Udostępnij za pośrednictwem


Konfigurowanie punktów końcowych sieci na potrzeby uzyskiwania dostępu do udziałów plików platformy Azure

Usługa Azure Files udostępnia dwa główne typy punktów końcowych na potrzeby uzyskiwania dostępu do udziałów plików platformy Azure:

  • Publiczne punkty końcowe, które mają publiczny adres IP i mogą być dostępne z dowolnego miejsca na świecie.
  • Prywatne punkty końcowe, które istnieją w sieci wirtualnej i mają prywatny adres IP z przestrzeni adresowej tej sieci wirtualnej.

Publiczne i prywatne punkty końcowe istnieją na koncie usługi Azure Storage. Konto magazynu to konstrukcja zarządzania, która reprezentuje udostępnioną pulę magazynu, w której można wdrożyć wiele udziałów plików, a także inne zasoby magazynu, takie jak kontenery obiektów blob lub kolejki.

W tym artykule opisano sposób konfigurowania punktów końcowych konta magazynu na potrzeby bezpośredniego uzyskiwania dostępu do udziału plików platformy Azure. Większość tego artykułu dotyczy również sposobu współdziałania usługi Azure File Sync z publicznymi i prywatnymi punktami końcowymi dla konta magazynu. Aby uzyskać więcej informacji na temat zagadnień dotyczących sieci dla usługi Azure File Sync, zobacz konfigurowanie serwera proxy i ustawień zapory usługi Azure File Sync.

Zalecamy zapoznanie się z zagadnieniami dotyczącymi sieci usługi Azure Files przed przeczytaniem tego przewodnika.

Dotyczy

Typ udziału plików SMB NFS
Udziały plików w warstwie Standardowa (GPv2), LRS/ZRS Tak Nie
Udziały plików w warstwie Standardowa (GPv2), GRS/GZRS Tak Nie
Udziały plików w warstwie Premium (FileStorage), LRS/ZRS Tak Tak

Wymagania wstępne

  • W tym artykule założono, że utworzono już subskrypcję platformy Azure. Jeśli nie masz jeszcze subskrypcji, przed rozpoczęciem utwórz bezpłatne konto.
  • W tym artykule założono, że utworzono już udział plików platformy Azure na koncie magazynu, z którym chcesz nawiązać połączenie ze środowiska lokalnego. Aby dowiedzieć się, jak utworzyć udział plików platformy Azure, zobacz Tworzenie udziału plików platformy Azure.
  • Jeśli zamierzasz użyć programu Azure PowerShell, zainstaluj najnowszą wersję.
  • Jeśli zamierzasz używać interfejsu wiersza polecenia platformy Azure, zainstaluj najnowszą wersję.

Konfiguracje punktów końcowych

Punkty końcowe można skonfigurować tak, aby ograniczyć dostęp sieciowy do konta magazynu. Istnieją dwie metody ograniczania dostępu do konta magazynu do sieci wirtualnej:

  • Utwórz co najmniej jeden prywatny punkt końcowy dla konta magazynu i ogranicz cały dostęp do publicznego punktu końcowego. Dzięki temu tylko ruch pochodzący z żądanych sieci wirtualnych może uzyskiwać dostęp do udziałów plików platformy Azure na koncie magazynu. Zobacz Koszt usługi Private Link.
  • Ogranicz publiczny punkt końcowy do co najmniej jednej sieci wirtualnej. Działa to przy użyciu możliwości sieci wirtualnej nazywanej punktami końcowymi usługi. Jeśli ograniczasz ruch do konta magazynu za pośrednictwem punktu końcowego usługi, nadal uzyskujesz dostęp do konta magazynu za pośrednictwem publicznego adresu IP, ale dostęp jest możliwy tylko z lokalizacji, które określisz w konfiguracji.

Tworzenie prywatnego punktu końcowego

Podczas tworzenia prywatnego punktu końcowego dla konta magazynu są wdrażane następujące zasoby platformy Azure:

