Łączenie serwerów autonomicznych za pomocą karty sieciowej platformy Azure

Ta architektura referencyjna przedstawia sposób łączenia lokalnego serwera autonomicznego z sieciami wirtualnymi platformy Microsoft Azure przy użyciu karty sieciowej platformy Azure wdrażanej za pośrednictwem usługi Windows Administracja Center (WAC). Karta sieciowa platformy Azure tworzy zabezpieczone połączenie wirtualne przez Internet, co rozszerza sieć lokalną na platformę Azure.

Architektura

Pobierz plik programu Visio z tych architektur.

Przepływ pracy

Architektura składa się z następujących elementów:

• Sieć lokalna. Ten składnik jest prywatną siecią lokalną (LAN) organizacji.
• Oddział. Ten składnik jest prywatną siecią LAN w zdalnym oddziale, który łączy się za pośrednictwem firmowej sieci rozległej (WAN).
• Inny dostawca usług w chmurze. Ten składnik jest prywatną siecią wirtualną, którą oferuje dostawca usług w chmurze. Łączy się za pośrednictwem wirtualnej sieci prywatnej (VPN).
• System Windows Server z zainstalowanym programem Windows Administracja Center. Serwer używany do wdrażania karty sieciowej platformy Azure.
• Windows Server (autonomiczny). Serwer, na którym zainstalowano kartę sieciową platformy Azure. Ten serwer może znajdować się w sieci oddziałów lub w sieci innego dostawcy usług w chmurze.
• Sieć wirtualna platformy Azure. Serwery wirtualne i inne usługi i składniki dla usługi Azure VPN Gateway, które znajdują się w tej samej sieci wirtualnej na platformie Azure.
• Azure VPN Gateway. Usługa VPN Gateway, która umożliwia łączenie sieci wirtualnej z siecią lokalną lub serwerami autonomicznymi za pośrednictwem urządzenia sieci VPN lub kart sieciowych platformy Azure. Aby uzyskać więcej informacji, zobacz Connect an on-premises network to a Microsoft Azure virtual network (Łączenie sieci lokalnej z siecią wirtualną platformy Microsoft Azure). Istnieje kilka warstw cenowych lub jednostek SKU magazynu dostępnych dla bram sieci VPN. Każda jednostka SKU obsługuje różne wymagania na podstawie typów obciążeń, przepływności, funkcji i umów dotyczących poziomu usług (SLA). Brama sieci VPN obejmuje następujące składniki:
  • Brama sieci wirtualnej (aktywna). Ten zasób platformy Azure udostępnia wirtualne urządzenie sieci VPN dla sieci wirtualnej i jest odpowiedzialny za kierowanie ruchu tam i z powrotem między siecią lokalną a siecią wirtualną.
  • Brama sieci wirtualnej (pasywna). Ten zasób platformy Azure udostępnia wirtualne urządzenie sieci VPN dla sieci wirtualnej i jest to wystąpienie rezerwowe aktywnej usługi Azure VPN Gateway. Aby uzyskać więcej informacji, zobacz About Azure VPN Gateway redundancy (Informacje o nadmiarowości bramy sieci VPN platformy Azure).
  • Podsieć bramy. Brama sieci wirtualnej jest przechowywana we własnej podsieci, która podlega różnym wymaganiom, które można znaleźć w poniższej sekcji Rekomendacje.
  • Połączenie. Połączenie ma właściwości określające typ połączenia. Te właściwości obejmują zabezpieczenia protokołu internetowego (IPsec) i klucz współużytkowany z lokalnym urządzeniem sieci VPN w celu szyfrowania ruchu.
• Aplikacja w chmurze. Ten składnik jest aplikacją hostowaną na platformie Azure. Może zawierać wiele warstw z wieloma podsieciami, które łączą się za pośrednictwem modułów równoważenia obciążenia platformy Azure. Aby uzyskać więcej informacji na temat infrastruktury aplikacji, zobacz Running Windows VM workloads (Uruchamianie obciążeń maszyny wirtualnej z systemem Windows) i Running Linux VM workloads (Uruchamianie obciążeń maszyny wirtualnej z systemem Linux).
• Wewnętrzne równoważenie obciążenia. Ruch sieciowy z bramy sieci VPN jest kierowany do aplikacji w chmurze za pośrednictwem wewnętrznego modułu równoważenia obciążenia, który znajduje się w podsieci produkcyjnej aplikacji.
• Azure Bastion. Usługa Azure Bastion umożliwia logowanie się do maszyn wirtualnych w sieci wirtualnej platformy Azure bez ujawniania maszyn wirtualnych bezpośrednio do Internetu. Używa protokołu Secure Shell (SSH) lub protokołu RDP (Remote Desktop Protocol). Jeśli utracisz łączność sieci VPN, nadal możesz zarządzać maszynami wirtualnymi w sieci wirtualnej platformy Azure przy użyciu usługi Azure Bastion. Jednak zarządzanie serwerami lokalnymi za pośrednictwem usługi Azure Bastion nie jest obsługiwane.

