اتصال الخوادم المستقلة باستخدام محول شبكة Azure

توضح هذه البنية المرجعية كيفية اتصال خادم مستقل محلي بشبكات Microsoft Azure الظاهرية باستخدام محول شبكة Azure الذي تقوم بتوزيعه من خلال Windows Admin Center‏ (WAC). ينشئ محول شبكة Azure اتصالاً ظاهريا آمنًا عبر الإنترنت، والذي يوسّع شبكتك المحلية في Azure.

بناء الأنظمة

قم بتنزيل ملف Visio لهذه البنيات.

‏‏سير العمل‬

تتكون الهندسة من:

• شبكة محلية. هذا المكون هو شبكة محلية (LAN) خاصة للمؤسسة.
• الموقع الفرعي. هذا المكون هو شبكة محلية خاصة في موقع فرعي بعيد يتصل من خلال شبكة واسعة النطاق (WAN) للشركة.
• موفر السحابة الآخر.. هذا المكون هو شبكة ظاهرية خاصة يقدمها موفر السحابة. ويتصل من خلال شبكة ظاهرية خاصة (VPN).
• Windows Server مع تثبيت Windows Admin Center. الخادم الذي تستخدمه لنشر محول شبكة Azure.
• Windows Server (مستقل). الخادم الذي يتم تثبيت محول شبكة Azure عليه. يمكن أن يكون هذا الخادم على شبكة موقع فرعي أو في شبكة موفر سحابة مختلفة.
• Azure Virtual Network (VNet). الخوادم الظاهرية والخدمات والمكونات الأخرى لبوابة Azure VPN الموجودة في نفس الشبكة الظاهرية داخل Azure.
• Azure VPN Gateway. تتيح لك خدمة بوابة VPN توصيل الشبكة الظاهرية بالشبكة المحلية أو الخوادم المستقلة من خلال جهاز VPN أو محولات شبكة Azure. لمزيد من المعلومات، راجع توصيل شبكة محلية بشبكة Microsoft Azure الظاهرية. هناك العديد من مستويات التسعير، أو وحدات حفظ المخزون (SKU)، المتوفرة لبوابات VPN. يدعم كل SKU متطلبات مختلفة استنادا إلى أنواع أحمال العمل ومعدل النقل والميزات واتفاقيات مستوى الخدمة (SLAs). تتضمن بوابة VPN المكونات التالية:
  • بوابة الشبكة الظاهرية (نشطة). يوفر مورد Azure هذا جهاز VPN ظاهريًا للشبكة الظاهرية، وهو مسؤول عن توجيه نسبة استخدام الشبكة ذهابًا وإيابًا بين الشبكة المحلية والشبكة الظاهرية.
  • بوابة الشبكة الظاهرية (سلبية). يوفر مورد Azure هذا جهاز VPN ظاهريًا للشبكة الظاهرية، وهو مثيل الاستعداد لبوابة Azure VPN النشطة. لمزيد من المعلومات، راجع حول تكرار بوابة Azure VPN.
  • الشبكة الفرعية للبوابة. يتم الاحتفاظ ببوابة الشبكة الظاهرية في شبكتها الفرعية الخاصة بها، والتي تخضع لمتطلبات مختلفة، يوضحها قسم التوصيات التالي بالتفصيل.
  • الاتصال. يحتوي الاتصال على خصائص تحدد نوع الاتصال. تتضمن هذه الخصائص أمان بروتوكول الإنترنت (IPsec)، والمفتاح المشترك مع جهاز VPN المحلي لتشفير نسبة استخدام الشبكة.
• تطبيق السحابة. هذا المكون هو التطبيق المستضاف في Azure. يمكن أن يتضمن العديد من المستويات مع شبكات فرعية متعددة تتصل من خلال موازنات تحميل Azure. لمزيد من المعلومات حول البنية الأساسية للتطبيق، راجع تشغيل أحمال عمل Windows VM وتشغيل أحمال عمل Linux VM.
• موازنة التحميل الداخلي. يتم توجيه نسبة استخدام الشبكة من بوابة VPN إلى تطبيق السحابة من خلال موازن تحميل داخلي، والذي يكون في الشبكة الفرعية لإنتاج التطبيق.
• Azure Bastion. يتيح لك Azure Bastion تسجيل الدخول إلى الأجهزة الظاهرية في شبكة Azure الظاهرية دون تعريض الأجهزة الظاهرية مباشرة إلى الإنترنت. ويستخدم Secure Shell‏ (SSH) أو بروتوكول سطح المكتب البعيد (RDP). إذا فقدت اتصال VPN، فما زال بإمكانك استخدام Azure Bastion لإدارة الأجهزة الظاهرية في شبكة Azure الظاهرية. ومع ذلك، فإن إدارة الخوادم المحلية من خلال Azure Bastion غير مدعومة.

