Különálló kiszolgálók csatlakoztatása az Azure Network Adapterrel

Ez a referenciaarchitektúra bemutatja, hogyan csatlakoztathat egy helyszíni különálló kiszolgálót a Microsoft Azure-beli virtuális hálózatokhoz a Windows Rendszergazda Center (WAC) segítségével üzembe helyezhető Azure Hálózati adapter használatával. Az Azure Network Adapter biztonságos virtuális kapcsolatot hoz létre az interneten keresztül, amely kiterjeszti a helyszíni hálózatot az Azure-ra.

Architektúra

Töltse le ezeknek az architektúráknak a Visio-fájlját .

Munkafolyamat

Az architektúra a következőkből áll:

• Helyszíni hálózat. Ez az összetevő egy szervezet helyi magánhálózata (LAN).
• Fiókiroda. Ez az összetevő egy privát LAN egy távoli fiókirodában, amely egy nagyvállalati szintű hálózaton (WAN) keresztül csatlakozik.
• Más felhőszolgáltató. Ez az összetevő egy magánhálózat, amelyet a felhőszolgáltató kínál. Virtuális magánhálózaton (VPN) keresztül csatlakozik.
• Windows Server, amelyen telepítve van a Windows Rendszergazda Center. Az Azure hálózati adapter üzembe helyezéséhez használt kiszolgáló.
• Windows Server (önálló). Az a kiszolgáló, amelyre az Azure Hálózati adapter telepítve van. Ez a kiszolgáló lehet egy fiókirodai hálózat vagy egy másik felhőszolgáltató hálózata.
• Azure Virtual Network (VNet). Az Azure VPN Gateway virtuális kiszolgálói és egyéb szolgáltatásai és összetevői, amelyek ugyanabban a virtuális hálózaton találhatók az Azure-ban.
• Azure VPN Gateway. A VPN Gateway szolgáltatás, amely lehetővé teszi a virtuális hálózat csatlakoztatását a helyszíni hálózathoz vagy önálló kiszolgálókhoz VPN-berendezésen vagy Azure-hálózati adaptereken keresztül. További információért tekintse át a helyszíni hálózat és a Microsoft Azure Virtual Network csatlakoztatásával foglalkozó cikket. A VPN-átjárókhoz számos tarifacsomag vagy készletmegőrzési egység (SKU) érhető el. Minden termékváltozat különböző követelményeket támogat a számítási feladatok, az átviteli sebesség, a funkciók és a szolgáltatásiszint-szerződések (SLA-k) alapján. A VPN-átjáró a következő összetevőket tartalmazza:
  • Virtuális hálózati átjáró (aktív). Ez az Azure-erőforrás egy virtuális VPN-berendezést biztosít a virtuális hálózathoz, és a helyszíni hálózat és a virtuális hálózat közötti forgalom oda-vissza irányításáért felelős.
  • Virtuális hálózati átjáró (passzív). Ez az Azure-erőforrás egy virtuális VPN-berendezést biztosít a virtuális hálózat számára, és ez az aktív Azure VPN Gateway készenléti példánya. További információ: Tudnivalók az Azure VPN Gateway redundanciáról.
  • Átjáró-alhálózat. A virtuális hálózati átjáró a saját alhálózatában található, amelyre különböző követelmények vonatkoznak, amelyeket az alábbi Javaslatok szakasz részletez.
  • Kapcsolat. A kapcsolat olyan tulajdonságokkal rendelkezik, amelyek meghatározzák a kapcsolat típusát. Ezek a tulajdonságok közé tartozik az Internet Protocol biztonság (IPsec) és a helyszíni VPN-berendezéssel megosztott kulcs a forgalom titkosításához.
• Felhőalkalmazás. Ez az összetevő az Azure-ban üzemeltetett alkalmazás. Számos réteget tartalmazhat több alhálózattal, amelyek az Azure-terheléselosztókon keresztül csatlakoznak. További információ az alkalmazás-infrastruktúrával kapcsolatban: Windows rendszerű virtuális gépek számítási feladatainak futtatása és Számítási feladatok futtatása Linux rendszerű virtuális gépeken.
• Belső terheléselosztó. A VPN-átjáró hálózati forgalmát egy belső terheléselosztón keresztül irányítja a rendszer a felhőalkalmazáshoz, amely az alkalmazás éles alhálózatában található.
• Azure Bastion. Az Azure Bastion lehetővé teszi, hogy anélkül jelentkezzen be az Azure-beli virtuális hálózat virtuális gépeibe, hogy a virtuális gépeket közvetlenül az internetre továbbítja. Secure Shellt (SSH) vagy távoli asztali protokollt (RDP) használ. Ha elveszíti a VPN-kapcsolatot, az Azure Bastion használatával továbbra is kezelheti a virtuális gépeket az Azure-beli virtuális hálózaton. A helyszíni kiszolgálók Azure Bastionon keresztüli kezelése azonban nem támogatott.

