Azure 至 Azure 災害復原架構

本文說明您在使用 Azure Site Recovery 服務部署 Azure 虛擬機器 (VM) 的災害復原時所使用的架構、元件和程序。 設定災害復原後，Azure VM 即可持續複寫至不同的目標區域。 如果發生中斷狀況，您可以將 VM 容錯移轉至次要區域，並從該處加以存取。 當一切都恢復正常運作後，您即可進行容錯回復，並繼續在主要位置工作。

架構元件

下表摘要說明 Azure VM 的災害復原所使用的元件。

元件	需求
來源區域中的 VM	支援的來源區域中的一或多個 Azure VM。 VM 可執行任何支援的作業系統。
來源 VM 儲存體	Azure VM 可以是受控的，或具有分散於不同儲存體帳戶間的非受控磁碟。 深入了解支援的 Azure 儲存體。
來源 VM 網路	VM 可在來源區域中位於虛擬網路 (VNet) 內的一或多個子網路上。 深入了解網路需求。
快取儲存體帳戶	您必須要有位於來源網路中的快取儲存體帳戶。 在複寫期間，VM 變更會先儲存在快取中，再傳送至目標儲存體。 使用快取可確保在 VM 上執行的生產應用程式所受到的影響會降到最低。 深入了解快取儲存體需求。
目標資源	在複寫期間和執行容錯移轉時，都會使用目標資源。 Site Recovery 可依預設進行目標資源設定，您也可自行加以建立/自訂。 在目標區域中，請確認您能夠建立 VM，且您的訂用帳戶有足夠的資源可支援目標區域中所需的 VM 大小。

目標資源

當您為 VM 啟用複寫時，Site Recovery 會為您提供自動建立目標資源的選項。

目標資源	預設設定
目標訂用帳戶	與來源訂用帳戶相同。
目標資源群組	VM 在容錯移轉之後所屬的資源群組。 其可位於來源區域以外的任何 Azure 區域中。 Site Recovery 會在目標區域中建立具有 "asr" 尾碼的新資源群組。
目標 VNet	複寫的 VM 在容錯移轉之後所在的虛擬網路 (VNet)。 在來源和目標的虛擬網路之間會建立網路對應，反之亦然。 Site Recovery 會建立具有 "asr" 尾碼的新 VNet 和子網路。
目標儲存體帳戶	如果 VM 未使用受控磁碟，這將是資料複寫到的儲存體帳戶。 Site Recovery 會在目標區域中建立新的儲存體帳戶，以反映來源儲存體帳戶。
複本受控磁碟	如果 VM 使用受控磁碟，這就是資料所複寫至的受控磁碟。 Site Recovery 會在儲存體區域中建立複本受控磁碟，以反映來源。
目標可用性設定組	複寫的 VM 在容錯移轉之後所在的可用性設定組。 Site Recovery 會針對來源位置中的可用性設定組所包含的 VM，在目標區域中建立具有 "asr" 尾碼的可用性設定組。 如有可用性設定組存在，則會加以使用，而不會建立新的可用性設定組。
目標可用性區域	如果目標區域支援可用性區域，則 Site Recovery 會指派與來源區域所用的相同區域編號。

管理目標資源

您可以依照下列方式管理目標資源：

• 您可以在啟用複寫時修改目標設定。 請注意，目標區域 VM 的預設 SKU 與來源 VM 的 SKU (或僅次於來源 VM SKU 的最佳可用 SKU) 相同。 下拉式清單只會顯示與來源 VM (Gen 1 或 Gen 2) 相同系列的相關 SKU。
• 您可以在複寫已正常運作後修改目標設定。 類似於其他資源 (例如目標資源群組、目標名稱和其他資源)，目標區域 VM SKU 也可以在進行複寫之後更新。 無法更新的資源是可用性類型 (單一執行個體、設定組或區域)。 若要變更此設定，您必須停用複寫、修改設定，然後再重新啟用。

複寫原則

當您啟用 Azure VM 複寫時，Site Recovery 依預設會以資料表中摘要說明的預設設定建立新的複寫原則。

原則設定	詳細資料	Default
復原點保留期	指定 Site Recovery 會保留復原點多久。	一天
應用程式一致的快照頻率	Site Recovery 建立應用程式一致快照集的頻率。	零小時 (停用)

