Configuración de Private Link en Azure Application Gateway

Private Link en Application Gateway permite conectar las cargas de trabajo a través de una conexión privada que abarca redes virtuales y suscripciones. Para más información, consulte Private Link en Application Gateway.

Opciones de configuración

Private Link en Application Gateway se puede configurar a través de varias opciones, como, Azure Portal, Azure PowerShell y la CLI de Azure, entre otras.

Azure Portal

Definición de una subred para la configuración de Private Link

Para habilitar la configuración de Private Link, se requiere una subred diferente de la subred de Application Gateway para la configuración de IP de Private Link. Private Link debe usar una subred que no contenga ninguna instancia de Application Gateway. El dimensionamiento de la subred se puede determinar por el número de conexiones necesarias para la implementación. Cada dirección IP asignada a esta subred garantiza conexiones TCP simultáneas de 64 K que se pueden establecer a través de Private Link en un solo momento dado. Asigne más direcciones IP para permitir más conexiones a través de Private Link. Por ejemplo: n * 64K; donde n es el número de direcciones IP que se aprovisionan.

Nota:

El número máximo de direcciones IP por configuración de vínculo privado es ocho. Solo se admite la asignación dinámica.

Siga estos pasos para crear una nueva subred:

Agregar, cambiar o eliminar una subred de red virtual

Configuración de Private Link

La configuración de Private Link define la infraestructura usada por Application Gateway para habilitar las conexiones desde puntos de conexión privados. Al crear la configuración de Private Link, asegúrese de que un cliente de escucha esté usando activamente la configuración de IP de front-end respetada. Complete los pasos siguientes para crear la configuración de Private Link:

1. Vaya a Azure Portal.

2. Busque y seleccione Puertas de enlace de aplicaciones.

3. Seleccione el nombre de la puerta de enlace de aplicaciones en la que desea habilitar el vínculo privado.

4. Seleccione Vínculo privado.

5. Configure los elementos siguientes:

   • Nombre: nombre de la configuración del vínculo privado.
   • Subred de vínculo privado: la subred desde la que deben consumirse las direcciones IP.
   • Configuración de IP de front-end: la dirección IP de front-end a la que el vínculo privado debe reenviar el tráfico a en Application Gateway.
   • Configuración de la dirección IP privada: especifique al menos una dirección IP.

6. Seleccione Agregar.

7. En la hoja de propiedades Application Gateway, obtenga y anote el identificador del recurso, lo necesitará si configura un punto de conexión privado en otro inquilino de Microsoft Entra.

Configuración de un punto de conexión privado

Un punto de conexión privado es una interfaz de red que usa una dirección IP privada de la red virtual que contiene clientes que desean conectarse a la puerta de enlace de su aplicación. Cada uno de los clientes usará la dirección IP privada del punto de conexión privado para tunelizar el tráfico a Application Gateway. Para crear un punto de conexión privado, complete los pasos siguientes:

1. Seleccione la pestaña Conexiones de punto de conexión privado.
2. Seleccione Crear.
3. En la pestaña Aspectos básicos, configure un grupo de recursos, un nombre y una región para el punto de conexión privado. Seleccione Siguiente.
4. En la pestaña Recurso, seleccione Siguiente.
5. En la pestaña Red virtual, configure una red virtual y una subred en las que se debe aprovisionar la interfaz de red del punto de conexión privado. Seleccione Siguiente.
6. En la pestaña Etiquetas, opcionalmente configure etiquetas de recursos. Seleccione Siguiente.
7. Seleccione Crear.

Nota:

Si falta el recurso de configuración de IP pública o privada al intentar seleccionar un Recurso secundario de destino en la pestaña Recurso de creación del punto de conexión privado, asegúrese de que un agente de escucha esté usando activamente la configuración de IP de front-end respetada. Las configuraciones de IP de front-end sin un agente de escucha asociado no se mostrarán como un recurso secundario de destino.

Nota:

Si va a aprovisionar un punto de conexión privado desde otro inquilino, deberá usar el identificador de recurso de Azure Application Gateway y el nombre de la configuración IP de front-end como subrecurso de destino. Por ejemplo, si tenía una dirección IP privada asociada a Application Gateway y el nombre mostrado en la configuración IP de front-end del portal para la dirección IP privada es PrivateFrontendIp, el valor del subrecurso de destino sería PrivateFrontendIp.

Nota:

Si tiene que mover un Punto de conexión privado a otra suscripción, primero debe eliminar la conexión del Punto de conexión privado existente entre Private Link y el Punto de conexión privado. Una vez completado esto, debe volver a crear una nueva conexión de Punto de conexión privado en la nueva suscripción para establecer la conexión entre Private Link y Punto de conexión privado.