Összetevők

• Virtuális hálózat. Az Azure Virtual Network (VNet) az Azure-beli magánhálózat alapvető építőeleme. A virtuális hálózat számos Típusú Azure-erőforrást tesz lehetővé, például azure-beli virtuális gépeket (VM) az egymással, az internettel és a helyszíni hálózatokkal való biztonságos kommunikációhoz.

• Azure Bastion. Az Azure Bastion egy teljes mértékben felügyelt szolgáltatás, amellyel biztonságosan és egyszerűen hozhat létre RDP- és SSH-kapcsolatot a virtuális gépeivel anélkül, hogy nyilvános IP-címeken is elérhetővé kellene tennie őket.

• VPN Gateway. A VPN Gateway titkosított forgalmat küld egy Azure-beli virtuális hálózat és egy helyszíni hely között a nyilvános interneten keresztül. A VPN Gateway használatával titkosított forgalmat is küldhet az Azure-beli virtuális hálózatok között a Microsoft-hálózaton keresztül. A VPN-átjáró a virtuális hálózati átjárók egy adott típusa.

• Windows Rendszergazda Center. A Windows Rendszergazda Center egy helyileg telepített, böngészőalapú alkalmazás Windows-kiszolgálók, fürtök, hiperkonvergens infrastruktúra, valamint Windows 10 rendszerű számítógépek kezelésére. Ez egy ingyenes termék, és használatra kész az éles környezetben.

Ajánlások

Az alábbi javaslatok a legtöbb forgatókönyvre vonatkoznak. Kövesse ezeket a javaslatokat, ha nincsenek ezeket felülíró követelményei.

önálló kiszolgáló Csatlakozás

Ha önálló kiszolgálót szeretne csatlakoztatni a WAC-on keresztül, fel kell vennie a kiszolgálót a felügyelt kiszolgálók listájára a dedikált kiszolgáló WAC-telepítésében. Miután hozzáadta a kiszolgálót a listához, kiválaszthatja azt a kiszolgálót, amelyhez telepíteni szeretné az Azure hálózati adaptert, majd az eszközök közül válassza a Hálózat lehetőséget, majd a Hálózat panelen az "+ Azure Hálózati adapter hozzáadása (előzetes verzió)" lehetőséget.

Amikor az + Azure Hálózati adapter hozzáadása (előzetes verzió) lehetőséget választja, megnyílik az Azure hálózati adapter hozzáadása konfigurációs panel egy böngészőablakban. Ezen a panelen számos beállítás konfigurálható.

A következő információkra van szükség:

Miután elvégezte az összes szükséges mezőt, a Létrehozás gomb aktívvá válik, és ki kell választania, hogy megkezdje az Azure Hálózati adapter üzembe helyezését a kijelölt kiszolgálón.

