Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Este artigo aborda considerações de rede para o Sincronização de Arquivos do Azure, que armazena em cache compartilhamentos de arquivos Azure em servidores de arquivos Windows locais. Para considerações de rede para uma implantação direta do Arquivos do Azure, veja considerações de rede do Arquivos do Azure.
A rede do Sincronização de Arquivos do Azure envolve dois objetos do Azure: um Serviço de Sincronização de Armazenamento (que gerencia servidores registrados e grupos de sincronização) e uma conta de armazenamento do Azure (que hospeda os compartilhamentos de arquivo). Na maioria dos casos, você não precisa de uma configuração especial de rede além de uma conexão básica de internet, mas pode configurar servidores proxy, firewalls, túnel VPN ou ExpressRoute, endpoints privados e SMB via QUIC.
Importante
A Sincronização de Arquivos do Azure não dá suporte ao roteamento da internet. A opção de roteamento de rede padrão, Roteamento da Microsoft, é compatível com a Sincronização de Arquivos do Azure.
Como conectar o servidor de arquivos do Windows ao Azure com a Sincronização de Arquivos do Azure
Para configurar e usar Arquivos do Azure e Sincronização de Arquivos do Azure com um servidor de arquivos Windows local, você não precisa de rede especial para o Azure além de uma conexão básica com a internet. Para implantar o Sincronização de Arquivos do Azure, instale o agente Sincronização de Arquivos do Azure no servidor de arquivos do Windows que você quer sincronizar com o Azure. O agente Sincronização de Arquivos do Azure alcança a sincronização com um compartilhamento de arquivos do Azure por meio de dois canais:
- O protocolo FileREST, que é um protocolo baseado em HTTPS usado para acessar o compartilhamento de arquivo do Azure. Como o protocolo FileREST usa HTTPS padrão para transferência de dados, a porta 443 deve estar acessível na saída. A Sincronização de Arquivos do Azure não utiliza o protocolo SMB para transferir dados entre os seus Windows Servers locais e a sua partilha de ficheiros do Azure.
- O protocolo de sincronização do Sincronização de Arquivos do Azure, que é um protocolo baseado em HTTPS usado para trocar informações de sincronização, ou seja, informações de versão sobre os arquivos e as pastas entre os endpoints no seu ambiente. Esse protocolo também é usado para trocar metadados sobre arquivos e pastas, como carimbos de data e hora e listas de controle de acesso (ACLs).
Montar o compartilhamento de arquivos do Azure diretamente sobre o SMB para o agente Sincronização de Arquivos do Azure não é obrigatório e é desencorajado, pois alterações diretas no compartilhamento podem não ser detectadas por até 24 horas. Para usar o compartilhamento de arquivos diretamente sem o Sincronização de Arquivos do Azure, veja a visão geral de rede do Arquivos do Azure.
Embora o Sincronização de Arquivos do Azure não exija qualquer configuração de rede especial, alguns clientes poderão querer configurar definições de rede avançadas para permitir os seguintes cenários:
- Interopere com a configuração do servidor proxy da sua organização.
- Abra o firewall local da sua organização para os Arquivos do Azure e os serviços Sincronização de Arquivos do Azure.
- Encaminhe o tráfego do Arquivos do Azure e do Sincronização de Arquivos do Azure por um túnel por meio de uma conexão do ExpressRoute ou de rede privada virtual (VPN).
Configurar servidores proxy
Sincronização de Arquivos do Azure pode interoperar totalmente com um servidor proxy, mas você deve configurar manualmente as configurações do endpoint proxy para seu ambiente com Sincronização de Arquivos do Azure. Use o PowerShell e o cmdlet Set-StorageSyncProxyConfigurationdo servidor Sincronização de Arquivos do Azure.
Para obter mais informações sobre como configurar Sincronização de Arquivos do Azure com um servidor proxy, confira Como configurar a Sincronização de Arquivos do Azure com um servidor proxy.
