Publikování služeb Azure Stack Hub ve vašem datacentru
Azure Stack Hub nastavuje virtuální IP adresy (VIPs) pro své role infrastruktury. Tyto virtuální IP adresy se přidělují z fondu veřejných IP adres. Každá virtuální IP adresa je zabezpečená pomocí seznamu řízení přístupu (ACL) v softwarově definované síťové vrstvě. Seznamy ACL se také používají napříč fyzickými přepínači (TOR a BMC) k dalšímu posílení řešení. Pro každý koncový bod v externí zóně DNS, která je zadaná v době nasazení, se vytvoří položka DNS. Uživatelský portál má například přiřazenou položku hostitele DNS portálu.<oblast>.<fqdn>.
Následující diagram architektury znázorňuje různé síťové vrstvy a seznamy ACL:
Porty a adresy URL
Pokud chcete externím sítím zpřístupnit služby Azure Stack Hub (jako jsou portály, Azure Resource Manager, DNS atd.), musíte povolit příchozí provoz do těchto koncových bodů pro konkrétní adresy URL, porty a protokoly.
V nasazení, kde transparentní odchozí připojení proxy k tradičnímu proxy serveru nebo bráně firewall chrání řešení, musíte povolit konkrétní porty a adresy URL pro příchozí i odchozí komunikaci. Patří sem porty a adresy URL pro identitu, marketplace, opravu a aktualizaci, registraci a data o využití.
Zachycování provozu SSL se nepodporuje a může vést k selháním služeb při přístupu ke koncovým bodům.
Porty a protokoly (příchozí)
Pro publikování koncových bodů služby Azure Stack Hub do externích sítí se vyžaduje sada virtuálních IP adres infrastruktury. Tabulka Koncový bod (VIP) zobrazuje každý koncový bod, požadovaný port a protokol. Informace o koncových bodech, které vyžadují další poskytovatele prostředků, jako je poskytovatel prostředků SQL, najdete v dokumentaci ke konkrétnímu nasazení poskytovatele prostředků.
Interní ip adresy infrastruktury nejsou uvedené, protože nejsou potřeba pro publikování služby Azure Stack Hub. Virtuální IP adresy uživatelů jsou dynamické a definované samotnými uživateli bez kontroly operátorem služby Azure Stack Hub.
S přidáním hostitele rozšíření se porty v rozsahu 12495–30015 nevyžadují.
| Koncový bod (VIP) | Záznam A hostitele DNS | Protokol | Porty |
|---|---|---|---|
| AD FS | Ad fs.<oblast>.<Fqdn> | HTTPS | 443 |
| Portál (správce) | Adminportal.<oblast>.<Fqdn> | HTTPS | 443 |
| Adminhosting | *.adminhosting.<oblast>.<Fqdn> | HTTPS | 443 |
| Azure Resource Manager (správce) | Správa správce<oblast>.<Fqdn> | HTTPS | 443 |
| Portál (uživatel) | Portál.<oblast>.<Fqdn> | HTTPS | 443 |
| Azure Resource Manager (uživatel) | Management.<oblast>.<Fqdn> | HTTPS | 443 |
| Graf | Graf.<oblast>.<Fqdn> | HTTPS | 443 |
| Seznam odvolaných certifikátů | Crl.<oblast>.<Fqdn> | HTTP | 80 |
| DNS | *.<oblast>.<Fqdn> | TCP &UDP | 53 |
| Hostování | *.hostování.<oblast>.<Fqdn> | HTTPS | 443 |
| Key Vault (uživatel) | *.klenba.<oblast>.<Fqdn> | HTTPS | 443 |
| Key Vault (správce) | *.adminvault.<oblast>.<Fqdn> | HTTPS | 443 |
| Fronta úložiště | *.fronta.<oblast>.<Fqdn> | HTTP HTTPS |
80 443 |
| Tabulka úložiště | *.stůl.<oblast>.<Fqdn> | HTTP HTTPS |
80 443 |
| Storage Blob | *.kapka.<oblast>.<Fqdn> | HTTP HTTPS |
80 443 |
| Poskytovatel prostředků SQL | sqladapter.dbadapter.<oblast>.<Fqdn> | HTTPS | 44300-44304 |
| Poskytovatel prostředků MySQL | mysqladapter.dbadapter.<oblast>.<Fqdn> | HTTPS | 44300-44304 |