Az üzembehelyezési folyamat két fő részből áll, amelyek közül az első az Azure VPN Gateway üzembe helyezése és kiválasztása. Ha először üzembe kell helyeznie az Azure VPN Gatewayt, az üzembe helyezés befejezéséhez 25–45 percet kell hagynia. (Egyes konfigurációk üzembe helyezése ennyi időt vehet igénybe.) A WAC információkat nyújt az üzembe helyezés előrehaladásáról. A második rész az Azure Hálózati adapter tényleges telepítése, amely 10 percet vehet igénybe. A WAC a telepítés előrehaladásáról is értesíti Önt.

Az üzembe helyezés megkezdése után más eszközök vagy kiszolgálók kiválasztásával módosíthatja a WAC fókuszát. Az üzembe helyezési folyamat a háttérben folytatódik.

Ha az automatikusan létrehozott önaláírt főtanúsítvány és ügyféltanúsítvány lehetőséget választja, az Azure automatikusan létrehozza a két szükséges tanúsítványt, és a kiválasztott kiszolgáló tanúsítványtárolójában tárolja őket. A WAC Tanúsítványok eszközével megkeresheti őket, majd megkeresheti a főtanúsítványt a Helyi gép/gyökértárolóban. A tanúsítvány neve a Windows Rendszergazda Center-Created-vpngw névvel kezdődik, és tartalmazza a P2SRoot sztringet. A sztring farka tartalmaz egy időbélyeget, amely a tanúsítvány létrehozási dátumával van kódolva. Ezt a tanúsítványt a rendszer a helyi gép/hitelesítésszolgáltató tárolójában is tárolja. A második tanúsítvány a Helyi gép/Saját tárolóban van tárolva. A tanúsítvány neve a Windows Rendszergazda Center-Created-vpngw használatával kezdődik, és tartalmazza a P2SClient sztringet. A sztring farka tartalmaz egy időbélyeget, amely a tanúsítvány létrehozási dátumával van kódolva.

Az üzembe helyezés befejezése után a kiválasztott kiszolgáló hálózati eszköze frissül az új Azure Hálózati adapterrel, amely automatikusan elindul az üzembe helyezés befejezése után, és aktív állapotot jelez. Az adaptert kiválasztva aktiválhatja a Továbbiak legördülő listát, amelyet kiválasztva leválaszthatja vagy törölheti az adaptert. A tényleges kiszolgálón az Azure hálózati adapter VPN-kapcsolatként van telepítve. Az adapter neve a Windows Rendszergazda CenterVPN-vel kezdődik, amelyet egy véletlenszerű háromjegyű szám követ.

Az Azure hálózati adapter telepítése és csatlakoztatása után ezzel az új hálózati kapcsolattal közvetlenül csatlakozhat az Azure-beli virtuális hálózatokhoz és azok rendszereihez. Ez a kapcsolattípus általában egy távoli asztali munkamenet azure-beli virtuális gép belső IP-címén keresztül történő létrehozására szolgál a virtuális gép nyilvános IP-címének használata helyett.

Dedikált WAC-kiszolgáló használata

Központi felügyelet esetén javasoljuk, hogy egy dedikált Windows Rendszergazda Server-telepítést használjon, amelyből más kiszolgálókat is hozzáadhat. Ez a megközelítés azt jelenti, hogy egyetlen felügyelt kiszolgáló sem igényel további szoftvereket. További információ: Windows Rendszergazda Center.

Dedikált virtuális hálózat előkészítése

Előfordulhat, hogy az Azure Hálózati adapter telepítési felülete nem felel meg az elnevezési konvenciónak vagy a tarifacsomag igényeinek. Az ütközés elkerülése érdekében az adapter üzembe helyezése előtt létrehozhatja a szükséges Azure-erőforrásokat. Az üzembe helyezés során a már meglévő erőforrásokat kell kiválasztania ahelyett, hogy a telepítési felületen keresztül hozza létre őket.

