The Connection to Data Plane Failed
The connection to Data Plane failed
No será la primera vez —ni probablemente la última— que reciba un caso en el que un cliente reporta desde el portal de Azure que, al intentar acceder a un Key Vault configurado para permitir acceso únicamente mediante Private Endpoint, aparece el siguiente error:
“The connection to data plane failed. Please refresh and try again. If Private Links are enabled on the vault and the issue persists please follow the steps in the following link:
https://go.microsoft.com/fwlink/?linkid=2156688
En el propio documento enlazado se indica lo siguiente:
“By definition of private links, the application, script or portal must be running on machine, cluster, or environment connected to the Virtual Network where the Private Endpoint resource was deployed. If the application, script or portal is running on an arbitrary Internet-connected network, this guide is NOT applicable.”
Qué significa realmente este error
Cuando se habilita un Private Endpoint en un servicio PaaS —y en particular en Azure Key Vault— el acceso al Data Plane del servicio requiere conectividad de red directa con dicho endpoint privado.
En el caso de Key Vault, esto afecta a las secciones del portal como:
- Secrets
- Keys
- Certificates
En otras palabras:
La máquina desde la que se intenta acceder debe tener conectividad de red directa con la IP privada asociada al Private Endpoint.
¿Por qué ocurre esto?
Cuando un Key Vault está expuesto únicamente a través de un Private Endpoint, el tráfico procedente de una dirección IP pública en Internet no puede alcanzar la IP privada asignada al servicio.
En este escenario, el portal de Azure devuelve el siguiente error:
“The connection to data plane failed.”
Cómo acceder correctamente al Data Plane
Para poder acceder al Data Plane del Key Vault desde el portal de Azure, la máquina desde la que se abre el portal debe tener conectividad con la Virtual Network donde se ha desplegado el Private Endpoint.
Por ejemplo:
- una máquina virtual desplegada en la misma VNet
- un cliente conectado mediante VPN
- un cliente conectado mediante ExpressRoute
El motivo más común del error
En la mayoría de los casos, el problema se reduce a algo muy simple:
intentar acceder a una IP privada desde una red pública de Internet, mientras que el firewall del servicio PaaS permite únicamente el acceso a través del Private Endpoint.