| App Service | *.appservice.<oblast>.<Fqdn> | TCP | 80 (HTTP) 443 (HTTPS) 8172 (MSDeploy) |
| *.scm.appservice.<oblast>.<Fqdn> | TCP | 443 (HTTPS) | |
| api.appservice.<oblast>.<Fqdn> | TCP | 443 (HTTPS) 44300 (Azure Resource Manager) |
|
| ftp.appservice.<oblast>.<Fqdn> | TCP, UDP | 21, 1021, 10001-10100 (FTP) 990 (FTPS) |
|
| Brány VPN Gateway | PROTOKOL IP 50 a UDP | Zapouzdření datové části zabezpečení (ESP) IPSec a UDP 500 a 4500 |
Porty a adresy URL (odchozí)
Azure Stack Hub podporuje pouze transparentní proxy servery. V nasazení s transparentním odesíláním proxy serveru na tradiční proxy server musíte povolit porty a adresy URL v následující tabulce pro odchozí komunikaci. Další informace o konfiguraci transparentních proxy serverů najdete v tématu Transparentní proxy server pro Azure Stack Hub.
Zachycování provozu SSL se nepodporuje a může vést k selháním služeb při přístupu ke koncovým bodům. Maximální podporovaný časový limit pro komunikaci s koncovými body vyžadovanými pro identitu je 60s.
Poznámka:
Azure Stack Hub nepodporuje použití ExpressRoute k připojení ke službám Azure uvedeným v následující tabulce, protože ExpressRoute nemusí být schopná směrovat provoz do všech koncových bodů.
| Účel | Cílová adresa URL | Protokol / porty | Zdrojová síť | Požadavek |
|---|---|---|---|---|
| Identita Umožňuje službě Azure Stack Hub připojit se k Microsoft Entra ID pro ověřování uživatelů a služeb. |
Azurelogin.windows.netlogin.microsoftonline.comgraph.windows.nethttps://secure.aadcdn.microsoftonline-p.comwww.office.comManagementServiceUri = https://management.core.windows.netARMUri = https://management.azure.comhttps://*.msftauth.nethttps://*.msauth.nethttps://*.msocdn.comAzure Government https://login.microsoftonline.us/https://graph.windows.net/Azure China 21Vianet https://login.chinacloudapi.cn/https://graph.chinacloudapi.cn/Azure (Německo) https://login.microsoftonline.de/https://graph.cloudapi.de/ |
HTTP 80, HTTPS 443 |
Veřejná VIRTUÁLNÍ IP adresa – /27 Síť veřejné infrastruktury |
Povinné pro připojené nasazení. |
| Syndikace Marketplace Umožňuje stahovat položky do služby Azure Stack Hub z Marketplace a zpřístupnit je všem uživatelům pomocí prostředí služby Azure Stack Hub. |
Azurehttps://management.azure.comhttps://*.blob.core.windows.nethttps://*.azureedge.netAzure Government https://management.usgovcloudapi.net/https://*.blob.core.usgovcloudapi.net/Azure China 21Vianet https://management.chinacloudapi.cn/http://*.blob.core.chinacloudapi.cn |
HTTPS 443 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Nepovinné. K nahrání imagí do služby Azure Stack Hub použijte pokyny k odpojeným scénářům. |
| Oprava a aktualizace Při připojení ke koncovým bodům aktualizací se aktualizace softwaru a opravy hotfix služby Azure Stack Hub zobrazí jako dostupné ke stažení. |
https://*.azureedge.nethttps://aka.ms/azurestackautomaticupdate |
HTTPS 443 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Nepovinné. Pomocí pokynů k připojení k odpojeným nasazením můžete aktualizaci stáhnout a připravit ručně. |
| Registrace Umožňuje zaregistrovat službu Azure Stack Hub v Azure, abyste si stáhli položky z Azure Marketplace a nastavili sestavy obchodních dat zpět do Microsoftu. |
Azurehttps://management.azure.comAzure Government https://management.usgovcloudapi.net/Azure China 21Vianet https://management.chinacloudapi.cn |
