Gateway de rede privada

Importante

A porta de ligação de rede privada está em pré-visualização privada. Para solicitar acesso, contacte a equipa da sua conta Azure Databricks.

Note

O gateway de rede privada é uma funcionalidade empresarial. Não é faturado durante a pré-visualização privada, mas o Azure Databricks cobrará a sua utilização no futuro.

Um gateway de rede privada liga a computação sem servidor do Azure Databricks a um ou mais recursos na sua rede virtual (VNet) por meio de um único gateway gerido.

Depois de delegar uma sub-rede do seu VNet ao Azure Databricks, o seu ambiente serverless pode aceder aos recursos que essa sub-rede consegue, incluindo redes ligadas de forma transitiva ao seu VNet, como sistemas on-premises via ExpressRoute ou uma VPN.

A Databricks recomenda criar uma nova sub-rede dedicada ao gateway de rede privada e delegá-la ao Azure Databricks. Certifique-se de que a sub-rede tem conectividade a jusante com todos os alvos de recursos que pretende alcançar através do gateway.

Um gateway de rede privada complementa o Private Link em vez de o substituir:

• Utilize uma regra de ponto final privado do Private Link para uma ligação direta e privada a um recurso específico gerido pela cloud, como armazenamento de objetos.
• Utilize um gateway de rede privado para aceder a recursos na sua VNet ou numa rede ligada, ou para encaminhar o tráfego de saída sem servidor através do seu próprio firewall ou de um caminho de saída dedicado.

Para configurar um gateway de rede privado, veja Configurar um gateway de rede privada.

Overview

Uma porta de enlace de rede privada dá resposta a várias necessidades de conectividade sem servidor com uma única configuração:

• Conectividade ampla sem integração por recurso. Aceda a muitos recursos no seu VNet, ou sistemas on-premises através de um ExpressRoute ou VPN conectado, sem configurar um endpoint privado separado para cada recurso.
• Saída através dos seus próprios dispositivos de segurança. Encaminhe o tráfego de saída serverless através do seu próprio firewall ou dispositivo de segurança de rede, como o da Palo Alto ou o serviço de firewall do seu fornecedor de serviços cloud, para inspeção do conteúdo antes de o tráfego sair da sua rede.
• Endereços IP de origem estáveis e identificáveis. Envie tráfego de saída sem servidor usando o seu próprio conjunto de endereços IP, para que os sistemas subsequentes possam identificar o tráfego na camada de rede. Isto é útil para a criação segura de listas de permissões em ambientes multicliente.

Também pode utilizar um gateway de rede privado para controlar como a computação sem servidor acede à Internet:

• Proteja o acesso à Internet sem servidor através dos seus próprios dispositivos de segurança.
• Acede à internet a partir do seu próprio conjunto dedicado de endereços IP.

Como funciona

Quando crias um gateway de rede privado, o Azure Databricks injeta o gateway na sub-rede à qual delegaste Microsoft.Databricks/workspaces no teu VNet. O tráfego sem servidor para os destinos que configurar flui através do gateway para a sua rede virtual (VNet) e daí para qualquer rede para a qual a sua VNet encaminhe o tráfego, incluindo redes ligadas de forma transitiva, como sistemas locais através do ExpressRoute ou de uma VPN.

O Azure Databricks avalia o tráfego serverless de saída contra os seus caminhos de rede configurados por ordem de prioridade, usando o primeiro caminho que corresponde ao destino de cada ligação:

Priority	Path	Aplica-se a
1	Regras de ponto final privado (Private Link)	Tráfego para um recurso específico gerido pela cloud que tenha uma regra de endpoint privado.
2	AWS: endpoints de gateway para o Amazon S3 e o DynamoDB. Azure: pontos finais de serviço.	Tráfego que corresponde a esses endpoints, que permanece na rede principal do fornecedor de serviços cloud e não pode ser substituído pelo gateway.
3	Gateway de rede privada	Os destinos que configura no modo SPECIFIC_DESTINATIONS, ou todo o tráfego de saída restante no modo ALL_TRAFFIC.
4	tráfego de saída serverless predefinido do Azure Databricks	Todo o restante tráfego de saída.

