Configuración de Private Link en Azure Application Gateway

Deshabilitación de directivas de red en la subred de Private Link

Para permitir la conectividad de Private Link, debe deshabilitar las directivas de red del servicio Private Link en la subred designada para las configuraciones ip de Private Link.

Para deshabilitar las directivas de red, siga estos pasos:

1. Vaya a Azure Portal.
2. Busque y seleccione Redes virtuales.
3. Seleccione la red virtual que contiene la subred private Link.
4. En el panel de navegación izquierdo, seleccione Subredes.
5. Seleccione la subred designada para Private Link.
6. En Directivas de red del servicio Private Link, seleccione Deshabilitado.
7. Seleccione Guardar para aplicar los cambios.
   1. Espere unos minutos para que los cambios surtan efecto.
8. Compruebe que la configuración de directivas de red del servicio Private Link ahora está deshabilitada.

Configuración de Private Link

La configuración de Private Link define la infraestructura que habilita las conexiones desde puntos de conexión privados a Application Gateway. Antes de crear la configuración de Private Link, asegúrese de que un agente de escucha esté configurado activamente para usar la configuración IP de front-end de destino.

Siga estos pasos para crear la configuración de Private Link:

1. Busque y seleccione Puertas de enlace de aplicaciones.
2. Seleccione la instancia de Application Gateway.
3. En el panel de navegación izquierdo, seleccione Vínculo privado y, a continuación, seleccione + Agregar.
4. Configure los valores siguientes:
   • Nombre: escriba un nombre para la configuración de Private Link.
   • Subred de enlace privado: seleccione la subred dedicada para direcciones IP de enlace privado.
   • Configuración de IP de front-end: seleccione la configuración de IP de front-end a la que Private Link debe reenviar el tráfico.
   • Configuración de la dirección IP privada: configure al menos una dirección IP.
5. Seleccione Agregar para crear la configuración.
6. En la configuración de Application Gateway, copie y guarde el identificador de recurso. Este identificador es necesario al configurar puntos de conexión privados de diferentes inquilinos de Microsoft Entra.

Configuración de un punto de conexión privado

Un punto de conexión privado es una interfaz de red que usa una dirección IP privada de la red virtual para conectarse de forma segura a Azure Application Gateway. Los clientes usan la dirección IP privada del punto de conexión privado para establecer conexiones a Application Gateway a través de un túnel seguro.

Para crear un punto de conexión privado, siga estos pasos:

1. En el portal de Application Gateway, seleccione la pestaña Conexiones de puntos finales privados.
2. Seleccione + Punto de conexión privado.
3. En la pestaña Aspectos básicos :
   • Configuración del grupo de recursos, el nombre y la región para el punto de conexión privado
   • Seleccione Siguiente: Recurso. >
4. En la pestaña Recurso :
   • Comprobación de la configuración del recurso de destino
   • Seleccione Siguiente: Red virtual>.
5. En la pestaña Red virtual :
   • Seleccione la red virtual y la subred donde se creará la interfaz de red del punto de conexión privado.
   • Seleccione Siguiente: DNS>.
6. En la pestaña DNS :
   • Configuración de dns según sea necesario
   • Seleccione Siguiente: Etiquetas. >
7. En la pestaña Etiquetas :
   • Opcionalmente, agregue etiquetas de recursos.
   • Seleccione Siguiente: Revisar y crear. >
8. Revise la configuración y seleccione Crear.

Configuración de Private Link mediante PowerShell

Use los siguientes comandos de PowerShell para configurar Private Link en una instancia de Application Gateway existente:

# Disable Private Link Service Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-PSH'
    ResourceGroupName = 'AppGW-PL-PSH-RG'
}
$vnet = Get-AzVirtualNetwork @net

($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}).PrivateLinkServiceNetworkPolicies = "Disabled"

# Apply the network policy changes
$vnet | Set-AzVirtualNetwork

# Get Application Gateway Frontend IP Name 
$agw = Get-AzApplicationGateway -Name AppGW-PL-PSH -ResourceGroupName AppGW-PL-PSH-RG
# List the available Frontend IP configuration Names
$agw.FrontendIPConfigurations | Select Name

# Create Private Link IP configuration
$PrivateLinkIpConfiguration = New-AzApplicationGatewayPrivateLinkIpConfiguration `
                            -Name "ipConfig01" `
                            -Subnet ($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}) `
                            -Primary

# Add Private Link configuration to Application Gateway
Add-AzApplicationGatewayPrivateLinkConfiguration `
    -ApplicationGateway $agw `
    -Name "privateLinkConfig01" `
    -IpConfiguration $PrivateLinkIpConfiguration