Składniki

• Sieć wirtualna Sieć wirtualna platformy Azure to podstawowy blok konstrukcyjny dla sieci prywatnej na platformie Azure. Sieć wirtualna umożliwia korzystanie z wielu typów zasobów platformy Azure, takich jak maszyny wirtualne platformy Azure, bezpieczne komunikowanie się ze sobą, internetem i sieciami lokalnymi.

• Azure Bastion. Azure Bastion to w pełni zarządzana usługa, która zapewnia bezpieczniejszy i sprawiający mniej problemów dostęp za pomocą protokołów Remote Desktop Protocol (RDP) i Secure Shell Protocol (SSH) do maszyn wirtualnych bez ryzyka ujawnienia z powodu użycia publicznych adresów IP.

• VPN Gateway. Usługa VPN Gateway wysyła zaszyfrowany ruch między siecią wirtualną platformy Azure a lokalizacją lokalną za pośrednictwem publicznego Internetu. Za pomocą usługi VPN Gateway można również wysyłać zaszyfrowany ruch między sieciami wirtualnymi platformy Azure za pośrednictwem sieci firmy Microsoft. Brama sieci VPN to określony typ bramy sieci wirtualnej.

• Windows Administracja Center. Windows Administracja Center to lokalnie wdrożona, oparta na przeglądarce aplikacja do zarządzania serwerami systemu Windows, klastrami, hiperkonwergentną infrastrukturą, a także komputerami z systemem Windows 10. Jest to bezpłatny produkt i jest gotowy do użycia w środowisku produkcyjnym.

Zalecenia

Poniższe zalecenia dotyczą większości scenariuszy. Należy się do nich stosować, jeśli nie ma konkretnych wymagań, które byłyby z nimi sprzeczne.

Połączenie autonomiczny serwer

Aby połączyć serwer autonomiczny za pośrednictwem funkcji WAC, należy dodać serwer do listy serwerów zarządzanych w instalacji WAC dedykowanego serwera. Po dodaniu serwera do tej listy możesz wybrać serwer, dla którego chcesz zainstalować kartę sieciową platformy Azure, a następnie wybrać pozycję Sieć z narzędzi, a następnie opcję "+ Dodaj kartę sieciową platformy Azure (wersja zapoznawcza)" w okienku Sieć.

Po wybraniu opcji + Dodaj kartę sieciową platformy Azure (wersja zapoznawcza) zostanie otwarty blok Dodawanie karty sieciowej platformy Azure w oknie przeglądarki. Istnieje kilka opcji, które można skonfigurować w tym bloku.

Niezbędne są następujące informacje:

Po zakończeniu wszystkich niezbędnych pól przycisk Utwórz staje się aktywny i należy wybrać go, aby rozpocząć wdrażanie karty sieciowej platformy Azure na wybranym serwerze.

