Az Azure Stack Hub ruggedizált hálózati integrációja

Ez a témakör az Azure Stack hálózati integrációját ismerteti.

A hálózati integráció megtervezése fontos előfeltétele az Azure Stack integrált rendszerek sikeres üzembe helyezésének, működtetésének és felügyeletének. A határkapcsolatok tervezésének első lépéseként válassza ki, hogy szeretné-e használni a dinamikus útválasztást a border gateway protocol (BGP) protokollal. Ehhez hozzá kell rendelni egy 16 bites BGP autonóm rendszerszámot (nyilvános vagy privát), vagy statikus útválasztást kell használni, ahol a szegélyeszközökhöz statikus alapértelmezett útvonal van hozzárendelve.

Az állvány felső kapcsolóihoz 3. rétegbeli kimenő kapcsolatokra van szükség, amelyeken a fizikai adaptereken konfigurált pont–pont IP-címek (/30 hálózatok) vannak konfigurálva. Az Azure Stack-műveleteket támogató TOR-kapcsolókkal rendelkező 2. rétegbeli kimenő csatolások nem támogatottak.

BGP-útválasztás

A BGP-hez hasonló dinamikus útválasztási protokoll használata garantálja, hogy a rendszer mindig értesül a hálózati változásokról, és megkönnyíti az adminisztrációt. A fokozott biztonság érdekében jelszó állítható be a tor és a szegély közötti BGP-társviszonyban.

Ahogy az alábbi ábrán is látható, a TOR-kapcsoló magánhálózati IP-címtartományának hirdetése előtaglistával blokkolva van. Az előtaglista tagadja a magánhálózat hirdetményét, és útvonaltérképként alkalmazza a tor és a szegély közötti kapcsolatra.

A szoftveres Load Balancer (SLB) fut az Azure Stack-megoldás társviszonyai között a TOR-eszközök felé, hogy dinamikusan meghirdethesse a VIP-címeket.

Annak érdekében, hogy a felhasználói forgalom azonnal és átláthatóan helyreálljon a meghibásodás után, a TOR-eszközök között konfigurált VPC vagy MLAG lehetővé teszi a gazdagépek többvázas kapcsolatának összesítését, valamint a HSRP vagy VRRP használatát, amely hálózati redundanciát biztosít az IP-hálózatok számára.

Statikus útválasztás

A statikus útválasztás további konfigurációt igényel a szegélyeszközökhöz. Ez manuális beavatkozást és felügyeletet igényel, valamint alapos elemzést igényel a változások előtt. A konfigurációs hiba által okozott problémák visszaállítása a végrehajtott módosításoktól függően több időt vehet igénybe. Ez az útválasztási módszer nem ajánlott, de támogatott.

Ahhoz, hogy az Azure Stack statikus útválasztással integrálható legyen a hálózati környezetbe, mind a négy fizikai kapcsolatot össze kell kapcsolni a szegély és a TOR-eszköz között. A statikus útválasztás működése miatt a magas rendelkezésre állás nem garantálható.

A szegélyeszközt statikus útvonalakkal kell konfigurálni, amelyek a TOR és a Border között beállított négy P2P IP-cím mindegyikére mutatnak az Azure Stack bármely hálózatára irányuló forgalomhoz, de a működéshez csak a külső vagy nyilvános VIP-hálózatra van szükség. A kezdeti üzembe helyezéshez statikus útvonalakra van szükség a BMC-hez és a külső hálózatokhoz. Az operátorok dönthetnek úgy, hogy statikus útvonalakat hagynak a szegélyen a BMC-n és az infrastruktúra-hálózaton található felügyeleti erőforrások eléréséhez. Statikus útvonalak hozzáadása az infrastruktúra és a kapcsolókezelési hálózatok közötti váltáshoz nem kötelező.

A TOR-eszközök statikus alapértelmezett útvonallal vannak konfigurálva, amely az összes forgalmat a szegélyeszközökre irányítja. Az alapértelmezett szabály egyetlen adatforgalmi kivétele a privát terület, amely a tor szegélykapcsolatra alkalmazott Access Control listával van letiltva.

A statikus útválasztás csak a TOR és a szegélykapcsolók közötti kimenő kapcsolatokra vonatkozik. A BGP dinamikus útválasztást az állványon belül használják, mivel ez az SLB és más összetevők alapvető eszköze, és nem tiltható le vagy távolítható el.