# Associate Private Link configuration with Frontend IP
$agwPip = ($agw | Select -ExpandProperty FrontendIpConfigurations| Where-Object {$_.Name -eq 'appGwPublicFrontendIp'}).PublicIPAddress.Id
$privateLinkConfiguration = ($agw | Select -ExpandProperty PrivateLinkConfigurations | Where-Object {$_.Name -eq 'privateLinkConfig01'}).Id
Set-AzApplicationGatewayFrontendIPConfig -ApplicationGateway $agw -Name "appGwPublicFrontendIp" -PublicIPAddressId $agwPip -PrivateLinkConfigurationId $privateLinkConfiguration

# Apply changes to Application Gateway
Set-AzApplicationGateway -ApplicationGateway $agw

# Configure Private Endpoint network (in the client/consumer virtual network)
# Disable Private Endpoint Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-Endpoint-PSH-VNET'
    ResourceGroupName = 'AppGW-PL-Endpoint-PSH-RG'
}
$vnet_plendpoint = Get-AzVirtualNetwork @net

($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}).PrivateEndpointNetworkPolicies = "Disabled"

$vnet_plendpoint | Set-AzVirtualNetwork

# Create Private Link Endpoint - Group ID is the same as the frontend IP configuration
$privateEndpointConnection = New-AzPrivateLinkServiceConnection -Name "AppGW-PL-Connection" -PrivateLinkServiceId $agw.Id -GroupID "appGwPublicFrontendIp"

## Create the Private Endpoint
New-AzPrivateEndpoint -Name "AppGWPrivateEndpoint" -ResourceGroupName $vnet_plendpoint.ResourceGroupName -Location $vnet_plendpoint.Location -Subnet ($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}) -PrivateLinkServiceConnection $privateEndpointConnection

Referencia de cmdlets de PowerShell

Los siguientes cmdlets de Azure PowerShell están disponibles para administrar las configuraciones de Private Link de Application Gateway:

• Get-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkIpConfiguration
• Add-AzApplicationGatewayPrivateLinkConfiguration
• Remove-AzApplicationGatewayPrivateLinkConfiguration
• Set-AzApplicationGatewayPrivateLinkConfiguration

Configuración de Private Link mediante la CLI de Azure

Use los siguientes comandos de la CLI de Azure para configurar Private Link en una instancia de Application Gateway existente:

# Disable Private Link Service Network Policies on the Private Link subnet
# Reference: https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
az network vnet subnet update \
    --name AppGW-PL-Subnet \
    --vnet-name AppGW-PL-CLI-VNET \
    --resource-group AppGW-PL-CLI-RG \
    --disable-private-link-service-network-policies true

# List available Frontend IP configurations
az network application-gateway frontend-ip list \
    --gateway-name AppGW-PL-CLI \
    --resource-group AppGW-PL-CLI-RG

# Create Private Link configuration and associate with Frontend IP
az network application-gateway private-link add \
    --frontend-ip appGwPublicFrontendIp \
    --name privateLinkConfig01 \
    --subnet /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/virtualNetworks/AppGW-PL-CLI-VNET/subnets/AppGW-PL-Subnet \
    --gateway-name AppGW-PL-CLI \
    --resource-group AppGW-PL-CLI-RG

# Verify Private Link configuration
az network application-gateway private-link list \
    --gateway-name AppGW-PL-CLI \
    --resource-group AppGW-PL-CLI-RG

# Configure Private Endpoint network (in the client/consumer virtual network)
# Disable Private Endpoint Network Policies
az network vnet subnet update \
    --name MySubnet \
    --vnet-name AppGW-PL-Endpoint-CLI-VNET \
    --resource-group AppGW-PL-Endpoint-CLI-RG \
    --disable-private-endpoint-network-policies true

# Create Private Endpoint
# Note: Group ID must match the Frontend IP configuration name
az network private-endpoint create \
    --name AppGWPrivateEndpoint \
    --resource-group AppGW-PL-Endpoint-CLI-RG \
    --vnet-name AppGW-PL-Endpoint-CLI-VNET \
    --subnet MySubnet \
    --group-id appGwPublicFrontendIp \
    --private-connection-resource-id /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/applicationGateways/AppGW-PL-CLI \
    --connection-name AppGW-PL-Connection

Referencia de la CLI de Azure

Para obtener una referencia completa del comando de la CLI de Azure para la configuración de Private Link de Application Gateway, consulte Cli de Azure: Private Link de Application Gateway.