Para conocer los requisitos de subred, consulte la sección Limitaciones de este artículo. |
| Recurso de vínculo privado | Recurso de vínculo privado al que conectarse mediante un identificador o el alias del recurso, de la lista de tipos disponibles. Se genera un identificador de red único para todo el tráfico enviado a este recurso. |
| Subrecurso de destino | Subrecurso que se va a conectar. Cada tipo de recurso de vínculo privado tiene diferentes opciones para seleccionar según las preferencias. |
| Método de aprobación de conexión | Automático o manual. Según los permisos del control de acceso basado en roles de Azure (RBAC), el punto de conexión privado se puede aprobar automáticamente. Si se conecta a un recurso de vínculo privado sin permisos de Azure RBAC, use el método manual para permitir que el propietario del recurso apruebe la conexión. |
| Mensaje de solicitud | Puede especificar un mensaje para que las conexiones solicitadas se aprueben manualmente. Este mensaje se puede usar para identificar una solicitud específica. |
| Estado de conexión | Propiedad de solo lectura que especifica si el punto de conexión privado está activo. Solo los puntos de conexión privados en un estado aprobado se pueden usar para enviar tráfico. Estados adicionales disponibles: |
Al crear puntos de conexión privados, tenga en cuenta lo siguiente:
Los puntos de conexión privados permiten la conectividad entre los clientes desde los mismos elementos siguientes:
- Virtual network
- Redes virtuales emparejadas regionalmente
- Redes virtuales emparejadas globalmente
- Entornos locales que usan VPN o Express Route
- Servicios con tecnología de Private Link
Las conexiones de red solo las pueden iniciar los clientes que se conectan al punto de conexión privado. Los proveedores de servicios no tienen una configuración de enrutamiento para crear conexiones en los consumidores del servicio. Las conexiones solo se pueden establecer en una dirección.
Se crea automáticamente una interfaz de red de solo lectura durante el ciclo de vida del punto de conexión privado. A la interfaz se le asigna una dirección IP privada dinámica de la subred que se asigna al recurso de vínculo privado. El valor de la dirección IP privada no cambia durante todo el ciclo de vida del punto de conexión privado.
El punto de conexión privado debe implementarse en la misma región y suscripción que la red virtual.
El recurso de vínculo privado se puede implementar en una región distinta a la de la red virtual y el punto de conexión privado.
Se pueden crear varios puntos de conexión privados con el mismo recurso de vínculo privado. En el caso de una sola red que use una configuración de servidor DNS común, el procedimiento recomendado es usar un único punto de conexión privado para un recurso de vínculo privado especificado. Use esta práctica para evitar entradas duplicadas o conflictos en la resolución DNS.
Se pueden crear varios puntos de conexión privados en la misma subred o en subredes diferentes dentro de la misma red virtual. Existen límites en cuanto al número de puntos de conexión privados que se pueden crear en una suscripción. Para más información, consulte Límites de Azure.
La suscripción del recurso de vínculo privado también se debe registrar con el proveedor de recursos de red de Microsoft. La suscripción del recurso del punto de conexión privado también se debe registrar con el proveedor de recursos de red de Microsoft. Para más información, consulte Proveedores de recursos de Azure.
