Conexión a una red virtual mediante Azure API Management

Azure API Management se puede implementar dentro de una red virtual (VNET) de Azure para acceder a los servicios de back-end dentro de la red. Para ver las opciones, los requisitos y las consideraciones de conectividad de red virtual, consulte Uso de una red virtual con Azure API Management.

En este artículo, se explica cómo configurar la conectividad de red virtual para la instancia de API Management en el modo externo, en el que el portal para desarrolladores, la puerta de enlace de API y otros puntos de conexión API Management son accesibles desde la red pública de Internet. Para las configuraciones específicas del modo interno, en el que los puntos de conexión solo son accesibles dentro de la red virtual, consulte Conexión a una red virtual interna mediante Azure API Management.

Disponibilidad

Requisitos previos

Algunos requisitos previos varían en función de la versión (stv2 o stv1) de la plataforma de proceso que hospeda la instancia de API Management.

Habilitar la conexión de VNET

Habilitación de la conectividad de red virtual mediante Azure Portal (plataforma de proceso stv2)

1. Vaya a Azure Portal para buscar la instancia API Management. Busque y seleccione Servicios API Management.

2. Elija su instancia de API Management.

3. Seleccione Red virtual.

4. Seleccione el tipo de acceso Externo.

5. En la lista de ubicaciones (regiones) en las que se aprovisiona el servicio API Management:

   1. Elija una ubicación.
   2. Seleccione Red virtual, Subred y Dirección IP.

   • La lista de redes virtuales se rellena con redes virtuales de Resource Manager disponibles en las suscripciones a Azure configuradas en la región que va a configurar.

     

6. Seleccione Aplicar. La página Red virtual de la instancia de API Management se actualiza con las opciones de red virtual y subred nueva.

7. Siga configurando los valores de red virtual para las ubicaciones restantes de la instancia de API Management.

8. En la barra de navegación superior, seleccione Guardar y, luego, Aplicar configuración de red.

   La instancia de API Management puede tardar entre 15 y 45 minutos en actualizarse.

Habilitación de la conectividad mediante una plantilla de Resource Manager

Use las plantillas siguientes para implementar una instancia de API Management y conectarse a una red virtual. Las plantillas varían en función de la versión (stv2 o stv1) de la plataforma de proceso que hospeda la instancia de API Management.

Conexión a un servicio web hospedado en una red virtual

Una vez que haya conectado el servicio API Management a la red virtual, podrá acceder a los servicios de back-end dentro de ella igual que a los servicios públicos. Al crear o editar una API, escriba la dirección IP local o el nombre de host (si se ha configurado un servidor DNS para la VNET) del servicio web en el campo Dirección URL de servicio web.

Problemas comunes de configuración de red

Revise las secciones siguientes para conocer más opciones de configuración de red.

Estas opciones abordan problemas de errores de configuración comunes que pueden producirse al implementar el servicio API Management en una red virtual.

Configuración del servidor DNS personalizado

En el modo de red virtual externa, Azure administra el DNS de manera predeterminada. El servicio API Management depende de varios servicios de Azure. Cuando API Management está hospedado en una red virtual con un servidor DNS personalizado, necesita resolver los nombres de host de esos servicios de Azure.

• Para obtener instrucciones sobre la configuración de DNS personalizada, consulte Resolución de nombres para recursos en redes virtuales de Azure.
• Como referencia, consulte los puertos requeridos y los requisitos de red.

Puertos necesarios

Puede controlar el tráfico entrante y saliente en la subred en la que se implementa API Management mediante grupos de seguridad de red. Si alguno de los siguientes puertos no está disponible, es posible que API Management no funcione correctamente y sea inaccesible.

Cuando la instancia del servicio de API Management se hospeda en una red virtual, se usan los puertos de la tabla siguiente. Algunos requisitos varían en función de la versión (stv2 o stv1) de la plataforma de proceso que hospeda la instancia de API Management.

Funcionalidad de TLS

Para habilitar la creación y validación de la cadena de certificados TLS/SSL, el servicio API Management necesita conectividad de red saliente a ocsp.msocsp.com, mscrl.microsoft.com y crl.microsoft.com. Esta dependencia no es obligatoria si los certificados que cargue en API Management contienen la cadena completa de la raíz de la entidad de certificación.