Proces wdrażania ma dwie główne części, z których pierwszy to wdrożenie i wybór usługi Azure VPN Gateway. Jeśli musisz najpierw wdrożyć usługę Azure VPN Gateway, poczekaj od 25 do 45 minut na ukończenie wdrożenia. (Niektóre konfiguracje mogą potrwać tak długo, aby wdrożyć). Funkcja WAC będzie dostarczać informacje o postępie wdrożenia. Druga część to rzeczywista instalacja karty sieciowej platformy Azure, która może potrwać 10 minut. WAC powiadomi Cię również o postępie instalacji.

Po rozpoczęciu wdrażania możesz zmienić fokus funkcji WAC, wybierając inne narzędzia lub serwery. Proces wdrażania jest kontynuowany w tle.

Jeśli wybierzesz opcję Automatycznie wygenerowany certyfikat główny z podpisem własnym i certyfikat klienta, platforma Azure automatycznie utworzy dwa wymagane certyfikaty i zapisze je w magazynie certyfikatów wybranego serwera. Aby je znaleźć, możesz użyć narzędzia Certyfikaty w usłudze WAC, a następnie zlokalizować certyfikat główny w kontenerze Komputer lokalny/główny. Nazwa certyfikatu zaczyna się od windows Administracja Center-Created-vpngw i zawiera ciąg P2SRoot. Koniec ciągu zawiera znacznik czasu zakodowany w dacie utworzenia certyfikatu. Ten certyfikat będzie również przechowywany w kontenerze Komputer lokalny/urząd certyfikacji. Drugi certyfikat jest przechowywany w kontenerze Maszyna lokalna/Mój. Nazwa tego certyfikatu rozpoczyna się od windows Administracja Center-Created-vpngw i zawiera ciąg P2SClient. Koniec ciągu zawiera znacznik czasu zakodowany w dacie utworzenia certyfikatu.

Po zakończeniu wdrażania narzędzie Sieci wybranego serwera zostanie zaktualizowane o nową kartę sieciową platformy Azure, która zostanie automatycznie uruchomiona po zakończeniu wdrożenia i wskazuje aktywny stan. Możesz wybrać kartę, aby aktywować listę rozwijaną Więcej , którą można wybrać, aby rozłączyć lub usunąć kartę. Na rzeczywistym serwerze karta sieciowa platformy Azure jest zainstalowana jako połączenie sieci VPN. Nazwa karty zaczyna się od systemu Windows Administracja CenterVPN, po którym następuje losowa trzycyfrowa liczba.

Po zainstalowaniu i połączeniu karty sieciowej platformy Azure można użyć tego nowego połączenia sieciowego, aby połączyć się bezpośrednio z sieciami wirtualnymi platformy Azure i ich systemami. Ten typ połączenia jest zwykle używany do ustanawiania sesji pulpitu zdalnego za pośrednictwem wewnętrznego adresu IP maszyny wirtualnej platformy Azure, a nie publicznego adresu IP maszyny wirtualnej.

Korzystanie z dedykowanego serwera WAC

W przypadku scentralizowanej administracji zalecamy użycie dedykowanej instalacji systemu Windows Administracja Server, z której można dodać inne serwery. Takie podejście oznacza, że nie administrowane serwery nie wymagają dodatkowego oprogramowania. Aby uzyskać więcej informacji, zobacz Windows Administracja Center.

Przygotowywanie dedykowanej sieci wirtualnej

Interfejs instalacji karty sieciowej platformy Azure może nie spełniać wymagań konwencji nazewnictwa lub warstwy cenowej. Aby uniknąć tego konfliktu, możesz utworzyć wymagane zasoby platformy Azure przed wdrożeniem karty. Podczas wdrażania wybierasz już istniejące zasoby zamiast tworzyć je za pośrednictwem interfejsu instalacyjnego.

Kwestie wymagające rozważenia

Te zagadnienia implementują filary struktury Azure Well-Architected Framework, która jest zestawem wytycznych, które mogą służyć do poprawy jakości obciążenia. Aby uzyskać więcej informacji, zobacz Microsoft Azure Well-Architected Framework.