Recurso de vínculo privado
Un recurso de vínculo privado es el destino de un punto de conexión privado especificado. En la tabla siguiente se enumeran los recursos disponibles que admiten un punto de conexión privado:
| Nombre del recurso de vínculo privado | Tipo de recurso | Subrecursos |
|---|---|---|
| Azure App Configuration | Microsoft.Appconfiguration/configurationStores | configurationStores |
| Azure Automation | Microsoft.Automation/automationAccounts | Webhook, DSCAndHybridWorker |
| Azure Cosmos DB | Microsoft.AzureCosmosDB/databaseAccounts | SQL, MongoDB, Cassandra, Gremlin, Table |
| Azure Batch | Microsoft.Batch/batchAccounts | batchAccount, nodeManagement |
| Azure Cache for Redis | Microsoft.Cache/Redis | redisCache |
| Azure Cache for Redis Enterprise | Microsoft.Cache/redisEnterprise | redisEnterprise |
| Azure Cognitive Services | Microsoft.CognitiveServices/accounts | account |
| Azure Managed Disks | Microsoft.Compute/diskAccesses | disco administrado |
| Azure Container Registry | Microsoft.ContainerRegistry/registries | Registro |
| Azure Kubernetes Service: API de Kubernetes | Microsoft.ContainerService/managedClusters | management |
| Azure Data Factory | Microsoft.DataFactory/factories | dataFactory |
| Explorador de datos de Azure | Microsoft.Kusto/clusters | cluster |
| Azure Database for MariaDB | Microsoft.DBforMariaDB/servers | mariadbServer |
| Azure Database for MySQL | Microsoft.DBforMySQL/servers | mysqlServer |
| Azure Database for PostgreSQL: servidor único | Microsoft.DBforPostgreSQL/servers | postgresqlServer |
| Servicio de Azure Device Provisioning | Microsoft.Devices/provisioningServices | iotDps |
| Azure IoT Hub | Microsoft.Devices/IotHubs | iotHub |
| Azure IoT Central | Microsoft.IoTCentral/IoTApps | IoTApps |
| Azure Digital Twins | Microsoft.DigitalTwins/digitalTwinsInstances | API |
| Azure Event Grid | Microsoft.EventGrid/domains | dominio |
| Azure Event Grid | Microsoft.EventGrid/topics | topic |
| Centro de eventos de Azure | Microsoft.EventHub/namespaces | espacio de nombres |
| HDInsight de Azure | Microsoft.HDInsight/clusters | cluster |
| Azure API for FHIR (Recursos Rápidos de Interoperabilidad en Salud) | Microsoft.HealthcareApis/services | FHIR |
| HSM (módulo de seguridad de hardware) de Azure Key Vault | Microsoft.Keyvault/managedHSMs | HSM |
| Azure Key Vault | Microsoft.KeyVault/vaults | almacén |
| Azure Machine Learning | Microsoft.MachineLearningServices/workspaces | amlworkspace |
| Azure Migrate | Microsoft.Migrate/assessmentProjects | project |
| Application Gateway | Microsoft.Network/applicationgateways | puerta de enlace de aplicación |
| Servicio Private Link (su propio servicio) | Microsoft.Network/privateLinkServices | empty |
| Power BI | Microsoft.PowerBI/privateLinkServicesForPowerBI | Power BI |
| Microsoft Purview | Microsoft.Purview/accounts | account |
| Microsoft Purview | Microsoft.Purview/accounts | portal |
| Azure Backup | Microsoft.RecoveryServices/vaults | AzureBackup, AzureSiteRecovery |
| Azure Relay | Microsoft.Relay/namespaces | espacio de nombres |
| Azure Cognitive Search | Microsoft.Search/searchServices | searchService |
| Azure Service Bus | Microsoft.ServiceBus/namespaces | espacio de nombres |
| Servicio Azure SignalR | Microsoft.SignalRService/SignalR | signalr |
| Servicio Azure SignalR | Microsoft.SignalRService/webPubSub | webpubsub |
| Azure SQL Database | Microsoft.Sql/servers | SQL Server (sqlServer) |
| Azure Storage | Microsoft.Storage/storageAccounts | Blob (blob, blob_secondary) Tabla (table, table_secondary) Cola (queue, queue_secondary) Archivo (file, file_secondary) Web (web, web_secondary) Dfs (dfs, dfs_secondary) |
| Azure File Sync | Microsoft.StorageSync/storageSyncServices | Servicio File Sync |
| Azure Synapse | Microsoft.Synapse/privateLinkHubs | web |
| Azure Synapse Analytics | Microsoft.Synapse/workspaces | Sql, SqlOnDemand, Dev |
| Azure App Service | Microsoft.Web/hostingEnvironments | alojar entorno |
| Azure App Service | Microsoft.Web/sites | sites |
| Azure Static Web Apps | Microsoft.Web/staticSites | staticSites |
| Azure Media Services | Microsoft.Media/mediaservices | keydelivery, liveevent, streamingendpoint |
| Vínculos privados de administración de recursos | Microsoft.Authorization/resourceManagementPrivateLinks | ResourceManagement |
| Azure Databricks | Microsoft.Databricks/workspaces | databricks_ui_api, browser_authentication |
| Ámbito de Private Link de Azure Monitor | Microsoft.Insights/privatelinkscopes | azuremonitor |
Nota:
Solo se pueden crear puntos de conexión privados en una cuenta de almacenamiento De uso general v2 (GPv2).