المكونات

• الشبكة الظاهرية . Azure Virtual Network (VNet) هي لبنة الإنشاء الأساسية لشبكتك الخاصة في Azure. يتيح VNet الكثير من أنواع موارد Azure، مثل Azure Virtual Machines (VM)، للتواصل بشكل آمن مع بعضها البعض، والإنترنت، والشبكات المحلية.

• Azure Bastion. Azure Bastion هي خدمة مدارة بالكامل توفر وصولاً أكثر أماناً وسلاسة لبروتوكول سطح المكتب البعيد (RDP) وبروتوكول Shell الآمن (SSH) إلى الأجهزة الظاهرية (VMs) دون أي تعرض من خلال عناوين IP العامة.

• بوابة VPN. ترسل بوابة VPN حركة مرور مشفرة بين شبكة Azure الظاهرية وموقع محلي عبر الإنترنت العام. يمكنك أيضا استخدام بوابة VPN لإرسال نسبة استخدام الشبكة بطريقة مشفرة بين شبكات Azure الظاهرية عبر شبكة Microsoft. بوابة VPN عبارة عن نوع معين من بوابة الشبكة الظاهرية.

• Windows مسؤول Center. Windows مسؤول Center هو تطبيق موزع محليا يستند إلى المستعرض لإدارة خوادم Windows ومجموعاته والبنية الأساسية المتقاربة للغاية بالإضافة إلى أجهزة الكمبيوتر الشخصية التي تعمل بنظام Windows 10. إنه منتج مجاني وجاهز للاستخدام في الإنتاج.

التوصيات

تنطبق التوصيات التالية على معظم السيناريوهات. اتبع هذه التوصيات ما لم يكن لديك متطلب محدد يلغيها.

توصيل خادم مستقل

لتوصيل خادم مستقل من خلال WAC، يتعين عليك إضافة الخادم إلى قائمة الخوادم المُدارة في تثبيت WAC للخادم المخصص. بعد إضافة الخادم إلى تلك القائمة، يمكنك تحديد الخادم الذي تريد تثبيت محول شبكة Azure له، ثم تحديد الشبكة من الأدوات متبوعًا بخيار "+ إضافة محول شبكة Azure (إصدار أولي)" في جزء الشبكة.

عند تحديد الخيار + إضافة محول شبكة Azure (إصدار أولي)، يتم فتح جزء تكوين إضافة محول شبكة Azure في نافذة المستعرض. هناك العديد من الخيارات التي يمكنك تكوينها داخل هذا الجزء.

المعلومات التالية ضرورية:

بمجرد إكمال جميع الحقول الضرورية، يصبح الزر إنشاء نشطًا، ويجب عليك تحديده لبدء نشر محول شبكة Azure إلى الخادم المحدد.