Acceso DNS

Se requiere acceso saliente en port 53 para establecer la comunicación con los servidores DNS. Si existe un servidor DNS personalizado en el otro punto de conexión de una puerta de enlace de VPN, el servidor DNS debe estar accesible desde la subred que alberga la API Management.

Supervisión de métricas y estado

La conectividad de red saliente a los puntos de conexión de supervisión de Azure, que se resuelven en los siguientes dominios, se representa en la etiqueta de servicio AzureMonitor para su uso con grupos de seguridad de red.

Etiquetas de servicio regionales

Las reglas de NSG que permiten la conectividad saliente a las etiquetas de servicio de Storage, SQL y Event Hubs pueden usar las versiones regionales correspondientes de las etiquetas de la región que contiene la instancia de API Management (por ejemplo, Storage.WestUS para una instancia de API Management en la región Oeste de EE. UU.). En las implementaciones para varias regiones, el NSG de cada región debe permitir el tráfico a las etiquetas de servicio de esa región y de la región primaria.

Retransmisión de SMTP

Permita la conectividad de red de salida para la retransmisión de SMTP, que se resuelve en el host smtpi-co1.msn.com, smtpi-ch1.msn.com, smtpi-db3.msn.com, smtpi-sin.msn.com y ies.global.microsoft.com.

CAPTCHA del portal para desarrolladores

Permita la conectividad de red saliente para el CAPTCHA del portal para desarrolladores, que se resuelve en los host client.hip.live.com y partner.hip.live.com.

Diagnósticos de Azure Portal

Al usar la extensión de API Management desde dentro de una red virtual, se requiere el acceso saliente a dc.services.visualstudio.com en port 443 para habilitar el flujo de registros de diagnóstico desde Azure Portal. Este acceso ayuda a solucionar los problemas que pueden surgir al usar la extensión.

Azure Load Balancer

No es necesario permitir las solicitudes entrantes desde la etiqueta de servicio AZURE_LOAD_BALANCER para la SKU Developer, ya que solo se implementa una unidad de proceso detrás de ella. Sin embargo, la entrada desde AZURE_LOAD_BALANCER se convierte en crítica al escalar a una SKU superior, como Premium, ya que un error en el sondeo de estado del equilibrador de carga bloquea todo el acceso de entrada al plano de control y al plano de datos.

Application Insights

Si ha habilitado la supervisión de Azure Application Insights en API Management, permita la conectividad de salida hacia el punto de conexión de telemetría desde la red virtual.

Punto de conexión de KMS

Al agregar máquinas virtuales que ejecutan Windows en la red virtual, permita la conectividad saliente en el puerto 1688 al punto de conexión de KMS en la nube. Esta configuración enruta tráfico de máquina virtual Windows al servidor de Azure Key Management Services (KMS) para completar la activación de Windows.

Forzar la tunelización del tráfico al firewall local mediante ExpressRoute o una aplicación virtual de red

Normalmente, puede configurar y definir su propia ruta predeterminada (0.0.0.0/0) que fuerza a todo el tráfico de la subred delegada de API Management a pasar a través de un firewall local o a una aplicación virtual de red. El flujo de tráfico interrumpe la conectividad con Azure API Management porque el tráfico saliente está bloqueado de forma local o porque se usa NAT para convertirlo en un conjunto de direcciones irreconocibles que no funcionan con varios puntos de conexión de Azure. Puede resolver este problema mediante un par de métodos:

• Habilite los puntos de conexión de servicio en la subred en la que se ha implementado el servicio API Management para:

  • Azure SQL
  • Azure Storage
  • Centro de eventos de Azure
  • Azure Key Vault (plataforma v2)

  Al habilitar los puntos de conexión directamente desde la subred de API Management a estos servicios, puede utilizar la red troncal de Microsoft Azure, que proporciona un enrutamiento óptimo para el tráfico de los servicios. Si usa puntos de conexión de servicio con una API Management con túnel forzado, el tráfico de servicios de Azure anterior no se enruta a través de tunelización forzada. El resto del tráfico de dependencia del servicio API Management se enruta con tunelización forzada y no se puede perder. Si se pierde, el servicio API Management no funcionará correctamente.