Seguridad de red de los puntos de conexión privados
Cuando se usan puntos de conexión privados, el tráfico se protege en un recurso de vínculo privado. La plataforma valida las conexiones de red y solo permite las que llegan al recurso de vínculo privado especificado. Para acceder a recursos secundarios adicionales del mismo servicio de Azure, se requieren puntos de conexión privados adicionales. En el caso de Azure Storage, por ejemplo, se necesitarán puntos de conexión privados independientes para acceder a los recursos secundarios archivo y blob.
Los puntos de conexión privados proporcionan una dirección IP de acceso privado para el servicio de Azure, pero no restringen necesariamente el acceso de red pública al servicio. Azure App Service y Azure Functions no admiten el acceso público cuando están asociados a un punto de conexión privado. Sin embargo, todos los demás servicios de Azure requieren controles de acceso adicionales. Estos controles proporcionan una capa de seguridad de red adicional a los recursos, que ofrece protección para evitar el acceso al servicio de Azure asociado con el recurso de vínculo privado.
Los puntos de conexión privados admiten directivas de red. Las directivas de red permiten la compatibilidad con grupos de seguridad de red (NSG), rutas definidas por el usuario (UDR) y grupos de seguridad de aplicaciones (ASG). Para más información sobre la habilitación de directivas de red para un punto de conexión privado, consulte Administración de directivas de red para puntos de conexión privados. Para usar un grupo de seguridad de aplicaciones con un punto de conexión privado, consulte Configuración de un grupo de seguridad de aplicaciones (ASG) con un punto de conexión privado.
Acceso a un recurso de vínculo privado mediante el flujo de trabajo de aprobación
Puede conectarse a un recurso de vínculo privado mediante los siguientes métodos de aprobación de la conexión:
Aprobación automática: use este método cuando tenga permisos para el recurso de vínculo privado específico. Los permisos necesarios se basan en el tipo de recurso de vínculo privado con el siguiente formato:
Microsoft.<Provider>/<resource_type>/privateEndpointConnectionsApproval/actionSolicitud manual: use este método cuando no tenga los permisos necesarios y desee solicitar acceso. Se iniciará un flujo de trabajo de aprobación. El punto de conexión privado y las conexiones de punto de conexión privado posteriores se crearán en un estado Pendiente. El propietario del recurso de vínculo privado es responsable de aprobar la conexión. Una vez aprobada, el punto de conexión privado se habilita para enviar el tráfico normalmente, como se muestra en el siguiente diagrama de flujo de trabajo de aprobación:
A través de una conexión de punto de conexión privado, el propietario de un recurso de vínculo privado puede:
- Revisar todos los detalles de la conexión del punto de conexión privado.
- Aprobar una conexión de punto de conexión privado. El punto de conexión privado correspondiente se habilitará para enviar tráfico al recurso de vínculo privado.
- Rechazar una conexión de punto de conexión privado. El punto de conexión privado correspondiente se actualizará para reflejar el estado.
- Eliminar una conexión de punto de conexión privado en cualquier estado. El punto de conexión privado correspondiente se actualizará con un estado desconectado para reflejar la acción. El propietario del punto de conexión privado solo puede eliminar el recurso en este momento.
Nota:
Solo los puntos de conexión privados en un estado Aprobado puede enviar tráfico a un recurso de vínculo privado especificado.
Conexión mediante un alias
Un alias es un moniker único que se genera cuando el propietario de un servicio crea un servicio de vínculo privado detrás de un equilibrador de carga estándar. Los propietarios de servicios pueden compartir este alias sin conexión con los consumidores del servicio.
Los consumidores pueden solicitar una conexión al servicio de vínculo privado mediante el URI de recurso o el alias. Para conectarse mediante el alias, cree un punto de conexión privado mediante el método de aprobación de conexión manual. Para usar el método de aprobación de conexión manual, establezca el parámetro de solicitud manual en True durante el flujo de creación del punto de conexión privado. Consulte New-AzPrivateEndpoint y az network private-endpoint create para obtener más información.
Nota:
Esta solicitud manual se puede aprobar automáticamente si la suscripción de consumidor está en la lista de permitidos en el lado del proveedor. Para más información, vaya al control del acceso al servicio.
