Требования к сети моста ресурсов Azure Arc

В этой статье описываются требования к сети для развертывания моста ресурсов Azure Arc в вашей организации.

Общие требования к сети

Наименьшая пропускная способность сети, проверенная для развертывания моста ресурсов Arc, составляет 100 Мбит/с. Если пропускная способность сети медленнее, могут возникнуть проблемы с развертыванием.

Мост ресурсов Arc осуществляет исходящую безопасную связь с Azure Arc через TCP-порт 443. Если устройство должно подключиться через брандмауэр или прокси-сервер для обмена данными через Интернет, он передает исходящий трафик с помощью протокола HTTPS.

Как правило, требования к подключению включают следующие принципы:

  • Все подключения являются TCP, если иное не указано.
  • Все HTTP-подключения используют ПРОТОКОЛ HTTPS и SSL/TLS с официально подписанными и проверяемыми сертификатами.
  • Все подключения исходящие, если иное не указано.

Чтобы использовать прокси-сервер, убедитесь, что агенты и компьютер, выполняющие процесс подключения, соответствуют требованиям к сети в этой статье.

Требования к входящему подключению

Чтобы развернуть и поддерживать мост ресурсов Arc, компьютер управления, IP-адреса виртуальных машин устройства и IP-адреса плоскости управления должны взаимодействовать через следующие порты. Убедитесь, что эти порты открыты, и этот трафик не проходит через прокси-сервер.

Внимание

Во время подключения укажите два IP-адреса для виртуальных машин устройства Arc Resource Bridge — в виде диапазона или двух отдельных IP-адресов. Для успешного развертывания, операций и обновлений:

  • Убедитесь, что ip-адреса виртуальных машин управления и IP-адреса уровня управления могут взаимодействовать по необходимым портам, перечисленным в следующей таблице.
  • Не направлять трафик через прокси-сервер для этих подключений.
Служба порт. IP/machine Направление Примечания
SSH двадцать два appliance VM IPs и Management machine. Двунаправленный Компьютер управления подключает исходящий трафик к IP-адресам виртуальной машины устройства. IP-адреса виртуальных машин устройства должны разрешать входящий трафик.
Сервер API Kubernetes 6443 appliance VM IPs и Management machine. Двунаправленный Компьютер управления подключает исходящий трафик к IP-адресам виртуальной машины устройства. IP-адреса виртуальных машин устройства должны разрешать входящий трафик.
SSH двадцать два control plane IP и Management machine. Двунаправленный Используется для развертывания и обслуживания виртуальной машины устройства.
Сервер API Kubernetes 6443 control plane IP и Management machine. Двунаправленный Управление виртуальной машиной устройства.
HTTPS 443 private cloud control plane address и Management machine. Компьютер управления нуждается в исходящем подключении.  Обмен данными с частным облаком (например, адрес VMware vCenter и хранилище данных vSphere).
Сервер API Kubernetes 6443, 2379, 2380, 10250, 10257, 10259 appliance VM IPs (друг другу) Двунаправленный Требуется для обновления виртуальной машины устройства. Убедитесь, что все IP-адреса виртуальных машин устройства имеют исходящее подключение друг к другу через эти порты.
HTTPS 443 private cloud control plane address и appliance VM IPs. IP-адресам виртуальных машин устройства требуется исходящее соединение.  Обмен данными с частным облаком (например, адрес VMware vCenter и хранилище данных vSphere).

Требования к исходящему подключению

Примечание.

Для VMware vSphere с поддержкой Arc это требование не применяется, если используется шлюз Azure Arc (предварительная версия). Шлюз Azure Arc для VMware vSphere с поддержкой Arc (предварительная версия) уменьшает требования к списку разрешённых URL-адресов для брандмауэра и прокси-сервера. Дополнительные сведения см. в разделе VMware vSphere с поддержкой Arc — матрица поддержки.

Следующие URL-адреса брандмауэра и прокси-сервера должны быть добавлены в список разрешённых, чтобы обеспечить обмен данными от компьютера управления, виртуальной машины Arc resource bridge (изначально развернутой), виртуальной машины Arc resource bridge 2 (при обновлении создаётся новая VM с другим IP-адресом) и IP-адреса плоскости управления к требуемым URL-адресам Arc resource bridge.