* A BMC-hálózat nem kötelező az üzembe helyezés után.

** A Kapcsolóinfrastruktúra hálózat nem kötelező, mivel a teljes hálózat belefoglalható a Switch Management hálózatba.

A Switch Management hálózatra szükség van, és a Kapcsolóinfrastruktúra hálózattól külön adható hozzá.

Transzparens proxy

Ha az adatközpont megköveteli, hogy az összes forgalom proxyt használjon, konfigurálnia kell egy transzparens proxyt az állványról érkező összes forgalom feldolgozásához, hogy az a szabályzatnak megfelelően kezelje, elkülönítve a forgalmat a hálózat zónái között.

Az Azure Stack-megoldás nem támogatja a normál webes proxykat

A transzparens proxy (más néven elfogás, beágyazott vagy kényszerített proxy) a hálózati rétegen a normál kommunikációt elfogja anélkül, hogy speciális ügyfélkonfigurációra lenne szükség. Az ügyfeleknek nem kell tudniuk a proxy létezéséről.

Az SSL-forgalom elfogása nem támogatott, és szolgáltatáshibákhoz vezethet a végpontok elérésekor. Az identitáshoz szükséges végpontokkal való kommunikáció maximális támogatott időtúllépése 60-at jelent 3 újrapróbálkozási kísérlettel.

DNS

Ez a szakasz a tartománynévrendszer (DNS) konfigurációját ismerteti.

Feltételes DNS-továbbítás konfigurálása

Ez csak az AD FS üzemelő példányára vonatkozik.

A névfeloldás meglévő DNS-infrastruktúrával való engedélyezéséhez konfigurálja a feltételes továbbítást.

Feltételes továbbító hozzáadásához a kiemelt végpontot kell használnia.

Ehhez az eljáráshoz olyan számítógépet használjon az adatközpont hálózatában, amely képes kommunikálni az Azure Stack kiemelt végpontjával.

  1. Nyisson meg egy emelt szintű Windows PowerShell munkamenetet (futtatás rendszergazdaként), és csatlakozzon a kiemelt végpont IP-címéhez. A CloudAdmin-hitelesítéshez használja a hitelesítő adatokat.

    \$cred=Get-Credential Enter-PSSession -ComputerName \<IP Address of ERCS\> -ConfigurationName PrivilegedEndpoint -Credential \$cred 
    
  2. Miután csatlakozott a kiemelt végponthoz, futtassa a következő PowerShell-parancsot. Cserélje le a mintaértékeket a használni kívánt DNS-kiszolgálók tartománynevével és IP-címeivel.

    Register-CustomDnsServer -CustomDomainName "contoso.com" -CustomDnsIPAddresses "192.168.1.1","192.168.1.2" 
    

Azure Stack DNS-nevek feloldása az Azure Stacken kívülről

A mérvadó kiszolgálók a külső DNS-zóna adatait és a felhasználó által létrehozott zónákat tartalmazó kiszolgálók. Ezekkel a kiszolgálókkal integrálva engedélyezheti a zónadelegálást vagy a feltételes továbbítást az Azure Stacken kívüli Azure Stack DNS-nevek feloldásához.

A DNS-kiszolgáló külső végpontadatainak lekérése

Az Azure Stack üzembe helyezésének a DNS-infrastruktúrával való integrálásához a következő információkra van szüksége:

  • DNS-kiszolgáló teljes tartománynevei

  • DNS-kiszolgáló IP-címei

Az Azure Stack DNS-kiszolgálók teljes tartományneveinek formátuma a következő:

<NAMINGPREFIX-ns01>.< RÉGIÓ>.< EXTERNALDOMAINNAME>

<NAMINGPREFIX-ns02>.< RÉGIÓ>.< EXTERNALDOMAINNAME>

A mintaértékek használatával a DNS-kiszolgálók teljes tartománynevei a következők:

azs-ns01.east.cloud.fabrikam.com

azs-ns02.east.cloud.fabrikam.com

Ezek az információk a felügyeleti portálon érhetők el, de az Azure Stack összes üzemelő példányának végén is létrejönnek egy AzureStackStampInformation.json nevű fájlban. Ez a fájl az Üzembe helyezés virtuális gép C:\CloudDeployment\logs mappájában található. Ha nem biztos abban, hogy milyen értékeket használtak az Azure Stack üzembe helyezéséhez, innen szerezheti be az értékeket.