  • Prywatny punkt końcowy: zasób platformy Azure reprezentujący prywatny punkt końcowy konta magazynu. Można to traktować jako zasób, który łączy konto magazynu i interfejs sieciowy.
  • Interfejs sieciowy (NIC): interfejs sieciowy, który utrzymuje prywatny adres IP w określonej sieci wirtualnej/podsieci. Jest to dokładnie ten sam zasób, który jest wdrażany podczas wdrażania maszyny wirtualnej, jednak zamiast być przypisanym do maszyny wirtualnej, jest on własnością prywatnego punktu końcowego.
  • Prywatna strefa systemu nazw domen (DNS): jeśli wcześniej nie wdrożono prywatnego punktu końcowego dla tej sieci wirtualnej, zostanie wdrożona nowa prywatna strefa DNS dla sieci wirtualnej. Rekord DNS A zostanie również utworzony dla konta magazynu w tej strefie DNS. Jeśli w tej sieci wirtualnej wdrożono już prywatny punkt końcowy, nowy rekord A dla konta magazynu zostanie dodany do istniejącej strefy DNS. Wdrażanie strefy DNS jest opcjonalne. Jest to jednak zdecydowanie zalecane i wymagane w przypadku instalowania udziałów plików platformy Azure za pomocą jednostki usługi AD lub korzystania z interfejsu API FileREST.

Uwaga

W tym artykule jest używany sufiks DNS konta magazynu dla regionów publicznych platformy Azure. core.windows.net Ten komentarz dotyczy również chmur suwerennych platformy Azure, takich jak chmura platformy Azure DLA instytucji rządowych USA i platforma Microsoft Azure obsługiwana przez chmurę 21Vianet. Wystarczy zastąpić odpowiednie sufiksy dla danego środowiska.

Przejdź do konta magazynu, dla którego chcesz utworzyć prywatny punkt końcowy. W spisie treści dla konta magazynu wybierz pozycję Sieć, Połączenia prywatnego punktu końcowego, a następnie + Prywatny punkt końcowy, aby utworzyć nowy prywatny punkt końcowy.

Zrzut ekranu przedstawiający element połączeń prywatnego punktu końcowego w spisie treści konta magazynu.

Wynikowy kreator ma wiele stron do ukończenia.

W bloku Podstawy wybierz odpowiednią subskrypcję, grupę zasobów, nazwę, nazwę interfejsu sieciowego i region dla prywatnego punktu końcowego. Mogą to być dowolne elementy, ale nie muszą być zgodne z kontem magazynu w żaden sposób, chociaż należy utworzyć prywatny punkt końcowy w tym samym regionie co sieć wirtualna, w której chcesz utworzyć prywatny punkt końcowy. Następnie wybierz pozycję Dalej: Zasób.

Zrzut ekranu przedstawiający sposób podawania szczegółów projektu i wystąpienia dla nowego prywatnego punktu końcowego.

W bloku Zasób wybierz plik dla docelowego zasobu podrzędnego. Następnie wybierz pozycję Dalej: Sieć wirtualna.

Zrzut ekranu przedstawiający sposób wybierania zasobu, z którym chcesz nawiązać połączenie przy użyciu nowego prywatnego punktu końcowego.

Blok Sieć wirtualna umożliwia wybranie określonej sieci wirtualnej i podsieci, do której chcesz dodać prywatny punkt końcowy. Wybierz alokację dynamicznego lub statycznego adresu IP dla nowego prywatnego punktu końcowego. Jeśli wybierzesz statyczny, musisz również podać nazwę i prywatny adres IP. Opcjonalnie możesz również określić grupę zabezpieczeń aplikacji. Po zakończeniu wybierz pozycję Dalej: DNS.

Zrzut ekranu przedstawiający sposób dostarczania szczegółów sieci wirtualnej, podsieci i adresu IP dla nowego prywatnego punktu końcowego.

Blok DNS zawiera informacje dotyczące integrowania prywatnego punktu końcowego z prywatną strefą DNS. Upewnij się, że subskrypcja i grupa zasobów są poprawne, a następnie wybierz pozycję Dalej: Tagi.

Zrzut ekranu przedstawiający sposób integracji prywatnego punktu końcowego z prywatną strefą DNS.

Opcjonalnie można zastosować tagi do kategoryzowania zasobów, takich jak zastosowanie nazwy Środowisko i wartość Test do wszystkich zasobów testowych. W razie potrzeby wprowadź pary nazwa/wartość, a następnie wybierz pozycję Dalej: Przejrzyj i utwórz.

Zrzut ekranu przedstawiający sposób opcjonalnego oznaczania prywatnego punktu końcowego parami nazw/wartości w celu łatwego kategoryzacji.

Kliknij pozycję Przejrzyj i utwórz , aby utworzyć prywatny punkt końcowy.