Os pontos finais de serviço do Azure apenas acedem a recursos PaaS do Azure acessíveis publicamente. Não abrangem recursos privados. O armazenamento de blobs é sempre encaminhado através do caminho do endpoint de serviço do Azure e não pode ser substituído por um gateway de rede privada.

Um gateway de rede privada funciona com a sua rede serverless existente da seguinte forma:

• Reutiliza o seu NCC existente: Um gateway de rede privado reutiliza a sua configuração de conectividade de rede (NCC) existente em vez de introduzir um novo modelo de objetos. Um NCC é um objeto ao nível da conta que gere redes serverless. Depois de criar um gateway de rede privado dentro de um NCC e ligar esse NCC aos seus espaços de trabalho, os produtos serverless nesses espaços de trabalho podem usar o gateway automaticamente.
• Os controlos de saída permitem automaticamente destinos de gateway: Quando configura um gateway de rede privada no modo SPECIFIC_DESTINATIONS, o Azure Databricks permite automaticamente os destinos que especifica no seu controlo de saída sem servidor. Não precisas de os adicionar separadamente à tua política de rede. Isto reflete a forma como os domínios adicionados como entradas de Private Link para um balanceador de carga de rede são implicitamente incluídos na lista de permissões. Se o seu gateway de rede privada estiver no modo ALL_TRAFFIC, no entanto, tem de adicionar explicitamente à sua política de rede de saída todos os destinos aos quais pretende estabelecer ligação através do gateway. Para mais informações, consulte O que é o controlo de tráfego de saída sem servidor?.
• As regras de endpoint privado têm precedência: Se existir uma regra de endpoint privado para um recurso específico, o tráfego para esse recurso utiliza sempre o endpoint privado em vez do gateway de rede privada, mesmo no ALL_TRAFFIC modo.

Note

Um gateway de rede privada liga-se a recursos na sua VNet e em redes ligadas transitivamente. Não estabelece ligação a serviços geridos através da cloud que são acedidos através de endpoints de gateway da VPC.

Modos de tráfego

Um gateway encaminha o tráfego em dois modos, definidos por traffic_mode quando o crias.

• SPECIFIC_DESTINATIONS. Encaminha através do gateway apenas os nomes DNS que especifica em destinations. Todo o resto do tráfego segue as regras de roteamento existentes. Este modo é recomendado para a maioria dos casos de uso porque oferece controlo detalhado sem afetar o tráfego não relacionado.
• ALL_TRAFFIC. Encaminha todo o tráfego de saída da computação sem servidor através do gateway, exceto o tráfego que corresponda a uma rota mais específica, como o Private Link. Use este modo quando precisar que toda a saída passe pelo seu próprio firewall ou dispositivo de segurança.

A correspondência por sufixo de destino é suportada no modo SPECIFIC_DESTINATIONS: por exemplo, especificar mydb.contoso.com também corresponde a sub.mydb.contoso.com.

Limitations

As seguintes limitações aplicam-se durante a Pré-visualização Privada:

• O gateway e a sua sub-rede devem estar na mesma região do NCC.
• Configuras o gateway apenas através da API REST da conta. Não há suporte para interface ou Terraform.
• Um gateway liga-se a recursos no seu VNet e redes conectadas de forma transitória. Não se liga a serviços alojados na cloud, como o Azure Data Lake Storage, que utilizam endpoints de serviço.
• Um gateway suporta produtos do Azure Databricks Runtime sem servidor.
• Um NCC suporta, no máximo, dois gateways. Um gateway suporta, no máximo, dois resolvers DNS e, no máximo, 100 destinos.