• Todo el tráfico del plano de control desde Internet al punto de conexión de administración del servicio API Management se enruta a través de un conjunto específico de IP de entrada hospedadas en API Management. Cuando el tráfico se produce con tunelización forzada, no se asignarán simétricamente las respuestas a estas direcciones IP de origen de entrada. Para superar la limitación, establezca el destino de las siguientes rutas definidas por el usuario (UDR) en "Internet", para dirigir el tráfico de vuelta a Azure. Busque el conjunto de direcciones IP de entrada para el tráfico del plano de control documentado en Direcciones IP del plano de control.

• Para otras dependencias del servicio API Management con tunelización forzada, resuelva el nombre de host y llegue hasta el punto de conexión. Entre ellas se incluyen las siguientes:

  • Supervisión de métricas y estado
  • Diagnósticos de Azure Portal
  • Retransmisión de SMTP
  • CAPTCHA del portal para desarrolladores
  • Servidor de KMS de Azure

Enrutamiento

• Se reserva una dirección IP pública (VIP) con equilibrio de carga para proporcionar acceso a todos los puntos de conexión de servicio y los recursos fuera de la red virtual.
  • Las direcciones IP públicas con equilibrio de carga pueden encontrarse en la hoja Información general/nformación esencial en Azure Portal.
• Se usa una dirección IP de un intervalo IP de subred (DIP) para el acceso a los recursos dentro de la red virtual.

Direcciones IP del plano de control

Las direcciones IP siguientes se dividen según el entorno de Azure. Cuando se permiten las solicitudes entrantes, la dirección IP marcada con Global debe permitirse junto con la dirección IP específica de la región.

Solución de problemas

• Implementación inicial incorrecta del servicio API Management en una subred

  • Implemente una máquina virtual en la misma subred.
  • Conéctese a la máquina virtual y compruebe que hay conectividad a cada uno de los siguientes recursos de la suscripción de Azure:
    • Azure Storage Blob
    • Azure SQL Database
    • Tabla de Azure Storage
    • Azure Key Vault (para una instancia de API Management hospedada en la plataforma stv2)

  Importante

  Después de validar la conectividad, quite todos los recursos de la subred antes de implementar API Management en la subred (necesario cuando API Management se hospeda en la plataforma stv1).

• Comprobación del estado de conectividad de red

  • Después de implementar API Management en la subred, use el portal para comprobar la conectividad de la instancia a dependencias como Azure Storage.
  • En el portal, en el menú izquierdo, en Implementación e infraestructura, seleccione Estado de conectividad de red.

  

  Filter	Descripción
  Obligatorio	Seleccione esta opción para revisar la conectividad a los servicios de Azure necesarios para API Management. Un error indica que la instancia no puede realizar operaciones básicas para administrar las API.
  Opcional	Seleccione esta opción para revisar la conectividad a servicios opcionales. Un error indica únicamente que la funcionalidad específica no funcionará (por ejemplo, SMTP). Un error puede provocar una degradación en la capacidad de usar y supervisar la instancia de API Management y proporcionar el Acuerdo de Nivel de Servicio confirmado.

  Para solucionar problemas de conectividad, revise las opciones de configuración de red y corrija la configuración de red necesaria.

• Actualizaciones incrementales
  Al realizar cambios en la red, consulte NetworkStatus API para validar si el servicio API Management no ha perdido el acceso a los recursos críticos. El estado de conectividad debe actualizarse cada 15 minutos.

• Vínculos de navegación de recursos
  Una instancia de APIM hospedada en la plataforma de proceso stv1, cuando se implementa en una subred de red virtual de Resource Manager, reserva la subred mediante la creación de un vínculo de navegación de recursos. Si la subred ya contiene un recurso de un proveedor distinto, la implementación producirá un error. De forma similar, al eliminar un servicio API Management o moverlo a una subred diferente, se quitará el vínculo de navegación de recursos.

Pasos siguientes

Más información sobre:

• Conexión de una red virtual al back-end mediante VPN Gateway
• Conexión de redes virtuales a partir de diferentes modelos de implementación con PowerShell
• Depuración de las API con el seguimiento de solicitudes
• Preguntas más frecuentes (P+F) acerca de Azure Virtual Network
• Etiquetas de servicio