Megfontolások

Ezek a szempontok implementálják az Azure Well-Architected Framework alappilléreit, amely a számítási feladatok minőségének javítására használható vezérelvek halmaza. További információ: Microsoft Azure Well-Architected Framework.

Méretezhetőség

• VPN-átjáró termékváltozata:
  • A kiválasztott VPN Gateway-termékváltozat határozza meg, hogy hány kapcsolatot vehet igénybe párhuzamosan, és hogy az összes ilyen kapcsolathoz milyen sávszélesség érhető el. Az egyidejű kapcsolatok száma 250 és 1000 között változik a P2S IKEv2/OpenVPN beállítás használatakor. Az IKE az IPsec-kulcscserére hivatkozik. Javasoljuk, hogy kezdje a VpnGw1-et, és később skálázza fel a skálázást, ha több kapcsolatra van szüksége. Ha át kell váltania a VPN Gateway generációt, telepítenie kell egy új átjárót, és üzembe kell helyeznie egy új Azure Hálózati adaptert a csatlakozáshoz.
• több különálló kiszolgáló Csatlakozás:
  • A WAC használatával üzembe helyezheti az Azure Hálózati adaptert a szükséges számú kiszolgálón. Több Azure-hálózati adaptert is hozzáadhat egyetlen kiszolgálóhoz, hogy különböző Azure-beli virtuális hálózatokhoz csatlakozzon. A VPN-átjáró kezdeti üzembe helyezésének befejezése után további kiszolgálókat konfigurálhat ugyanahhoz az átjáróhoz úgy, hogy kiválasztja a meglévő átjárót a telepítési felületen.
  • Az önálló kiszolgálók ugyanazon a hálózaton, egy fiókirodai hálózaton vagy egy másik felhőalapú hálózaton találhatók. Használhatja a létrehozott hálózati kapcsolatot, például a vállalati WAN-t vagy egy dedikált VPN-t egy másik felhőszolgáltatóhoz, ha a szükséges hálózati portok ezeken a kapcsolatokon keresztül érhetők el. További információt a jelen cikk "Biztonsági szempontok" című szakaszában talál.
• Azure-helyek közötti kapcsolat:
  • Az Azure hálózati adapter egyetlen telepítés egyetlen kiszolgálón. Ha több kiszolgálót szeretne csatlakoztatni, jelentős adminisztrációs munkával szembesülhet. Ezt az erőfeszítést azonban elkerülheti, ha a helyszíni rendszereket az Azure Site-2-Site connection (S2S) metódussal csatlakoztatja, amely egy meglévő helyszíni hálózatot csatlakoztat egy Azure-beli virtuális hálózathoz és annak alhálózataihoz. Ennek a kapcsolatnak a magja egy Azure VPN Gateway, amelyen keresztül helyi, helyszíni VPN-átjárót csatlakoztathat a távoli Azure VPN Gatewayhez. Ez a biztonságos kapcsolat lehetővé teszi, hogy a két hálózati szegmens transzparensen kommunikáljon egymással.

Elérhetőség

• Az Azure hálózati adapter csak az Azure VPN Gateway aktív-passzív konfigurációját támogatja. Az adapter konfigurálása során egy meglévő aktív-aktív Azure VPN-átjáróra mutathat. A beállítás újrakonfigurálja az átjárót az aktív-passzív konfigurációhoz. Az aktív-aktív állapot manuális átjáró-újrakonfigurálása lehetséges, de az Azure hálózati adapter nem csatlakozik ehhez az átjáróhoz.

  Figyelmeztetés

  Ha egy Azure-hálózati adaptert egy meglévő Azure VPN Gatewayen konfigurál aktív-aktív konfigurációval, az átjárót újrakonfigurálja aktív-passzívra. Ez hatással lesz az átjáró összes meglévő VPN-kapcsolatára. Az aktív-aktív konfigurációról az aktív-készenléti konfigurációra való váltás az egyes kapcsolatokhoz tartozó két IPsec VPN-alagút egyikének csökkenését eredményezi. Ne folytassa az általános kapcsolati követelmények kiértékelése és a hálózati rendszergazdákkal való konzultáció nélkül.