Configurando firewalls e tags de serviço
Por razões de segurança, muitas organizações isolam seus servidores de arquivos da maioria dos locais da internet. Para usar a Sincronização de Arquivos do Azure em tal ambiente, você precisa configurar o firewall para permitir o acesso de saída para selecionar os serviços do Azure. Se seu firewall suportar filtragem de URL ou domínio, permita o acesso de saída da porta 443 aos endpoints de nuvem necessários que hospedam esses serviços específicos do Azure. Se isso não acontecer, você poderá obter os intervalos de endereços IP desses serviços do Azure por meio de tags de serviço.
A Sincronização de Arquivos do Azure requer os intervalos de endereços IP para os seguintes serviços, conforme identificado pelas marcas de serviço:
| Serviço | Descrição | Etiqueta de serviço |
|---|---|---|
| Sincronização de Arquivos do Azure | O serviço de Sincronização de Arquivos do Azure, conforme representado pelo objeto Serviço de Sincronização de Armazenamento, é responsável pela atividade principal de sincronização de dados entre um compartilhamento de arquivo do Azure e um servidor de arquivos do Windows. | StorageSyncService |
| Arquivos do Azure | Todos os dados sincronizados via Sincronização de Arquivos do Azure são armazenados em um compartilhamento de arquivos do Azure. Os arquivos alterados nos seus servidores de arquivos do Windows são replicados para o compartilhamento de arquivos do Azure, e os arquivos em camadas no seu servidor de arquivos no local são baixados de forma transparente quando um usuário os solicita. | Storage |
| Azure Resource Manager | O Azure Resource Manager é a interface de gerenciamento do Azure. Todas as chamadas de gerenciamento, incluindo o registro do servidor do Sincronização de Arquivos do Azure e as tarefas contínuas do servidor de sincronização, são realizadas por meio do Azure Resource Manager. | AzureResourceManager |
| Microsoft Entra ID | O Microsoft Entra ID (antigo Azure AD), contém as entidades de usuário necessárias para autorizar o registro do servidor em um serviço de sincronização de armazenamento e as entidades de serviço necessárias para que a Sincronização de Arquivos do Azure seja autorizada a acessar seus recursos de nuvem. | AzureActiveDirectory |
Se você estiver usando a Sincronização de Arquivos do Azure no Azure, mesmo que esteja em uma região diferente, poderá usar o nome da marca de serviço diretamente no grupo de segurança de rede para permitir o tráfego para esse serviço. Para saber mais, confira Grupos de segurança de rede.
Se você estiver usando a Sincronização de Arquivos do Azure no local, poderá usar a API de tags de serviço para obter intervalos específicos de endereços IP para a lista de permissões do seu firewall. Há dois métodos para obter essas informações:
- A lista atual de intervalos de endereços IP para todos os serviços do Azure compatíveis com marcas de serviço é publicada semanalmente no centro de download da Microsoft na forma de um documento JSON. Cada nuvem do Azure tem o próprio documento JSON com os intervalos de endereços IP relevantes para essa nuvem:
- A API de descoberta de marca de serviço (versão prévia) permite a recuperação programática da lista atual de marcas de serviço. Na versão prévia, a API de descoberta de marca de serviço pode retornar informações menos atualizadas do que as retornadas pelos documentos JSON publicados no centro de download da Microsoft. Você pode usar a superfície da API conforme sua preferência de automação:
Para saber mais sobre como usar a API de marca de serviço para recuperar os endereços de seus serviços, confira Lista de permissões para endereços IP da Sincronização de Arquivos do Azure.
Criação de um túnel de tráfego por uma rede privada virtual ou ExpressRoute
Algumas organizações exigem que a comunicação com o Azure passe por um túnel de rede, como uma VPN ou ExpressRoute, para obter uma camada adicional de segurança ou para garantir que a comunicação com o Azure siga uma rota determinística.