Skalowalność

• Jednostka SKU usługi VPN Gateway:
  • Wybrana jednostka SKU usługi VPN Gateway określa, ile połączeń może przyjmować równolegle, oraz przepustowość dostępną dla wszystkich tych połączeń. Liczba połączeń współbieżnych jest różna od 250 do 1000 w przypadku korzystania z opcji P2S IKEv2/OpenVPN . Protokół IKE odnosi się do wymiany kluczy IPsec. Zaleca się rozpoczęcie od sieci VpnGw1 i skalowanie w poziomie później, jeśli potrzebujesz więcej połączeń. Jeśli musisz przełączyć generowanie bramy sieci VPN, musisz zainstalować nową bramę i wdrożyć nową kartę sieciową platformy Azure, aby nawiązać z nią połączenie.
• Połączenie wielu autonomicznych serwerów:
  • Za pomocą funkcji WAC można wdrożyć kartę sieciową platformy Azure na dowolną liczbę serwerów. Możesz również dodać wiele kart sieciowych platformy Azure do jednego serwera w celu nawiązania połączenia z różnymi sieciami wirtualnymi platformy Azure. Po zakończeniu początkowego wdrożenia bramy sieci VPN można skonfigurować dodatkowe serwery tak, aby używały tej samej bramy, wybierając istniejącą bramę w interfejsie instalacyjnym.
  • Serwery autonomiczne mogą znajdować się w tej samej sieci, w sieci oddziału lub w innej sieci opartej na chmurze. Możesz użyć ustanowionego połączenia sieciowego, takiego jak firmowa sieć WAN lub dedykowana sieć VPN dla innego dostawcy usług w chmurze, jeśli wymagane porty sieciowe są dostępne za pośrednictwem tych połączeń. Aby uzyskać więcej informacji, zobacz sekcję "Zagadnienia dotyczące zabezpieczeń" w tym artykule.
• Połączenie typu lokacja-lokacja platformy Azure:
  • Karta sieciowa platformy Azure to pojedyncza instalacja na jednym serwerze. Jeśli chcesz połączyć kilka serwerów, możesz stawić czoła znacznemu nakładowi pracy administracyjnej. Można jednak uniknąć tego nakładu pracy, łącząc systemy lokalne przy użyciu metody połączenia lokacja-2-lokacja platformy Azure (S2S), która łączy istniejącą sieć lokalną z siecią wirtualną platformy Azure i jej podsieciami. Podstawowym elementem tego połączenia jest usługa Azure VPN Gateway, za pośrednictwem której można połączyć lokalną lokalną lokalną bramę sieci VPN za pomocą zdalnej usługi Azure VPN Gateway. To bezpieczne połączenie umożliwia dwóm segmentom sieci komunikację przezroczystą ze sobą.

Dostępność

• Karta sieciowa platformy Azure obsługuje tylko konfigurację aktywne-pasywne usługi Azure VPN Gateway. Podczas konfigurowania karty można wskazać istniejącą bramę sieci VPN platformy Azure active-active. Instalator ponownie skonfiguruje bramę do konfiguracji aktywne-pasywne. Możliwa jest ręczna ponowna konfiguracja bramy do stanu aktywne-aktywne, ale karta sieciowa platformy Azure nie będzie łączyć się z tą bramą.

  Ostrzeżenie

  Skonfigurowanie karty sieciowej platformy Azure względem istniejącej bramy sieci VPN Platformy Azure z konfiguracją aktywne-aktywne spowoduje ponowne skonfigurowanie bramy do aktywne-pasywne. Będzie to miało wpływ na wszystkie istniejące połączenia sieci VPN z tą bramą. Zmiana konfiguracji z aktywne-aktywne-aktywne na konfigurację trybu wstrzymania spowoduje spadek jednego z dwóch tuneli sieci VPN protokołu IPsec dla każdego połączenia. Nie należy kontynuować bez oceny ogólnych wymagań dotyczących połączenia i konsultacji z administratorami sieci.

