Поделиться через


Публикация служб Azure Stack Hub в центре обработки данных

Для ролей инфраструктуры в Azure Stack Hub настраиваются виртуальные IP-адреса (VIP). Эти виртуальные IP-адреса выделяются из пула общедоступных IP-адресов. Каждый виртуальный IP-адрес защищается списком управления доступом (ACL) на уровне программно определяемой сети. Для дополнительной защиты решения списки управления доступом применяются и на физических коммутаторах (стоечные коммутаторы и BMC). Для каждой конечной точки создается DNS-запись во внешней зоне DNS, которая указывается во время развертывания. Например, порталу пользователя назначается запись узла DNS портала. <регион>.<полное доменное имя>.

На следующей схеме с архитектурой показаны несколько уровней сети и списков управления доступом.

Схема с несколькими уровнями сети и списками управления доступом

URL-адреса и порты

Чтобы службы Azure Stack Hub (порталы, Azure Resource Manager, DNS и т. д.) стали доступны для внешних сетей, необходимо разрешить входящий трафик к этим конечным точкам для определенных URL-адресов, портов и протоколов.

Если в вашем развертывании прозрачный прокси-сервер передает данные по каналу исходящей связи на традиционный прокси-сервер или решение защищено брандмауэром, то необходимо разрешить определенные порты и URL-адреса для исходящего и входящего трафика. К ним относятся порты и URL-адреса для идентификации и marketplace, а также для исправления и обновления, регистрации и использования данных.

Перехват трафика SSL не поддерживается и может привести к сбоям службы при обращении к конечным точкам.

Порты и протоколы (входящие)

Для публикации конечных точек Azure Stack Hub во внешних сетях необходим набор виртуальных IP-адресов инфраструктуры. В таблице конечных точек (VIP) для каждой конечной точки указаны назначение, используемый порт и протокол. Конечные точки, необходимые для поставщиков дополнительных ресурсов, например для поставщика ресурсов SQL, описаны в документации по развертыванию соответствующих ресурсов.

Здесь не указаны виртуальные IP-адреса для внутренней инфраструктуры, так как они не используются для публикации Azure Stack Hub. Виртуальные IP-адреса являются динамическими и определяются пользователями, без согласования с оператором Azure Stack Hub.

При добавлении хост-процесса для расширений порты в диапазоне с 12495 по 30015 не используются.

Конечная точка (виртуальный IP-адрес) Запись A на узле DNS Протокол порты;
AD FS Adfs. <регион>.<Полное доменное имя> HTTPS 443
Портал (для администратора) Adminportal. <регион>.<Полное доменное имя> HTTPS 443
Adminhosting *.adminhosting.<регион>.<Полное доменное имя> HTTPS 443
Azure Resource Manager (для администратора) Управление администрированием. <регион>.<Полное доменное имя> HTTPS 443
Портал (для пользователя) Портал. <регион>.<Полное доменное имя> HTTPS 443
Azure Resource Manager (для пользователя) Управления. <регион>.<Полное доменное имя> HTTPS 443
График График. <регион>.<Полное доменное имя> HTTPS 443
Список отзыва сертификатов Crl.region<.<>Полное доменное имя> HTTP 80
DNS *. <регион>.<Полное доменное имя> TCP или UDP 53
Hosting *.Хостинг.<регион>.<Полное доменное имя> HTTPS 443
Хранилище ключей (для пользователя) *.Хранилища. <регион>.<Полное доменное имя> HTTPS 443
Хранилище ключей (для администратора) *.adminvault. <регион>.<Полное доменное имя> HTTPS 443
Очередь службы хранилища *.Очереди. <регион>.<Полное доменное имя> HTTP
HTTPS
80
443
Таблица службы хранилища *.Таблице. <регион>.<Полное доменное имя> HTTP
HTTPS
80
443
Большой двоичный объект хранилища *.Blob. <регион>.<Полное доменное имя> HTTP
HTTPS
80
443
Поставщик ресурсов SQL sqladapter.dbadapter. <регион>.<Полное доменное имя> HTTPS 44300–44304
Поставщик ресурсов MySQL mysqladapter.dbadapter. <регион>.<Полное доменное имя> HTTPS 44300–44304
Служба приложений *.appservice. <регион>.<Полное доменное имя> TCP 80 (HTTP)
443 (HTTPS)
8172 (MSDeploy)
*.scm.appservice. <регион>.<Полное доменное имя> TCP 443 (HTTPS)
api.appservice. <регион>.<Полное доменное имя> TCP 443 (HTTPS)
44300 (Azure Resource Manager)
ftp.appservice. <регион>.<Полное доменное имя> TCP, UDP 21, 1021, 10001-10100 (FTP)
990 (FTPS)
VPN-шлюзы; Протокол IP 50 & UDP Полезные данные безопасности инкапсуляции (ESP) IPSec & UDP 500 и 4500