تحتوي عملية النشر على جزأين رئيسيين، الأول هو نشر واختيار بوابة Azure VPN. إذا كنت بحاجة إلى نشر بوابة Azure VPN أولاً، فاسمح بمدة تتراوح من 25 إلى 45 دقيقة حتى يكتمل النشر. (قد تستغرق بعض التكوينات وقتًا طويلاً للنشر.) سيوفر WAC معلومات حول تقدم النشر. الجزء الثاني هو التثبيت الفعلي لمحول شبكة Azure، والذي قد يستغرق 10 دقائق. سيقوم WAC بإعلامك بتقدم التثبيت أيضًا.

بمجرد بدء النشر، يمكنك تغيير تركيز WAC عن طريق تحديد أدوات أو خوادم أخرى. تستمر عملية النشر في الخلفية.

إذا حددت خيار الجذر وشهادة العميل الموقعة ذاتيًا التي تم إنشاؤها تلقائيًا، يقوم Azure بإنشاء الشهادتين المطلوبتين لك تلقائيًا وتخزينهما في مخزن شهادات الخادم المحدد. يمكنك استخدام أداة الشهادات في WAC للعثور عليها، ثم يمكنك تحديد موقع شهادة جذر في حاوية الجذر/الجهاز المحلي. يبدأ اسم الشهادة بـ Windows Admin Center-Created-vpngw ويحتوي على سلسلة P2SRoot. يتضمن ذيل السلسلة طابعًا زمنيًا مشفرًا بتاريخ إنشاء الشهادة. سيتم تخزين هذه الشهادة أيضًا في حاوية CA/الجهاز المحلي. يتم تخزين الشهادة الثانية في الحاوية الخاصة بي/الجهاز المحلي. يبدأ اسم هذه الشهادة بـ Windows Admin Center-Created-vpngw ويحتوي على سلسلة P2SClient. يتضمن ذيل السلسلة طابعًا زمنيًا مشفرًا بتاريخ إنشاء الشهادة.

بعد انتهاء النشر، يتم تحديث أداة الشبكات الخاصة بالخادم المحدد باستخدام محول شبكة Azure الجديد، والذي يبدأ تلقائيًا بعد انتهاء النشر ويشير إلى حالة نشطة. يمكنك تحديد المحول لتنشيط القائمة المنسدلة المزيد، والتي يمكنك تحديدها لقطع اتصال المحول أو حذفه. على الخادم الفعلي، يتم تثبيت محول شبكة Azure كاتصال VPN. يبدأ اسم المحول بـ Windows Admin CenterVPN- متبوعًا برقم عشوائي مكوّن من ثلاثة أرقام.

عند تثبيت محول شبكة Azure وتوصيله، يمكنك استخدام اتصال الشبكة الجديد هذا للاتصال مباشرة بشبكات Azure الظاهرية وأنظمتها. يُستخدم هذا النوع من الاتصال عادة لإنشاء جلسة عمل سطح مكتب بعيد عبر عنوان IP الداخلي لجهاز Azure الظاهري، بدلاً من استخدام عنوان IP العام للجهاز الظاهري.

استخدام خادم WAC مخصص

لإدارة مركزية، نوصي باستخدام تثبيت Windows Admin Server مخصص، يمكنك من خلاله إضافة خوادم أخرى. يعني هذا النهج عدم حاجة الخوادم المُدارة إلى برامج إضافية. لمزيد من المعلومات، راجع Windows مسؤول Center.

إعداد شبكة ظاهرية مخصصة

قد لا تفي واجهة تثبيت محول شبكة Azure باصطلاح التسمية أو احتياجات مستوى التسعير. لتجنب هذا التعارض، يمكنك إنشاء موارد Azure المطلوبة قبل نشر المحول. أثناء النشر، يمكنك تحديد الموارد الموجودة بالفعل بدلاً من إنشائها من خلال واجهة التثبيت.

الاعتبارات

تنفذ هذه الاعتبارات ركائز Azure Well-Architected Framework، وهو عبارة عن مجموعة من المبادئ التوجيهية التي يمكن استخدامها لتحسين جودة حمل العمل. لمزيد من المعلومات، يرجى مراجعةMicrosoft Azure Well-Architected Framework.

