Konfigurera inkommande och utgående nätverkstrafik

Azure Mašinsko učenje kräver åtkomst till servrar och tjänster på det offentliga Internet. När du implementerar nätverksisolering måste du förstå vilken åtkomst som krävs och hur du aktiverar den.

Vanliga termer och information

Följande termer och information används i den här artikeln:

• Azure-tjänsttaggar: En tjänsttagg är ett enkelt sätt att ange DE IP-intervall som används av en Azure-tjänst. Taggen AzureMachineLearning representerar till exempel de IP-adresser som används av Azure Mašinsko učenje-tjänsten.

  Viktigt!

  Azure-tjänsttaggar stöds endast av vissa Azure-tjänster. En lista över tjänsttaggar som stöds med nätverkssäkerhetsgrupper och Azure Firewall finns i artikeln Taggar för virtuella nätverkstjänster.

  Om du använder en icke-Azure-lösning, till exempel en brandvägg från tredje part, laddar du ned en lista över Azure IP-intervall och tjänsttaggar. Extrahera filen och sök efter tjänsttaggen i filen. IP-adresserna kan ändras med jämna mellanrum.

• Region: Med vissa tjänsttaggar kan du ange en Azure-region. Detta begränsar åtkomsten till tjänstens IP-adresser i en viss region, vanligtvis den som tjänsten finns i. När du ser <region>i den här artikeln ersätter du din Azure-region i stället. Det skulle till exempel vara BatchNodeManagement.uswest om din Azure Mašinsko učenje-arbetsyta finns i regionen USA, BatchNodeManagement.<region> västra.

• Azure Batch: Azure Mašinsko učenje beräkningskluster och beräkningsinstanser förlitar sig på en Azure Batch-instans i serverdelen. Den här serverdelstjänsten finns i en Microsoft-prenumeration.

• Portar: Följande portar används i den här artikeln. Om ett portintervall inte visas i den här tabellen är det specifikt för tjänsten och kanske inte har någon publicerad information om vad den används för:

  Port	beskrivning
  80	Oskyddad webbtrafik (HTTP)
  443	Skyddad webbtrafik (HTTPS)
  445	SMB-trafik som används för att komma åt filresurser i Azure File Storage
  8787	Används vid anslutning till RStudio i en beräkningsinstans
  18881	Används för att ansluta till språkservern för att aktivera IntelliSense för notebook-filer på en beräkningsinstans.

• Protokoll: Om inget annat anges använder all nätverkstrafik som nämns i den här artikeln TCP.

Standardkonfiguration

Den här konfigurationen gör följande antaganden:

• Du använder docker-avbildningar som tillhandahålls av ett containerregister som du tillhandahåller och använder inte avbildningar från Microsoft.
• Du använder en privat Python-paketlagringsplats och kommer inte åt offentliga paketlagringsplatser som pypi.org, *.anaconda.comeller *.anaconda.org.
• De privata slutpunkterna kan kommunicera direkt med varandra i det virtuella nätverket. Till exempel har alla tjänster en privat slutpunkt i samma virtuella nätverk:
  • Azure Machine Learning-arbetsyta
  • Azure Storage-konto (blob, fil, tabell, kö)

Inkommande trafik

Utgående trafik

Rekommenderad konfiguration för träning och distribution av modeller

Utgående trafik

Tillåt installation av Python-paket för träning och distribution genom att tillåta utgående trafik till följande värdnamn:

Scenario: Installera RStudio på beräkningsinstansen

För att tillåta installation av RStudio på en beräkningsinstans måste brandväggen tillåta utgående åtkomst till de platser som Docker-avbildningen ska hämtas från. Lägg till följande programregel i din Azure Firewall-princip:

• Namn: AllowRStudioInstall
• Källtyp: IP-adress
• Käll-IP-adresser: IP-adressintervallet för det undernät där du ska skapa beräkningsinstansen. Exempel: 172.16.0.0/24
• Måltyper: FQDN
• Mål-FQDN: ghcr.io, pkg-containers.githubusercontent.com
• Protokoll: Https:443

Tillåt installation av R-paket genom att tillåta utgående trafik till cloud.r-project.org. Den här värden används för att installera CRAN-paket.