Możliwości zarządzania

• konto Administracja istracyjne:

  • WAC to podstawowe narzędzie używane do wdrażania karty sieciowej platformy Azure i konfigurowania obsługi kont. Aby uzyskać więcej informacji na temat dostępnych opcji, zobacz Opcje dostępu użytkowników w Centrum Administracja Windows. Można skonfigurować pojedyncze konto na połączenie serwera.

    Uwaga

    Okno dialogowe, w którym skonfigurujesz konto administracyjne na serwer, zweryfikuje poświadczenia po wybraniu pozycji Kontynuuj. Aby otworzyć okno dialogowe, w centrum WAC wybierz wiersz z odpowiednią nazwą serwera, a następnie wybierz pozycję Zarządzaj jako. Nie zaznaczaj hiperłącza reprezentującego serwer, ponieważ natychmiast połączysz się z tym serwerem.

  • Ponadto należy skonfigurować konto użytkownika dla połączenia platformy Azure, otwierając okno dialogowe Ustawienia w usłudze WAC i modyfikując sekcję konta. Możesz również przełączyć użytkowników lub wylogować się z sesji użytkownika w oknie dialogowym Ustawienia.

• Integracja usługi Azure Recovery Vault:
  • Podczas instalowania karty sieciowej platformy Azure na serwerze autonomicznym można rozważyć, że serwer jest portem ciągłości działania. Ten serwer można zintegrować z procedurami tworzenia kopii zapasowych i odzyskiwania po awarii przy użyciu usług Azure Recovery Vault, które konfigurujesz, wybierając usługę Azure Backup w sekcji Narzędzia WAC. Usługa Azure Backup pomaga chronić serwer z systemem Windows przed uszkodzeniem, atakami lub awariami przez utworzenie kopii zapasowej serwera bezpośrednio na platformie Microsoft Azure.

Zabezpieczenia

Zabezpieczenia zapewniają ochronę przed celowymi atakami i nadużyciami cennych danych i systemów. Aby uzyskać więcej informacji, zobacz Omówienie filaru zabezpieczeń.

• Wymagane porty sieciowe:

  • Porty sieciowe na potrzeby komunikacji zdalnej programu PowerShell muszą być otwarte, jeśli chcesz użyć funkcji WAC do wdrożenia karty sieciowej platformy Azure.

  • Komunikacja zdalna programu PowerShell korzysta z funkcji zdalnego zarządzania systemem Windows (WinRM). Aby uzyskać więcej informacji, zobacz Zagadnienia dotyczące zabezpieczeń komunikacji zdalnej programu PowerShell i domyślne ustawienia komunikacji zdalnej programu PowerShell.

  • W niektórych scenariuszach wymagane jest użycie dodatkowych metod uwierzytelniania. Funkcja WAC może używać programu PowerShell z protokołem CredSSP (Credential Security Support Provider Protocol) w celu nawiązania połączenia z serwerami zdalnymi. Aby uzyskać więcej informacji, zobacz Artykuł PowerShell Remoting and CredSSP and how Windows Administracja Center uses CredSSP (Komunikacja zdalna programu PowerShell i credSSP) oraz how Windows Administracja Center uses CredSSP (Centrum Administracja Windows używa protokołu CredSSP).

  • Komunikacja zdalna programu PowerShell (i usługa WinRM) używa następujących portów:

    Protokół	Port
    HTTP	5985
    HTTPS	5986

  • Sposób nawiązywania połączenia z serwerem, na którym jest instalowany program Windows Administracja Center (WAC), zależy od typu instalacji usługi WAC. Port domyślny różni się i może być portem 6516 zainstalowanym w systemie Windows 10 lub 443 podczas instalacji w systemie Windows Server. Aby uzyskać więcej informacji, zobacz Instalowanie Centrum Administracja Windows.