Configuración de DNS
La configuración de DNS que se usa para conectarse a un recurso de vínculo privado es importante. Es posible que los servicios de Azure existentes ya tengan una configuración de DNS que puede usar al conectarse a través de un punto de conexión público. Para conectarse al mismo servicio a través de un punto de conexión privado, se requieren configuraciones DNS independientes, a menudo configuradas a través de zonas DNS privadas. Asegúrese de que la configuración de DNS sea correcta cuando use el nombre de dominio completo (FQDN) para la conexión. La configuración debe resolver la dirección IP privada del punto de conexión privado.
La interfaz de red asociada al punto de conexión privado contiene la información necesaria para configurar DNS. La información incluye el FQDN y las direcciones IP privadas del recurso de vínculo privado.
Para obtener información detallada y completa acerca de las recomendaciones para configurar DNS para puntos de conexión privados, consulte Configuración de DNS para puntos de conexión privados.
Limitaciones
En la siguiente información se enumeran las limitaciones conocidas para el uso de puntos de conexión privados:
Grupo de seguridad de red
| Limitación | Descripción |
|---|---|
| Las rutas vigentes y las reglas de seguridad no están disponibles para la interfaz de red del punto de conexión privado. | Las rutas vigentes y las reglas de seguridad no se mostrarán para la NIC del punto de conexión privado en Azure Portal. |
| Registros de flujo de NSG no admitidos. | Los registros de flujo de NSG no están disponibles para el tráfico entrante destinado a un punto de conexión privado. |
| No más de 50 miembros en un grupo de seguridad de aplicaciones. | Cincuenta es el número de configuraciones de IP que se pueden asociar a cada ASG respectivo que está asociado al NSG en la subred del punto de conexión privado. Los errores de conexión pueden producirse con más de 50 miembros. |
| Los intervalos de puertos de destino admiten hasta un factor de 250 000. | Los intervalos de puertos de destino se admiten como una multiplicación SourceAddressPrefixes, DestinationAddressPrefixes y DestinationPortRanges. Regla de entrada de ejemplo: 1 origen* 1 destino* 4K portRanges = 4K Valid 10 orígenes* 10 destinos* 10 portRanges = 1K Valid 50 orígenes* 50 destinos* 50 portRanges = 125K Valid 50 orígenes* 50 destinos* 100 portRanges = 250K Valid 100 orígenes* 100 destinos* 100 portRanges = 1M Invalid, NSG tiene demasiados orígenes/destinos/puertos. |
| El filtrado de puertos de origen se interpreta como * | El filtrado de puertos de origen no se usa activamente como escenario válido de filtrado de tráfico para el tráfico que está destinado a un punto de conexión privado. |
| Característica no disponible en determinadas regiones. | Actualmente no está disponible en las siguientes regiones: Oeste de la India Centro de Australia 2 Oeste de Sudáfrica Sudeste de Brasil |
Consideraciones adicionales de NSG
El tráfico saliente denegado desde un punto de conexión privado no es un escenario válido, ya que el proveedor de servicios no puede originar el tráfico.
Es posible que los siguientes servicios necesiten que todos los puertos de destino estén abiertos cuando usen un punto de conexión privado y agreguen filtros de seguridad de NSG:
- Azure Cosmos DB: para más información, consulte Intervalos de puertos de servicio.
UDR
| Limitación | Descripción |
|---|---|
| Se recomienda SNAT en todo momento. | Debido a la naturaleza variable del plano de datos del punto de conexión privado, se recomienda usar el tráfico SNAT que esté destinado a un punto de conexión privado para asegurarse de que se respeta el tráfico devuelto. |
| Característica no disponible en determinadas regiones. | Actualmente no está disponible en las siguientes regiones: Oeste de la India Norte de Reino Unido Sur de Reino Unido 2 Centro de Australia 2 Oeste de Sudáfrica Sudeste de Brasil |
Grupo de seguridad de aplicaciones
| Limitación | Descripción |
|---|---|
| Característica no disponible en determinadas regiones. | Actualmente no está disponible en las siguientes regiones: Oeste de la India Norte de Reino Unido Sur de Reino Unido 2 Centro de Australia 2 Oeste de Sudáfrica Sudeste de Brasil |
Pasos siguientes
- Para más información sobre los puntos de conexión privados y Private Link, consulte ¿Qué es Azure Private Link?
- Para empezar a crear un punto de conexión privado para una aplicación web, consulte Inicio rápido: Creación de un punto de conexión privado mediante Azure Portal.