Publikowanie usług Azure Stack Hub w centrum danych
Usługa Azure Stack Hub konfiguruje wirtualne adresy IP (VIP) dla ról infrastruktury. Te adresy VIP są przydzielane z puli publicznych adresów IP. Każdy adres VIP jest zabezpieczony za pomocą listy kontroli dostępu (ACL) w warstwie sieciowej zdefiniowanej programowo. Listy ACL są również używane w przełącznikach fizycznych (TORs i BMC), aby jeszcze bardziej wzmocnić rozwiązanie. Wpis DNS jest tworzony dla każdego punktu końcowego w zewnętrznej strefie DNS określonej w czasie wdrażania. Na przykład portal użytkownika jest przypisany wpisowi hosta DNS portal.<region>.<fqdn>.
Na poniższym diagramie architektonicznym przedstawiono różne warstwy sieciowe i listy ACL:
Porty i adresy URL
Aby usługi Azure Stack Hub (takie jak portale, azure Resource Manager, DNS itd.) były dostępne dla sieci zewnętrznych, należy zezwolić na ruch przychodzący do tych punktów końcowych dla określonych adresów URL, portów i protokołów.
W przypadku wdrożenia, w którym przezroczysty serwer proxy łączy się z tradycyjnym serwerem proxy lub gdy zapora chroni rozwiązanie, należy zezwolić na określone porty i adresy URL zarówno dla komunikacji przychodzącej, jak i wychodzącej. Obejmują one porty i adresy URL tożsamości, platformę handlową, poprawkę i aktualizację, rejestrację i dane użycia.
Przechwytywanie ruchu SSL nie jest obsługiwane i podczas uzyskiwania dostępu do punktów końcowych może prowadzić do błędów usługi.
Porty i protokoły (przychodzące)
Do publikowania punktów końcowych (endpoints) usługi Azure Stack Hub w sieciach zewnętrznych wymagany jest zestaw adresów VIP infrastruktury. Tabela Punkt końcowy (VIP) zawiera każdy punkt końcowy, wymagany port i protokół. Zapoznaj się z dokumentacją wdrażania określonego dostawcy zasobów dla punktów końcowych, które wymagają dodatkowych dostawców zasobów, takich jak dostawca zasobów SQL.
Wewnętrzne VIP-y infrastruktury nie są listowane, ponieważ nie są wymagane do publikowania Azure Stack Hub. Adresy VIP użytkownika są dynamiczne i definiowane przez samych użytkowników bez kontroli operatora usługi Azure Stack Hub.
Po dodaniu Hosta rozszerzeń nie są wymagane porty z zakresu od 12495 do 30015.
| Punkt dostępowy (VIP) | Rekord A hosta DNS | Protokół | Porty |
|---|---|---|---|
| AD FS | Adfs.<region>.<fqdn> | HTTPS | 443 |
| Portal (administrator) | Portal administracyjny.<region>.<fqdn> | HTTPS | 443 |
| Hostowanie administracyjne | *.adminhosting.<region>.<fqdn> | HTTPS | 443 |
| Azure Resource Manager (administrator) | Administracja.<region>.<fqdn> | HTTPS | 443 |
| Portal (użytkownik) | Portal.<region>.<fqdn> | HTTPS | 443 |
| Azure Resource Manager (użytkownik) | Zarządzanie.<region>.<fqdn> | HTTPS | 443 |
| Wykres | Wykres.<region>.<fqdn> | HTTPS | 443 |
| Lista odwołania certyfikatów | Crl.<region>.<fqdn> | HTTP | 80 |
| DNS | *.<region>.<fqdn> | TCP i UDP | 53 |
| Usługi hostingowe | *.gościnność.<region>.<Fqdn> | HTTPS | 443 |
| Key Vault (użytkownik) | *.vault.<region>.<fqdn> | HTTPS | 443 |
| Key Vault (administrator) | *.adminvault.<region>.<fqdn> | HTTPS | 443 |
| Kolejka przechowywania danych | *.kolejka.<region>.<fqdn> | HTTP HTTPS |
80 443 |
| Tabela magazynu | *.table.<region>.<fqdn> | HTTP HTTPS |
80 443 |
| Storage Blob | *.blob.<region>.<fqdn> | HTTP HTTPS |
80 443 |
| Dostawca zasobów programu SQL | sqladapter.dbadapter.<region>.<fqdn> | HTTPS | 44300-44304 |
| Dostawca zasobów programu MySQL | mysqladapter.dbadapter.<region>.<fqdn> | HTTPS | 44300-44304 |
| Usługa aplikacji | *.appservice.<region>.<fqdn> | TCP | 80 (HTTP) 443 (HTTPS) 8172 (MSDeploy) |
| *.scm.appservice.<region>.<fqdn> | TCP | 443 (HTTPS) | |
| api.appservice.<region>.<Fqdn> | TCP | 443 (HTTPS) 44300 (Azure Resource Manager) |
|
| ftp.appservice.<region>.<fqdn> | TCP, UDP | 21, 1021, 10001-10100 (FTP) 990 (FTPS) |
|
| Bramy sieci VPN | Protokół IP 50 i UDP | Hermetyzacja ładunku zabezpieczeń (ESP) IPSec i UDP 500 i 4500 |
Porty i adresy URL (wychodzące)
Usługa Azure Stack Hub obsługuje tylko przezroczyste serwery proxy. We wdrożeniu z przezroczystym połączeniem serwera proxy z tradycyjnym serwerem proxy należy zezwolić na porty i adresy URL w poniższej tabeli na potrzeby komunikacji wychodzącej. Aby uzyskać więcej informacji na temat konfigurowania przezroczystych serwerów proxy, zobacz Przezroczysty serwer proxy dla usługi Azure Stack Hub.