Порты и URL-адреса (исходящие)

Azure Stack Hub поддерживает только прозрачные прокси-серверы. Если в вашем развертывании прозрачный прокси-сервер перенаправляет подключения к обычному прокси-серверу, разрешите порты и URL-адреса из следующей таблицы для исходящей связи: Дополнительные сведения о настройке прозрачных прокси-серверов см. в статье Прозрачный прокси-сервер для Azure Stack Hub.

Перехват трафика SSL не поддерживается и может привести к сбоям службы при обращении к конечным точкам. Максимальное поддерживаемое время ожидания для связи с конечными точками, требуемыми для использования удостоверения, — 60 с.

Примечание

Azure Stack Hub не поддерживает использование ExpressRoute для доступа к службам Azure, перечисленным в следующей таблице, так как ExpressRoute может маршрутизировать трафик не ко всем конечным точкам.

Назначение URL-адрес назначения Протокол и порты Исходная сеть Требование
Удостоверение
Позволяет Azure Stack Hub подключаться к идентификатору Microsoft Entra для проверки подлинности службы & пользователей.
Azure
login.windows.net
login.microsoftonline.com
graph.windows.net
https://secure.aadcdn.microsoftonline-p.com
www.office.com
ManagementServiceUri = https://management.core.windows.net
ARMUri = https://management.azure.com
https://*.msftauth.net
https://*.msauth.net
https://*.msocdn.com
Azure для государственных организаций
https://login.microsoftonline.us/
https://graph.windows.net/
Azure China 21Vianet
https://login.chinacloudapi.cn/
https://graph.chinacloudapi.cn/
Azure для Германии
https://login.microsoftonline.de/
https://graph.cloudapi.de/
HTTP 80,
HTTPS 443
Общедоступный виртуальный IP-адрес — /27
Открытая сеть инфраструктуры
Обязательный для подключенного развертывания.
Синдикация Marketplace
Позволяет скачивать элементы в Azure Stack Hub из Marketplace и делать их доступными для всех пользователей с помощью среды Azure Stack Hub.
Azure
https://management.azure.com
https://*.blob.core.windows.net
https://*.azureedge.net
Azure для государственных организаций
https://management.usgovcloudapi.net/
https://*.blob.core.usgovcloudapi.net/
Azure China 21Vianet
https://management.chinacloudapi.cn/
http://*.blob.core.chinacloudapi.cn
HTTPS 443 Общедоступный виртуальный IP-адрес — /27 Не требуется. Используйте инструкции по отключенному сценарию для отправки образов в Azure Stack Hub.
Обновление & исправлений
При подключении к конечным точкам обновления обновления и исправления программного обеспечения Azure Stack Hub отображаются как доступные для скачивания.
https://*.azureedge.net
https://aka.ms/azurestackautomaticupdate
HTTPS 443 Общедоступный виртуальный IP-адрес — /27 Не требуется. Используйте инструкции по отключению подключения к развертыванию , чтобы вручную скачать и подготовить обновление.
Регистрация
Позволяет зарегистрировать Azure Stack Hub в Azure, чтобы скачать Azure Marketplace элементы и настроить отправку коммерческих данных обратно в корпорацию Майкрософт.
Azure
https://management.azure.com
Azure для государственных организаций
https://management.usgovcloudapi.net/
Azure China 21Vianet
https://management.chinacloudapi.cn
HTTPS 443 Общедоступный виртуальный IP-адрес — /27 Не требуется. Для автономной регистрации можно использовать сценарий отключения.
Использование
Позволяет операторам Azure Stack Hub настраивать экземпляр Azure Stack Hub для передачи данных об использовании в Azure.
Azure
https://*.trafficmanager.net
https://*.cloudapp.azure.com
Azure для государственных организаций
https://*.usgovtrafficmanager.net
https://*.cloudapp.usgovcloudapi.net
Azure China 21Vianet
https://*.trafficmanager.cn
https://*.cloudapp.chinacloudapi.cn
HTTPS 443 Общедоступный виртуальный IP-адрес — /27 Требуется для модели лицензирования на основе потребления Azure Stack Hub.
Защитник Windows
Позволяет поставщику ресурсов обновления скачивать определения защиты от вредоносных программ и обновления подсистемы несколько раз в день.
*.wdcp.microsoft.com
*.wdcpalt.microsoft.com
*.wd.microsoft.com
*.update.microsoft.com
*.download.microsoft.com

