Los servicios PaaS como Azure Storage y Azure SQL Database obtienen una dirección accesible desde Internet en cuanto los creas. Es cómodo, pero muchas organizaciones no se sienten tranquilas sabiendo que un servicio con datos de la empresa solo está abierto mediante una dirección pública de Internet. Aquí entran en juego los puntos de conexión públicos y privados, y el temario oficial de AZ-900 incluye "definir los puntos de conexión públicos y privados" como un objetivo independiente.
Este artículo es el complemento de redes de nuestra serie de análisis en profundidad de AZ-900. Aprende primero los fundamentos, como las redes virtuales, VPN Gateway y ExpressRoute, en Computación y Redes. Aquí aclaramos la diferencia entre los dos tipos de punto de conexión, junto con los puntos de conexión de servicio, que a menudo se mezclan en las preguntas del examen.
---
¿Qué es un punto de conexión?
Un punto de conexión (endpoint) es la entrada a un servicio, es decir, su dirección. Pensando en un edificio de oficinas, un punto de conexión público es la puerta principal a la que cualquiera puede llegar, y un punto de conexión privado es una entrada exclusiva para el personal. Ambas llevan a la misma oficina, pero cambia quién puede usar cada entrada.
Las definiciones de Microsoft Learn son breves. Los puntos de conexión públicos tienen una dirección IP pública y se puede acceder a ellos desde cualquier lugar del mundo. Los puntos de conexión privados existen dentro de una red virtual y tienen una dirección IP privada del espacio de direcciones de esa red virtual.
| Categoría | Punto de conexión público | Punto de conexión privado | |------|------|------| | Dirección | Una dirección IP pública | Una dirección IP privada del espacio de direcciones de tu VNet | | Desde dónde se accede | Desde cualquier lugar del mundo (se puede restringir con reglas de firewall) | Desde dentro de la VNet y desde las redes conectadas a ella | | Dónde se ubica | En el lado del servicio | Se crea dentro de una subred de tu VNet | | Ejemplo típico | La dirección predeterminada de una cuenta de almacenamiento (mystorage.blob.core.windows.net) | Una interfaz de red con la dirección 10.0.1.5 dentro de tu VNet |
Consejo para el examen: "Tiene una dirección IP pública y se puede acceder desde cualquier lugar" → punto de conexión público. "Una dirección IP privada del espacio de direcciones de la red virtual" → punto de conexión privado. Muchas preguntas simplemente reformulan estas definiciones, así que recuerda ambas frases con precisión.
---
¿Es peligroso un punto de conexión público?
Tener un punto de conexión público no significa que cualquiera pueda leer tus datos. Que una dirección sea pública y que el acceso esté permitido son dos cosas distintas. Las solicitudes que llegan a la dirección pública siguen pasando por estas protecciones.
Autenticación y permisos: la mayoría de las solicitudes deben autenticarse con credenciales como Microsoft Entra ID o claves de acceso, y la configuración de permisos, como RBAC, decide qué puede hacer quien llama Reglas de red: el firewall del servicio indica qué rangos de IP o redes virtuales se permiten y deniega el resto Cifrado en tránsito: la comunicación va por HTTPS (TLS), así que nadie en medio puede leer el contenido
Aun así, una dirección expuesta a Internet se convierte en objetivo de intentos de ataque, y algunas organizaciones no pueden, por normativa, tener abierta a Internet la ruta por la que viajan sus datos. En esos casos se crea una ruta privada con un punto de conexión privado y se cierra el acceso público.
Consejo para el examen: una opción que diga "a un punto de conexión público puede acceder cualquiera sin autenticación" es una afirmación incorrecta. Lo que separa lo público de lo privado no es si hay autenticación, sino la dirección (IP pública frente a IP privada) y la ruta de acceso.
---
¿Cómo funciona un punto de conexión privado?
Un punto de conexión privado es una interfaz de red (NIC) que usa una dirección IP privada de tu VNet. Como esa interfaz se conecta de forma privada a un servicio que funciona con Azure Private Link, el efecto es, en palabras de la propia Microsoft, "llevar el servicio a tu red virtual". Desde el punto de vista de la VM, la cuenta de almacenamiento parece un servidor más de la misma red.
Obtiene una dirección IP privada de la subred, y esa dirección no cambia mientras exista el punto de conexión privado Se puede acceder a él no solo desde la misma VNet, sino también desde VNet emparejadas y desde redes locales conectadas mediante VPN Gateway o ExpressRoute Se conecta a un recurso concreto (por ejemplo, una sola cuenta de almacenamiento), no a todo el servicio Hay que configurar el DNS para que el mismo nombre (FQDN) apunte a la IP privada, normalmente con una zona DNS privada
!Cómo un punto de conexión privado ofrece una ruta privada a un servicio PaaS
Un punto de conexión privado no bloquea por sí solo el acceso público
Es un malentendido habitual. Un punto de conexión privado añade al servicio una entrada más con dirección privada; no cierra automáticamente la puerta principal que ya existía (el punto de conexión público). Para bloquear también el acceso desde Internet, tienes que desactivar el acceso a la red pública en el servicio o restringirlo por separado con reglas de firewall.