Przechwytywanie ruchu SSL nie jest obsługiwane i może prowadzić do błędów usługi podczas uzyskiwania dostępu do punktów końcowych. Maksymalny obsługiwany limit czasu na komunikację z punktami końcowymi związanymi z tożsamością wynosi 60 s.
Uwaga
Usługa Azure Stack Hub nie obsługuje korzystania z usługi ExpressRoute w celu uzyskania dostępu do usług platformy Azure wymienionych w poniższej tabeli, ponieważ usługa ExpressRoute może nie być w stanie kierować ruchu do wszystkich punktów końcowych.
| Cel | Docelowy adres URL | Protokół/porty | Sieć źródłowa | Wymaganie |
|---|---|---|---|---|
|
Tożsamość Umożliwia Azure Stack Hub połączenie z usługą Microsoft Entra ID na potrzeby uwierzytelniania użytkowników i usług. |
Azurelogin.windows.netlogin.microsoftonline.comgraph.windows.nethttps://secure.aadcdn.microsoftonline-p.comwww.office.comManagementServiceUri = https://management.core.windows.netARMUri = https://management.azure.comhttps://*.msftauth.nethttps://*.msauth.nethttps://*.msocdn.comAzure Government https://login.microsoftonline.us/https://graph.windows.net/Azure China 21Vianet https://login.chinacloudapi.cn/https://graph.chinacloudapi.cn/Azure (Niemcy) https://login.microsoftonline.de/https://graph.cloudapi.de/ |
HTTP 80, HTTPS 443 |
Publiczny adres VIP — /27 Sieć infrastruktury publicznej |
Obowiązkowe dla połączonego wdrożenia. |
|
Syndykacja w witrynie Marketplace Umożliwia pobieranie elementów do usługi Azure Stack Hub z witryny Marketplace i udostępnianie ich wszystkim użytkownikom przy użyciu środowiska usługi Azure Stack Hub. |
Azurehttps://management.azure.comhttps://*.blob.core.windows.nethttps://azurestackhub.download.prss.microsoft.comAzure Government https://management.usgovcloudapi.net/https://*.blob.core.usgovcloudapi.net/Azure w Chinach od 21Vianet https://management.chinacloudapi.cn/http://*.blob.core.chinacloudapi.cn |
HTTPS 443 | Publiczny adres VIP — /27 | Niewymagane. Aby przesłać obrazy do usługi Azure Stack Hub, skorzystaj z instrukcji dotyczących scenariusza pracy w trybie offline. |
|
Poprawianie i aktualizowanie Po nawiązaniu połączenia z punktami końcowymi aktualizacji aktualizacje oprogramowania i poprawki usługi Azure Stack Hub są wyświetlane jako dostępne do pobrania. |
https://azurestackhub.download.prss.microsoft.comhttps://aka.ms/azurestackautomaticupdate |
HTTPS 443 | Publiczny adres VIP — /27 | Niewymagane. Użyj instrukcji dotyczących połączenia wdrożeniowego rozłączonego, aby ręcznie pobrać i przygotować aktualizację. |
|
Rejestracja Umożliwia zarejestrowanie usługi Azure Stack Hub na platformie Azure w celu pobrania elementów witryny Azure Marketplace i skonfigurowania raportowania danych handlowych z powrotem do firmy Microsoft. |
Azurehttps://management.azure.comAzure Government https://management.usgovcloudapi.net/Azure w Chinach od 21Vianet https://management.chinacloudapi.cn |
HTTPS 443 | Publiczny adres VIP — /27 | Niewymagane. Możesz użyć scenariusza odłączonego do rejestracji offline. |
|
Użycie Umożliwia operatorom usługi Azure Stack Hub skonfigurowanie wystąpienia usługi Azure Stack Hub w celu raportowania danych użycia na platformie Azure. |