Kezelhetőség

• Rendszergazda istrative fiók:

  • A WAC az azure-hálózati adapter üzembe helyezéséhez és a fiókkezelés konfigurálásához használt alapvető eszköz. Az elérhető lehetőségekről további információt a Windows Rendszergazda Center felhasználói hozzáférési beállításai című témakörben talál. Kiszolgálói kapcsolatonként egyéni fiókot konfigurálhat.

    Feljegyzés

    Az a párbeszédpanel, amelyben kiszolgálónként konfigurálja a rendszergazdai fiókot, ellenőrzi a hitelesítő adatait, amikor a Folytatás lehetőséget választja. A párbeszédpanel megnyitásához a WAC-ban jelölje ki a megfelelő kiszolgálónevet tartalmazó sort, majd válassza a Kezelés másként lehetőséget. Ne jelölje ki a kiszolgálót jelképező hivatkozást, mert az azonnal csatlakoztatni fogja a kiszolgálóhoz.

  • Emellett konfigurálnia kell egy felhasználói fiókot az Azure-kapcsolathoz a WAC Gépház párbeszédpaneljének megnyitásával és a fiókszakasz módosításával. A Gépház párbeszédpanelen is válthat felhasználókat, vagy kijelentkezhet a felhasználói munkamenetből.

• Azure Recovery Vault-integráció:
  • Amikor önálló kiszolgálóra telepíti az Azure Hálózati adaptert, akkor megfontolhatja, hogy a kiszolgáló egy port az üzletmenet folytonossága érdekében. Ezt a kiszolgálót integrálhatja a biztonsági mentési és vészhelyreállítási eljárásokba a konfigurált Azure Recovery Vault-szolgáltatások használatával, ha az Azure Backupot választja a WAC Eszközök szakaszában. Az Azure Backup segít megvédeni a Windows-kiszolgálót a sérülésekkel, támadásokkal és katasztrófákkal szemben azáltal, hogy közvetlenül a Microsoft Azure-ba készít biztonsági másolatot a kiszolgálóról.

Biztonság

A biztonság biztosítékokat nyújt a szándékos támadások és az értékes adatokkal és rendszerekkel való visszaélés ellen. További információ: A biztonsági pillér áttekintése.

• Szükséges hálózati portok:

  • A PowerShell-remoting hálózati portjának nyitva kell lennie, ha a WAC-t szeretné használni az Azure hálózati adapter üzembe helyezéséhez.

  • A PowerShell-remoting a Windows Remote Managementet (WinRM) használja. További információ: A PowerShell biztonsági szempontok újraegyeztetése és a PowerShell alapértelmezett beállításainak újraküldése.

  • Bizonyos esetekben további hitelesítési módszereket kell használnia. A WAC a PowerShellt a Credential Security Support Provider protokollal (CredSSP) használhatja a távoli kiszolgálókhoz való csatlakozáshoz. További információ: PowerShell-újraküldés és CredSSP, valamint a Windows Rendszergazda Center használata CredSSP használatával.

  • A PowerShell-remoting (és a WinRM) a következő portokat használja:

    Protokoll	Kikötő
    HTTP	5985
    HTTPS	5986

  • A Windows Rendszergazda Center (WAC) telepítési típusától függ, hogy hogyan csatlakozik ahhoz a kiszolgálóhoz, amelyre a Windows Rendszergazda Center (WAC) telepítve van. Az alapértelmezett port eltérő lehet, és a Windows 10-en vagy a 443-as porton telepített 6516-os port lehet, ha a Windows Serverre van telepítve. További információ: Windows Rendszergazda Center telepítése.

