Bagikan melalui

Referensi konfigurasi jaringan virtual: API Management

BERLAKU UNTUK: Pengembang | Premi

Referensi ini menyediakan pengaturan konfigurasi jaringan terperinci untuk instans API Management yang disebarkan (disuntikkan) di jaringan virtual Azure dalam mode eksternal atau internal .

Untuk opsi, persyaratan, dan pertimbangan konektivitas VNet, lihat Menggunakan jaringan virtual dengan Azure API Management.

Penting

Referensi ini hanya berlaku untuk instans API Management di tingkat klasik yang disebarkan dalam jaringan virtual. Untuk informasi tentang injeksi jaringan virtual di tingkat v2, lihat Menyuntikkan instans Azure API Management di jaringan virtual privat - tingkat Premium v2.

Port yang diperlukan

Kontrol lalu lintas masuk dan keluar ke subnet tempat API Management disebarkan menggunakan aturan kelompok keamanan jaringan. Jika port tertentu tidak tersedia, API Management mungkin tidak beroperasi dengan benar dan menjadi tidak dapat diakses.

Saat instans layanan API Management dihost di VNet, port dalam tabel berikut digunakan.

Penting

  • Item tebal di kolom Tujuan menunjukkan konfigurasi port yang diperlukan demi keberhasilan penyebaran dan pengoperasian layanan API Management. Konfigurasi berlabel "opsional" mengaktifkan fitur tertentu, seperti yang disebutkan. Mereka tidak diperlukan demi kesehatan layanan secara keseluruhan.

  • Sebaiknya gunakan tag layanan yang ditunjukkan alih-alih alamat IP di NSG dan aturan jaringan lainnya untuk menentukan sumber dan tujuan jaringan. Tag layanan mencegah waktu henti ketika peningkatan infrastruktur mengharuskan adanya perubahan alamat IP.

Penting

Diperlukan untuk menetapkan Grup Keamanan Jaringan ke VNet Anda agar Azure Load Balancer berfungsi. Pelajari selengkapnya dalam dokumentasi Azure Load Balancer.

Arah Tag layanan sumber Rentang port sumber Tag layanan tujuan Rentang port tujuan Protokol Perbuatan Tujuan Jenis VNet
Masuk internet * JaringanVirtual [80], 443 PKT Izinkan Komunikasi klien ke API Management Hanya eksternal
Masuk ApiManagement * JaringanVirtual 3443 PKT Izinkan Titik akhir manajemen untuk portal Azure dan PowerShell Eksternal & Internal
Keluar JaringanVirtual * internet 80 PKT Izinkan Validasi dan manajemen sertifikat yang dikelola Microsoft dan dikelola pelanggan Eksternal & Internal
Keluar JaringanVirtual * Storage 443 PKT Izinkan Dependensi pada Azure Storage Eksternal & Internal
Keluar JaringanVirtual * AzureActiveDirectory 443 PKT Izinkan ID Microsoft Entra, Microsoft Graph, dan dependensi Azure Key Vault (opsional) Eksternal & Internal
Keluar JaringanVirtual * AzureConnectors 443 PKT Izinkan dependensi koneksi terkelola (opsional) Eksternal & Internal
Keluar JaringanVirtual * SQL 1433 PKT Izinkan Akses ke titik akhir Azure SQL Eksternal & Internal
Keluar JaringanVirtual * AzureKeyVault 443 PKT Izinkan Akses ke Azure Key Vault Eksternal & Internal
Keluar JaringanVirtual * EventHub 5671, 5672, 443 PKT Izinkan Dependensi untuk kebijakan Log ke Azure Event Hubs dan Azure Monitor (opsional) Eksternal & Internal
Keluar JaringanVirtual * AzureMonitor 1886, 443 PKT Izinkan Menerbitkan Log dan Metrik Diagnostik, Kesehatan Sumber Daya, dan Application Insights Eksternal & Internal
Masuk & Keluar JaringanVirtual * Virtual Network 6380 PKT Izinkan Mengakses layanan Azure Cache for Redis eksternal untuk kebijakan penembolokan antar mesin (opsional) Eksternal & Internal
Masuk & Keluar JaringanVirtual * JaringanVirtual 6381 - 6383 PKT Izinkan Mengakses layanan Azure Cache for Redis internal untuk kebijakan penembolokan antar mesin (opsional) Eksternal & Internal
Masuk & Keluar JaringanVirtual * JaringanVirtual 4290 UDP Izinkan Penghitung Sinkronisasi untuk kebijakan Batas Tarif antar mesin (opsional) Eksternal & Internal
Masuk Penyeimbang Beban Azure * JaringanVirtual 6390 PKT Izinkan Azure Infrastructure Load Balancer Eksternal & Internal
Masuk AzureTrafficManager * JaringanVirtual 443 PKT Izinkan Perutean Azure Traffic Manager untuk penyebaran multi-wilayah Eksternal
Masuk Penyeimbang Beban Azure * VirtualNetwork 6391 PKT Izinkan Pemantauan kesehatan mesin individu (Opsional) Eksternal & Internal

