¿Qué es un Private Endpoint?

Una aplicación puede necesitar un servicio gestionado en la nube sin acceder a él por su dirección pública. Un Private Endpoint de Azure proporciona una interfaz de red con una IP privada para conectar con un recurso compatible mediante Private Link. Es una forma de incorporar un punto de acceso a la red virtual sin trasladar todo el servicio gestionado a ella.

El matiz evita dos errores frecuentes: creer que el servicio se ha convertido en una máquina de nuestra subred y dar por hecho que su acceso público ha desaparecido. Crear el endpoint privado no cierra automáticamente el endpoint público. La conectividad privada y las restricciones de acceso del servicio son piezas relacionadas que deben configurarse por separado.

Una entrada privada a un servicio gestionado

Private Link es la tecnología de Azure que permite esa conexión privada con servicios compatibles. El endpoint es el recurso de red que consume esa conexión desde una red virtual. La dirección privada pertenece al punto de acceso, mientras el proveedor sigue operando el servicio al otro lado según sus características.

Por ejemplo, una aplicación interna podría acceder a datos de Azure Storage mediante un endpoint privado. Sus peticiones alcanzarían el servicio a través de esa conexión y del backbone de Microsoft. La aplicación sigue necesitando autenticación y permisos sobre los datos: tener un camino de red no concede autorización para leer un contenedor ni modificar sus objetos.

-InfraCrew dice: La puerta lateral puede ser privada. El permiso para entrar sigue sin venir incluido con la dirección IP.-

La conexión se asocia a un recurso y, cuando corresponda, a un subrecurso concreto. En Storage, Blob y File son ejemplos de destinos diferentes. Un endpoint para Blob no sustituye al que necesita File. Antes de crear recursos conviene inventariar qué interfaces utiliza realmente la aplicación, incluidas tareas de mantenimiento y dependencias menos visibles.

El nombre debe resolver hacia el sitio correcto

El DNS traduce el nombre del servicio a una dirección que el cliente puede utilizar. Con Private Endpoint, la resolución desde el entorno autorizado debe conducir a la IP privada pertinente. Una conexión privada bien creada puede quedar inutilizada por un DNS que sigue llevando al cliente al acceso público.

La aplicación normalmente conserva el nombre de servicio que utiliza en su conexión. No conviene sustituirlo sin más por la IP: los nombres también intervienen en certificados y comportamiento del servicio. El trabajo está en resolver correctamente ese nombre desde cada origen, utilizando las zonas privadas y el diseño de resolución recomendado para el recurso.

Pensemos en una aplicación que funciona desde una VM de Azure, pero falla desde la oficina. No basta con repetir la prueba en la misma VM. La oficina puede consultar otro resolvedor y seguir un recorrido distinto. Hay que comprobar la respuesta DNS y la conectividad desde el cliente que presenta el problema, incluyendo la integración con la red corporativa.

-InfraCrew dice: «En mi VM resuelve» es una observación válida. Todavía no es un diseño de DNS híbrido.-

Privado no significa aislado por defecto

Azure Storage documenta expresamente que una conexión privada no bloquea por sí sola el acceso público. Si el objetivo es aceptar datos solo por la vía privada, hay que configurar las restricciones del acceso público y verificar su efecto. El detalle depende del servicio, por lo que no conviene extrapolar una pantalla de Storage a todos los recursos de Azure.

También se necesita una ruta desde los clientes hasta la IP privada y una política de red compatible con el diseño. Una red corporativa puede llegar mediante conectividad privada o VPN adecuadamente configurada. La existencia del endpoint no construye por sí sola la conectividad de cada sede, ni resuelve los permisos de aplicaciones o identidades.

Private Endpoint y Service Endpoint tampoco son nombres intercambiables. Un Service Endpoint de Azure permite identificar y proteger acceso de una red virtual a servicios mediante su endpoint público. Private Endpoint incorpora una interfaz con dirección privada para la conexión al recurso. Elegir entre ellos exige entender el requisito, no buscar la palabra «privado» en la descripción más corta.

Una prueba útil tiene dos lados

Una validación razonable empieza desde un cliente autorizado: comprobar resolución privada, acceso al subrecurso correcto y funcionamiento de la aplicación con sus credenciales habituales. Después utiliza un origen que deba quedar fuera. La segunda prueba confirma la restricción perseguida, en vez de deducirla únicamente porque la primera conexión funcionó.

Conviene incluir las herramientas de administración y los procesos automáticos. Un servicio puede operar bien mientras una integración externa sigue dependiendo del endpoint público que vamos a restringir. Cerrar esa vía requiere conocer quién la usa, preparar la transición y comprobar los fallos esperados sin ampliar excepciones permanentemente para salir del paso.

El inventario final debería relacionar recurso, subrecurso, IP, DNS y orígenes autorizados. Esa información permite investigar un cambio sin adivinar qué conexión era la correcta. El resultado buscado es un acceso privado verificable con permisos explícitos, acompañado de las restricciones públicas que exija el diseño.

-InfraCrew dice: Un endpoint creado merece una marca en la lista. Un endpoint probado desde los clientes reales merece cerrar el ticket.-

Diccionario de la Crew

Private Link — Tecnología de Azure para establecer conexiones privadas a servicios y recursos compatibles.

DNS — Sistema que resuelve nombres de dominio y permite obtener, entre otros datos, direcciones de red.