Os Arquivos do Azure e a Sincronização de Arquivos do Azure dão suporte aos seguintes mecanismos para criar túnel de tráfego entre os servidores locais e o Azure:
Gateway de VPN do Azure: Um gateway VPN é um tipo específico de gateway de rede virtual que você usa para enviar tráfego criptografado entre uma rede virtual Azure e um local alternativo (como on-premises) pela internet. Um Gateway de VPN do Azure é um recurso Azure que você implanta em um grupo de recursos junto com uma conta de armazenamento ou outros recursos do Azure. Como o Sincronização de Arquivos do Azure foi feito para ser usado com um servidor de arquivos Windows local, normalmente você usa uma VPN site-to-site, embora tecnicamente seja possível usar uma VPN point-to-site.
Conexões VPN site-to-site conectam sua rede virtual Azure à rede local da sua organização. Uma conexão VPN site-to-site permite que você configure uma conexão VPN uma vez, para um servidor ou dispositivo VPN hospedado na rede da sua organização, em vez de fazer isso para cada dispositivo cliente que precisa acessar seu compartilhamento de arquivos do Azure. Para simplificar a implantação de uma conexão VPN site a site, consulte Configurar uma VPN site a site para uso com o Arquivos do Azure.
ExpressRoute, que permite que você crie uma rota definida (conexão privada) entre o Azure e sua rede local que não atravesse a internet. Como o ExpressRoute fornece um caminho dedicado entre o seu datacenter local e o Azure, o ExpressRoute pode ser útil quando o desempenho da rede é uma consideração fundamental. O ExpressRoute também é uma boa opção quando os requisitos regulatórios ou de política de sua organização exigem um caminho determinístico para seus recursos na nuvem.
SMB sobre QUIC
Se a porta 445 estiver bloqueada no seu ambiente, você pode usar SMB via QUIC como alternativa à VPN ou ExpressRoute. SMB sobre QUIC utiliza o protocolo de transporte QUIC sobre a porta 443, que a maioria das organizações e provedores de serviços de internet (ISPs) tem aberto para suportar tráfego HTTPS. Esse recurso elimina grande parte da configuração de rede normalmente necessária para acessar remotamente um compartilhamento de arquivos pela internet pública.
Para usar SMB sobre QUIC com Sincronização de Arquivos do Azure:
- O endpoint do servidor Sincronização de Arquivos do Azure deve rodar em uma máquina virtual Windows Server Datacenter: Azure Edition no Azure.
- Os clientes devem estar rodando Windows 11 ou versões posteriores.
Para detalhes sobre instalação e configuração, consulte SMB sobre QUIC.
Endpoints privados para Arquivos do Azure e Sincronização de Arquivos do Azure
Além dos pontos de extremidade públicos padrão que o Arquivos do Azure e o Sincronização de Arquivos do Azure fornecem por meio da conta de armazenamento e do Storage Sync Service, eles oferecem a opção de ter um ou mais pontos de extremidade privados por recurso. Essa opção permite que você se conecte de forma privada e segura a compartilhamentos de arquivos do Azure a partir de locais usando VPN ou ExpressRoute e de dentro de uma rede virtual Azure. Quando você cria um ponto de extremidade privado para um recurso do Azure, ele obtém um endereço IP privado dentro do espaço de endereço de sua rede virtual de modo muito semelhante a como o servidor de arquivos do Windows local tem um endereço IP dentro do espaço de endereço dedicado da rede local.
Um ponto de extremidade privado individual está associado a uma sub-rede de rede virtual do Azure específica. As contas de armazenamento e os Serviços de Sincronização de Armazenamento podem ter pontos de extremidade privados em mais de uma rede virtual.
O uso de pontos de extremidade privados permite que você:
- Conecte-se com segurança aos seus recursos do Azure de redes locais usando uma conexão VPN ou ExpressRoute com emparelhamento privado.
- Proteja os seus recursos do Azure desabilitando os pontos de extremidade públicos para Arquivos do Azure e Sincronização de Arquivos. Por padrão, a criação de um ponto de extremidade privado não bloqueia conexões com o ponto de extremidade público.