Tag layanan regional

Aturan NSG yang mengizinkan konektivitas keluar ke tag layanan Storage, SQL, dan Azure Event Hubs dapat menggunakan versi regional dari tag tersebut yang sesuai dengan wilayah yang berisi instans API Management (misalnya, Storage.WestUS untuk instans API Management di wilayah US Barat). Dalam penyebaran multi-wilayah, NSG di setiap wilayah harus mengizinkan lalu lintas ke tag layanan untuk wilayah tersebut dan wilayah utama.

Fungsionalitas TLS

Untuk mengaktifkan pembuatan dan validasi rantai sertifikat TLS/SSL, layanan API Management memerlukan konektivitas jaringan keluar pada port 80 dan 443 ke mscrl.microsoft.com, crl.microsoft.com, oneocsp.microsoft.com, cacerts.digicert.com, crl3.digicert.com dan csp.digicert.com.

Akses DNS

Akses keluar pada port 53 diperlukan untuk komunikasi dengan server DNS. Jika server DNS kustom ada di ujung lain gateway VPN, server DNS harus dapat dijangkau dari API Management hosting subnet.

Integrasi Microsoft Entra

Untuk beroperasi dengan benar, layanan API Management memerlukan konektivitas keluar pada port 443 ke titik akhir berikut yang terkait dengan ID Microsoft Entra: <region>.login.microsoft.com dan login.microsoftonline.com.

Metrik dan Pemantauan Kesehatan

Konektivitas jaringan keluar ke titik akhir Azure Monitoring, yang diselesaikan pada domain berikut, diwakili dengan tag layanan AzureMonitor untuk digunakan dengan Kelompok Keamanan Jaringan.

Lingkungan Azure Titik akhir
Azure Public
  • gcs.prod.monitoring.core.windows.net
  • global.prod.microsoftmetrics.com
  • shoebox2.prod.microsoftmetrics.com
  • shoebox2-red.prod.microsoftmetrics.com
  • shoebox2-black.prod.microsoftmetrics.com
  • prod3.prod.microsoftmetrics.com
  • prod3-black.prod.microsoftmetrics.com
  • prod3-red.prod.microsoftmetrics.com
  • gcs.prod.warm.ingestion.monitoring.azure.com
Azure Government
  • fairfax.warmpath.usgovcloudapi.net
  • global.prod.microsoftmetrics.com
  • shoebox2.prod.microsoftmetrics.com
  • shoebox2-red.prod.microsoftmetrics.com
  • shoebox2-black.prod.microsoftmetrics.com
  • prod3.prod.microsoftmetrics.com
  • prod3-black.prod.microsoftmetrics.com
  • prod3-red.prod.microsoftmetrics.com
  • prod5.prod.microsoftmetrics.com
  • prod5-black.prod.microsoftmetrics.com
  • prod5-red.prod.microsoftmetrics.com
  • gcs.prod.warm.ingestion.monitoring.azure.us
Microsoft Azure dioperasikan oleh 21Vianet
  • mooncake.warmpath.chinacloudapi.cn
  • global.prod.microsoftmetrics.com
  • shoebox2.prod.microsoftmetrics.com
  • shoebox2-red.prod.microsoftmetrics.com
  • shoebox2-black.prod.microsoftmetrics.com
  • prod3.prod.microsoftmetrics.com
  • prod3-red.prod.microsoftmetrics.com
  • prod5.prod.microsoftmetrics.com
  • prod5-black.prod.microsoftmetrics.com
  • prod5-red.prod.microsoftmetrics.com
  • gcs.prod.warm.ingestion.monitoring.azure.cn

CAPTCHA Portal pengembang

Memungkinkan konektivitas jaringan keluar untuk CAPTCHA portal pengembang, yang diselesaikan di host client.hip.live.com dan partner.hip.live.com.