Внимание

При подключении к мосту ресурсов Arc необходимо указать два IP-адреса для виртуальных машин устройства. Укажите эти IP-адреса следующим образом:

  • Диапазон IP-адресов
  • Два отдельных IP-адреса (по одному для каждой виртуальной машины)

Чтобы обеспечить успешное обновление, все IP-адреса виртуальных машин устройства должны иметь исходящий доступ к необходимым URL-адресам. Убедитесь, что эти URL-адреса находятся в списке разрешений в сети.

Список разрешенных URL-адресов брандмауэра или прокси-сервера

Служба порт. URL-адрес Направление Примечания
DNS-серверы 53 IP-адреса DNS-сервера Для ip-адресов виртуальных машин управления и устройств требуется исходящее подключение. Сетевое подключение к DNS-серверам, указанным во время развертывания, для разрешения необходимых конечных точек сервисов.
Конечная точка API SFS 443 msk8s.api.cdp.microsoft.com IP-адресам виртуальных машин управления и устройства требуется исходящий доступ к сети. Скачайте каталог продуктов, биты продуктов и образы ОС из SFS.
Скачивание образа моста ресурсов (устройства) 443 msk8s.sb.tlu.dl.delivery.mp.microsoft.com IP-адресам виртуальных машин управления и устройства требуется исходящий доступ к сети. Скачайте образы ОС Arc Resource Bridge.
Реестр контейнеров Майкрософт 443 mcr.microsoft.com IP-адресам виртуальных машин управления и устройства требуется исходящий доступ к сети. Поиск образов контейнеров для Arc Resource Bridge.
Реестр контейнеров Майкрософт 443 *.data.mcr.microsoft.com IP-адресам виртуальных машин управления и устройства требуется исходящий доступ к сети. Скачайте образы контейнеров для Arc Resource Bridge.
Сервер NTP Windows 123 time.windows.com IP-адреса управляемых машин и виртуальных машин Appliance (если для Hyper-V по умолчанию используется Windows NTP) требуют исходящего подключения по UDP. Синхронизация времени ОС на виртуальной машине устройства и компьютере управления (Windows NTP).
Azure Resource Manager 443 management.azure.com IP-адресам виртуальных машин управления и устройства требуется исходящий доступ к сети. Управление ресурсами в Azure.
Microsoft Graph 443 graph.microsoft.com IP-адресам виртуальных машин управления и устройства требуется исходящий доступ к сети. Требуется для Azure RBAC.
Azure Resource Manager 443 login.microsoftonline.com IP-адресам виртуальных машин управления и устройства требуется исходящий доступ к сети. Требуется для обновления маркеров ARM.
Azure Resource Manager 443 *.login.microsoft.com IP-адресам виртуальных машин управления и устройства требуется исходящий доступ к сети. Требуется для обновления маркеров ARM.
Azure Resource Manager 443 login.windows.net IP-адресам виртуальных машин управления и устройства требуется исходящий доступ к сети. Требуется для обновления маркеров ARM.
Служба "Шлюз ресурсов" (устройство) управления данными 443 *.dp.prod.appliances.azure.com IP-адресам виртуальных машин устройств требуется исходящее подключение. Обмен данными с поставщиком ресурсов в Azure.
Скачивание образа контейнера моста ресурсов (устройство) 443 *.blob.core.windows.net, ecpacr.azurecr.io IP-адреса ВМ-устройств нуждаются в исходящем подключении. Требуется для загрузки образов контейнеров.
Управляемое удостоверение 443 *.his.arc.azure.com IP-адреса ВМ-устройств нуждаются в исходящем подключении. Требуется для получения сертификатов управляемого удостоверения, назначаемых системой.
Служба данных событий Майкрософт 443 v20.events.data.microsoft.com IP-адреса ВМ-устройств нуждаются в исходящем подключении. Отправка диагностических данных из Windows.
Коллекция журналов для Моста ресурсов Arc 443 linuxgeneva-microsoft.azurecr.io IP-адреса ВМ-устройств нуждаются в исходящем подключении. Отправка логов для управляемых компонентов аппаратуры.
Менеджер пакетов Microsoft с открытым исходным кодом 443 packages.microsoft.com IP-адреса ВМ-устройств нуждаются в исходящем подключении. Скачайте пакет установки Linux.
Пользовательская локация 443 sts.windows.net IP-адреса ВМ-устройств нуждаются в исходящем подключении. Требуется для пользовательского местоположения.
Azure Arc 443 guestnotificationservice.azure.com IP-адреса ВМ-устройств нуждаются в исходящем подключении. Требуется для Azure Arc.
Диагностические данные 443 gcs.prod.monitoring.core.windows.net IP-адреса ВМ-устройств нуждаются в исходящем подключении. Периодически отправляет необходимые диагностические данные Майкрософт.
Диагностические данные 443 *.prod.microsoftmetrics.com IP-адреса ВМ-устройств нуждаются в исходящем подключении. Периодически отправляет необходимые диагностические данные Майкрософт.
Диагностические данные 443 *.prod.hot.ingest.monitor.core.windows.net IP-адреса ВМ-устройств нуждаются в исходящем подключении. Периодически отправляет необходимые диагностические данные Майкрософт.
Диагностические данные 443 *.prod.warm.ingest.monitor.core.windows.net IP-адреса ВМ-устройств нуждаются в исходящем подключении. Периодически отправляет необходимые диагностические данные Майкрософт.
Сервисная шина Azure 443 *.servicebus.windows.net IP-адреса ВМ-устройств нуждаются в исходящем подключении. Исходящие подключения WebSocket (wss://) должны быть разрешены. Включает безопасный канал управления.
Azure CLI (интерфейс командной строки) 443 *.blob.core.windows.net Компьютер управления нуждается в исходящем подключении. Скачайте установщик Azure CLI.
Расширение Arc 443 *.web.core.windows.net Компьютер управления нуждается в исходящем подключении. Скачайте расширение моста ресурсов Arc.
Агент Azure Arc 443 *.dp.kubernetesconfiguration.azure.com Компьютер управления нуждается в исходящем подключении. План данных, используемый для агента Arc.
Пакет Python 443 pypi.org, *.pypi.org Компьютер управления нуждается в исходящем подключении. Проверьте версии Kubernetes и Python.
Azure CLI (интерфейс командной строки) 443 pythonhosted.org, *.pythonhosted.org Компьютер управления нуждается в исходящем подключении. Пакеты Python для установки Azure CLI.

