Práce se stávajícími místními proxy servery

Nakonfigurujte privátní síťové konektory Microsoft Entra tak, aby používaly odchozí proxy servery. Článek předpokládá, že síťové prostředí už má proxy server.

Začneme tím, že se podíváme na tyto hlavní scénáře nasazení:

• Nakonfigurujte konektory pro obejití místních odchozích proxy serverů.
• Nakonfigurujte konektory tak, aby používaly odchozí proxy server pro přístup k proxy aplikací Microsoft Entra.
• Nakonfigurujte použití proxy serveru mezi konektorem a back-endovou aplikací.

Další informace o tom, jak konektory fungují, najdete v tématu Principy privátních síťových konektorů Microsoft Entra.

Obejití odchozích proxy serverů

Připojení orové mají základní komponenty operačního systému, které provádějí odchozí požadavky. Tyto komponenty se automaticky pokusí najít proxy server v síti pomocí automatického zjišťování webového proxy serveru (WPAD).

Komponenty operačního systému se pokusí vyhledat proxy server provedením vyhledávání wpad.domainsuffixDNS (Domain Name System). Pokud se vyhledávání přeloží v DNS, odešle se požadavek HTTP na adresu IP (Internet Protocol) pro wpad.dat. Tento požadavek se stane konfiguračním skriptem proxy serveru ve vašem prostředí. Konektor používá tento skript k výběru odchozího proxy serveru. Provoz konektoru ale může i nadále selhat, protože na proxy serveru je potřeba další nastavení konfigurace.

Konektor můžete nakonfigurovat tak, aby obešel místní proxy server, aby se zajistilo, že používá přímé připojení ke službě proxy aplikací Microsoft Entra. Přímá připojení se doporučují, protože vyžadují méně konfigurace. Některé zásady sítě ale vyžadují provoz procházející místním proxy serverem.

Pokud chcete zakázat odchozí využití proxy serveru pro konektor, upravte C:\Program Files\Microsoft Entra private network connector\MicrosoftEntraPrivateNetworkConnectorService.exe.config soubor a přidejte system.net oddíl zobrazený v ukázce kódu:

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
  <system.net>
    <defaultProxy enabled="false"></defaultProxy>
  </system.net>
  <runtime>
    <gcServer enabled="true"/>
  </runtime>
  <appSettings>
    <add key="TraceFilename" value="MicrosoftEntraPrivateNetworkConnector.log" />
  </appSettings>
</configuration>

Pokud chcete zajistit, aby služba Připojení or Updater obchází také proxy server, proveďte podobnou změnu MicrosoftEntraPrivateNetworkConnectorUpdaterService.exe.config souboru. Tento soubor se nachází na adrese C:\Program Files\Microsoft Entra private network connector Updater.

Pokud se potřebujete vrátit k výchozím .config souborům, nezapomeňte vytvořit kopie původních souborů.

Použití odchozího proxy serveru

Některá prostředí vyžadují, aby veškerý odchozí provoz procházel odchozím proxy serverem bez výjimky. V důsledku toho není obejití proxy serveru možnost.

Provoz konektoru můžete nakonfigurovat tak, aby procházel odchozím proxy serverem, jak je znázorněno v následujícím diagramu:

V důsledku toho, že máte jenom odchozí provoz, není potřeba konfigurovat příchozí přístup přes brány firewall.

Krok 1: Konfigurace konektoru a souvisejících služeb pro průchod odchozím proxy serverem

Pokud je WPAD v prostředí povolený a správně nakonfigurovaný, konektor automaticky zjistí odchozí proxy server a pokusí se ho použít. Konektor ale můžete explicitně nakonfigurovat tak, aby procházel odchozím proxy serverem.

Uděláte to tak, že upravíte C:\Program Files\Microsoft Entra private network connector\MicrosoftEntraPrivateNetworkConnectorService.exe.config soubor a přidáte system.net oddíl zobrazený v ukázce kódu. Změňte proxyserver:8080 název místního proxy serveru nebo IP adresu a port. Hodnota musí mít předponu http:// , i když používáte IP adresu.

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
  <system.net>  
    <defaultProxy>   
      <proxy proxyaddress="http://proxyserver:8080" bypassonlocal="True" usesystemdefault="True"/>   
    </defaultProxy>  
  </system.net>
  <runtime>
    <gcServer enabled="true"/>
  </runtime>
  <appSettings>
    <add key="TraceFilename" value="MicrosoftEntraPrivateNetworkConnector.log" />
  </appSettings>
</configuration>

Dále nakonfigurujte službu Připojení or Updater tak, aby používala proxy server provedením podobné změny C:\Program Files\Microsoft Entra private network connector Updater\MicrosoftEntraPrivateNetworkConnectorUpdaterService.exe.config souboru.

Krok 2: Nakonfigurujte proxy server tak, aby umožňoval tok provozu z konektoru a souvisejících služeb.

Na odchozím proxy serveru je potřeba vzít v úvahu čtyři aspekty:

• Odchozí pravidla proxy serveru
• Ověřování proxy serverem
• Porty proxy serveru
• Kontrola protokolu TLS (Transport Layer Security)

Odchozí pravidla proxy serveru

Povolte přístup k následujícím adresám URL:

Pokud vaše brána firewall nebo proxy umožňuje konfigurovat seznamy povolených serverů DNS, můžete povolit připojení k *.msappproxy.net a *.servicebus.windows.net.

Pokud nemůžete povolit připojení pomocí plně kvalifikovaného názvu domény (FQDN) a potřebujete místo toho zadat rozsahy IP adres, použijte tyto možnosti:

• Povolte odchozí přístup ke všem cílům konektoru.
• Povolte konektoru odchozí přístup ke všem rozsahům IP adres datacentra Azure. Problém s používáním seznamu rozsahů IP adres datacentra Azure je, že se aktualizují každý týden. Musíte zavést proces, abyste měli jistotu, že se pravidla přístupu odpovídajícím způsobem aktualizují. Pokud použijete podmnožinu IP adres, konfigurace se přeruší. Nejnovější rozsahy IP adres datacentra Azure se stáhnou na adrese https://download.microsoft.com. Použijte hledaný termín Azure IP Ranges and Service Tags. Nezapomeňte vybrat příslušný cloud. Například rozsahy IP adres veřejného cloudu najdete vyhledáním Azure IP Ranges and Service Tags – Public Cloud. Cloud pro státní správu USA najdete vyhledáním Azure IP Ranges and Service Tags – US Government Cloud.

Ověřování proxy serverem

Ověřování proxy serverem se v současné době nepodporuje. Naším aktuálním doporučením je umožnit konektoru anonymní přístup k internetovým cílům.

Porty proxy serveru

Konektor provádí odchozí připojení založená na protokolu TLS pomocí metody CONNECT. Tato metoda v podstatě nastaví tunel přes odchozí proxy server. Nakonfigurujte proxy server tak, aby umožňoval tunelování na porty 443 a 80.

Kontrola protokolu TLS

Nepoužívejte pro provoz konektoru kontrolu protokolu TLS, protože způsobuje problémy s provozem konektoru. Konektor používá certifikát k ověření ve službě proxy aplikací a tento certifikát je možné během kontroly protokolu TLS ztratit.

Konfigurace pomocí proxy serveru mezi konektorem a back-endovou aplikací

Použití přesměrového proxy serveru pro komunikaci k back-endové aplikaci je v některých prostředích zvláštním požadavkem. Pokud chcete povolit přesměrovací proxy server, postupujte takto:

Krok 1: Přidání požadované hodnoty registru na server

1. Pokud chcete povolit použití výchozího proxy serveru, přidejte hodnotu registru (DWORD)UseDefaultProxyForBackendRequests = 1 do klíče registru konfigurace konektoru umístěného v HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft Entra private network connector.

Krok 2: Ruční konfigurace proxy serveru pomocí příkazu netsh

1. Povolte zásadu Make proxy settings per-machineskupiny . Zásada skupiny se nachází v: Computer Configuration\Policies\Administrative Templates\Windows Components\Internet Explorer. Zásady skupiny je potřeba nastavit místo nastavení zásad pro jednotlivé uživatele.
2. Spusťte gpupdate /force na serveru. Případně pokud chcete zajistit, aby se zásady skupiny aktualizovaly, restartujte server.
3. Spusťte příkazový řádek se zvýšenými oprávněními správce a zadejte control inetcpl.cpl.
4. Nakonfigurujte požadovaná nastavení proxy serveru.

Nastavení nastaví, aby konektor pro komunikaci s Azure a back-endovou aplikací používal stejný předávací proxy server. Upravte soubor MicrosoftEntraPrivateNetworkConnectorService.exe.config tak, aby se změnil předávaný proxy server. Konfigurace přesměrového proxy serveru je popsaná v částech Obejití odchozích proxy serverů a použití odchozího proxy serveru.

Služba aktualizátoru konektoru používá proxy počítač. Nastavení se nachází v MicrosoftEntraPrivateNetworkConnectorUpdaterService.exe.config souboru.

Řešení potíží s proxy serverem konektoru a problémy s připojením ke službám

Teď by se měl zobrazit veškerý provoz procházející přes proxy server. Pokud máte problémy, měly by vám pomoct následující informace o řešení potíží.

Nejlepším způsobem, jak identifikovat a řešit problémy s připojením konektoru, je zachytávání sítě při spuštění služby konektoru. Tady je několik rychlých tipů k zachytávání a filtrování trasování sítě.

Můžete použít nástroj pro monitorování podle svého výběru. Pro účely tohoto článku jsme použili Microsoft Message Analyzer.

Následující příklady jsou specifické pro Message Analyzer, ale principy je možné použít u libovolného analytického nástroje.

Zachycení provozu konektoru

Při počátečním řešení potíží proveďte následující kroky:

1. Zastavte službu konektoru privátní sítě Microsoft Entra.services.msc

   

2. Spusťte Nástroj Message Analyzer jako správce.

3. Vyberte Spustit místní trasování.

4. Spusťte službu konektoru privátní sítě Microsoft Entra.

5. Zastavte zachytávání sítě.

   

Kontrola, jestli provoz konektoru obchází odchozí proxy servery

Pokud očekáváte, že konektor provede přímé připojení ke službám proxy aplikací, SynRetransmit odpovědi na portu 443 značí, že máte problém se sítí nebo bránou firewall.

Pomocí filtru Analyzátor zpráv identifikujte neúspěšné pokusy o připojení TCP (Transmission Control Protocol). Zadejte property.TCPSynRetransmit do pole filtru a vyberte Použít.

Paket synchronizace (SYN) je první paket odeslaný za účelem navázání připojení TCP. Pokud tento paket nevrací odpověď, syn se znovu obnoví. Pomocí filtru můžete zobrazit všechny přeposílané pakety SYN. Potom můžete zkontrolovat, jestli tyto pakety SYN odpovídají jakémukoli provozu souvisejícímu s konektory.

Kontrola, jestli provoz konektoru používá odchozí proxy servery

Pokud jste nakonfigurovali provoz privátního síťového konektoru tak, aby procházel proxy servery, vyhledejte neúspěšná https připojení k vašemu proxy serveru.

Pomocí filtru Analyzátoru zpráv identifikujte neúspěšné pokusy o připojení HTTPS k vašemu proxy serveru. Zadejte (https.Request or https.Response) and tcp.port==8080 filtr Analyzátoru zpráv a nahraďte 8080 portem proxy služby. Výběrem možnosti Použít zobrazíte výsledky filtru.

Předchozí filtr zobrazuje pouze požadavky a odpovědi HTTPs na/z portu proxy serveru. Hledáte požadavky CONNECT, které zobrazují komunikaci s proxy serverem. Po úspěchu získáte odpověď HTTP OK (200).

Pokud se zobrazí jiné kódy odpovědí, například 407 nebo 502, znamená to, že proxy server vyžaduje ověření nebo nepovoluje provoz z nějakého jiného důvodu. V tuto chvíli zapojíte tým podpory proxy serveru.

Další kroky

• Principy konektorů privátní sítě Microsoft Entra
• Navštivte stránku Microsoft Question and Answer (Q&A) pro Microsoft Entra ID.