Ha az üzembehelyezési virtuális gép már nem érhető el vagy nem érhető el, az értékeket úgy szerezheti be, hogy csatlakozik a kiemelt végponthoz, és futtatja a Get-AzureStackStampInformation PowerShell-parancsmagot. További információkért tekintse meg a kiemelt végpontot.

Az Azure Stackre történő feltételes továbbítás beállítása

Az Azure Stack és a DNS-infrastruktúra integrálásának legegyszerűbb és legbiztonságosabb módja a zóna feltételes továbbítása a szülőzónát üzemeltető kiszolgálóról. Ez a megközelítés akkor ajánlott, ha közvetlen vezérléssel rendelkezik a külső Azure Stack DNS-névtér szülőzónáját üzemeltető DNS-kiszolgálók felett.

Ha nem tudja, hogyan végezhet feltételes továbbítást a DNS-sel, tekintse meg a következő TechNet-cikket: Feltételes továbbító hozzárendelése tartománynévhez, vagy a DNS-megoldás dokumentációja.

Olyan esetekben, amikor a külső Azure Stack DNS-zónát úgy adta meg, hogy a vállalati tartománynév gyermektartományának tűnjön, a feltételes továbbítás nem használható. A DNS-delegálást konfigurálni kell.

Példa:

  • Vállalati DNS-tartománynév: contoso.com

  • Azure Stack külső DNS-tartományneve: azurestack.contoso.com

DNS-továbbító IP-címének szerkesztése

A DNS-továbbító IP-címek az Azure Stack üzembe helyezése során vannak beállítva. Ha azonban a továbbító IP-címeit bármilyen okból frissíteni kell, az értékeket úgy szerkesztheti, hogy csatlakozik a kiemelt végponthoz, és futtatja a Get-AzSDnsForwarder és Set-AzSDnsForwarder [[-IPAddress] <IPAddress[]>] PowerShell-parancsmagokat. További információkért tekintse meg a kiemelt végpontot.

A külső DNS-zóna delegálása az Azure Stackbe

Ahhoz, hogy a DNS-nevek feloldhatók legyenek az Azure Stack üzemelő példányán kívülről, be kell állítania a DNS-delegálást.

Minden tartományregisztráló a saját DNS-kezelési eszközeit használja a tartományok névkiszolgálói rekordjainak módosítására. A tartományregisztráló DNS-kezelési lapján szerkessze az NS-rekordokat, és cserélje le a zóna NS-rekordjait az Azure Stackben lévőkre.

A legtöbb DNS-regisztráló megköveteli, hogy legalább két DNS-kiszolgálót adjon meg a delegálás befejezéséhez.

Firewall

Az Azure Stack virtuális IP-címeket (VIP-ket) állít be az infrastruktúra-szerepköreihez. Ezek a VIRTUÁLIS IP-címek a nyilvános IP-címkészletből vannak lefoglalva. Minden VIRTUÁLIS IP-címet hozzáférés-vezérlési lista (ACL) biztosít a szoftveralapú hálózati rétegben. Az ACL-eket a fizikai kapcsolók (TOR és BMC) is használják a megoldás további megerősítéséhez. A rendszer létrehoz egy DNS-bejegyzést a külső DNS-zóna minden végpontja számára, amely az üzembe helyezéskor van megadva. A felhasználói portálhoz például hozzá van rendelve a portál DNS-állomásbejegyzése. <régióban>.< fqdn>.

Az alábbi architekturális diagram a különböző hálózati rétegeket és ACL-eket mutatja be:

architectural diagram shows the different network layers and ACLs

Portok és URL-címek

Ha elérhetővé szeretné tenni az Azure Stack-szolgáltatásokat (például a portálokat, az Azure Resource Manager, a DNS-t stb.) a külső hálózatok számára, engedélyeznie kell a végpontokra irányuló bejövő forgalmat adott URL-címekhez, portokhoz és protokollokhoz.

Olyan üzemelő példányokban, ahol egy hagyományos proxykiszolgálóra vagy tűzfalra irányuló transzparens proxykapcsolat védi a megoldást, engedélyeznie kell bizonyos portokat és URL-címeket a bejövő és a kimenő kommunikációhoz is. Ezek közé tartoznak az identitásra, a piactérre, a javításra és frissítésre, a regisztrációra és a használati adatokra vonatkozó portok és URL-címek.