管理複寫原則

您可以如下所示，管理和修改預設複寫原則設定：

• 您可以在啟用複寫時修改這些設定。
• 您可以隨時建立複寫原則，然後在啟用複寫時加以套用。

注意

高復原點保留期間可能會影響儲存體成本，因為可能需要儲存更多復原點。

多 VM 一致性

如果您要一起複寫多個 VM，並且在容錯移轉時有共用的絕對一致和應用程式一致的復原點，您可以將這些 VM 聚集到一個複寫群組中。 啟用多 VM 一致性會影響工作負載效能，建議只有在所有執行工作負載的 VM 間需保有一致性時，才將其用於這些機器。

快照集和復原點

復原點可從您在特定點時間取得的 VM 磁碟快照集建立。 在進行 VM 的容錯移轉時，您可以使用復原點在目標位置還原 VM。

進行容錯移轉時，我們通常會想要確定 VM 在啟動時不會損毀或遺失資料，且 VM 資料在作業系統上和執行於 VM 的應用程式間均保有一致性。 這取決於您所建立的快照集類型。

Site Recovery 會依照下列方式建立快照集：

1. Site Recovery 依預設會為資料建立絕對一致的快照集，而如果您為其指定了頻率，則建立應用程式一致的快照集。
2. 復原點可從快照集建立，並根據複寫原則中的保留設定進行儲存。

一致性

下表說明不同類型的一致性。

Crash-consistent

說明	詳細資料	建議
絕對一致的快照集會擷取在快照建立時位於磁碟上的資料。 其中不含記憶體中的任何資料。 其中所含的資料，相當於設若在建立快照集時發生 VM 當機的狀況，或從伺服器上拔開電源線，所將存在於磁碟上的資料。 「絕對一致」並不保證資料在作業系統上或 VM 的應用程式間可保有一致性。	Site Recovery 依預設會每五分鐘建立一次絕對一致復原點。 此設定無法修改。	現在，大部分的應用程式都可以從絕對一致復原點妥善復原。 對作業系統的複寫，以及 DHCP 伺服器和列印伺服器之類的應用程式而言，使用絕對一致復原點就已足夠。

App-consistent

說明	詳細資料	建議
從應用程式一致快照集建立應用程式一致復原點。 應用程式一致的快照集包含損毀一致快照集中的所有資訊，以及記憶體和進行中的交易所包含的所有資料。	應用程式一致快照集會使用磁碟區陰影複製服務 (VSS)： 1) Azure Site Recovery 使用「只複製備份」(VSS_BT_COPY) 方法，此方法不會變更 Microsoft SQL 的交易記錄備份時間和序號 2) 起始快照集時，VSS 會在磁區上執行寫入時複製 (COW) 作業。 3) 在執行 COW 之前，VSS 會通知機器上的每個應用程式，指出需要將其記憶體常駐資料排清到磁碟。 4) 接著，VSS 會允許備份/災害復原應用程式 (在此案例中為 Site Recovery) 讀取快照集資料並繼續執行。	應用程式一致快照集會依據您指定的頻率建立。 此頻率一律應小於您的保留復原點設定。 例如，如果您使用預設設定 24 小時來保留復原點，您所設定的頻率就應該小於 24 小時。 此類快照集比絕對一致快照集更複雜，且需要較長的時間才能完成。 在 VM 上執行且已啟用複寫的應用程式，效能將會受其影響。

複寫程序

當您啟用 Azure VM 的複寫時，將會發生下列情況：

1. 在 VM 上自動安裝 Site Recovery 行動服務擴充功能。
2. 此擴充功能會對 Site Recovery 註冊 VM。
3. 開始為 VM 進行連續複寫。 磁碟寫入會立即傳送到來源位置的快取儲存體帳戶。
4. Site Recovery 會處理快取中的資料，並將資料傳送到目標儲存體帳戶或複本受控磁碟。
5. 資料處理完成後，會每五分鐘產生一次絕對一致復原點。 此外匯根據複寫原則中指定的設定產生應用程式一致復原點。

複寫程序

連線需求

您複寫的 Azure VM 需要輸出連線能力。 Site Recovery 永遠不會需要 VM 的輸入連線能力。

輸出連線能力 (URL)