- Aumente a segurança da rede virtual permitindo que você bloqueie o vazamento de dados da rede virtual (e limites de emparelhamento).
Para criar um endpoint privado, veja Configurar endpoints privados para Sincronização de Arquivos do Azure.
Endpoints privados e DNS
Quando você cria um endpoint privado, o Azure também cria ou atualiza uma zona DNS privada que corresponde ao privatelink subdomínio. Para regiões de nuvem pública, essas zonas DNS são privatelink.file.core.windows.net para Arquivos do Azure e privatelink.afs.azure.net para Sincronização de Arquivos do Azure.
Observação
Este artigo usa o sufixo DNS da conta de armazenamento para as regiões Públicas do Azure, core.windows.net. Isso também se aplica às nuvens Azure Sovereign, como a nuvem Azure do Governo dos EUA e o Microsoft Azure operado pela nuvem 21Vianet - basta substituir os sufixos apropriados para o seu ambiente.
Quando você cria endpoints privados para uma conta de armazenamento e um Serviço de Sincronização de Armazenamento, o Azure cria registros A para eles em suas respectivas zonas DNS privadas. O Azure também atualiza a entrada pública de DNS de modo que os nomes de domínio totalmente qualificados regulares sejam CNAMEs para o nome relevanteprivatelink. Essa configuração permite que os nomes de domínio totalmente qualificados apontem para os endereços IP privados do endpoint quando o solicitante está dentro da rede virtual e apontem para os endereços IP públicos do endpoint quando o solicitante está fora da rede virtual.
Para o Arquivos do Azure, cada ponto de extremidade privado tem um único nome de domínio totalmente qualificado, seguindo o padrão storageaccount.privatelink.file.core.windows.net, mapeado para um único endereço IP privado do ponto de extremidade privado. Para a Sincronização de Arquivos do Azure, cada ponto de extremidade privado tem quatro nomes de domínio totalmente qualificados para os quatro pontos de extremidade diferentes que a Sincronização de Arquivos do Azure expõe: gerenciamento, sincronização (primário), sincronização (secundário) e monitoramento. Os nomes de domínio totalmente qualificados para esses pontos de extremidade costumam seguir o nome do Serviço de Sincronização de Armazenamento, a menos que o nome contenha caracteres não ASCII. Por exemplo, se o nome do Serviço de Sincronização de Armazenamento for mysyncservice na região oeste dos EUA 2, os pontos de extremidade equivalentes serão mysyncservicemanagement.westus2.afs.azure.net, mysyncservicesyncp.westus2.afs.azure.net, mysyncservicesyncs.westus2.afs.azure.net e mysyncservicemonitoring.westus2.afs.azure.net. Cada ponto de extremidade privado de um Serviço de Sincronização de Armazenamento conterá quatro endereços IP distintos.
Como sua zona DNS privada Azure está conectada à rede virtual que contém o ponto de extremidade privado, você pode observar a configuração de DNS chamando o cmdlet Resolve-DnsName do PowerShell em uma VM Azure (como alternativa, nslookup em Windows e Linux):
Resolve-DnsName -Name "storageaccount.file.core.windows.net"
Nesse exemplo, a conta de armazenamento storageaccount.file.core.windows.net é resolvida para o endereço IP privado do endpoint privado, que, neste caso, é 192.168.0.4.