Kimenő kommunikáció

Az Azure Stack csak transzparens proxykiszolgálók használatát támogatja. A hagyományos proxykiszolgálóra transzparens proxykapcsolattal rendelkező üzemelő példányokban engedélyeznie kell az alábbi táblázatban szereplő portokat és URL-címeket a kimenő kommunikációhoz csatlakoztatott módban való üzembe helyezéskor.

Az SSL-forgalom elfogása nem támogatott, és szolgáltatáshibákhoz vezethet a végpontok elérésekor. Az identitáshoz szükséges végpontokkal való kommunikáció maximálisan támogatott időtúllépése 60-os.

Megjegyzés

Az Azure Stack nem támogatja az ExpressRoute használatát az alábbi táblázatban felsorolt Azure-szolgáltatások eléréséhez, mert előfordulhat, hogy az ExpressRoute nem tudja az összes végpontra irányítani a forgalmat.

Cél Cél URL-címe Protokoll Portok Forráshálózat
Identitás Azure
login.windows.net
login.microsoftonline.com
graph.windows.net
https://secure.aadcdn.microsoftonline-p.com
www.office.com
ManagementServiceUri = https://management.core.windows.net
ARMUri = https://management.azure.com
https://*.msftauth.net
https://*.msauth.net
https://*.msocdn.com
Azure Government
https://login.microsoftonline.us/
https://graph.windows.net/
Azure China 21Vianet
https://login.chinacloudapi.cn/
https://graph.chinacloudapi.cn/
Azure Germany
https://login.microsoftonline.de/
https://graph.cloudapi.de/
HTTP
HTTPS
80
443
Nyilvános VIRTUÁLIS IP-cím – /27
Nyilvános infrastruktúra hálózata
Marketplace-szindikálás Azure
https://management.azure.com
https://*.blob.core.windows.net
https://*.azureedge.net
Azure Government
https://management.usgovcloudapi.net/
https://*.blob.core.usgovcloudapi.net/
Azure China 21Vianet
https://management.chinacloudapi.cn/
http://*.blob.core.chinacloudapi.cn
HTTPS 443 Nyilvános VIRTUÁLIS IP-cím – /27
Javítás frissítése & https://*.azureedge.net
https://aka.ms/azurestackautomaticupdate
HTTPS 443 Nyilvános VIRTUÁLIS IP-cím – /27
Regisztráció Azure
https://management.azure.com
Azure Government
https://management.usgovcloudapi.net/
Azure China 21Vianet
https://management.chinacloudapi.cn
HTTPS 443 Nyilvános VIRTUÁLIS IP-cím – /27
Használat Azure
https://*.trafficmanager.net
Azure Government
https://*.usgovtrafficmanager.net
Azure China 21Vianet
https://*.trafficmanager.cn
HTTPS 443 Nyilvános VIRTUÁLIS IP-cím – /27
Windows Defender *.wdcp.microsoft.com
*.wdcpalt.microsoft.com
*.wd.microsoft.com
*.update.microsoft.com
*.download.microsoft.com
https://www.microsoft.com/pkiops/crl
https://www.microsoft.com/pkiops/certs
https://crl.microsoft.com/pki/crl/products
https://www.microsoft.com/pki/certs
https://secure.aadcdn.microsoftonline-p.com
HTTPS 80
443
Nyilvános VIRTUÁLIS IP-cím – /27
Nyilvános infrastruktúra hálózata
NTP (Az üzembe helyezéshez megadott NTP-kiszolgáló IP-címe) UDP 123 Nyilvános VIRTUÁLIS IP-cím – /27
DNS (AZ üzembe helyezéshez megadott DNS-kiszolgáló IP-címe) TCP
UDP
53 Nyilvános VIRTUÁLIS IP-cím – /27
CRL (URL-cím a tanúsítvány CRL-terjesztési pontjai alatt) HTTP 80 Nyilvános VIRTUÁLIS IP-cím – /27
LDAP Graph integrációhoz biztosított Active Directory-erdő TCP
UDP
389 Nyilvános VIRTUÁLIS IP-cím – /27
LDAP SSL Graph-integrációhoz biztosított Active Directory-erdő TCP 636 Nyilvános VIRTUÁLIS IP-cím – /27
LDAP GC Graph-integrációhoz biztosított Active Directory-erdő TCP 3268 Nyilvános VIRTUÁLIS IP-cím – /27
LDAP GC SSL Graph-integrációhoz biztosított Active Directory-erdő TCP 3269 Nyilvános VIRTUÁLIS IP-cím – /27
AD FS Az AD FS-integrációhoz biztosított AD FS metaadat-végpont TCP 443 Nyilvános VIRTUÁLIS IP-cím – /27
Diagnosztikai naplógyűjtési szolgáltatás Azure Storage megadott Blob SAS URL-címe HTTPS 443 Nyilvános VIRTUÁLIS IP-cím – /27

