Compatibilidad de IoT Hub con redes virtuales con Azure Private Link

De forma predeterminada, los nombres de host de IoT Hub se asignan a un punto de conexión público con una dirección IP de acceso público a través de Internet. Diferentes clientes comparten este punto de conexión público de IoT Hub, que es accesible para todos los dispositivos de IoT a través de redes de área extensa y redes locales.

Note

IoT Hub presenta puntos de conexión adicionales para admitir TLS 1.3 (versión preliminar). Estos puntos de conexión son aditivos y no reemplazan el punto de conexión existente usado por Private Link (<hub>.azure-devices.net). Las configuraciones de punto de conexión privado existentes siguen funcionando sin cambios.

Para más información sobre estos puntos de conexión, consulte Puntos de conexión habilitados para TLS 1.3.

Diagrama que muestra el punto de conexión público de IoT Hub y varias interacciones.

Algunas características de IoT Hub, incluido el enrutamiento de mensajes, la carga de archivos y la importación o exportación masiva de dispositivos, también requieren conectividad de IoT Hub a un recurso de Azure propiedad del cliente a través de su punto de conexión público. Estas rutas de conectividad componen el tráfico de salida de IoT Hub a los recursos del cliente.

Es posible que quiera restringir la conectividad a los recursos de Azure (incluido IoT Hub) a través de una red virtual que posee y opera por varias razones, entre las que se incluyen:

  • Introducción del aislamiento de red para IoT Hub evitando la exposición de la conectividad a la red pública de Internet.

  • Habilitación de una experiencia de conectividad privada desde los recursos de red locales, lo que garantiza que los datos y el tráfico se transmitan directamente a la red troncal de Azure.

  • Evitar ataques de exfiltración en redes confidenciales locales en las instalaciones.

  • Siguiendo los patrones de conectividad establecidos para toda Azure mediante puntos de conexión privados.

En este artículo se describe cómo lograr estos objetivos mediante el uso de Azure Private Link para la conectividad de entrada a IoT Hub y de la excepción de servicios de Microsoft de confianza para la conectividad de salida desde IoT Hub hacia otros recursos de Azure.

Un punto de conexión privado es una dirección IP privada asignada dentro de una red virtual propiedad del cliente a través de la cual se puede acceder a un recurso de Azure. Con Azure Private Link, puede configurar un punto de conexión privado para la IoT hub para que los servicios dentro de la red virtual puedan acceder a IoT Hub sin enviar tráfico al punto de conexión público de IoT Hub. Del mismo modo, los dispositivos locales pueden usar el emparejamiento de Azure VPN Gateway o Azure ExpressRoute para obtener conectividad a la red virtual y el centro de IoT (a través de su punto de conexión privado). Como resultado, puede restringir o bloquear por completo la conectividad a los puntos de conexión públicos de su centro de IoT mediante el filtro IP de IoT Hub o el selector de acceso a la red pública. Este enfoque mantiene la conectividad con el centro mediante el punto de conexión privado para los dispositivos. El objetivo principal de esta configuración es para los dispositivos dentro de una red local. Esta configuración no se recomienda para los dispositivos implementados en una red de área extensa.

Diagrama que muestra la entrada de red virtual de IoT Hub.

Antes de continuar, asegúrese de que se cumplen los siguientes requisitos previos:

Configuración de un punto de conexión privado para la entrada de IoT Hub

Los puntos de conexión privados funcionan para las API de dispositivo de IoT Hub (como mensajes de dispositivo a nube) y las API de servicio (como la creación y actualización de dispositivos).

  1. Vaya a su hub de IoT en el portal Azure.

  2. En el panel izquierdo, en Configuración de seguridad, seleccione Red>Acceso de Red Privado y, a continuación, seleccione Crear un punto de conexión privado.

    Captura de pantalla que muestra dónde agregar un punto de conexión privado para un centro de IoT.

  3. Escriba la suscripción, el grupo de recursos, el nombre, el nombre de la interfaz de red y la región para crear el nuevo punto de conexión privado. Cree el punto de conexión privado en la misma región que el centro.

  4. Seleccione Siguiente: Recurso y escriba la suscripción del recurso de IoT Hub. A continuación, seleccione Microsoft.Devices/IotHubs para el tipo de recurso, el nombre del centro de IoT como recurso e iotHub como subrecurso de destino.

  5. Seleccione Siguiente: Red virtual y especifique la red virtual y la subred en la que crear el punto de conexión privado.

  6. Seleccione Siguiente: DNS y seleccione la opción para integrar con la zona DNS privada, si lo desea.

  7. Seleccione Siguiente: Etiquetas y, opcionalmente, escriba las etiquetas del recurso.

  8. Seleccione Siguiente: Revisar y crear para revisar los detalles del recurso de vínculo privado y, a continuación, seleccione Crear para crear el recurso.

Punto de conexión integrado compatible con Event Hubs

También puede acceder al extremo integrado compatible con Event Hubs a través de un extremo privado. Al configurar un enlace privado, verá otra conexión de punto de conexión privado y otra configuración para el punto de conexión integrado. Es el que tiene servicebus.windows.net en FQDN.

Captura de pantalla que muestra dos puntos de conexión privados para un vínculo privado de IoT Hub, donde se resalta el FQDN y la configuración del punto de conexión integrado.

Opcionalmente, puede usar el filtro IP de IoT Hub para controlar el acceso público al punto de conexión integrado.

Para bloquear completamente el acceso a la red pública al centro de IoT, desactive el acceso a la red pública o use el filtro IP para bloquear todas las direcciones IP y seleccione la opción para aplicar reglas al punto de conexión integrado.

Para más información sobre los precios, consulte Precios de Azure Private Link.

Conectividad de salida de IoT Hub a otros recursos de Azure

IoT Hub puede conectarse a los recursos de Azure Blob Storage, Event Hubs y Service Bus para el enrutamiento de mensajes, la carga de archivos y la importación o exportación masiva de dispositivos a través del punto de conexión público de los recursos. Enlazar el recurso a una red virtual bloquea la conectividad con el recurso de forma predeterminada. Como resultado, esta configuración impide que los centros de IoT envíen datos a tus recursos. Para corregir este problema, habilite la conectividad desde el recurso de IoT Hub a la cuenta de almacenamiento, el centro de eventos o los recursos de Service Bus a través de la opción trusted Microsoft service.

Para permitir que otros servicios encuentren el centro de IoT como un servicio de Microsoft de confianza, el centro debe usar una identidad administrada. Una vez que se aprovisiona una identidad administrada, conceda permiso a la identidad administrada del centro para acceder al punto de conexión personalizado. Siga los procedimientos proporcionados en la compatibilidad de IoT Hub con identidades administradas para aprovisionar una identidad administrada con el permiso de control de acceso basado en rol (RBAC) de Azure y agregue el punto de conexión personalizado al centro de IoT. Para permitir que los centros de IoT accedan al punto de conexión personalizado, asegúrese de activar la excepción de terceros de Microsoft de confianza si tiene las configuraciones de firewall en vigor.

Precios de la opción de servicio de Microsoft de confianza

La función de excepción de servicios de primera parte de confianza de Microsoft es gratuita. Los cargos por las cuentas de almacenamiento aprovisionadas, centros de eventos o recursos de Service Bus se aplican por separado.

Pasos siguientes

Para más información sobre las características de IoT Hub, consulte los siguientes recursos:

  • Last updated on