Presentamos Private Network Gateway

El cómputo serverless de Databricks es completamente administrado, inteligente y sin versiones, lo que permite a los usuarios enfocarse en resolver problemas de negocio en lugar de dimensionar, ajustar y administrar clústeres e infraestructura. Sin embargo, para muchos equipos, el paso que generaba mayor fricción era la red: proporcionar al cómputo serverless una ruta privada hacia las bases de datos, aplicaciones y sistemas dentro de sus propias redes. En nuestras entrevistas con clientes, más del 75 % afirmó que su configuración de red actual y la complejidad de gestionar los cambios en la red eran la razón principal por la que ciertas cargas de trabajo permanecían en el cómputo clásico en lugar de migrar a serverless.

Hoy anunciamos la vista previa pública de Private Network Gateway (PNG) en Azure y la vista previa privada en AWS. PNG ofrece a sus cargas de trabajo serverless una única conexión hacia su red y, a partir de ahí, usted controla el acceso a todo lo que su red ya puede alcanzar.

• Simplifique la ingesta en sus bases de datos privadas: use Lakeflow Connect en cómputo serverless para ingerir desde bases de datos compatibles en su VNet/VPC y entornos locales conectados
• Conecte agentes de IA a servicios privados: un agente creado en Databricks puede llamar a un servidor MCP privado que usted aloje
• Utilice sus propios repositorios de paquetes: Serverless puede instalar bibliotecas de Python desde un repositorio privado de PyPI, Artifactory o Nexus dentro de su red
• Enrute el tráfico de salida a través de su propio firewall: envíe el tráfico a través de su firewall o servicio de inspección de contenido existente, de modo que la salida se filtre y registre de forma nativa con sus propias herramientas
• Mantenga una IP de origen coherente y propia del cliente: sus aplicaciones SaaS como Salesforce pueden ver una IP de origen que le pertenece

Anteriormente, cada uno de estos casos requería un despliegue coordinado entre los equipos de redes, seguridad y administración, así como múltiples despliegues nuevos como balanceadores de carga y VM proxy. Con PNG, configura una sola conexión y los recursos a los que su red puede acceder pasan a estar disponibles desde serverless. PNG escala por red, no por endpoint.

Private Network Gateway ha simplificado significativamente la forma en que conectamos el cómputo serverless con las fuentes de datos en Azure y de forma local: ya no es necesario poner en marcha un servicio de enlace privado y un balanceador de carga para cada conexión. También aporta una flexibilidad real a nuestras operaciones serverless: podemos reutilizar una subred de espacio de trabajo existente, lo que facilita las aprobaciones de firewall, sin dejar de controlar exactamente a qué destinos se puede acceder.—Fabiano Seki, responsable técnico de Ingeniería de datos, Banco Bradesco

El desafío de las redes serverless

El cómputo clásico se ejecuta dentro de su propia red virtual, por lo que acceder a sus datos es sencillo: conecta las redes mediante primitivas estándar de la nube. En cambio, serverless se ejecuta en una red administrada por Databricks que, si bien elimina la carga operativa, también significa que sus recursos privados necesitan una ruta explícita.

Serverless Private Link proporciona esa ruta y sigue siendo la herramienta adecuada para servicios administrados en la nube como AWS S3 o Azure Data Lake Storage. Pero para los recursos que usted aloja y administra, como bases de datos, clústeres de Kafka o API internas, la conexión a menudo requería un endpoint privado independiente, un balanceador de carga y una VM proxy para cada recurso, además de una coordinación constante entre su administrador de Databricks, el administrador de la nube y el equipo de seguridad de red. Para unos pocos recursos, esto puede ser manejable. Pero cuando un equipo necesita que serverless acceda a docenas de bases de datos, API y servicios internos en diferentes VNets, redes emparejadas y entornos locales, el enfoque por recurso se convierte rápidamente en un cuello de botella, lo que resulta lento, pesado y con un gran esfuerzo manual.

Cómo funciona PNG

La configuración es fácil y sencilla: usted delega una subred de su red virtual a Databricks y PNG establece una puerta de enlace cifrada y administrada desde el cómputo serverless hacia esa subred. Configura la puerta de enlace dentro de una Network Connectivity Configuration (NCC), el mismo objeto a nivel de cuenta que ya utiliza para las redes serverless. A continuación, puede adjuntar la NCC a sus espacios de trabajo, y las cargas de trabajo serverless compatibles podrán acceder a los destinos privados que usted permita.

No hay VM de puerta de enlace que deba desplegar, parchear o escalar en su red. Databricks crea y ejecuta la puerta de enlace por usted. Usted conserva el control de su red.

Antes de PNG, habilitar la conectividad privada para Databricks Serverless requería una configuración de red y una coordinación significativas. PNG simplificó todo el proceso, redujo la carga operativa y nos ayudó a ejecutar trabajos más rápido, haciendo que serverless sea mucho más fácil de integrar en nuestro entorno existente.—Primož Gale, arquitecto técnico principal, NLB

Usted conserva el control del límite de la red

PNG mantiene el límite de la red de su lado:

• Su puerta de enlace es suya: proporciona una ruta dedicada a su red, no un dispositivo compartido que maneja el tráfico de otros clientes. El aislamiento se aplica mediante encapsulación y reglas de seguridad de red.
• La puerta de enlace aplica controles de acceso a nivel de espacio de trabajo antes de que salga cualquier tráfico.
• Más allá de la subred, sus tablas de rutas, grupos de seguridad de red, resolutores DNS y dispositivos de seguridad deciden a qué puede acceder serverless, del mismo modo que lo hacen para el resto de su red.

Usted elige cuánto tráfico maneja PNG a través de dos modos:

1. specific_destinations envía solo los nombres de dominio totalmente cualificados que incluya en la lista a través de PNG. Todo el demás tráfico mantiene su ruta habitual. Utilice este modo cuando desee un control preciso sobre los recursos a los que serverless puede acceder.
2. all_traffic enruta el tráfico saliente a través de su red, excepto cualquier elemento que coincida con una ruta de Private Link o de punto de conexión de servicio más específica, la cual conserva su ruta nativa. Utilice este modo para inspeccionar la salida general a través de su propio firewall o para enviarla a través de sus propias direcciones IP.

PNG es complementario. Se ubica junto a la conectividad privada y los controles de salida que ya utiliza para Databricks y no los modifica, por lo que puede habilitarlo o eliminarlo sin afectar su configuración existente.

Antes de Private Network Gateway, gestionar los secretos y la conectividad de red para las cargas de trabajo serverless requería múltiples integraciones y una coordinación continua. Hoy, con PNG, podemos acceder de forma segura a los servicios internos directamente y gestionar centralizadamente el tráfico saliente a través de nuestros controles existentes, lo que hace que las operaciones sean más sencillas, rápidas y fáciles de gobernar.—Michel Schwandner, ingeniero de plataforma, Julius Blum GmbH

Primeros pasos con PNG

Private Network Gateway ya está disponible en vista previa pública en Azure y en vista previa privada en AWS. El soporte para Google Cloud está en desarrollo.

Empiece hoy mismo:

• Documentación de Private Network Gateway en Azure
• Para AWS, póngase en contacto con su equipo de cuenta de Databricks para solicitar su inscripción

Para obtener más información sobre las novedades en la seguridad de la plataforma Databricks, consulte Novedades en seguridad y cumplimiento de la plataforma Databricks en el Data + AI Summit 2026.

(Esta entrada del blog ha sido traducida utilizando herramientas basadas en inteligencia artificial) Publicación original