• integracja Microsoft Defender dla Chmury:
  • Aby ułatwić ochronę serwera, na którym zainstalowano kartę sieciową platformy Azure, możesz zintegrować serwer, aby Microsoft Defender dla Chmury, wybierając pozycję Microsoft Defender dla Chmury w sekcji Narzędzia w programie WAC. Podczas integracji musisz wybrać istniejący obszar roboczy usługi Azure Log Analytics lub utworzyć nowy. Opłaty będą naliczane oddzielnie dla każdego serwera zintegrowanego z Microsoft Defender dla Chmury. Aby uzyskać więcej informacji, zobacz Microsoft Defender dla Chmury cennik.

DevOps

• Azure Automation:
  • Kontrola dostępu WAC zapewnia dostęp do kodu programu PowerShell, który tworzy kartę sieciową platformy Azure, i możesz go przejrzeć, wybierając narzędzie Sieć , a następnie wybierając ikonę Wyświetl skrypty programu PowerShell w górnej części strony WAC. Nazwa skryptu to Complete-P2SVPNConfiguration, która jest implementowana jako funkcja programu PowerShell. Kod jest podpisany cyfrowo i gotowy do ponownego użycia. Można ją zintegrować z usługą Azure Automation , konfigurując więcej usług w witrynie Azure Portal.

Optymalizacja kosztów

Optymalizacja kosztów dotyczy sposobów zmniejszenia niepotrzebnych wydatków i poprawy wydajności operacyjnej. Aby uzyskać więcej informacji, zobacz Omówienie filaru optymalizacji kosztów.

• Kalkulator cen platformy Azure:
  • Użycie karty sieciowej platformy Azure nie kosztuje niczego, ponieważ jest to składnik wdrażany w systemie lokalnym. Usługa Azure VPN Gateway, w ramach rozwiązania, generuje dodatkowe koszty, podobnie jak korzystanie z innych usług, takich jak azure Recovery Vault lub Microsoft Defender dla Chmury. Aby uzyskać więcej informacji na temat rzeczywistych kosztów, zobacz Kalkulator cen platformy Azure. Należy pamiętać, że rzeczywiste koszty różnią się w zależności od regionu świadczenia usługi Azure i indywidualnego kontraktu. Aby uzyskać więcej informacji na temat cen, skontaktuj się z przedstawicielem handlowym firmy Microsoft.
• Koszty ruchu wychodzącego:
  • Istnieją dodatkowe koszty związane z wychodzącymi transferami danych między sieciami wirtualnymi. Te koszty zależą od jednostki SKU usługi VPN Gateway i rzeczywistej ilości używanych danych. Aby uzyskać więcej informacji, zobacz Kalkulator cen platformy Azure. Należy pamiętać, że rzeczywiste koszty różnią się w zależności od regionu świadczenia usługi Azure i indywidualnego kontraktu. Skontaktuj się z przedstawicielem handlowym firmy Microsoft, aby uzyskać dodatkowe informacje o cenach.

Współautorzy

Ten artykuł jest obsługiwany przez firmę Microsoft. Pierwotnie został napisany przez następujących współautorów.

Główny autor:

• Frank Migacz | Specjalista ds. innowacji w zakresie aplikacji

Aby wyświetlić niepubalne profile serwisu LinkedIn, zaloguj się do serwisu LinkedIn.

Następne kroki

Dowiedz się więcej o technologiach składników:

• 10 najważniejszych funkcji sieciowych w systemie Windows Server 2019: #3 Karta sieciowa platformy Azure
• Sieć VPN typu punkt-lokacja
• Wypróbuj Centrum Administracja systemu Windows w Centrum ocen firmy Microsoft
• Co to jest usługa Azure Virtual Network?
• Co to jest usługa Azure Bastion?
• Co to jest usługa VPN Gateway?
• Omówienie Centrum Administracja Windows

Powiązane zasoby

Zapoznaj się z powiązanymi architekturami:

• Zarządzanie hybrydowymi obciążeniami platformy Azure przy użyciu Centrum Administracja Windows
• Topologia sieci piasty i szprych na platformie Azure
• Rozszerzanie sieci lokalnej przy użyciu sieci VPN
• Projektowanie hybrydowego rozwiązania systemu nazw domen za pomocą platformy Azure