Bagikan melalui


Mengonfigurasi titik akhir jaringan untuk mengakses berbagi file Azure

Azure Files menyediakan dua jenis titik akhir utama untuk mengakses berbagi file Azure:

  • Titik akhir publik, yang memiliki alamat IP publik dan dapat diakses dari mana saja di seluruh dunia.
  • Titik akhir privat, yang ada di dalam jaringan virtual dan memiliki alamat IP privat dari dalam ruang alamat jaringan virtual.

Titik akhir publik dan privat ada di akun penyimpanan Azure. Akun penyimpanan adalah konstruksi manajemen yang mewakili kumpulan penyimpanan bersama tempat Anda dapat menyebarkan beberapa berbagi, serta sumber daya penyimpanan lainnya, seperti kontainer blob atau antrean.

Artikel ini berfokus pada cara mengonfigurasi titik akhir akun penyimpanan untuk mengakses berbagi file Azure secara langsung. Sebagian besar artikel ini juga berlaku untuk cara Azure File Sync melakukan interoperaksi dengan titik akhir publik dan privat untuk akun penyimpanan. Untuk informasi selengkapnya tentang pertimbangan jaringan untuk Azure File Sync, lihat mengonfigurasi proksi Azure File Sync dan pengaturan firewall.

Sebaiknya baca pertimbangan jaringan Azure Files sebelum membaca panduan ini.

Berlaku untuk

Jenis berbagi File SMB NFS
Berbagi file standar (GPv2), LRS/ZRS Ya Tidak
Berbagi file standar (GPv2), GRS/GZRS Ya Tidak
Berbagi file premium (FileStorage), LRS/ZRS Ya Ya

Prasyarat

  • Artikel ini mengasumsikan bahwa Anda sudah membuat langganan Azure. Jika belum memiliki langganan, buat akun gratis sebelum memulai.
  • Artikel ini mengasumsikan bahwa Anda sudah membuat berbagi file Azure di akun penyimpanan yang ingin Anda sambungkan dari lokal. Untuk mempelajari cara membuat berbagi file Azure, lihat Membuat berbagi file Azure.
  • Jika Anda ingin menggunakan modul Azure PowerShell, pasang versi terbaru.
  • Jika Anda ingin menggunakan Azure CLI, pasang versi terbaru.

Konfigurasi titik akhir

Anda dapat mengonfigurasi titik akhir untuk membatasi akses jaringan ke akun penyimpanan Anda. Ada dua pendekatan untuk membatasi akses ke akun penyimpanan ke jaringan virtual:

  • Buat satu atau beberapa titik akhir privat untuk akun penyimpanan dan batasi semua akses ke titik akhir publik. Tindakan ini memastikan bahwa hanya lalu lintas yang berasal dari dalam jaringan virtual yang diinginkan dapat mengakses berbagi file Azure dalam akun penyimpanan. Lihat Biaya Private Link.
  • Batasi titik akhir publik ke satu atau beberapa jaringan virtual. Tindakan ini berfungsi dengan menggunakan kapabilitas jaringan virtual yang disebut titik akhir layanan. Saat Anda membatasi lalu lintas ke akun penyimpanan melalui titik akhir layanan, Anda masih mengakses akun penyimpanan melalui alamat IP publik, tetapi akses hanya dimungkinkan dari lokasi yang Anda tentukan dalam konfigurasi Anda.

Membuat titik akhir privat

Saat Anda membuat titik akhir privat untuk akun penyimpanan Anda, sumber daya Azure berikut ini disebarkan:

