Параметры брандмауэра и прокси-сервера службы "Синхронизация файлов Azure"

Параметры брандмауэра и прокси-сервера службы "Синхронизация файлов Azure"

Служба "Синхронизация файлов Azure" подключает локальные серверы к службе файлов Azure, обеспечивая синхронизацию нескольких сайтов и распределение данных по уровням облака. Таким образом локальный сервер должен быть подключен к Интернету. Администратор отдела ИТ должен выбрать наилучший путь подключения сервера к облачным службам Azure.

В этой статье описываются особые требования и возможности, позволяющие создать безопасное подключение сервера к службе "Синхронизация файлов Azure".

Перед изучением этого практического руководства рекомендуется ознакомиться с рекомендациями по настройке сети для службы "Синхронизация файлов Azure".

Обзор

Служба "Синхронизация файлов Azure" действует как служба оркестрации между Windows Server, вашим файловым ресурсом Azure и несколькими другими службами Azure, которая синхронизирует данные, как описано в группе синхронизации. Чтобы служба "Синхронизация файлов Azure" работала правильно, необходимо настроить серверы для взаимодействия со следующими службами Azure.

  • Хранилище Azure
  • Служба синхронизации файлов Azure
  • Azure Resource Manager
  • Службы аутентификации

Агент службы "Синхронизация файлов Azure" на сервере Windows инициирует все запросы к облачным службам, поэтому в брандмауэре следует учитывать только исходящий трафик. Ни одна из служб Azure не инициирует подключение к агенту службы "Синхронизация файлов Azure".

порты;

Служба "Синхронизация файлов Azure" перемещает файлы данных и метаданные только по протоколу HTTPS, и порт 443 должен быть открыт для исходящего трафика. В результате шифруется весь трафик.

Сети и специальные подключения к Azure

Агент службы "Синхронизация файлов Azure" не накладывает какие-либо требования в отношении специальных каналов, например ExpressRoute, в Azure.

Служба "Синхронизация файлов Azure" будет использовать все доступные средства связи с Azure, автоматически адаптируясь к различным характеристикам сетей (пропускной способности, задержке и т. д.). Кроме того, она предоставляет административный контроль для точной настройки.

Proxy (Прокси)

Служба "Синхронизация файлов Azure" поддерживает параметры прокси-сервера для конкретных приложений и для всего компьютера.

Параметры прокси-сервера для конкретных приложений позволяют настроить прокси-сервер специально для трафика службы "Синхронизация файлов Azure". Параметры прокси-сервера для конкретных приложений поддерживаются в версии агента 4.0.1.0 и более поздних версиях. Их можно настроить во время установки агента или с помощью командлета PowerShell Set-StorageSyncProxyConfiguration.

Команды PowerShell для настройки параметров прокси-сервера для конкретных приложений:

Например, если прокси-сервер требует проверки подлинности с использованием имени пользователя и пароля, выполните следующие команды PowerShell.

Параметры прокси-сервера для компьютера являются прозрачными для агента службы "Синхронизация файлов Azure", так как весь трафик сервера направляется через этот прокси-сервер.

Чтобы настроить параметры прокси-сервера для компьютера, выполните следующие действия:

Настройте параметры прокси-сервера для приложений .NET

Измените следующие два файла: C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Config\machine.config C:\Windows\Microsoft.NET\Framework\v4.0.30319\Config\machine.config

Добавьте раздел <system.net> в файлы machine.config (под разделом <system.serviceModel>). Измените 127.0.01:8888 на IP-адрес и порт для прокси-сервера.

Задайте параметры прокси-сервера WinHTTP

Доступно несколько методов (WPAD, PAC-файл, netsh и пр.) для настройки Windows Server на использование прокси-сервера. В приведенных ниже действиях описано, как настроить параметры прокси-сервера с помощью netsh, но поддерживаются также другие методы, перечисленные в документации Настройка параметров прокси-сервера в Windows.

Выполните следующую команду в командной строке с повышенными привилегиями или PowerShell, чтобы увидеть существующие параметры прокси-сервера:

netsh winhttp show proxy

Выполните следующую команду в командной строке с повышенными привилегиями или PowerShell, чтобы задать параметры прокси-сервера (измените 127.0.01:8888 на IP-адрес и порт для прокси-сервера):

netsh winhttp set proxy 127.0.0.1:8888

Перезапустите службу агента синхронизации хранилища, выполнив следующую команду в командной строке с повышенными привилегиями или PowerShell:

net stop filesyncsvc

Примечание. Служба агента синхронизации хранилища (filesyncsvc) автоматически запустится после остановки.