Azurehttps://*.trafficmanager.nethttps://*.cloudapp.azure.comAzure Government https://*.usgovtrafficmanager.nethttps://*.cloudapp.usgovcloudapi.netAzure w Chinach od 21Vianet https://*.trafficmanager.cnhttps://*.cloudapp.chinacloudapi.cn |
HTTPS 443 | Publiczny adres VIP — /27 | Wymagany dla modelu licencjonowania opartego na użyciu usługi Azure Stack Hub. |
|
Windows Defender Umożliwia dostawcy aktualizacji zasobów pobieranie definicji oprogramowania chroniącego przed złośliwym kodem i aktualizacji silnika wiele razy dziennie. |
*.wdcp.microsoft.com*.wdcpalt.microsoft.com*.wd.microsoft.com*.update.microsoft.com*.download.microsoft.comhttps://secure.aadcdn.microsoftonline-p.com |
HTTPS 80, 443 | Publiczny adres VIP — /27 Sieć infrastruktury publicznej |
Niewymagane. Można użyć scenariusza bez połączenia, aby zaktualizować pliki sygnatur oprogramowania antywirusowego. |
|
NTP Umożliwia usłudze Azure Stack Hub łączenie się z serwerami czasu. |
(Adres IP serwera NTP udostępnionego do wdrożenia) | UDP 123 | Publiczny adres VIP — /27 | Wymagane |
|
DNS Umożliwia usłudze Azure Stack Hub łączenie się z przekazywarką serwera DNS. |
(Adres IP serwera DNS dostarczonego do wdrożenia) | TCP i UDP 53 | Publiczny adres VIP — /27 | Wymagane |
|
SYSLOG Umożliwia usłudze Azure Stack Hub wysyłanie komunikatu dziennika systemowego na potrzeby monitorowania lub zabezpieczeń. |
(Adres IP serwera SYSLOG udostępniony do wdrożenia) | TCP 6514, UDP 514 |
Publiczny adres VIP — /27 | Opcjonalnie |
|
CRL Umożliwia usłudze Azure Stack Hub weryfikowanie certyfikatów i sprawdzanie odwołanych certyfikatów. |
Adres URL w punktach dystrybucji list CRL na twoich certyfikatach | HTTP 80 | Publiczny adres VIP — /27 | Wymagane |
|
CRL Umożliwia usłudze Azure Stack Hub weryfikowanie certyfikatów i sprawdzanie odwołanych certyfikatów. |
http://crl.microsoft.com/pki/crl/productshttp://mscrl.microsoft.com/pki/mscorphttp://www.microsoft.com/pki/certshttp://www.microsoft.com/pki/mscorphttp://www.microsoft.com/pkiops/crlhttp://www.microsoft.com/pkiops/certs |
HTTP 80 | Publiczny adres VIP — /27 | Niewymagane. Zdecydowanie zalecana najlepsza praktyka bezpieczeństwa. |
|
LDAP Umożliwia usłudze Azure Stack Hub komunikację z lokalną usługą Microsoft Active Directory. |
Usługa Active Directory Forest udostępniona dla integracji z Microsoft Graph | TCP i UDP 389 | Publiczny adres VIP — /27 | Wymagane, gdy usługa Azure Stack Hub jest wdrażana przy użyciu usług AD FS. |
|
LDAP SSL Umożliwia usłudze Azure Stack Hub komunikację zaszyfrowaną z lokalną usługą Microsoft Active Directory. |
Las usługi Active Directory udostępniony na potrzeby integracji z programem Graph | TCP 636 | Publiczny adres VIP — /27 | Wymagane, gdy usługa Azure Stack Hub jest wdrażana przy użyciu usług AD FS. |
|
LDAP GC Umożliwia Azure Stack Hub komunikację z serwerami Active Directory globalnego katalogu firmy Microsoft. |
Las usługi Active Directory udostępniony na potrzeby integracji z programem Graph | TCP 3268 | Publiczny adres VIP — /27 | Wymagane, gdy usługa Azure Stack Hub jest wdrażana przy użyciu usług AD FS. |
|
LDAP GC SSL Umożliwia usłudze Azure Stack Hub komunikację zaszyfrowaną z serwerami wykazu globalnego usługi Microsoft Active Directory. |
