Databricks推出Private Network Gateway：无服务器计算安全接入私有网络

Databricks 近日发布 Private Network Gateway，为无服务器计算环境提供安全、私密的网络连接能力。这一功能让企业在享受全托管、智能化、无版本化计算服务的同时，仍能将敏感数据和内部系统隔离在公共网络之外。

无服务器计算的网络困境

Databricks 的无服务器计算（Serverless Compute）以全托管、智能调度、无版本管理为卖点，用户无需关心集群配置和基础设施运维。但这种便利性也带来一个棘手问题：计算资源运行在 Databricks 管理的云账户中，而非企业自有 VPC 内。对于需要访问本地数据库、内部 API 或私有存储的企业来说，这构成了网络架构上的障碍。

传统方案包括 VPC Peering、PrivateLink 或 VPN 隧道，但配置复杂、维护成本高，且在多云或混合云场景下难以统一管理。Private Network Gateway 正是为解决这一矛盾而设计。

VPC Peering（虚拟私有云对等连接）是指将两个 VPC 通过私有 IP 地址直接互联，使双方资源可像在同一网络内通信。它的局限在于：不支持重叠的 CIDR 网段、缺少传递性（A 与 B、B 与 C 对等并不代表 A 能与 C 通信），且随连接数量增长，路由表管理复杂度呈非线性上升。

PrivateLink（AWS 称 VPC Endpoint / PrivateLink，Azure 称 Private Endpoint，GCP 称 Private Service Connect）则是通过服务端点方式，让消费方以私有 IP 单向访问提供方服务，无需暴露整个网络，也不存在 CIDR 冲突问题，但它是点对点、方向明确的连接，通常用于“客户端访问某个服务”，而非让托管侧计算主动出站访问客户内网。

VPN 隧道则通过 IPsec 或 TLS 在公网之上建立加密通道，灵活但带宽、延迟和运维成本较高，且在大规模无服务器动态调度场景下，隧道的稳定性和扩容能力容易成为瓶颈。三者各有取舍，这也解释了为何企业私有网络与全托管无服务器计算之间的连接一直缺少开箱即用的方案。

Private Network Gateway 如何工作

Private Network Gateway 在 Databricks 的无服务器计算平面与企业私有网络之间建立一条受控通路。据官方描述，该网关将无服务器工作负载的网络流量定向至企业指定的私有端点，避免数据经过公共互联网。

这意味着企业可以继续保持对网络边界的控制，同时让无服务器作业访问内部数据源。对于金融、医疗等受监管行业，这一能力尤为关键——它让团队既能使用全托管计算降低运维负担，又能满足数据不出私有网络的合规要求。

私有端点（Private Endpoint）通常指在客户 VPC/VNet 内创建的一块私有 IP 地址网卡，它通过云厂商的私有骨干网络映射到某个托管服务或资源，流量不经过公共互联网，也不占用公网出口。当 Databricks 无服务器工作负载的出口流量被定向到私有端点时，实际效果是：计算虽然运行在 Databricks 管理的账户内，但其访问内部数据源（如 RDS、Kafka、内部 API）的路径被收敛到企业可控的私有链路，企业安全团队可以通过安全组、网络 ACL、路由表和 DNS 解析策略对其进行审计与限制。

网络出口管理（Egress Management）关注的是“从托管环境向外发起连接”这一方向。它与入站访问控制相对，难点在于无服务器计算资源是动态创建和销毁的，源 IP 不固定，传统基于固定 IP 白名单的防火墙策略难以适用。Private Network Gateway 的核心价值之一，就是把这种动态出口流量锚定到企业已知的私有端点，从而恢复可预测、可审计的网络边界。

与现有网络方案的差异

Private Network Gateway 与 Databricks 已有的 Private Link 支持形成互补。Private Link 主要解决从 Databricks 控制平面访问客户 VPC 内资源的单向连接；而 Private Network Gateway 更专注于无服务器计算场景下的网络出口管理。

从产品定位看，Databricks 正在补齐无服务器架构在企业网络环境中的最后一块拼图。全托管计算的卖点不再以牺牲网络隔离为代价，这可能会加速更多传统企业将工作负载迁移到无服务器平台。

控制平面（Control Plane）与数据平面（Data Plane）的区分是理解这类架构的关键。在 Databricks 中，控制平面负责 UI、API、作业调度、元数据管理等，通常运行在 Databricks 管理的账户中；数据平面则是实际执行计算、处理数据的集群或无服务器工作负载。传统 Private Link 方案多用于让控制平面或客户侧访问数据平面资源，而 Private Network Gateway 处理的是数据平面中无服务器计算向外访问客户私有资源的路径，两者在网络拓扑上的起点与方向不同，因此是互补而非替代关系。

多云/混合云场景下，企业往往同时使用 AWS、Azure、GCP 及本地数据中心，各家的私有连接原语命名与行为差异较大。一个统一网关若能屏蔽这些差异，将显著降低跨云网络策略的重复配置成本，这也是 Databricks 作为跨云数据平台推出该能力的战略意义所在。

对数据平台架构的影响

无服务器计算一直被诟病"不适合生产环境"，网络限制是主要原因之一。Private Network Gateway 若能稳定运行，将改变这一认知。数据团队可以在不管理集群的前提下，安全地连接数据湖、数据仓库和业务系统，真正实现"计算无服务器化、网络私有化"。

从更广的视角看，这也反映了云数据平台的一个趋势：计算层的抽象程度越来越高，但网络和安全控制必须同步跟上。Databricks 的这一步，可能会推动整个行业重新思考无服务器架构的企业级标准。

目前官方披露的信息较为有限，具体支持的云平台、配置细节和限制条件尚未完全明确。对于正在评估无服务器数据平台的企业，Private Network Gateway 值得纳入技术选型的考量范围。