Примечание.

URL-адреса, перечисленные здесь, необходимы только для моста ресурсов Arc. Другие продукты Arc (например, VMware vSphere с поддержкой Arc) могут иметь дополнительные необходимые URL-адреса. Дополнительные сведения см. в статье о требованиях к сети Azure Arc.

Назначенные диапазоны IP-адресов для моста управления ресурсами Arc

При развертывании моста ресурсов Arc определенные диапазоны IP-адресов резервируются исключительно для подов и служб Kubernetes в виртуальной машине модуля. Эти внутренние диапазоны IP-адресов не должны перекрываться с любыми входными данными конфигурации для моста ресурсов, такими как префикс IP-адреса, IP-адрес контрольной плоскости, IP-адреса виртуальных машин оборудования, DNS-серверы, прокси-серверы или узлы vSphere ESXi. Дополнительные сведения о конфигурации моста ресурсов Arc см. в требованиях к системе.

Примечание.

Указанные диапазоны IP-адресов в пределах моста ресурсов не влияют на ресурсы Azure. Однако они не должны перекрываться с диапазонами IP-адресов в среде AVS или среде VMware с поддержкой Arc (включая сети управления и рабочей нагрузки).

Служба Назначенный диапазон IP-адресов
Модули Kubernetes pod для моста ресурсов Arc 10.244.0.0/16
Службы Kubernetes для моста ресурсов Arc 10.96.0.0/24

Настройка прокси-сервера SSL

Внимание

Arc Resource Bridge поддерживает только прямые (явные) прокси-серверы, включая неаутентифицированные прокси-серверы, прокси-серверы с базовой аутентификацией, завершающие прокси-серверы SSL и прокси-серверы с SSL-проходом.