https://secure.aadcdn.microsoftonline-p.com
HTTPS 80, 443 Общедоступный виртуальный IP-адрес — /27
Открытая сеть инфраструктуры
Не требуется. Вы можете использовать сценарий отключения для обновления файлов сигнатур антивирусной программы.
NTP
Позволяет Azure Stack Hub подключаться к серверам времени.
(IP-адрес NTP-сервера, предоставленный для развертывания) UDP 123 Общедоступный виртуальный IP-адрес — /27 Обязательно
DNS
Позволяет Azure Stack Hub подключаться к серверу пересылки DNS-сервера.
(IP-адрес DNS-сервера, предоставленный для развертывания) TCP & UDP 53 Общедоступный виртуальный IP-адрес — /27 Обязательно
SYSLOG
Позволяет Azure Stack Hub отправлять сообщения системного журнала для мониторинга или безопасности.
(IP-адрес сервера SYSLOG, предоставленный для развертывания) TCP 6514,
UDP 514
Общедоступный виртуальный IP-адрес — /27 Необязательно
CRL
Позволяет Azure Stack Hub проверять сертификаты и проверка для отозванных сертификатов.
URL-адрес в списке точек распространения CRL для сертификатов HTTP 80 Общедоступный виртуальный IP-адрес — /27 Обязательно
CRL
Позволяет Azure Stack Hub проверять сертификаты и проверка для отозванных сертификатов.
http://crl.microsoft.com/pki/crl/products
http://mscrl.microsoft.com/pki/mscorp
http://www.microsoft.com/pki/certs
http://www.microsoft.com/pki/mscorp
http://www.microsoft.com/pkiops/crl
http://www.microsoft.com/pkiops/certs
HTTP 80 Общедоступный виртуальный IP-адрес — /27 Не требуется. Настоятельно рекомендуется использовать рекомендации по обеспечению безопасности.
LDAP
Позволяет Azure Stack Hub взаимодействовать с локальной службой Microsoft Active Directory.
Лес AD DS для интеграции Graph TCP & UDP 389 Общедоступный виртуальный IP-адрес — /27 Требуется при развертывании Azure Stack Hub с помощью AD FS.
LDAP SSL
Позволяет Azure Stack Hub обмениваться данными в зашифрованном виде с локальной службой Microsoft Active Directory.
Лес AD DS для интеграции Graph TCP 636 Общедоступный виртуальный IP-адрес — /27 Требуется при развертывании Azure Stack Hub с помощью AD FS.
LDAP GC
Позволяет Azure Stack Hub взаимодействовать с серверами Microsoft Active Global Catalog Server.
Лес AD DS для интеграции Graph TCP 3268 Общедоступный виртуальный IP-адрес — /27 Требуется при развертывании Azure Stack Hub с помощью AD FS.
LDAP GC SSL
Позволяет Azure Stack Hub обмениваться данными в зашифрованном виде с серверами глобального каталога Microsoft Active Directory.
Лес AD DS для интеграции Graph TCP 3269 Общедоступный виртуальный IP-адрес — /27 Требуется при развертывании Azure Stack Hub с помощью AD FS.
AD FS
Позволяет Azure Stack Hub взаимодействовать с локальной службой AD FS.
Конечная точка метаданных AD FS для интеграции AD FS TCP 443 Общедоступный виртуальный IP-адрес — /27 Необязательный элемент. Доверие поставщика утверждений AD FS можно создать с помощью файла метаданных.