• Felhőhöz készült Microsoft Defender integráció:
  • Annak a kiszolgálónak a védelme érdekében, amelyre az Azure hálózati adapter telepítve van, integrálhatja a kiszolgálót a Felhőhöz készült Microsoft Defender a WAC Eszközök szakaszának Felhőhöz készült Microsoft Defender kiválasztásával. Az integráció során ki kell választania egy meglévő Azure Log Analytics-munkaterületet, vagy létre kell hoznia egy újat. Az egyes Felhőhöz készült Microsoft Defender integrálható kiszolgálókért külön kell fizetnie. További információ: Felhőhöz készült Microsoft Defender díjszabás.

DevOps

• Azure Automation:
  • A WAC hozzáférést biztosít az Azure Hálózati adaptert létrehozó PowerShell-kódhoz, amelyet a Hálózati eszköz kiválasztásával tekinthet át, majd a WAC lap tetején a PowerShell-szkriptek megtekintése ikont választva tekintheti meg. A szkript neve Complete-P2SVPNConfiguration, és PowerShell-függvényként van implementálva. A kód digitálisan aláírt és újra felhasználható. Az Azure Automationbe úgy integrálhatja, hogy további szolgáltatásokat konfigurál az Azure Portalon.

Költségoptimalizálás

A költségoptimalizálás a szükségtelen kiadások csökkentésének és a működési hatékonyság javításának módjairól szól. További információ: A költségoptimalizálási pillér áttekintése.

• Azure-díjkalkulátor:
  • Az Azure hálózati adapter használata valójában nem kerül semmibe, mivel ez egy helyszíni rendszerben üzembe helyezendő összetevő. Az Azure VPN Gateway a megoldás részeként többletköltségeket eredményez, ahogyan más szolgáltatások, például az Azure Recovery Vault vagy a Felhőhöz készült Microsoft Defender használata is. A tényleges költségekkel kapcsolatos további információkért tekintse meg az Azure díjszabási kalkulátorát. Fontos megjegyezni, hogy a tényleges költségek az Azure-régiótól és az ön egyedi szerződésétől függően változnak. A díjszabással kapcsolatos további információkért forduljon a Microsoft értékesítési képviselőjéhez.
• Kimenő forgalom költségei:
  • A kimenő virtuális hálózatok közötti adatátvitelhez további költségek is társulnak. Ezek a költségek a VPN Gateway termékváltozatától és a használt adatok tényleges mennyiségétől függnek. További információkért tekintse meg az Azure díjszabási kalkulátorát. Fontos megjegyezni, hogy a tényleges költségek az Azure-régiótól és az ön egyedi szerződésétől függően változnak. A díjszabással kapcsolatos további információkért forduljon a Microsoft értékesítési képviselőjéhez.

Közreműködők

Ezt a cikket a Microsoft tartja karban. Eredetileg a következő közreműködők írták.

Fő szerző:

• Frank Migacz | Alkalmazásinnovációs szakember

A nem nyilvános LinkedIn-profilok megtekintéséhez jelentkezzen be a LinkedInbe.

Következő lépések

További információ az összetevők technológiáiról:

• A 10 legfontosabb hálózati funkció a Windows Server 2019-ben: #3 Azure Hálózati adapter
• Pont–hely VPN
• Próbálja ki a Windows Rendszergazda Centert a Microsoft Kiértékelési központ
• Mi az Az Azure Virtual Network?
• Mi az az Azure Bastion?
• Mi az a VPN-átjáró?
• A Windows Rendszergazda Center áttekintése

Kapcsolódó erőforrások

Ismerkedjen meg a kapcsolódó architektúrákkal:

• Hibrid Azure-számítási feladatok kezelése a Windows Rendszergazda Center használatával
• Küllős hálózati topológia az Azure-ban
• Helyszíni hálózat kiterjesztése VPN használatával
• Hibrid tartománynévrendszer-megoldás tervezése az Azure-ral