  • Titik akhir privat: Sumber daya Azure yang mewakili titik akhir pribadi akun penyimpanan. Anda dapat menganggap ini sebagai sumber daya yang menyambungkan sumber daya Azure dan antarmuka jaringan.
  • Antarmuka jaringan (NIC): Antarmuka jaringan yang mempertahankan alamat IP privat di dalam jaringan virtual/subnet tertentu. Ini adalah sumber daya yang sama persis yang disebarkan saat Anda menyebarkan komputer virtual (VM), namun alih-alih ditetapkan ke VM, sumber daya tersebut dimiliki oleh titik akhir privat.
  • Zona Sistem Nama Domain (DNS) privat: Jika Anda belum menyebarkan titik akhir privat untuk jaringan virtual ini sebelumnya, zona DNS privat baru akan disebarkan untuk jaringan virtual Anda. Data DNS A juga akan dibuat untuk akun penyimpanan di zona DNS ini. Jika Anda telah menyebarkan titik akhir privat di jaringan virtual ini, data A baru untuk sumber daya Azure akan ditambahkan ke zona DNS yang sudah ada. Menyebarkan zona DNS bersifat opsional. Namun, sangat disarankan, dan diperlukan jika Anda memasang berbagi file Azure dengan perwakilan layanan AD atau menggunakan FileREST API.

Catatan

Artikel ini menggunakan akhiran DNS akun penyimpanan untuk wilayah Publik Azure, core.windows.net. Komentar ini juga berlaku untuk cloud Azure Sovereign seperti cloud Azure US Government dan Microsoft Azure yang dioperasikan oleh cloud 21Vianet. Cukup ganti akhiran yang sesuai untuk lingkungan Anda.

Navigasi ke akun penyimpanan yang ingin Anda buat titik akhir privatnya. Dalam daftar isi untuk akun penyimpanan, pilih Jaringan, Koneksi titik akhir privat, lalu + Titik akhir privat untuk membuat titik akhir privat baru.

Cuplikan layar item koneksi titik akhir privat dalam daftar isi akun penyimpanan.

Wizard yang dihasilkan memiliki beberapa halaman untuk diselesaikan.

Di bilah Dasar, pilih langganan, grup sumber daya, nama, nama antarmuka jaringan dan wilayah yang diinginkan untuk titik akhir privat Anda. Ini bisa menjadi apa pun yang Anda inginkan dan tidak harus mencocokkan akun penyimpanan dengan cara apa pun, meskipun Anda harus membuat titik akhir privat di wilayah yang sama dengan jaringan virtual yang ingin Anda buat titik akhir privat. Lalu pilih Berikutnya: Sumber Daya.

Cuplikan layar yang menunjukkan cara menyediakan detail proyek dan instans untuk titik akhir privat baru.

Di bilah Sumber Daya, pilih file untuk sub-sumber daya target. Kemudian pilih Berikutnya: Virtual Network.

Cuplikan layar yang menunjukkan cara memilih sumber daya mana yang ingin Anda sambungkan menggunakan titik akhir privat baru.

Bilah Virtual Network memungkinkan Anda memilih jaringan virtual dan subnet tertentu yang ingin ditambahkan ke titik akhir privat Anda. Pilih alokasi alamat IP dinamis atau statis untuk titik akhir privat baru. Jika Anda memilih statis, Anda juga harus memberikan nama dan alamat IP privat. Anda juga dapat secara opsional menentukan grup keamanan aplikasi. Setelah selesai, pilih Berikutnya: DNS.

Cuplikan layar yang menunjukkan cara menyediakan jaringan virtual, subnet, dan detail alamat IP untuk titik akhir privat baru.

Bilah DNS berisi informasi untuk mengintegrasikan titik akhir privat Anda dengan zona DNS privat. Pastikan langganan dan grup sumber daya benar, lalu pilih Berikutnya: Tag.

Cuplikan layar yang menunjukkan cara mengintegrasikan titik akhir privat Anda dengan zona DNS privat.

Anda dapat secara opsional menerapkan tag untuk mengategorikan sumber daya Anda, seperti menerapkan nama Lingkungan dan nilai Uji ke semua sumber daya pengujian. Masukkan pasangan nama/nilai jika diinginkan, lalu pilih Berikutnya: Tinjau + buat.

Cuplikan layar yang menunjukkan cara menandai titik akhir privat Anda secara opsional dengan pasangan nama/nilai untuk kategorisasi yang mudah.

Klik Tinjau + buat untuk membuat titik akhir privat.