Сбор журналов диагностики
Позволяет Azure Stack Hub отправлять журналы либо заранее, либо вручную оператором в службу поддержки Майкрософт.
https://*.blob.core.windows.net
https://azsdiagprdlocalwestus02.blob.core.windows.net
https://azsdiagprdwestusfrontend.westus.cloudapp.azure.com
https://azsdiagprdwestusfrontend.westus.cloudapp.azure.com
HTTPS 443 Общедоступный виртуальный IP-адрес — /27 Не требуется. Журналы можно сохранять локально.
Удаленная поддержка
Позволяет специалистам службы поддержки Майкрософт быстрее решать обращения в службу поддержки, предоставляя удаленный доступ к устройству для выполнения ограниченных операций по устранению неполадок и восстановлению.
https://edgesupprd.trafficmanager.net
https://edgesupprdwestusfrontend.westus2.cloudapp.azure.com
https://edgesupprdwesteufrontend.westeurope.cloudapp.azure.com
https://edgesupprdeastusfrontend.eastus.cloudapp.azure.com
https://edgesupprdwestcufrontend.westcentralus.cloudapp.azure.com
https://edgesupprdasiasefrontend.southeastasia.cloudapp.azure.com
*.servicebus.windows.net
HTTPS 443 Общедоступный виртуальный IP-адрес — /27 Не требуется.
Телеметрия
Позволяет Azure Stack Hub отправлять данные телеметрии в корпорацию Майкрософт.
https://settings-win.data.microsoft.com
https://login.live.com
*.events.data.microsoft.com
Начиная с версии 2108, также требуются следующие конечные точки:
https://*.blob.core.windows.net/
https://azsdiagprdwestusfrontend.westus.cloudapp.azure.com/
HTTPS 443 Общедоступный виртуальный IP-адрес — /27 Требуется, если включена телеметрия Azure Stack Hub.

Исходящие URL-адреса распределяются с помощью диспетчера трафика Azure, чтобы обеспечить наилучшие возможные соединения на основе географического расположения. С помощью распределенных URL-адресов Microsoft может обновлять и изменять конечные точки сервера без влияния на пользователей. Корпорация Майкрософт не предоставляет список IP-адресов для URL-адресов с балансировкой нагрузки. Используйте устройство, которое поддерживает фильтрацию по URL-адресу, а не IP-адресу.

Наличие постоянного исходящего доступа к DNS требуется во всех случаях. Меняется только источник запросов к внешнему DNS-серверу и способ интеграции удостоверений. Во время развертывания в рамках подключенного сценария для работы DVM в сети BMC требуется исходящий доступ. При этом после развертывания служба DNS переключается на внутренний компонент, который будет отсылать запросы через общедоступный виртуальный IP-адрес. Затем исходящий доступ к DNS через сеть BMC можно заблокировать, но общедоступный виртуальный IP-адрес должен иметь доступ к такому DNS-серверу, чтобы аутентификация выполнялась правильно.

Дальнейшие действия

Требования к PKI Azure Stack Hub