Azure PowerShell

Para configurar Private Link en una instancia de Application Gateway existente mediante Azure PowerShell, utilice siguientes comandos:

# Disable Private Link Service Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-PSH'
    ResourceGroupName = 'AppGW-PL-PSH-RG'
}
$vnet = Get-AzVirtualNetwork @net

($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}).PrivateLinkServiceNetworkPolicies = "Disabled"

$vnet | Set-AzVirtualNetwork

# Get Application Gateway Frontend IP Name
$agw = Get-AzApplicationGateway -Name AppGW-PL-PSH -ResourceGroupName AppGW-PL-PSH-RG
# List the names
$agw.FrontendIPConfigurations | Select Name

# Add a new Private Link configuration and associate it with an existing Frontend IP
$PrivateLinkIpConfiguration = New-AzApplicationGatewayPrivateLinkIpConfiguration `
                            -Name "ipConfig01" `
                            -Subnet ($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}) `
                            -Primary

# Add the Private Link configuration to the gateway configuration
Add-AzApplicationGatewayPrivateLinkConfiguration `
                            -ApplicationGateway $agw `
                            -Name "privateLinkConfig01" `
                            -IpConfiguration $PrivateLinkIpConfiguration

# Associate private link configuration to Frontend IP
$agwPip = ($agw | Select -ExpandProperty FrontendIpConfigurations| Where-Object {$_.Name -eq 'appGwPublicFrontendIp'}).PublicIPAddress.Id
$privateLinkConfiguration = ($agw | Select -ExpandProperty PrivateLinkConfigurations | Where-Object {$_.Name -eq 'privateLinkConfig01'}).Id
Set-AzApplicationGatewayFrontendIPConfig -ApplicationGateway $agw -Name "appGwPublicFrontendIp" -PublicIPAddressId $agwPip -PrivateLinkConfigurationId $privateLinkConfiguration

# Apply the change to the gateway
Set-AzApplicationGateway -ApplicationGateway $agw

# Disable Private Endpoint Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-Endpoint-PSH-VNET'
    ResourceGroupName = 'AppGW-PL-Endpoint-PSH-RG'
}
$vnet_plendpoint = Get-AzVirtualNetwork @net

($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}).PrivateEndpointNetworkPolicies = "Disabled"

$vnet_plendpoint | Set-AzVirtualNetwork

# Create Private Link Endpoint - Group ID is the same as the frontend IP configuration
$privateEndpointConnection = New-AzPrivateLinkServiceConnection -Name "AppGW-PL-Connection" -PrivateLinkServiceId $agw.Id -GroupID "appGwPublicFrontendIp"

## Create private endpoint
New-AzPrivateEndpoint -Name "AppGWPrivateEndpoint" -ResourceGroupName $vnet_plendpoint.ResourceGroupName -Location $vnet_plendpoint.Location -Subnet ($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}) -PrivateLinkServiceConnection $privateEndpointConnection

Lo siguiente es una lista de todas las referencias de Azure PowerShell para la configuración de Private Link en Application Gateway:

• Get-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkIpConfiguration
• Add-AzApplicationGatewayPrivateLinkConfiguration
• Remove-AzApplicationGatewayPrivateLinkConfiguration
• Set-AzApplicationGatewayPrivateLinkConfiguration

CLI de Azure

Para configurar Private Link en una instancia de Application Gateway existente mediante la CLI de Azure, utilice siguientes comandos:

# Disable Private Link Service Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
az network vnet subnet update \
				--name AppGW-PL-Subnet \
				--vnet-name AppGW-PL-CLI-VNET \
				--resource-group AppGW-PL-CLI-RG \
				--disable-private-link-service-network-policies true

# Get Application Gateway Frontend IP Name
az network application-gateway frontend-ip list \
							--gateway-name AppGW-PL-CLI \
							--resource-group AppGW-PL-CLI-RG

# Add a new Private Link configuration and associate it with an existing Frontend IP
az network application-gateway private-link add \
							--frontend-ip appGwPublicFrontendIp \
							--name privateLinkConfig01 \
							--subnet /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/virtualNetworks/AppGW-PL-CLI-VNET/subnets/AppGW-PL-Subnet \
							--gateway-name AppGW-PL-CLI \
							--resource-group AppGW-PL-CLI-RG

# Get Private Link resource ID
az network application-gateway private-link list \
				--gateway-name AppGW-PL-CLI \
				--resource-group AppGW-PL-CLI-RG



# Disable Private Endpoint Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
az network vnet subnet update \
				--name MySubnet \
				--vnet-name AppGW-PL-Endpoint-CLI-VNET \
				--resource-group AppGW-PL-Endpoint-CLI-RG \
				--disable-private-endpoint-network-policies true

# Create Private Link Endpoint - Group ID is the same as the frontend IP configuration
az network private-endpoint create \
	--name AppGWPrivateEndpoint \
	--resource-group AppGW-PL-Endpoint-CLI-RG \
	--vnet-name AppGW-PL-Endpoint-CLI-VNET \
	--subnet MySubnet \
	--group-id appGwPublicFrontendIp \
	--private-connection-resource-id /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/applicationGateways/AppGW-PL-CLI \
	--connection-name AppGW-PL-Connection

Una lista de todas las referencias de la CLI de Azure para la configuración de Private Link en Application Gateway está disponible aquí: CLI de Azure: Private Link

Pasos siguientes

• Más información sobre Azure Private Link: ¿Qué es Azure Private Link?