Брандмауэр

Как упоминалось в предыдущем разделе, порт 443 необходимо открыть для исходящего трафика. В зависимости от политик в центре обработки данных, филиале или регионе, возможно необязательное или обязательное наложение дополнительных ограничений трафика, проходящего через этот порт в определенные домены.

В следующей таблице описаны требуемые домены для обмена данными.

Служба Конечная точка общедоступного облака Конечная точка Azure для государственных организаций Использование Azure Resource Manager https://management.azure.com https://management.usgovcloudapi.net Любой вызов пользователя (например, PowerShell) проходит через этот URL-адрес, включая вызов для начальной регистрации сервера. Azure Active Directory https://login.windows.net https://login.microsoftonline.com https://login.microsoftonline.us Вызовы Azure Resource Manager должны осуществляться пользователем, прошедшим аутентификацию. Чтобы вызовы могли быть выполнены, этот URL-адрес используется для аутентификации пользователей. Azure Active Directory https://graph.microsoft.com/ https://graph.microsoft.com/ В ходе развертывания службы "Синхронизация файлов Azure" в подписке Azure Active Directory будет создан субъект-служба. Для этого используется данный URL-адрес. Этот субъект используется для делегирования минимального набора прав службе "Синхронизация файлов Azure". Пользователь, выполняющий начальную настройку службы "Синхронизация файлов Azure", должен иметь привилегии владельца подписки. Azure Active Directory https://secure.aadcdn.microsoftonline-p.com Используйте URL-адрес общедоступной конечной точки. К этому URL-адресу получает доступ библиотека проверки подлинности Active Directory, которую пользовательский интерфейс регистрации сервера Azure File Sync использует для входа в систему в качестве администратора. Хранилище Azure *.core.windows.net *.core.usgovcloudapi.net Когда сервер скачивает файл, он эффективнее перемещает данные, если напрямую обращается к файловому ресурсу Azure в учетной записи хранения. Сервер имеет ключ SAS, предоставляющий доступ только к целевому файловому ресурсу. Синхронизация файлов Azure *.one.microsoft.com*.afs.azure.net *.afs.azure.us После начальной регистрации сервер получает URL-адрес экземпляра службы "Синхронизация файлов Azure" в этом регионе. Сервер может использовать этот URL-адрес для прямого и эффективного взаимодействия с экземпляром, выполняющим его синхронизацию. Microsoft PKI https://www.microsoft.com/pki/mscorp/cpshttp://crl.microsoft.com/pki/mscorp/crl/http://mscrl.microsoft.com/pki/mscorp/crl/http://ocsp.msocsp.comhttp://ocsp.digicert.com/http://crl3.digicert.com/ https://www.microsoft.com/pki/mscorp/cpshttp://crl.microsoft.com/pki/mscorp/crl/http://mscrl.microsoft.com/pki/mscorp/crl/http://ocsp.msocsp.comhttp://ocsp.digicert.com/http://crl3.digicert.com/ После установки агента службы "Синхронизация файлов Azure" с помощью URL-адреса PKI загружаются промежуточные сертификаты, обеспечивающие обмен данными между службой "Синхронизация файлов Azure" и файловым ресурсом Azure. С помощью URL-адреса OCSP проверяется состояние сертификата. Центр обновления Майкрософт *.update.microsoft.com*.download.windowsupdate.com*.ctldl.windowsupdate.com*.dl.delivery.mp.microsoft.com*.emdl.ws.microsoft.com *.update.microsoft.com*.download.windowsupdate.com*.ctldl.windowsupdate.com*.dl.delivery.mp.microsoft.com*.emdl.ws.microsoft.com После установки агента синхронизации файлов Azure URL-адреса центра обновления Майкрософт используются для загрузки обновлений агента синхронизации файлов Azure.

Если разрешить передачу трафика в *.afs.azure.net, трафик может быть доступен только для службы синхронизации. Нет других служб Майкрософт, использующих этот домен. Если разрешить передачу трафика в *.one.microsoft.com, то с сервера будет передаваться не только трафик для службы синхронизации. В поддоменах могут размещаться многие другие службы Майкрософт.

Если *.afs.azure.net или *.one.microsoft.com задает слишком много адресов, обмен данными с сервером можно ограничить, разрешив обмен данными только с региональными экземплярами службы синхронизации файлов Azure. Выбор экземпляров зависит от региона службы синхронизации хранилища, в котором развернут и зарегистрирован сервер. Этот регион называется "URL-адрес основной конечной точки" в таблице ниже.