HTTPS 443 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Nepovinné. Pro offline registraci můžete použít odpojený scénář. |
| Využití Umožňuje operátorům služby Azure Stack Hub nakonfigurovat instanci služby Azure Stack Hub tak, aby hlásili data o využití do Azure. |
Azurehttps://*.trafficmanager.nethttps://*.cloudapp.azure.comAzure Government https://*.usgovtrafficmanager.nethttps://*.cloudapp.usgovcloudapi.netAzure China 21Vianet https://*.trafficmanager.cnhttps://*.cloudapp.chinacloudapi.cn |
HTTPS 443 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Vyžaduje se pro model licencování založený na spotřebě služby Azure Stack Hub. |
| Windows Defender Umožňuje poskytovateli prostředků aktualizace stahovat antimalwarové definice a aktualizace modulu několikrát denně. |
*.wdcp.microsoft.com*.wdcpalt.microsoft.com*.wd.microsoft.com*.update.microsoft.com*.download.microsoft.comhttps://secure.aadcdn.microsoftonline-p.com |
HTTPS 80, 443 | Veřejná VIRTUÁLNÍ IP adresa – /27 Síť veřejné infrastruktury |
Nepovinné. Odpojený scénář můžete použít k aktualizaci souborů antivirového podpisu. |
| NTP Umožňuje službě Azure Stack Hub připojit se k časovým serverům. |
(IP adresa serveru NTP poskytovaná pro nasazení) | UDP 123 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Požaduje se |
| DNS Umožňuje službě Azure Stack Hub připojit se k serveru DNS. |
(IP adresa serveru DNS poskytovaná pro nasazení) | TCP &UDP 53 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Požaduje se |
| SYSLOG Umožňuje službě Azure Stack Hub odesílat zprávy syslogu pro účely monitorování nebo zabezpečení. |
(IP adresa serveru SYSLOG poskytovaná pro nasazení) | TCP 6514, UDP 514 |
Veřejná VIRTUÁLNÍ IP adresa – /27 | Volitelné |
| CRL Umožňuje službě Azure Stack Hub ověřovat certifikáty a kontrolovat odvolané certifikáty. |
Adresa URL v distribučních bodech seznamu CRL na vašich certifikátech | HTTP 80 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Požaduje se |
| CRL Umožňuje službě Azure Stack Hub ověřovat certifikáty a kontrolovat odvolané certifikáty. |
http://crl.microsoft.com/pki/crl/productshttp://mscrl.microsoft.com/pki/mscorphttp://www.microsoft.com/pki/certshttp://www.microsoft.com/pki/mscorphttp://www.microsoft.com/pkiops/crlhttp://www.microsoft.com/pkiops/certs |
HTTP 80 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Nepovinné. Osvědčený postup zabezpečení důrazně doporučujeme. |
| LDAP Umožňuje službě Azure Stack Hub komunikovat s místní službou Microsoft Active Directory. |
Doménová struktura služby Active Directory poskytovaná pro integraci Graphu | TCP & UDP 389 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Vyžaduje se při nasazení služby Azure Stack Hub pomocí služby AD FS. |
| LDAP SSL Umožňuje službě Azure Stack Hub komunikovat šifrovaně s místní službou Microsoft Active Directory. |
Doménová struktura služby Active Directory poskytovaná pro integraci Graphu | TCP 636 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Vyžaduje se při nasazení služby Azure Stack Hub pomocí služby AD FS. |
| LDAP GC Umožňuje službě Azure Stack Hub komunikovat se servery Microsoft Active Global Catalog. |
Doménová struktura služby Active Directory poskytovaná pro integraci Graphu | TCP 3268 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Vyžaduje se při nasazení služby Azure Stack Hub pomocí služby AD FS. |