قابلية التوسع

• VPN Gateway SKU:
  • تحدد VPN Gateway SKU التي تحددها عدد الاتصالات التي يمكن أن تستقبلها بالتوازي، وعرض النطاق الترددي المتوفر لجميع هذه الاتصالات. يختلف عدد الاتصالات المتزامنة من 250 إلى 1000 عند استخدام خيار P2S IKEv2/OpenVPN. يشير IKE إلى مفتاح IPsec التبادلي. من المستحسن البدء بـ VpnGw1 وتوسيع نطاقه لاحقًا إذا كنت بحاجة إلى المزيد من الاتصالات. إذا كنت بحاجة إلى تبديل إنشاء بوابة VPN، فأنت بحاجة إلى تثبيت بوابة جديدة ونشر محول شبكة Azure جديد للاتصال بها.
• الاتصال خوادم مستقلة متعددة:
  • يمكنك استخدام WAC لنشر محول شبكة Azure إلى أكبر عدد تريده من الخوادم. يمكنك أيضًا إضافة العديد من محولات شبكة Azure إلى خادم واحد للاتصال بشبكات Azure الظاهرية المختلفة. بمجرد اكتمال النشر الأولي لبوابة VPN، يمكنك تكوين خوادم إضافية لاستخدام نفس البوابة عن طريق تحديد البوابة الموجودة في واجهة التثبيت.
  • يمكن أن تكون الخوادم المستقلة موجودة على نفس الشبكة أو على شبكة موقع فرعي أو على شبكة مختلفة مستندة إلى السحابة. يمكنك استخدام اتصال الشبكة الذي أنشأته، مثل شبكة WAN الخاصة بالشركة أو VPN مخصص لموفر سحابة مختلف، إذا كانت منافذ الشبكة المطلوبة متوفرة من خلال هذه الاتصالات. لمزيد من المعلومات، راجع قسم "اعتبارات الأمان" في هذه المقالة.
• اتصال Azure من موقع إلى موقع:
  • محول شبكة Azure هو تثبيت واحد على خادم واحد. إذا كنت ترغب في توصيل عدة خوادم، فقد تواجه جهدًا إداريًا كبيرًا. ومع ذلك، يمكنك تجنب هذا الجهد عن طريق توصيل أنظمتك المحلية باستخدام أسلوب اتصال Azure من موقع إلى موقع (S2S)، الذي يربط شبكة محلية موجودة بشبكة Azure الظاهرية وشبكاتها الفرعية. في أساس هذا الاتصال، توجد بوابة Azure VPN التي يمكنك من خلالها توصيل بوابة VPN محلية داخلية ببوابة Azure VPN البعيدة. يسمح هذا الاتصال الآمن لمقطعي الشبكة بالاتصال بشفافية بعضهما مع بعض.

التوافر

• لا يدعم محول شبكة Azure سوى تكوين نشط-سلبي لبوابة Azure VPN. أثناء تكوين المحول، يمكنك الإشارة إلى بوابة Azure VPN نشطة-نشطة موجودة. سيعيد الإعداد تكوين البوابة إلى التكوين النشط-السلبي. من الممكن إعادة التكوين اليدوية للبوابة إلى الحالة النشطة-النشطة، ولكن لن يتصل محول شبكة Azure بهذه البوابة.

  تحذير

  سيؤدي تكوين محول شبكة Azure مقابل بوابة Azure VPN موجودة مع تكوين نشط-نشط إلى إعادة تكوين البوابة إلى نشط-سلبي. سيؤثر هذا على جميع اتصالات VPN الحالية بهذه البوابة. سيؤدي التغيير من التكوين النشط-النشط إلى تكوين النشط-الاستعداد إلى انخفاض أحد نفقي IPsec VPN لكل اتصال. لا تتابع دون تقييم متطلبات الاتصال الإجمالية والتشاور مع مسؤولي الشبكة.