Scenario: Använda beräkningskluster eller beräkningsinstans med en offentlig IP-adress

När du använder Azure Mašinsko učenje beräkningsinstans eller beräkningskluster (med en offentlig IP-adress) tillåter du inkommande trafik från Azure Mašinsko učenje-tjänsten. En beräkningsinstans eller ett beräkningskluster utan offentlig IP-adress (förhandsversion) kräver inte den här inkommande kommunikationen. En nätverkssäkerhetsgrupp som tillåter den här trafiken skapas dynamiskt åt dig, men du kan också behöva skapa användardefinierade vägar (UDR) om du har en brandvägg. När du skapar en UDR för den här trafiken kan du använda IP-adresser eller tjänsttaggar för att dirigera trafiken.

az network route-table route create -g MyResourceGroup --route-table-name MyRouteTable -n AzureMLRoute --address-prefix AzureMachineLearning --next-hop-type Internet

Information om hur du konfigurerar UDR finns i Dirigera nätverkstrafik med en routningstabell.

Scenario: Brandvägg mellan Azure Mašinsko učenje- och Azure Storage-slutpunkter

Du måste också tillåta utgående åtkomst till Storage.<region> på port 445.

Scenario: Arbetsyta som skapats hbi_workspace med flaggan aktiverad

Du måste också tillåta utgående åtkomst till Keyvault.<region>. Den här utgående trafiken används för att komma åt key vault-instansen för serverdelens Azure Batch-tjänst.

Mer information om flaggan finns i hbi_workspace artikeln om datakryptering .

Scenario: Använda Kubernetes-beräkning

Kubernetes-kluster som körs bakom en utgående proxyserver eller brandvägg behöver extra utgående nätverkskonfiguration.

• För Kubernetes med Azure Arc-anslutning konfigurerar du de Azure Arc-nätverkskrav som krävs av Azure Arc-agenter.
• För AKS-kluster utan Azure Arc-anslutning konfigurerar du nätverkskraven för AKS-tillägget.

Förutom ovanstående krav krävs även följande utgående URL:er för Azure Mašinsko učenje,

Kommunikationskrav i kluster

Om du vill installera Azure Mašinsko učenje-tillägget på Kubernetes-beräkning distribueras alla Azure Mašinsko učenje relaterade komponenter i ett azureml namnområde. Följande kommunikation i klustret behövs för att säkerställa att ML-arbetsbelastningarna fungerar bra i AKS-klustret.

• Komponenterna i azureml namnområdet ska kunna kommunicera med Kubernetes API-server.
• Komponenterna i azureml namnområdet ska kunna kommunicera med varandra.
• Komponenterna i azureml namnområdet ska kunna kommunicera med kube-dns och konnectivity-agent i kube-system namnområdet.
• Om klustret används för realtidsinferens azureml-fe-xxx bör POD:er kunna kommunicera med de distribuerade modell-POD:erna på 5001-porten i ett annat namnområde. azureml-fe-xxx POD:er bör öppna 11001, 12001, 12101, 12201, 20000, 8000, 8001, 9001 portar för intern kommunikation.
• Om klustret används för realtidsinferens bör de distribuerade modell-POD:erna kunna kommunicera med amlarc-identity-proxy-xxx POD:er på 9999-porten.

Scenario: Visual Studio Code

Visual Studio Code förlitar sig på specifika värdar och portar för att upprätta en fjärranslutning.

Värdar

Värdarna i det här avsnittet används för att installera Visual Studio Code-paket för att upprätta en fjärranslutning mellan Visual Studio Code och beräkningsinstanser i din Azure Mašinsko učenje-arbetsyta.

Hamnar

Du måste tillåta nätverkstrafik till portarna 8704 till 8710. VS Code-servern väljer dynamiskt den första tillgängliga porten inom det här intervallet.