| LDAP GC SSL Umožňuje službě Azure Stack Hub komunikovat šifrovaně se servery globálního katalogu Microsoft Active Directory. |
Doménová struktura služby Active Directory poskytovaná pro integraci Graphu | TCP 3269 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Vyžaduje se při nasazení služby Azure Stack Hub pomocí služby AD FS. |
| AD FS Umožňuje službě Azure Stack Hub komunikovat s místní službou AD FS. |
Koncový bod metadat služby AD FS zadaný pro integraci služby AD FS | TCP 443 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Nepovinné. Vztah důvěryhodnosti zprostředkovatele deklarací identity služby AD FS lze vytvořit pomocí souboru metadat. |
| Shromažďování diagnostických protokolů Umožňuje službě Azure Stack Hub odesílat protokoly buď proaktivně, nebo ručně operátorem do podpory Microsoftu. |
https://*.blob.core.windows.nethttps://azsdiagprdlocalwestus02.blob.core.windows.nethttps://azsdiagprdwestusfrontend.westus.cloudapp.azure.comhttps://azsdiagprdwestusfrontend.westus.cloudapp.azure.com |
HTTPS 443 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Nepovinné. Protokoly můžete ukládat místně. |
| Vzdálená podpora Umožňuje odborníkům na podporu Microsoftu rychleji řešit případ podpory tím, že povolí vzdálený přístup k zařízení k provádění omezených operací řešení potíží a oprav. |
https://edgesupprd.trafficmanager.nethttps://edgesupprdwestusfrontend.westus2.cloudapp.azure.comhttps://edgesupprdwesteufrontend.westeurope.cloudapp.azure.comhttps://edgesupprdeastusfrontend.eastus.cloudapp.azure.comhttps://edgesupprdwestcufrontend.westcentralus.cloudapp.azure.comhttps://edgesupprdasiasefrontend.southeastasia.cloudapp.azure.com*.servicebus.windows.net |
HTTPS 443 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Nepovinné. |
| Telemetrie Umožňuje službě Azure Stack Hub odesílat telemetrická data do Microsoftu. |
https://settings-win.data.microsoft.comhttps://login.live.com*.events.data.microsoft.comOd verze 2108 se vyžadují také následující koncové body: https://*.blob.core.windows.net/https://azsdiagprdwestusfrontend.westus.cloudapp.azure.com/ |
HTTPS 443 | Veřejná VIRTUÁLNÍ IP adresa – /27 | Vyžaduje se, když je povolená telemetrie služby Azure Stack Hub. |
Odchozí adresy URL jsou vyrovnávání zatížení pomocí Azure Traffic Manageru, aby poskytovaly nejlepší možné připojení na základě geografického umístění. S adresami URL s vyrovnáváním zatížení může Microsoft aktualizovat a měnit koncové body back-endu, aniž by to mělo vliv na zákazníky. Microsoft nesdílí seznam IP adres pro adresy URL s vyrovnáváním zatížení. Použijte zařízení, které podporuje filtrování podle adresy URL, nikoli podle IP adresy.
Odchozí DNS se vyžaduje vždy; liší se ve zdrojovém dotazu externího DNS a zvoleném typu integrace identity. Během nasazení pro připojený scénář potřebuje DVM, který se nachází v síti řadiče pro správu základní desky, odchozí přístup. Po nasazení se ale služba DNS přesune do interní komponenty, která bude odesílat dotazy prostřednictvím veřejné VIRTUÁLNÍ IP adresy. V té době je možné odebrat odchozí přístup DNS přes síť řadiče pro správu základní desky, ale veřejný přístup virtuální IP adresy k danému serveru DNS musí zůstat nebo jinak ověření selže.