Verifikasi konektivitas

Jika Anda memiliki VM di dalam jaringan virtual Anda, atau Anda telah mengonfigurasi penerusan DNS seperti yang dijelaskan dalam Mengonfigurasi penerusan DNS untuk Azure Files, Anda dapat menguji bahwa titik akhir privat Anda disiapkan dengan benar. Jalankan perintah berikut dari PowerShell, baris perintah, atau terminal (berfungsi untuk Windows, Linux, atau macOS). Anda harus mengganti <storage-account-name> dengan nama akun penyimpanan yang sesuai:

nslookup <storage-account-name>.file.core.windows.net

Jika berhasil, Anda akan melihat output berikut, di mana 192.168.0.5 adalah alamat IP privat titik akhir privat di jaringan virtual Anda (output ditampilkan untuk Windows):

Server:  UnKnown
Address:  10.2.4.4

Non-authoritative answer:
Name:    storageaccount.privatelink.file.core.windows.net
Address:  192.168.0.5
Aliases:  storageaccount.file.core.windows.net

Membatasi akses titik akhir publik

Membatasi akses titik akhir publik terlebih dahulu mengharuskan Anda menonaktifkan akses umum ke titik akhir publik. Menonaktifkan akses ke titik akhir publik tidak memengaruhi titik akhir privat. Setelah titik akhir publik dinonaktifkan, Anda dapat memilih jaringan atau alamat IP tertentu yang mungkin terus mengaksesnya. Secara umum, sebagian besar kebijakan firewall untuk akun penyimpanan akan membatasi akses jaringan ke satu atau beberapa jaringan virtual.

Menonaktifkan akses ke titik akhir publik

Jika akses ke titik akhir publik dinonaktifkan, akun penyimpanan masih dapat diakses melalui titik akhir privatnya. Jika tidak, permintaan yang valid ke titik akhir publik akun penyimpanan akan ditolak, kecuali mereka berasal dari sumber yang diizinkan secara khusus.

Buka akun penyimpanan yang ingin Anda batasi semua akses ke titik akhir publik. Dalam daftar isi untuk akun penyimpanan, pilih Jaringan.

Di bagian atas halaman, pilih tombol radio Diaktifkan dari jaringan virtual dan alamat IP yang dipilih. Tombol ini akan memunculkan sejumlah pengaturan untuk mengontrol pembatasan titik akhir publik. Pilih Izinkan layanan Azure pada daftar layanan tepercaya untuk mengakses akun penyimpanan ini untuk memungkinkan pihak pertama tepercaya layanan Microsoft seperti Azure File Sync untuk mengakses akun penyimpanan.

Cuplikan layar bilah Jaringan dengan pengaturan yang diperlukan untuk menonaktifkan akses ke titik akhir publik akun penyimpanan.

Membatasi akses ke titik akhir publik akun penyimpanan terhadap jaringan virtual tertentu

Saat Anda membatasi akun penyimpanan ke jaringan virtual tertentu, Anda mengizinkan permintaan ke titik akhir publik dari dalam jaringan virtual yang ditentukan. Tindakan ini berfungsi dengan menggunakan kapabilitas jaringan virtual yang disebut titik akhir layanan. Ini dapat digunakan dengan atau tanpa titik akhhir privat.

Buka akun penyimpanan yang ingin Anda batasi titik akhir publik untuk jaringan virtual tertentu. Dalam daftar isi untuk akun penyimpanan, pilih Jaringan.

Di bagian atas halaman, pilih tombol radio Diaktifkan dari jaringan virtual dan alamat IP yang dipilih. Tombol ini akan memunculkan sejumlah pengaturan untuk mengontrol pembatasan titik akhir publik. Pilih +Tambahkan jaringan virtual yang ada untuk memilih jaringan virtual tertentu yang harus diizinkan untuk mengakses akun penyimpanan melalui titik akhir publik. Pilih jaringan virtual dan subnet untuk jaringan virtual tersebut, lalu pilih Aktifkan.

Pilih Izinkan layanan Azure pada daftar layanan tepercaya untuk mengakses akun penyimpanan ini untuk memungkinkan pihak pertama tepercaya layanan Microsoft seperti Azure File Sync untuk mengakses akun penyimpanan.

Cuplikan layar bilah Jaringan dengan jaringan virtual tertentu yang diizinkan untuk mengakses akun penyimpanan melalui titik akhir publik.

Lihat juga