Private Link y DNS privado

Un punto privado es una interfaz de red con una dirección privada de una de tus subredes, conectada a un recurso concreto (un tipo de subrecurso, por ejemplo blob en una cuenta de almacenamiento o sqlServer en un servidor SQL). Quien está dentro de la red llega a esa dirección sin salir a internet.

Pero crear el punto privado no toca el acceso público del recurso: ese acceso es una opción aparte (publicNetworkAccess). Mientras esté habilitada, el nombre público del servicio sigue resolviendo a una dirección de internet y sigue aceptando conexiones desde fuera, con las reglas propias del recurso. Un punto privado sin cerrar el acceso público es una puerta nueva, no una pared.

Cuando un punto privado apunta a un recurso, la conexión tiene un estado que decide el propietario del recurso: Approved, Pending o Rejected (y Disconnected si se retira). Si quien crea el punto privado tiene permisos sobre el recurso, la conexión suele aprobarse sola; en otros casos queda pendiente hasta que el propietario del recurso la apruebe. Un punto privado pendiente no transporta tráfico: la dirección existe, pero nadie contesta.

Abre el laboratorio. puntos-privados.json trae los cuatro puntos privados de la subred de datos de Chaguaral, con su estado de conexión.

Para que el nombre normal del recurso apunte a la dirección privada se usa una zona de DNS privado cuyo nombre depende del servicio (la de las cuentas de almacenamiento para blobs, la de los servidores SQL, la de los almacenes de claves). La zona guarda un registro A por recurso, pero sola no sirve: hay que vincularla a cada red virtual que debe usarla. Una red sin vínculo no ve la zona y resuelve el nombre contra el DNS público, así que obtiene la dirección pública.

resolucion.txt guarda las pruebas de resolución que el equipo hizo desde máquinas de distintas redes. zonas-dns-privadas.txt dice qué redes tiene vinculadas cada zona.

Una revisión de Private Link cierra con una cuenta simple: de los recursos que ya tienen un punto privado, cuántos siguen aceptando conexiones de internet. Los que no tienen punto privado quedan fuera de la cuenta, porque ahí el acceso público es la única forma de llegar y es otra conversación.

Cruza recursos-destino.json (el valor de publicNetworkAccess) con puntos-privados.json (a qué recurso apunta cada punto privado). Cuenta los recursos con punto privado y acceso público habilitado.

Cuando una red no resuelve el nombre privado, hay dos arreglos tentadores. El mal arreglo es escribir a mano la dirección privada en el archivo de nombres de cada máquina: se rompe al cambiar la dirección y nadie lo vuelve a mirar. El buen arreglo es vincular la red a la zona de DNS privado que ya existe, de modo que el registro A que mantiene la plataforma sea el único lugar donde vive la dirección.