قَابلية الإدارة

• مسؤول حساب istrative:

  • WAC هي الأداة الأساسية التي تستخدمها لنشر محول شبكة Azure وتكوين معالجة الحساب. لمزيد من المعلومات حول الخيارات المتوفرة، راجع خيارات وصول المستخدم باستخدام Windows Admin Center. يمكنك تكوين حساب فردي لكل اتصال خادم.

    إشعار

    سيقوم مربع الحوار الذي تقوم فيه بتكوين الحساب الإداري لكل خادم بالتحقق من صحة بيانات اعتمادك عند تحديد متابعة. لفتح مربع الحوار، في WAC، حدد الصف الذي يحمل اسم الخادم القابل للتطبيق، ثم حدد إدارة باسم. لا تحدد الارتباط التشعبي الذي يمثل الخادم، لأنه سيوصلك بهذا الخادم على الفور.

  • بالإضافة إلى ذلك، يتعين عليك تكوين حساب مستخدم لاتصال Azure عن طريق فتح مربع الحوار الإعدادات في WAC وتعديل قسم الحساب. يمكنك أيضًا تبديل المستخدمين أو تسجيل الخروج من جلسة عمل المستخدم في مربع الحوار الإعدادات.

• تكامل Azure Recovery Vault:
  • عند تثبيت محول شبكة Azure على خادم مستقل، يمكنك اعتبار هذا الخادم منفذًا لاستمرارية عملك. يمكنك دمج هذا الخادم في إجراءات النسخ الاحتياطي والتعافي من الكوارث باستخدام خدمات Azure Recovery Vault التي تقوم بتكوينها عن طريق تحديد النسخ الاحتياطي لـ Azure في قسم الأدوات في WAC. يساعد النسخ الاحتياطي لـ Azure في حماية خادم Windows server من التلف أو الهجمات أو الكوارث عن طريق نسخ الخادم احتياطيًا مباشرة إلى Microsoft Azure.

Security

ويوفر عامل الأمان ضمانات للحماية من الهجمات المتعمدة واستغلال البيانات والأنظمة القيمة الخاصة بك. للمزيد من المعلومات، يرجى الرجوع إلى نظرة عامة على ركيزة الأمان.

• منافذ الشبكة المطلوبة:

  • يتعين أن تكون منافذ الشبكة لاتصال PowerShell عن بُعد مفتوحة إذا كنت تريد استخدام WAC لنشر محول شبكة Azure.

  • يستخدم اتصال PowerShell عن بُعد Windows Remote Management‏ (WinRM). لمزيد من المعلومات، راجع الاعتبارات الأمنية لاتصال PowerShell عن بُعد والإعدادات الافتراضية لاتصال PowerShell عن بُعد.

  • في بعض السيناريوهات، يُطلب منك استخدام طرق مصادقة إضافية. يمكن لـ WAC استخدام PowerShell مع بروتوكول موفر دعم أمان بيانات الاعتماد (CredSSP) للاتصال بالخوادم البعيدة. لمزيد من المعلومات، راجع اتصال PowerShell عن بُعد وCredSSP وكيف يقوم Windows Admin Center باستخدام CredSSP.

  • يستخدم PowerShell Remoting (وWinRM) المنافذ التالية:

    البروتوكول	المنفذ
    HTTP	5985
    HTTPS	5986

  • تعتمد كيفية الاتصال بالخادم الذي تم تثبيت Windows Admin Center‏ (WAC) عليه على نوع تثبيت WAC الخاص بك. يختلف المنفذ الافتراضي ويمكن أن يكون المنفذ 6516 عند تثبيته على Windows 10 أو المنفذ 443 عند تثبيته على Windows Server. لمزيد من المعلومات، راجع تثبيت Windows Admin Center.