Из соображений обеспечения непрерывности бизнес-процессов и аварийного восстановления (BCDR) вы, возможно, создали общие папки Azure в учетной записи хранения, настроенной для геоизбыточного хранилища (GRS). Если это так, то в случае продолжительного регионального сбоя будет выполнена отработка отказа общих папок Azure в связанный регион. Служба "Синхронизация файлов Azure" использует те же региональные связи, что и хранилище. Поэтому, если используются учетные записи хранения GRS, необходимо включить дополнительные URL-адреса, чтобы сервер мог взаимодействовать с парным регионом для синхронизации файлов Azure. В таблице ниже это называется "Парный регион". Кроме того, есть URL-адрес профиля диспетчера трафика, который также должен быть включен. Это позволяет гарантировать простое перенаправление трафика в парный регион в случае отработки отказа. Этот адрес называется "URL-адрес обнаружения" в таблице ниже.

При использовании учетной записи хранения, настроенной для локально избыточного хранилища (LRS) или хранилища, избыточного между зонами (ZRS), необходимо включить только URL-адрес, указанный в разделе "URL-адрес основной конечной точки".

Если вы используете учетную запись хранения, настроенную для GRS, включите три URL-адреса.

Пример. Вы развертываете службу синхронизации хранилища в "West US" и регистрируете свой сервер в ней. URL-адреса, позволяющие обмениваться данными с сервером для этого случая:

  • https://westus01.afs.azure.net (основная конечная точка: "Западная часть США").
  • https://eastus01.afs.azure.net (парный регион отработки отказа: "Восточная часть США").
  • https://tm-westus01.afs.azure.net (URL-адрес обнаружения основного региона).
Список разрешенных IP-адресов службы синхронизации файлов Azure

Синхронизация файлов Azure поддерживает использование тегов служб, представляющих собой группу префиксов IP-адресов для данной службы Azure. Можно использовать теги служб для создания правил брандмауэра, которые позволяют взаимодействовать со службой синхронизации файлов Azure. Тегом службы для синхронизация файлов Azure является StorageSyncService .

Если используется синхронизация файлов Azure, можно использовать имя тега службы непосредственно в своей группе безопасности сети, чтобы разрешить трафик. Дополнительные сведения о том, как это делается, см. в статье Группы безопасности сети.

Если вы используете Синхронизацию файлов Azure в локальной среде, можно с помощью API тегов служб получить конкретные диапазоны IP-адресов для включения в список разрешений брандмауэра. Существует два способа получения этой информации.

  • Текущий список диапазонов IP-адресов для всех служб Azure, поддерживающих теги служб, публикуется еженедельно в Центре загрузки Майкрософт в виде документа JSON. Каждое облако Azure имеет собственный документ JSON с диапазонами IP-адресов, относящимися к этому облаку:

Поскольку API обнаружения тегов служб обновляется не так часто, как документы JSON, опубликованные в центре загрузки Майкрософт, рекомендуется использовать документ JSON для обновления списка разрешений локального брандмауэра. Это можно сделать следующим образом.

Можно использовать диапазоны IP-адресов в $ipAddressRanges для обновления брандмауэра. Посетите веб-сайт используемого брандмауэра/сетевого устройства для получения информации о том, как обновить брандмауэр.

Проверка сетевого подключения к конечным точкам службы

После регистрации сервера в службе синхронизации файлов Azure можно использовать командлет Test-StorageSyncNetworkConnectivity и ServerRegistration.exe для проверки связи со всеми конечными точками (URL-адресами), относящимися к этому серверу. Этот командлет может помочь в устранении неполадок, когда незавершенная связь не позволяет серверу в полной мере использовать синхронизацию файлов Azure, и его можно использовать для точной настройки прокси-сервера и брандмауэра.

Чтобы запустить проверку возможности подключения к сети, выполните следующие команды PowerShell:

Сводка и ограничение рисков

Списки, приведенные ранее в этом документе, содержат URL-адреса, с которыми в настоящее время взаимодействует служба "Синхронизация файлов Azure". Брандмауэры должны иметь возможность разрешить исходящий трафик для этих доменов. Корпорация Майкрософт прилагает все усилия, чтобы этот список был актуальным.

Настройка домена с ограничивающими правилами брандмауэра может служить мерой повышения безопасности. Если используются такие конфигурации брандмауэров, необходимо помнить, что URL-адреса со временем добавляются и могут измениться. Периодически просматривайте эту статью.

📎📎📎📎📎📎📎📎📎📎