Consejo para el examen: si una pregunta dice "hacer que la cuenta de almacenamiento solo sea accesible mediante una IP privada dentro de la VNet", la respuesta es un punto de conexión privado. Recuerda que, en la práctica, también se desactiva el acceso a la red pública junto con él.
---
No lo confundas con los puntos de conexión de servicio
También existe una función de nombre parecido llamada punto de conexión de servicio (service endpoint). No aparece directamente en la redacción de los objetivos de AZ-900, pero la unidad de redes virtuales de Microsoft Learn la presenta como una forma de que los recursos de Azure se comuniquen de forma segura, así que puede aparecer como opción incorrecta.
Un punto de conexión de servicio se configura en una subred. Añade la identidad de la VNet al tráfico que sale de esa subred y lo envía por la red troncal de Azure hasta el servicio, de modo que el firewall del servicio pueda tener una regla que diga "permitir solo esta subred". La diferencia decisiva con un punto de conexión privado es que el servicio sigue usando su dirección pública.
| Categoría | Punto de conexión de servicio | Punto de conexión privado | |------|------|------| | Dirección del servicio | El servicio sigue usando una dirección IP pública | Una dirección IP privada dentro de tu VNet | | Cómo funciona | Transmite la identidad de la subred al servicio, y el firewall del servicio permite esa subred | Crea dentro de tu VNet una interfaz de red vinculada al recurso del servicio | | Acceso desde la red local | No es posible de forma predeterminada | Es posible mediante VPN Gateway o ExpressRoute | | A qué se conecta | El tráfico de la subred hacia ese tipo de servicio | Un recurso concreto |
Consejo para el examen: si ves "dar al servicio una dirección IP privada" o "acceder por una ruta privada desde la red local", la respuesta es un punto de conexión privado. Si la pregunta dice "el servicio mantiene su dirección pública, pero solo se permite el tráfico de una subred concreta", la respuesta es un punto de conexión de servicio.
---
¿En qué se diferencia de otras conexiones de red?
Los objetivos de redes de AZ-900 incluyen varias funciones relacionadas con "conectar", así que aparecen como opción incorrecta unas de otras. Ordenarlas según qué conectan con qué las mantiene bien separadas.
| Función | Qué conecta | Resumen en una línea | |------|------|------| | Emparejamiento de VNet | VNet ↔ VNet | Conecta directamente dos redes virtuales por la red troncal de Microsoft | | VPN Gateway | Una red local o un PC ↔ una VNet | Un túnel cifrado sobre la Internet pública | | ExpressRoute | Una red local ↔ Azure | Una conexión privada dedicada que no pasa por Internet | | Punto de conexión privado | Una VNet ↔ un recurso PaaS concreto | Da a un recurso PaaS una dirección IP privada de la VNet | | Punto de conexión de servicio | Una subred ↔ un tipo de servicio PaaS | El firewall del servicio permite el tráfico que llega de esa subred |
Mientras que las tres primeras conectan redes con redes, los dos tipos de punto de conexión conectan una red con servicios PaaS. Por eso se usan juntos a menudo. Una configuración típica tiene una oficina local conectada a una VNet por ExpressRoute que llega a una cuenta de almacenamiento a través de un punto de conexión privado de esa VNet.
---
¿Cuál deberías elegir?
Estas son las tres opciones ordenadas por situación.
| Situación | Elección | |------|------| | Cualquiera en Internet debe poder conectarse, como en un sitio web público | Punto de conexión público | | Mantener la dirección pública pero permitir conexiones solo desde el rango de IP de la empresa | Punto de conexión público + reglas de firewall | | Una VM debe llegar a una cuenta de almacenamiento mediante una IP privada sin exponerse a Internet | Punto de conexión privado | | Una oficina local debe acceder de forma privada a Azure SQL Database por ExpressRoute | Punto de conexión privado | | Dejar la dirección pública de la cuenta de almacenamiento tal cual, pero permitir el acceso solo desde una subred concreta | Punto de conexión de servicio | | Reducir el riesgo de exfiltración de datos conectándose solo a un recurso aprobado | Punto de conexión privado |
La clave de esta tabla es "quién entra y desde dónde". Si tiene que entrar gente de fuera, usa la puerta principal (público); si solo debe entrar la red interna, usa la entrada del personal (privado). Pensar así resuelve la mayoría de las preguntas.
---
Referencia Rápida del Examen
Los puntos clave que conviene repasar por última vez an