• تكامل Microsoft Defender for Cloud:
  • للمساعدة في حماية الخادم الذي تم تثبيت محول شبكة Azure عليه، يمكنك دمج الخادم مع Microsoft Defender for Cloud عن طريق تحديد Microsoft Defender for Cloud من قسم الأدوات في WAC. أثناء التكامل، يتعين عليك تحديد مساحة عمل Azure Log Analytics موجودة أو إنشاء مساحة عمل جديدة. ستتم فوترتك بشكل منفصل لكل خادم تقوم بدمجه مع Microsoft Defender for Cloud. للحصول على مزيد من المعلومات، راجع تسعير Microsoft Defender for Cloud⁦.

DevOps

• Azure Automation:
  • يمنحك WAC حق الوصول إلى التعليمات البرمجية لـ PowerShell التي تنشئ محول شبكة Azure، ويمكنك مراجعته عن طريق تحديد أداة الشبكة، ثم تحديد أيقونة عرض برامج PowerShell النصية في أعلى صفحة WAC. اسم البرنامج النصي هو Complete-P2SVPNConfiguration، ويتم تنفيذه كدالة PowerShell. يتم توقيع التعليمات البرمجية رقميًا وتكون جاهزة لإعادة استخدامها. يمكنك دمجها في أتمتة Azure عن طريق تكوين المزيد من الخدمات داخل مدخل Azure.

تحسين التكلفة

يركز تحسين التكلفة على البحث عن طرق للحد من النفقات غير الضرورية وتحسين الكفاءة التشغيلية. لمزيد من المعلومات، راجع نظرة عامة على ركيزة تحسين التكلفة.

• حاسبة تسعير Azure:
  • لا يكلف استخدام محول شبكة Azure أي شيء في الواقع، لأنه مكون تقوم بنشره على نظام محلي. تقوم بوابة Azure VPN، كجزء من الحل، بإنشاء تكاليف إضافية، كما يفعل استخدام الخدمات الأخرى، مثل Azure Recovery Vault أو Microsoft Defender for Cloud. لمزيد من المعلومات حول التكاليف الفعلية، راجع حاسبة أسعار Azure. من المهم ملاحظة أن التكاليف الفعلية تختلف حسب منطقة Azure وعقدك الفردي. اتصل بممثل مبيعات Microsoft للحصول على مزيد من المعلومات حول الأسعار.
• تكاليف الخروج:
  • هناك تكاليف إضافية مرتبطة بنقل بيانات Inter-VNet الصادرة. تعتمد هذه التكاليف على وحدة SKU الخاصة ببوابة VPN والمقدار الفعلي للبيانات الذي تستخدمه. لمزيد من المعلومات، راجع حاسبة أسعار Azure. من المهم ملاحظة أن التكاليف الفعلية تختلف حسب منطقة Azure وعقدك الفردي. اتصل بممثل مبيعات Microsoft للحصول على معلومات إضافية حول التسعير.

المساهمون

تحتفظ Microsoft بهذه المقالة. وهي مكتوبة في الأصل من قبل المساهمين التاليين.

الكاتب الرئيسي:

• Frank Migacz | متخصص في ابتكار التطبيقات

لمشاهدة ملفات تعريف LinkedIn غير العامة، سجل الدخول إلى LinkedIn.

الخطوات التالية

تعرف على المزيد حول تقنيات المكونات:

• أفضل 10 ميزات للشبكات في Windows Server 2019: #3 محول شبكة Azure
• VPN من نقطة إلى موقع
• تجربة Windows Admin Center بخصوص مركز تقييم Microsoft
• ما هي Azure Virtual Network؟
• ما هو Azure Bastion؟
• ما هي بوابة VPN؟
• نظرة عامة على Windows Admin Center

الموارد ذات الصلة

استكشاف البنى ذات الصلة:

• إدارة أحمال عمل Azure المختلطة باستخدام Windows Admin Center
• مخطط شبكة النظام المحوري في Azure
• توسيع شبكة محلية باستخدام شبكةٍ ظاهرية خاصة
• صمم حل نظام اسماء المجالات المختلط باستخدام Azure