如果使用 URL 來控制 VM 的輸出存取，請允許這些 URL。

名稱	商業	政府機關	說明
儲存體	*.blob.core.windows.net	*.blob.core.usgovcloudapi.net	允許將資料從 VM 寫入來源區域的快取儲存體帳戶中。
Microsoft Entra ID	login.microsoftonline.com	login.microsoftonline.us	提供 Site Recovery 服務 URL 的授權和驗證。
複寫	*.hypervrecoverymanager.windowsazure.com	*.hypervrecoverymanager.windowsazure.us	允許 VM 與 Site Recovery 服務進行通訊。
服務匯流排	*.servicebus.windows.net	*.servicebus.usgovcloudapi.net	允許 VM 寫入 Site Recovery 監視和診斷資料。
Key Vault	*.vault.azure.net	*.vault.usgovcloudapi.net	允許存取，以透過入口網站對已啟用 ADE 的虛擬機器進行複寫
Azure Automation	*.automation.ext.azure.com	*.azure-automation.us	允許透過入口網站啟用複寫項目的行動代理程式自動升級

IP 位址範圍的輸出連線能力

若要使用 IP 位址控制 VM 的輸出連線能力，請允許這些位址。 請注意，網路技術白皮書提供了網路連線需求的詳細資料。

來源區域規則

規則	詳細資料	服務標記
允許 HTTPS 輸出：連接埠 443	允許對應至來源區域儲存體帳戶的範圍	Storage.<region-name>
允許 HTTPS 輸出：連接埠 443	允許對應至 Microsoft Entra ID 的範圍	AzureActiveDirectory
允許 HTTPS 輸出：連接埠 443	允許與目標區域中的事件中樞相對應的範圍。	EventHub.<region-name>
允許 HTTPS 輸出：連接埠 443	允許對應至 Azure Site Recovery 的範圍	AzureSiteRecovery
允許 HTTPS 輸出：連接埠 443	允許對應至 Azure Key Vault 的範圍 (只有在透過入口網站為支援 ADE 的虛擬機器啟用複寫時，才需要這麼做)	AzureKeyVault
允許 HTTPS 輸出：連接埠 443	允許對應至 Azure 自動化控制器的範圍 (只有在透過入口網站為複寫的項目啟用行動代理程式的自動升級時，才需要這麼做)	GuestAndHybridManagement

目標區域規則

規則	詳細資料	服務標記
允許 HTTPS 輸出：連接埠 443	允許與目標區域中的儲存體帳戶相對應的範圍	Storage.<region-name>
允許 HTTPS 輸出：連接埠 443	允許對應至 Microsoft Entra ID 的範圍	AzureActiveDirectory
允許 HTTPS 輸出：連接埠 443	允許與來源區域中的事件中樞相對應的範圍。	EventHub.<region-name>
允許 HTTPS 輸出：連接埠 443	允許對應至 Azure Site Recovery 的範圍	AzureSiteRecovery
允許 HTTPS 輸出：連接埠 443	允許對應至 Azure Key Vault 的範圍 (只有在透過入口網站為支援 ADE 的虛擬機器啟用複寫時，才需要這麼做)	AzureKeyVault
允許 HTTPS 輸出：連接埠 443	允許對應至 Azure 自動化控制器的範圍 (只有在透過入口網站為複寫的項目啟用行動代理程式的自動升級時，才需要這麼做)	GuestAndHybridManagement

使用網路安全性群組規則控制存取

如果您使用網路安全性群組規則來篩選進出於 Azure 網路/子網路的網路流量，藉以控制 VM 連線，請注意下列需求：

• 來源 Azure 區域的網路安全性群組規則應允許複寫流量的輸出存取。
• 建議您先在測試環境中建立規則，再將其設置於生產環境。
• 使用服務標記，而不要允許個別 IP 位址。
  • 服務標記代表一組聚集在一起的 IP 位址前置詞，用以盡可能降低建立安全性規則時的複雜性。
  • Microsoft 會不定期自動更新服務標記。

請深入了解 Site Recovery 的輸出連線能力，以及如何使用網路安全性群組控制連線能力。

多 VM 一致性的連線能力

如果您啟用多部 VM 一致性，則複寫群組中的機器會透過連接埠 20004 彼此通訊。

• 請確定並沒有防火牆應用裝置封鎖了 VM 之間透過連接埠 20004 進行的內部通訊。
• 如果您想要讓 Linux VM 成為複寫群組的一部分，請確定已根據特定 Linux 版本的指引手動開啟連接埠 20004上 的輸出流量。

容錯移轉程序

您起始容錯移轉時，系統會在目標資源群組、目標虛擬網路，目標子網路和目標可用性設定組中建立 VM。 容錯移轉期間，您可以使用任何復原點。

下一步

• 將 Azure VM 快速複寫到次要地區。