Las usługi Active Directory udostępniony na potrzeby integracji z programem Graph | TCP 3269 | Publiczny adres VIP — /27 | Wymagane, gdy usługa Azure Stack Hub jest wdrażana przy użyciu usług AD FS. |
|
AD FS Umożliwia usłudze Azure Stack Hub komunikowanie się z lokalnymi usługami AD FS. |
Punkt końcowy metadanych usług AD FS udostępniony na potrzeby integracji z usługami AD FS | TCP 443 | Publiczny adres VIP — /27 | Opcjonalny. Zaufanie dostawcy oświadczeń usług AD FS można utworzyć przy użyciu pliku metadanych. |
|
Zbieranie dzienników diagnostycznych Umożliwia usłudze Azure Stack Hub aktywne lub ręczne wysyłanie dzienników przez operatora do pomocy technicznej firmy Microsoft. |
https://*.blob.core.windows.nethttps://azsdiagprdlocalwestus02.blob.core.windows.nethttps://azsdiagprdwestusfrontend.westus.cloudapp.azure.comhttps://azsdiagprdwestusfrontend.westus.cloudapp.azure.com |
HTTPS 443 | Publiczny adres VIP — /27 | Niewymagane. Dzienniki można zapisywać lokalnie. |
|
Zdalna obsługa Umożliwia specjalistom pomocy technicznej firmy Microsoft szybsze rozwiązywanie problemów dzięki możliwości zdalnego dostępu do urządzenia w celu wykonywania ograniczonych operacji rozwiązywania problemów i naprawy. |
https://edgesupprd.trafficmanager.nethttps://edgesupprdwestusfrontend.westus2.cloudapp.azure.comhttps://edgesupprdwesteufrontend.westeurope.cloudapp.azure.comhttps://edgesupprdeastusfrontend.eastus.cloudapp.azure.comhttps://edgesupprdwestcufrontend.westcentralus.cloudapp.azure.comhttps://edgesupprdasiasefrontend.southeastasia.cloudapp.azure.com*.servicebus.windows.net |
HTTPS 443 | Publiczny adres VIP — /27 | Niewymagane. |
|
Telemetria Umożliwia usłudze Azure Stack Hub wysyłanie danych telemetrycznych do firmy Microsoft. |
https://settings-win.data.microsoft.comhttps://login.live.com*.events.data.microsoft.comPocząwszy od wersji 2108, wymagane są również następujące punkty końcowe: https://*.blob.core.windows.net/https://azsdiagprdwestusfrontend.westus.cloudapp.azure.com/ |
HTTPS 443 | Publiczny adres IP VIP — /27 | Wymagane, gdy włączono telemetrię usługi Azure Stack Hub. |
Adresy URL ruchu wychodzącego są zrównoważone przy użyciu usługi Azure Traffic Manager, aby zapewnić najlepszą możliwą łączność na podstawie lokalizacji geograficznej. Dzięki adresom URL ze zrównoważonym obciążeniem firma Microsoft może aktualizować i zmieniać punkty końcowe zaplecza bez wpływu na klientów. Firma Microsoft nie udostępnia listy adresów IP dla adresów URL o zrównoważonym obciążeniu. Użyj urządzenia obsługującego filtrowanie według adresu URL, a nie według adresu IP.
Wychodzący system DNS jest wymagany przez cały czas; to, co różni się, to źródło zapytań dotyczących zewnętrznego systemu DNS i jaki typ integracji tożsamości został wybrany. Podczas wdrażania połączonego scenariusza DVM znajdujący się w sieci BMC potrzebuje dostępu wychodzącego. Jednak po wdrożeniu usługa DNS zostanie przeniesiona do składnika wewnętrznego, który będzie wysyłać zapytania za pośrednictwem publicznego adresu VIP. W tym czasie można usunąć wychodzący dostęp DNS za pośrednictwem sieci BMC, ale publiczny adres VIP dostępu do tego serwera DNS musi pozostać, albo inaczej uwierzytelnianie nie powiedzie się.
Następne kroki
Wymagania dotyczące infrastruktury kluczy publicznych usługi Azure Stack Hub