При использовании прокси-сервера необходимо настроить мост ресурсов Arc для подключения к службам Azure.

  • Чтобы настроить мост ресурсов Arc с прокси-сервером, укажите путь к файлу сертификата прокси при создании файлов конфигурации.

  • Формат файла сертификата — X.509 (в кодировке Base-64). CER).

  • Передайте только один прокси-сертификат. При передаче пакета сертификатов развертывание завершается сбоем.

  • Конечная точка прокси-сервера не может быть доменом .local .

  • Прокси-сервер должен быть доступен со всех IP-адресов в пределах префикса IP-адресов, включая IP-адреса плоскости управления и виртуальной машины устройства.

При развертывании моста ресурсов Arc за прокси-сервером SSL требуется только два сертификата:

  • SSL-сертификат для вашего SSL-прокси (чтобы виртуальная машина управления и виртуальная машина устройства доверяли полное доменное имя вашего прокси-сервера и могли установить к нему SSL-подключение).

  • SSL-сертификат серверов загрузки Майкрософт. Этот сертификат должен быть доверенным самим прокси-сервером, так как прокси-сервер — это тот, который устанавливает окончательное подключение и должен доверять конечной точке. Компьютеры, отличные от Windows, могут не доверять этому второму сертификату по умолчанию, поэтому может потребоваться убедиться, что он является доверенным.

Чтобы развернуть мост ресурсов Arc, необходимо скачать образы на компьютер управления, а затем загрузить их в коллекцию локального частного облака. Если прокси-сервер регулирует скорость загрузки, вы можете не скачать необходимые образы (~3,5 ГБ) в течение выделенного времени (90 минут).

Список исключений без прокси-сервера

Если вы используете прокси-сервер, используйте следующую таблицу, чтобы настроить noProxy параметры и исключить эти адреса из прокси-сервера.

IP-адрес Причина исключения
localhost, 127.0.0.1 Трафик локалхост
.svc Внутренний трафик служб Kubernetes (.svc), где .svc представляет подстановочное имя. Эта запись похожа на фразу *.svc, но ни одна из них не используется в этой схеме.
10.0.0.0/8 Адресное пространство частной сети
172.16.0.0/12 Адресное пространство частной сети — CIDR службы Kubernetes
192.168.0.0/16 Адресное пространство частной сети — Kubernetes Pod CIDR
.contoso.com Возможно, потребуется исключить корпоративное пространство имен (contoso.com) от перенаправления через прокси-сервер. Чтобы исключить все адреса в домене, добавьте его в noProxy список. Используйте ведущий период, а не подстановочный знак (*). В примере адрес .contoso.com исключает адреса prefix1.contoso.comprefix2.contoso.comи т. д.

Значение noProxy по умолчанию — localhost,127.0.0.1,.svc,10.0.0.0/8,172.16.0.0/12,192.168.0.0/16. Хотя эти значения по умолчанию работают для многих сетей, может потребоваться добавить дополнительные диапазоны подсетей или имена в список исключений. Например, может потребоваться исключить корпоративное пространство имен (contoso.com) от перенаправления через прокси-сервер. Добавьте это пространство имен, указав значение в списке noProxy .

Внимание

При перечислении нескольких адресов параметров не добавляйте пробел после каждой запятой noProxy для разделения адресов. Адреса должны немедленно следовать запятыми.

Прослушивание внутреннего порта

Виртуальная машина устройства настроена для прослушивания следующих портов. Эти порты используются исключительно для внутренних процессов и не требуют внешнего доступа:

  • 8443: Конечная точка для вебхука аутентификации Microsoft Entra
  • 10257: конечная точка для метрик моста ресурсов Arc
  • 10250: Конечная точка для метрик моста ресурсов Arc
  • 2382: Конечная точка для метрик моста ресурсов Arc

Следующие шаги

  • Последнее обновление: