Definições da firewall e do proxy do Azure File Sync

O Azure File Sync conecta seus servidores locais aos Arquivos do Azure, habilitando a sincronização de vários sites e os recursos de hierarquização na nuvem. Como tal, um servidor local deve estar conectado à Internet. Um administrador de TI precisa decidir o melhor caminho para o servidor acessar os serviços de nuvem do Azure.

Este artigo fornece informações sobre requisitos específicos e opções disponíveis para conectar com êxito e segurança seu servidor ao Azure File Sync.

Recomendamos ler as considerações de rede do Azure File Sync antes de ler este guia de instruções.

Descrição geral

O Azure File Sync atua como um serviço de orquestração entre seu Windows Server, seu compartilhamento de arquivos do Azure e vários outros serviços do Azure para sincronizar dados conforme descrito em seu grupo de sincronização. Para que o Azure File Sync funcione corretamente, você precisará configurar seus servidores para se comunicar com os seguintes serviços do Azure:

• Armazenamento do Azure
• Azure File Sync
• Azure Resource Manager
• Serviços de autenticação

Portas

O Azure File Sync move dados de arquivo e metadados exclusivamente por HTTPS e requer que a porta 443 seja de saída aberta. Como resultado, todo o tráfego é encriptado.

Redes e conexões especiais com o Azure

O agente do Azure File Sync não tem requisitos em relação a canais especiais como ExpressRoute, etc. para o Azure.

A Sincronização de Ficheiros do Azure funcionará através de todos os meios disponíveis que permitam aceder ao Azure, adaptando-se automaticamente às características da rede, como largura de banda e latência, bem como oferecendo controlo de administrador para ajuste fino.

Proxy

A Sincronização de Ficheiros do Azure suporta definições de proxy específicas da aplicação e de toda a máquina.

As configurações de proxy específicas do aplicativo permitem a configuração de um proxy especificamente para o tráfego do Azure File Sync. As configurações de proxy específicas do aplicativo são suportadas na versão 4.0.1.0 ou mais recente do agente e podem ser configuradas durante a instalação do agente ou usando o Set-StorageSyncProxyConfiguration cmdlet do PowerShell. Use o cmdlet para retornar todas as Get-StorageSyncProxyConfiguration configurações de proxy definidas no momento. Um resultado em branco indica que não há configurações de proxy configuradas. Para remover a configuração de proxy existente, use o Remove-StorageSyncProxyConfiguration cmdlet.

comandos do PowerShell para configurar definições de proxy específicas da aplicação:

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"
Set-StorageSyncProxyConfiguration -Address <url> -Port <port number> -ProxyCredential <credentials>

Por exemplo, se o servidor proxy precisar de autenticação com um nome de utilizador e palavra-passe, execute os seguintes comandos do PowerShell:

# IP address or name of the proxy server.
$Address="http://127.0.0.1"

# The port to use for the connection to the proxy.
$Port=8080

# The user name for a proxy.
$UserName="user_name"

# Please type or paste a string with a password for the proxy.
$SecurePassword = Read-Host -AsSecureString

$Creds = New-Object System.Management.Automation.PSCredential ($UserName, $SecurePassword)

# Please verify that you have entered the password correctly.
Write-Host $Creds.GetNetworkCredential().Password

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"

Set-StorageSyncProxyConfiguration -Address $Address -Port $Port -ProxyCredential $Creds

As configurações de proxy em toda a máquina são transparentes para o agente do Azure File Sync à medida que todo o tráfego do servidor é roteado pelo proxy.

Para configurar as definições de proxy ao nível do computador, siga os passos abaixo:

1. Configurar definições de proxy para aplicações .NET

   • Edite estes dois ficheiros:
     C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Config\machine.config
     C:\Windows\Microsoft.NET\Framework\v4.0.30319\Config\machine.config

   • Adicione a <seção system.net> nos arquivos machine.config (abaixo da <seção system.serviceModel> ). Altere 127.0.01:8888 para o endereço IP e a porta do servidor proxy.

     <system.net>
        <defaultProxy enabled="true" useDefaultCredentials="true">
          <proxy autoDetect="false" bypassonlocal="false" proxyaddress="http://127.0.0.1:8888" usesystemdefault="false" />
        </defaultProxy>
     </system.net>
     

2. Configurar as definições de proxy WinHTTP

   Nota

   Existem vários métodos (WPAD, arquivo PAC, netsh, etc.) para configurar um Windows Server para usar um servidor proxy. As etapas abaixo abordam como definir as configurações de proxy usando netsh , mas qualquer método listado na documentação Configurar servidor proxy no Windows é suportado.

   • Execute o seguinte comando a partir de uma linha de comandos elevada ou do PowerShell para ver a definição de proxy existente:

     netsh winhttp show proxy

   • Execute o seguinte comando a partir de um prompt de comando elevado ou PowerShell para definir a configuração de proxy (altere 127.0.01:8888 para o endereço IP e a porta do servidor proxy):

     netsh winhttp set proxy 127.0.0.1:8888

3. Reinicie o serviço Agente de Sincronização de Armazenamento ao executar o seguinte comando a partir de uma linha de comandos elevada ou do PowerShell:

   net stop filesyncsvc

   Nota: o serviço Agente de Sincronização de Armazenamento (filesyncsvc) inicia-se automaticamente uma vez parado.

Firewall

Como mencionado em uma seção anterior, a porta 443 precisa ser de saída aberta. Com base em políticas em seu datacenter, filial ou região, restringir ainda mais o tráfego nessa porta para domínios específicos pode ser desejado ou necessário.

A tabela a seguir descreve os domínios necessários para comunicação:

Se *.afs.azure.net ou *.one.microsoft.com for muito amplo, você poderá limitar a comunicação do servidor permitindo a comunicação apenas a instâncias regionais explícitas do serviço de Sincronização de Arquivos do Azure. A(s) instância(s) escolher(em) depende da região do serviço de sincronização de armazenamento em que você implantou e registrou o servidor. Essa região é chamada de "URL do ponto de extremidade primário" na tabela abaixo.

Por motivos de continuidade de negócio e recuperação após desastre (BCDR), poderá ter criado as partilhas de ficheiros do Azure numa conta de armazenamento configurada para armazenamento georredundante (GRS). Se for esse o caso, as partilhas de ficheiros do Azure realizarão a ativação pós-falha para a região emparelhada em caso de indisponibilidade regional duradoura. O Azure File Sync utiliza os mesmos emparelhamentos regionais que o armazenamento. Portanto, se você usar contas de armazenamento GRS, precisará habilitar URLs adicionais para permitir que seu servidor converse com a região emparelhada para a Sincronização de Arquivos do Azure. A tabela abaixo chama isso de "Região emparelhada". Além disso, há uma URL de perfil do gerenciador de tráfego que também precisa ser habilitada. Isso garantirá que o tráfego de rede possa ser redirecionado diretamente para a região emparelhada no caso de um failover e é chamado de "URL de descoberta" na tabela abaixo.

• Se você usar uma conta de armazenamento configurada para LRS (armazenamento com redundância local) ou ZRS (armazenamento com redundância de zona), só precisará habilitar a URL listada em "URL do ponto de extremidade principal".

• Se você usar uma conta de armazenamento configurada para GRS, habilite três URLs.

Exemplo: você implanta um serviço de sincronização de armazenamento e "West US" registra seu servidor com ele. As URLs para permitir que o servidor se comunique para este caso são:

• https://westus01.afs.azure.net (objetivo primário: Oeste dos EUA)
• https://eastus01.afs.azure.net (região de failover emparelhada: Leste dos EUA)
• https://tm-westus01.afs.azure.net (URL de descoberta da região primária)

Lista de permissões para endereços IP do Azure File Sync

O Azure File Sync suporta a utilização de etiquetas de serviço, que representam um grupo de prefixos de endereço IP para um determinado serviço do Azure. Pode utilizar etiquetas de serviço para criar regras de firewall que permitem a comunicação com o serviço Azure File Sync. A marca de serviço para o Azure File Sync é StorageSyncService.

Se estiver a utilizar a Sincronização de Ficheiros do Azure no Azure, pode utilizar o nome da etiqueta de serviço diretamente no seu grupo de segurança de rede para permitir o tráfego. Para saber mais sobre como fazer isso, consulte Grupos de segurança de rede.

Se estiver a utilizar o Azure File Sync no local, pode utilizar a API da etiqueta de serviço para obter intervalos de endereços IP específicos para a lista de permissões da firewall. Existem dois métodos para obter estas informações:

• A lista atual de intervalos de endereços IP para todos os serviços do Azure que suportam etiquetas de serviço é publicada semanalmente no Centro de Transferências da Microsoft, sob a forma de um documento JSON. Cada nuvem do Azure tem seu próprio documento JSON com os intervalos de endereços IP relevantes para essa nuvem:
  • Azure Público
  • Azure US Government
  • Microsoft Azure operado pela 21Vianet
  • Azure Alemanha
• A API de descoberta de tags de serviço permite a recuperação programática da lista atual de tags de serviço. Você pode usar a superfície da API com base em sua preferência de automação:
  • API REST
  • Azure PowerShell
  • CLI do Azure

Como a API de descoberta de marca de serviço pode não ser atualizada com tanta frequência quanto os documentos JSON publicados no Centro de Download da Microsoft, recomendamos usar o documento JSON para atualizar a lista de permissões do firewall local. Tal pode ser feito da seguinte forma:

# The specific region to get the IP address ranges for. Replace westus2 with the desired region code 
# from Get-AzLocation.
$region = "westus2"

# The service tag for Azure File Sync. Don't change unless you're adapting this
# script for another service.
$serviceTag = "StorageSyncService"

# Download date is the string matching the JSON document on the Download Center. 
$possibleDownloadDates = 0..7 | `
    ForEach-Object { [System.DateTime]::Now.AddDays($_ * -1).ToString("yyyyMMdd") }

# Verify the provided region
$validRegions = Get-AzLocation | `
    Where-Object { $_.Providers -contains "Microsoft.StorageSync" } | `
    Select-Object -ExpandProperty Location

if ($validRegions -notcontains $region) {
    Write-Error `
            -Message "The specified region $region isn't available. Either Azure File Sync isn't deployed there or the region doesn't exist." `
            -ErrorAction Stop
}

# Get the Azure cloud. This should automatically based on the context of 
# your Az PowerShell login, however if you manually need to populate, you can find
# the correct values using Get-AzEnvironment.
$azureCloud = Get-AzContext | `
    Select-Object -ExpandProperty Environment | `
    Select-Object -ExpandProperty Name

# Build the download URI
$downloadUris = @()
switch($azureCloud) {
    "AzureCloud" { 
        $downloadUris = $possibleDownloadDates | ForEach-Object {  
            "https://download.microsoft.com/download/7/1/D/71D86715-5596-4529-9B13-DA13A5DE5B63/ServiceTags_Public_$_.json"
        }
    }

    "AzureUSGovernment" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/6/4/D/64DB03BF-895B-4173-A8B1-BA4AD5D4DF22/ServiceTags_AzureGovernment_$_.json"
        }
    }

    "AzureChinaCloud" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/9/D/0/9D03B7E2-4B80-4BF3-9B91-DA8C7D3EE9F9/ServiceTags_China_$_.json"
        }
    }

    "AzureGermanCloud" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/0/7/6/076274AB-4B0B-4246-A422-4BAF1E03F974/ServiceTags_AzureGermany_$_.json"
        }
    }

    default {
        Write-Error -Message "Unrecognized Azure Cloud: $_" -ErrorAction Stop
    }
}

# Find most recent file
$found = $false 
foreach($downloadUri in $downloadUris) {
    try { $response = Invoke-WebRequest -Uri $downloadUri -UseBasicParsing } catch { }
    if ($response.StatusCode -eq 200) {
        $found = $true
        break
    }
}

if ($found) {
    # Get the raw JSON 
    $content = [System.Text.Encoding]::UTF8.GetString($response.Content)

    # Parse the JSON
    $serviceTags = ConvertFrom-Json -InputObject $content -Depth 100

    # Get the specific $ipAddressRanges
    $ipAddressRanges = $serviceTags | `
        Select-Object -ExpandProperty values | `
        Where-Object { $_.id -eq "$serviceTag.$region" } | `
        Select-Object -ExpandProperty properties | `
        Select-Object -ExpandProperty addressPrefixes
} else {
    # If the file cannot be found, that means there hasn't been an update in
    # more than a week. Please verify the download URIs are still accurate
    # by checking https://video2.skills-academy.com/azure/virtual-network/service-tags-overview
    Write-Verbose -Message "JSON service tag file not found."
    return
}

Em seguida, você pode usar os intervalos de endereços IP para $ipAddressRanges atualizar seu firewall. Veja o site da firewall/aplicação de rede para obter informações sobre como atualizar a firewall.

Testar a conectividade de rede aos pontos finais de serviço

Depois que um servidor é registrado no serviço de Sincronização de Arquivos do Azure, o cmdlet e a Test-StorageSyncNetworkConnectivity ServerRegistration.exe podem ser usados para testar as comunicações com todos os pontos de extremidade (URLs) específicos desse servidor. Esse cmdlet pode ajudar a solucionar problemas quando a comunicação incompleta impede que o servidor funcione totalmente com o Azure File Sync e pode ser usado para ajustar as configurações de proxy e firewall.

Para executar o teste de conectividade de rede, execute os seguintes comandos do PowerShell:

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"
Test-StorageSyncNetworkConnectivity

Se o teste falhar, colete rastreamentos de depuração WinHTTP para solucionar problemas: netsh trace start scenario=InternetClient_dbg capture=yes overwrite=yes maxsize=1024

Execute o teste de conectividade de rede novamente e pare de coletar rastreamentos: netsh trace stop

Coloque o arquivo gerado NetTrace.etl em um arquivo ZIP, abra um caso de suporte e compartilhe o arquivo com o suporte.

Resumo e limitação dos riscos

As listas anteriores neste documento contêm as URLs com as quais o Azure File Sync se comunica atualmente. Os firewalls devem ser capazes de permitir a saída de tráfego para esses domínios. A Microsoft esforça-se por manter esta lista atualizada.

Configurar regras de firewall restritivas de domínio pode ser uma medida para melhorar a segurança. Se essas configurações de firewall forem usadas, lembre-se de que as URLs serão adicionadas e podem até mudar ao longo do tempo. Consulte este artigo periodicamente.

Próximos passos

• Planear uma implementação do Azure File Sync
• Implementar o Azure File Sync
• Monitorizar o Azure File Sync