Menerbitkan portal pengembang

Aktifkan penerbitan portal pengembang untuk instans API Management di VNet dengan mengizinkan konektivitas keluar ke Azure Storage. Misalnya, gunakan tag layanan Penyimpanan dalam aturan NSG. Saat ini, konektivitas ke Azure Storage melalui titik akhir layanan global atau regional diperlukan untuk menerbitkan portal pengembang untuk instans API Management apa pun.

Diagnostik portal Microsoft Azure

Saat menggunakan ekstensi diagnostik API Management dari dalam VNet, akses keluar ke dc.services.visualstudio.com pada port 443 diperlukan untuk mengaktifkan alur log diagnostik dari portal Microsoft Azure. Akses ini membantu dalam memecahkan masalah yang mungkin Anda hadapi saat menggunakan ekstensi tersebut.

Penyeimbang beban Azure

Anda tidak diharuskan untuk mengizinkan permintaan masuk dari tag layanan AzureLoadBalancer untuk SKU Pengembang, karena hanya satu unit komputasi yang disebarkan di baliknya. Namun, konektivitas masuk dari AzureLoadBalancer menjadi penting saat menskalakan ke SKU yang lebih tinggi, seperti Premium, karena kegagalan pemeriksaan kesehatan dari penyeimbang beban kemudian memblokir semua akses masuk ke sarana kontrol dan data plane.

Application Insights

Jika Anda telah mengaktifkan pemantauan Azure Application Insights pada API Management, izinkan konektivitas keluar ke titik akhir telemetri dari VNet.

Titik akhir KMS

Saat menambahkan mesin virtual yang menjalankan Windows ke VNet, izinkan konektivitas keluar di port 1688 ke titik akhir KMS di cloud Anda. Konfigurasi ini mengarahkan lalu lintas Windows VM ke server Azure Key Management Services (KMS) untuk menyelesaikan aktivasi Windows.

Infrastruktur dan diagnostik internal

Pengaturan dan FQDN berikut diperlukan untuk memelihara dan mendiagnosis infrastruktur komputasi internal API Management.

  • Izinkan akses UDP keluar pada port 123 untuk NTP.
  • Izinkan akses TCP keluar pada port 12000 untuk diagnostik.
  • Izinkan akses keluar pada port 443 ke titik akhir berikut untuk diagnostik internal: azurewatsonanalysis-prod.core.windows.net, , *.data.microsoft.com, azureprofiler.trafficmanager.net, shavamanifestazurecdnprod1.azureedge.net. shavamanifestcdnprod1.azureedge.net
  • Izinkan akses keluar pada port 443 ke titik akhir berikut untuk PKI internal: issuer.pki.azure.com.
  • Izinkan akses keluar pada port 80 dan 443 ke titik akhir berikut untuk Windows Update: *.update.microsoft.com, , *.ctldl.windowsupdate.comctldl.windowsupdate.com, download.windowsupdate.com.
  • Izinkan akses keluar pada port 80 dan 443 ke titik go.microsoft.comakhir .
  • Izinkan akses keluar pada port 443 ke titik akhir berikut untuk Windows Defender: wdcp.microsoft.com, wdcpalt.microsoft.com .

Alamat IP sarana kontrol

Penting

Alamat IP sarana kontrol untuk Azure API Management harus dikonfigurasi untuk aturan akses jaringan hanya jika diperlukan dalam skenario jaringan tertentu. Sebaiknya gunakan tag layanan ApiManagementalih-alih alamat IP sarana kontrol untuk mencegah waktu henti saat peningkatan infrastruktur mengharuskan alamat IP berubah.

Konten terkait

Pelajari lebih lanjut tentang:

Untuk panduan selengkapnya tentang masalah konfigurasi, lihat:

  • Last updated on