Seguridad de las redes

En este artículo se describen los requisitos de red y las opciones de los servidores habilitados para Azure Arc.

Redes generales

Los servidores habilitados para Azure Arc son una oferta de software como servicio con una combinación de puntos de conexión globales y regionales compartidos por todos los clientes. Toda la comunicación de red desde el agente de Azure Connected Machine es saliente a Azure. Azure nunca llegará a la red para administrar las máquinas. Estas conexiones siempre se cifran mediante certificados TLS. La lista de puntos de conexión y direcciones IP a las que accede el agente se documenta en los requisitos de red.

Las extensiones que instale pueden requerir puntos de conexión adicionales no incluidos en los requisitos de red de Azure Arc. Consulte la documentación de la extensión para obtener más información sobre los requisitos de red para esa solución.

Si su organización usa la inspección de TLS, el agente de Azure Connected Machine no usa el anclaje de certificados y seguirá funcionando, siempre que la máquina confíe en el certificado presentado por el servicio de inspección TLS. Algunas extensiones de Azure Arc usan el anclaje de certificados y deben excluirse de la inspección de TLS. Consulte la documentación de las extensiones que implemente para determinar si admiten la inspección de TLS.

Puntos de conexión privados

Los puntos de conexión privados son una tecnología de red opcional de Azure que permite enviar el tráfico de red a través de ExpressRoute o una VPN de sitio a sitio y controlar de forma más granular qué máquinas pueden usar Azure Arc. Con los puntos de conexión privados, puede usar direcciones IP privadas en el espacio de direcciones de red de la organización para acceder a los servicios en la nube de Azure Arc. Además, solo los servidores que autorice pueden enviar datos a través de estos puntos de conexión, que protegen contra el uso no autorizado del agente de Azure Connected Machine en la red.

Es importante tener en cuenta que no todos los puntos de conexión y no todos los escenarios se admiten con puntos de conexión privados. Todavía tendrá que realizar excepciones de firewall para algunos puntos de conexión, como Microsoft Entra ID, que no ofrece una solución de punto de conexión privado. Cualquier extensión que instale puede requerir otros puntos de conexión privados (si se admiten) o acceder a los puntos de conexión públicos para sus servicios. Además, no puede usar SSH o Windows Admin Center para acceder al servidor a través de un punto de conexión privado.

Independientemente de si usa puntos de conexión públicos o privados, los datos transferidos entre el agente de Azure Connected Machine y Azure siempre se cifran. Siempre puede empezar con puntos de conexión públicos y, posteriormente, cambiar a puntos de conexión privados (o viceversa) a medida que cambien las necesidades empresariales.