Weryfikowanie łączności

Jeśli masz maszynę wirtualną w sieci wirtualnej lub skonfigurowano przekazywanie DNS zgodnie z opisem w temacie Konfigurowanie przekazywania DNS dla usługi Azure Files, możesz sprawdzić, czy prywatny punkt końcowy jest poprawnie skonfigurowany. Uruchom następujące polecenia z poziomu programu PowerShell, wiersza polecenia lub terminalu (działa w systemach Windows, Linux lub macOS). Musisz zastąpić <storage-account-name> odpowiednią nazwą konta magazynu:

nslookup <storage-account-name>.file.core.windows.net

W przypadku powodzenia powinny zostać wyświetlone następujące dane wyjściowe, gdzie 192.168.0.5 jest prywatnym adresem IP prywatnego punktu końcowego w sieci wirtualnej (dane wyjściowe wyświetlane dla systemu Windows):

Server:  UnKnown
Address:  10.2.4.4

Non-authoritative answer:
Name:    storageaccount.privatelink.file.core.windows.net
Address:  192.168.0.5
Aliases:  storageaccount.file.core.windows.net

Ograniczanie dostępu do publicznego punktu końcowego

Ograniczenie dostępu do publicznego punktu końcowego wymaga najpierw wyłączenia ogólnego dostępu do publicznego punktu końcowego. Wyłączenie dostępu do publicznego punktu końcowego nie ma wpływu na prywatne punkty końcowe. Po wyłączeniu publicznego punktu końcowego można wybrać określone sieci lub adresy IP, które mogą nadal uzyskiwać do niego dostęp. Ogólnie rzecz biorąc, większość zasad zapory dla konta magazynu ogranicza dostęp sieciowy do co najmniej jednej sieci wirtualnej.

Wyłączanie dostępu do publicznego punktu końcowego

Gdy dostęp do publicznego punktu końcowego jest wyłączony, konto magazynu nadal może być dostępne za pośrednictwem jego prywatnych punktów końcowych. W przeciwnym razie prawidłowe żądania do publicznego punktu końcowego konta magazynu zostaną odrzucone, chyba że pochodzą one z specjalnie dozwolonego źródła.

Przejdź do konta magazynu, dla którego chcesz ograniczyć cały dostęp do publicznego punktu końcowego. W spisie treści dla konta magazynu wybierz pozycję Sieć.

W górnej części strony wybierz przycisk radiowy Włączone z wybranych sieci wirtualnych i adresów IP. Spowoduje to ukrycie wielu ustawień kontroli ograniczeń publicznego punktu końcowego. Wybierz pozycję Zezwalaj usługom platformy Azure na liście zaufanych usług, aby uzyskać dostęp do tego konta magazynu, aby zezwolić na dostęp do konta magazynu przez zaufaną firmę usługi firmy Microsoft, na przykład Azure File Sync.

Zrzut ekranu przedstawiający blok Sieć z wymaganymi ustawieniami, aby wyłączyć dostęp do publicznego punktu końcowego konta magazynu.

Ograniczanie dostępu do publicznego punktu końcowego do określonych sieci wirtualnych

Jeśli ograniczasz konto magazynu do określonych sieci wirtualnych, zezwalasz na żądania do publicznego punktu końcowego z określonych sieci wirtualnych. Działa to przy użyciu możliwości sieci wirtualnej nazywanej punktami końcowymi usługi. Może to być używane z prywatnymi punktami końcowymi lub bez tych punktów końcowych.

Przejdź do konta magazynu, dla którego chcesz ograniczyć publiczny punkt końcowy do określonych sieci wirtualnych. W spisie treści dla konta magazynu wybierz pozycję Sieć.

W górnej części strony wybierz przycisk radiowy Włączone z wybranych sieci wirtualnych i adresów IP. Spowoduje to ukrycie wielu ustawień kontroli ograniczeń publicznego punktu końcowego. Wybierz pozycję +Dodaj istniejącą sieć wirtualną, aby wybrać określoną sieć wirtualną, która powinna mieć dostęp do konta magazynu za pośrednictwem publicznego punktu końcowego. Wybierz sieć wirtualną i podsieć dla tej sieci wirtualnej, a następnie wybierz pozycję Włącz.

Wybierz pozycję Zezwalaj usługom platformy Azure na liście zaufanych usług, aby uzyskać dostęp do tego konta magazynu, aby zezwolić na dostęp do konta magazynu przez zaufaną firmę usługi firmy Microsoft, na przykład Azure File Sync.

Zrzut ekranu przedstawiający blok Sieć z określoną siecią wirtualną dozwoloną do uzyskania dostępu do konta magazynu za pośrednictwem publicznego punktu końcowego.

Zobacz też