Scenario: Brandvägg från tredje part eller Azure Firewall utan tjänsttaggar

Vägledningen i det här avsnittet är allmän eftersom varje brandvägg har sin egen terminologi och specifika konfigurationer. Om du har frågor kan du läsa dokumentationen för brandväggen som du använder.

Om den inte är korrekt konfigurerad kan brandväggen orsaka problem med din arbetsyta. Det finns olika värdnamn som används både av Azure Mašinsko učenje-arbetsytan. I följande avsnitt listas värdar som krävs för Azure Mašinsko učenje.

API för beroenden

Du kan också använda Rest-API:et för Azure Mašinsko učenje för att hämta en lista över värdar och portar som du måste tillåta utgående trafik till. Använd följande steg för att använda det här API:et:

1. Hämta en autentiseringstoken. Följande kommando visar hur du använder Azure CLI för att hämta en autentiseringstoken och prenumerations-ID:

   TOKEN=$(az account get-access-token --query accessToken -o tsv)
   SUBSCRIPTION=$(az account show --query id -o tsv)
   

2. Anropa API:et. Ersätt följande värden i följande kommando:

   • Ersätt <region> med den Azure-region som din arbetsyta finns i. Exempel: westus2
   • Ersätt <resource-group> med resursgruppen som innehåller din arbetsyta.
   • Ersätt <workspace-name> med namnet på din arbetsyta.

   az rest --method GET \
       --url "https://<region>.api.azureml.ms/rp/workspaces/subscriptions/$SUBSCRIPTION/resourceGroups/<resource-group>/providers/Microsoft.MachineLearningServices/workspaces/<workspace-name>/outboundNetworkDependenciesEndpoints?api-version=2018-03-01-preview" \
       --header Authorization="Bearer $TOKEN"
   

Resultatet av API-anropet är ett JSON-dokument. Följande kodfragment är ett utdrag ur det här dokumentet:

{
  "value": [
    {
      "properties": {
        "category": "Azure Active Directory",
        "endpoints": [
          {
            "domainName": "login.microsoftonline.com",
            "endpointDetails": [
              {
                "port": 80
              },
              {
                "port": 443
              }
            ]
          }
        ]
      }
    },
    {
      "properties": {
        "category": "Azure portal",
        "endpoints": [
          {
            "domainName": "management.azure.com",
            "endpointDetails": [
              {
                "port": 443
              }
            ]
          }
        ]
      }
    },
...

Microsoft-värdar

Värdarna i följande tabeller ägs av Microsoft och tillhandahåller tjänster som krävs för att arbetsytan ska fungera korrekt. Tabellerna visar värdar för azure-regionerna Public, Azure Government och Microsoft Azure som drivs av 21Vianet-regioner.

Allmänna Azure-värdar

Azure Mašinsko učenje-värdar

Azure Mašinsko učenje värdar för beräkningsinstanser och beräkningskluster

Docker-avbildningar som underhålls av Azure Mašinsko učenje

Använd också informationen i avsnittet beräkning med offentlig IP för att lägga till IP-adresser för BatchNodeManagement och AzureMachineLearning.

Information om hur du begränsar åtkomsten till modeller som distribuerats till AKS finns i Begränsa utgående trafik i Azure Kubernetes Service.

Övervakning, mått och diagnostik

• dc.applicationinsights.azure.com
• dc.applicationinsights.microsoft.com
• dc.services.visualstudio.com
• *.in.applicationinsights.azure.com

En lista över IP-adresser för dessa värdar finns i IP-adresser som används av Azure Monitor.

Nästa steg

Den här artikeln är en del av en serie om att skydda ett Azure Mašinsko učenje arbetsflöde. Se de andra artiklarna i den här serien:

• Översikt över virtuella nätverk

• Aktivera studiofunktioner
• Använda anpassad DNS

Mer information om hur du konfigurerar Azure Firewall finns i Självstudie: Distribuera och konfigurera Azure Firewall med hjälp av Azure-portalen.