Name Type TTL Section NameHost
---- ---- --- ------- --------
storageaccount.file.core.windows. CNAME 29 Answer storageaccount.privatelink.file.core.windows.net
net
Name : storageaccount.privatelink.file.core.windows.net
QueryType : A
TTL : 1769
Section : Answer
IP4Address : 192.168.0.4
Name : privatelink.file.core.windows.net
QueryType : SOA
TTL : 269
Section : Authority
NameAdministrator : azureprivatedns-host.microsoft.com
SerialNumber : 1
TimeToZoneRefresh : 3600
TimeToZoneFailureRetry : 300
TimeToExpiration : 2419200
DefaultTTL : 300
Se você executar o mesmo comando a partir do ambiente local, verá que o nome da mesma conta de armazenamento é resolvido para o endereço IP público da conta de armazenamento, em vez disso; storageaccount.file.core.windows.net é um registro CNAME para storageaccount.privatelink.file.core.windows.net, que, por sua vez, é um registro CNAME para o cluster de armazenamento do Azure que hospeda a conta de armazenamento:
Name Type TTL Section NameHost
---- ---- --- ------- --------
storageaccount.file.core.windows. CNAME 60 Answer storageaccount.privatelink.file.core.windows.net
net
storageaccount.privatelink.file.c CNAME 60 Answer file.par20prdstr01a.store.core.windows.net
ore.windows.net
Name : file.par20prdstr01a.store.core.windows.net
QueryType : A
TTL : 60
Section : Answer
IP4Address : 52.239.194.40
Essa configuração reflete o fato de que Arquivos do Azure e Sincronização de Arquivos do Azure podem expor tanto seus endpoints públicos quanto um ou mais endpoints privados por recurso. Para garantir que os nomes de domínio totalmente qualificados para seus recursos sejam resolvidos para os endereços IP privados do endpoint, você deve configurar seus servidores DNS on-premiss. Você pode realizar essa tarefa de várias maneiras:
- Modificar o arquivo de hosts em seus clientes para fazer com que os nomes de domínio totalmente qualificados para suas contas de armazenamento e serviços de sincronização de armazenamento sejam resolvidos para os endereços IP privados desejados. Isso é fortemente desaconselhado para ambientes de produção, pois você precisará fazer essas alterações em cada cliente que precisa acessar seus endpoints privados. Alterações nos seus endpoints/recursos privados (exclusões, modificações etc.) não serão gerenciadas automaticamente.
- Criar zonas DNS em seus servidores locais para
privatelink.file.core.windows.neteprivatelink.afs.azure.netcom registros A para os recursos do Azure. Isso tem a vantagem de que os clientes no seu ambiente local poderão resolver automaticamente os recursos do Azure sem precisar configurar cada cliente. No entanto, essa solução também é igualmente sensível a modificações no arquivo hosts, porque as alterações não são refletidas. Embora essa solução seja frágil, ela pode ser a melhor opção para alguns ambientes. - Encaminhe as zonas
core.windows.neteafs.azure.netde seus servidores DNS locais para a zona DNS privado do Azure. O host DNS privado do Azure pode ser acessado por meio de um endereço IP especial (168.63.129.16) que só pode ser acessado dentro de redes virtuais vinculadas à zona DNS privada do Azure. Para contornar essa limitação, você pode rodar servidores DNS adicionais dentro da sua rede virtual que encaminhamcore.windows.neteafs.azure.netpara as zonas DNS privadas equivalentes do Azure. Para simplificar essa configuração, a Microsoft oferece cmdlets em PowerShell que implantam automaticamente os servidores DNS na sua rede virtual do Azure e os configuram conforme desejado. Para aprender a configurar o encaminhamento DNS, veja Configurar DNS com Arquivos do Azure.
Criptografia em trânsito
As conexões estabelecidas pelo agente do Sincronização de Arquivos do Azure com o compartilhamento de arquivos do Azure ou com o Serviço de Sincronização de Armazenamento são sempre criptografadas. Embora as contas de armazenamento do Azure tenham uma configuração para desativar a exigência de criptografia em trânsito nas comunicações com o Arquivos do Azure (e com os outros serviços de armazenamento do Azure gerenciados pela conta de armazenamento), desativar essa configuração não afetará a criptografia usada pelo Sincronização de Arquivos do Azure nas comunicações com o Arquivos do Azure. Por padrão, todas as contas de armazenamento do Azure têm criptografia em trânsito habilitada.
Para mais informações sobre criptografia em trânsito, veja exigir transferência segura no armazenamento Azure.