Bejövő kommunikáció

Az Azure Stack-végpontok külső hálózatokon való közzétételéhez infrastruktúra-VIRTUÁLIS IP-címekre van szükség. A Végpont (VIP) tábla megjeleníti az egyes végpontokat, a szükséges portot és protokollt. További erőforrás-szolgáltatókat igénylő végpontok, például a SQL erőforrás-szolgáltató esetében tekintse meg az erőforrás-szolgáltató üzembe helyezési dokumentációját.

A belső infrastruktúra VIRTUÁLIS IP-címeinek listája nem szerepel, mert nem szükségesek az Azure Stack közzétételéhez. A felhasználói virtuális ip-címek dinamikusak, és maguk a felhasználók határozzák meg, az Azure Stack operátora nem vezérel

Megjegyzés

Az IKEv2 VPN egy szabványalapú IPsec VPN-megoldás, amely az 500-s és a 4500-s UDP-portot, valamint az 50-ös TCP-portot használja. A tűzfalak nem mindig nyitják meg ezeket a portokat, ezért előfordulhat, hogy egy IKEv2 VPN nem tud bejárást végrehajtani a proxykon és a tűzfalakon.

Végpont (VIP) A DNS-szolgáltató A rekordja Protokoll Portok
AD FS Adfs. <régióban>.< Fqdn> HTTPS 443
Portál (rendszergazda) Rendszergazdai jogosultság. <régióban>.< Fqdn> HTTPS 443
Adminhosting *.adminhosting.< régióban>.< Fqdn> HTTPS 443
Azure Resource Manager (rendszergazda) Felügyelet. <régióban>.< Fqdn> HTTPS 443
Portál (felhasználó) Portál. <régióban>.< Fqdn> HTTPS 443
Azure Resource Manager (felhasználó) Kezelése. <régióban>.< Fqdn> HTTPS 443
Graph Graph. <régióban>.< Fqdn> HTTPS 443
Visszavont tanúsítványok listája Crl.region<.<> Fqdn> HTTP 80
DNS *. <régióban>.< Fqdn> TCP & UDP 53
Üzemeltetés *.hosting.< régióban>.< Fqdn> HTTPS 443
Key Vault (felhasználó) *.vault. <régióban>.< Fqdn> HTTPS 443
Key Vault (rendszergazda) *.adminvault. <régióban>.< Fqdn> HTTPS 443
Tárolási üzenetsor *.queue. <régióban>.< Fqdn> HTTP
HTTPS
80
443
Storage táblázat *.table. <régióban>.< Fqdn> HTTP
HTTPS
80
443
Storage Blob *.blob. <régióban>.< Fqdn> HTTP
HTTPS
80
443
SQL erőforrás-szolgáltató sqladapter.dbadapter. <régióban>.< Fqdn> HTTPS 44300-44304
MySQL-erőforrás-szolgáltató mysqladapter.dbadapter. <régióban>.< Fqdn> HTTPS 44300-44304
App Service *.appservice. <régióban>.< Fqdn> TCP 80 (HTTP)
443 (HTTPS)
8172 (MSDeploy)
*.scm.appservice. <régióban>.< Fqdn> TCP 443 (HTTPS)
api.appservice. <régióban>.< Fqdn> TCP 443 (HTTPS)
44300 (Azure Resource Manager)
ftp.appservice. <régióban>.< Fqdn> TCP, UDP 21, 1021, 10001-10100 (FTP)
990 (FTPS)
VPN-átjárók Lásd a VPN-átjáróval kapcsolatos gyakori kérdéseket.