Verwenden Sie Azure Storage Mover Private Connections für Private-Source-Migrationen

Azure unterstützt mehrere Möglichkeiten zum Herstellen einer Verbindung mit privaten Netzwerken. Der beste Ansatz hängt von Ihren Anforderungen für Latenz, Bandbreite, Sicherheit, Kosten und Betriebskomplexität ab.

• Azure ExpressRoute – Private, dedizierte Konnektivität, die das öffentliche Internet nicht durchläuft.
• Standort-zu-Standort-IPsec-VPN – Verschlüsselte Tunnel über das öffentliche Internet (in der Regel mit Azure VPN-Gateway).
• SD-WAN über virtuelle Netzwerkgeräte (virtuelle Appliances, NVAs) – Drittanbieter-Geräte bieten VPN-/Firewall-Funktionen und können Tunnel terminieren, anstatt systemeigene Gateways zu verwenden.

Im Allgemeinen wird ExpressRoute für die höchste Bandbreite und niedrigste Latenz bevorzugt. Wenn ExpressRoute nicht verfügbar ist, verwenden Sie standortbasiertes VPN oder ein SD-WAN/NVA-basiertes Design.

Wichtige Konzepte

ExpressRoute: Private Konnektivität mit Azure über einen Konnektivitätsanbieter; wird in der Regel für vorhersehbare Latenz und höheren Durchsatz verwendet.

Azure VPN-Gateway-SKU: Die Gatewaygröße/-SKU wirkt sich auf die Tunnelanzahl und den Durchsatz aus; wählen Sie basierend auf der erforderlichen Bandbreite und Resilienz aus.

IPsec/IKE-Richtlinie: Kryptografische Algorithmen und Parameter, die zum Einrichten und Sichern von VPN-Tunneln verwendet werden (z. B. AES- und SHA-Familien, DH/PFS-Gruppen).

BGP (Border Gateway Protocol): Dynamisches Routing, das Präfixe zwischen Netzwerken austauscht; wird häufig für aktive/aktive Tunnel und Routingfailover verwendet.

Virtuelle Netzwerk-Appliance (NVA): Ein virtuelles Netzwerkgerät eines Drittanbieters (z. B. Firewall/SD-WAN), das in Azure bereitgestellt wird; wird häufig für erweiterte Inspektionen, Richtlinien und Routings verwendet.

UDR (benutzerdefinierte Routen): Benutzerdefinierte Routen in Azure, die den Datenverkehr auf einen bestimmten nächsten Hop lenken (z. B. eine NVA).

AWS Transit Gateway (TGW) / Virtual Private Gateway (VGW): AWS-Routingendpunkte für VPN/Direct Connect; TGW wird häufig für Hub-und-Speichen und Skalierung bevorzugt.

AWS VPC-Endpunkt (VPCE) für Amazon S3: Private Konnektivität von einer VPC zu S3; häufig mit privatem DNS und Endpunkt-/Bucketrichtlinien gekoppelt.

S3-Bucket-Richtlinie und VPCE-Richtlinie: Ressourcenbasierte Richtlinien, die den Zugriff zulassen/verweigern können, einschließlich Einschränkungen für einen bestimmten VPCE über aws:SourceVpce.

Azure Private Link Service Direct Connect: Azure-Funktion zur Erstellung ausgehender privater Verbindungen zu einer Ziel-IP (z. B. einer AWS VPCE-IP) für Dienste wie private Verbindungen des Storage Movers.

Genehmigung für private Verbindungen: Private Verbindungen erfordern möglicherweise explizite Genehmigungen, bevor sie von Workloads/Aufträgen verwendet werden können.

Regionale Ausrichtung: Einige Ressourcen (z. B. AWS VPCEs und bestimmte Azure-Servicekonstrukte) sind regionsbezogen und müssen in kompatiblen Regionen bereitgestellt werden.

Wann jede Option verwendet werden soll

ExpressRoute: Wählen Sie aus, wann vorhersehbare Leistung, private Konnektivität und höherer Durchsatz für Hybridkonnektivität erforderlich sind.

Standort-zu-Standort-VPN: Wählen Sie eine schnellere Einrichtung, niedrigere Kosten oder als Sicherungspfad aus. Die Leistung hängt von Internetbedingungen und Gateway-SKU ab.

SD-WAN/NVAs: Wählen Sie aus, wann Sie herstellerspezifisches Routing, Sicherheitsüberprüfung oder ein vorhandenes SD-WAN Betriebsmodell benötigen.

Konnektivitätsoptionen in Azure

ExpressRoute

Weitere Informationen:ExpressRoute-Dokumentation

Routing: BGP wird häufig über private Schaltkreise verwendet, um Präfixe zwischen Azure und Ihrem Netzwerk auszutauschen.

Konnektivitätsanbieter: ExpressRoute wird in der Regel über einen Colocation- oder Verbindungsanbieter bereitgestellt (z. B. Equinix, Megaport).

Standort-zu-Standort-IPsec-VPN (Azure VPN-Gateway)

Übersicht: Verwenden Sie das Azure VPN-Gateway für verschlüsselte IPsec-Tunnel vor Ort über das öffentliche Internet. Wählen Sie für eine höhere Durchsatz- und Ausfallsicherheit eine entsprechende Gateway-SKU aus (z. B. Generation2 und zonenredundante SKUs, sofern verfügbar).

Weitere Informationen:Lernprogramm – Erstellen einer S2S-VPN-Verbindung

Routing: Verwenden Sie BGP, um Routen auszutauschen und aktive/aktive Tunnel über mehrere Verbindungen zu unterstützen.

Eine ausführliche exemplarische Vorgehensweise für BGP mit mehreren Tunneln zwischen Azure VPN Gateway und AWS finden Sie unter: Tutorial – Konfigurieren einer BGP-fähigen Verbindung zwischen Azure und AWS.

Implementierungstipps (VPN-Leistung)

Beispiel für benutzerdefinierte IPsec/IKE-Einstellungen (anhand der Gerätekompatibilität überprüfen): GCMAES256 für IPsec-Verschlüsselung/Integrität, SHA256 für IKE-Integrität, DHGroup14, PFS2048.

Erfahren Sie mehr:Konfigurieren Sie benutzerdefinierte IPsec/IKE-Verbindungsrichtlinien.

SD-WAN mit virtuellen Netzwerkgeräten (NVAs)

SD-WAN und Firewall-NVAs können VPN-Tunnel beenden, Inspektionen durchführen und zentrale Routing- und Sicherheitsrichtlinien anwenden. Dieser Ansatz ist nützlich, wenn Sie herstellerspezifische Funktionen benötigen oder bereits eine SD-WAN Plattform auf allen Websites betreiben.

Fortinet: FortiGate Firewall der nächsten Generation

Cisco: Catalyst SD-WAN, Meraki SD-WAN

HPE (Aruba Networks): EdgeConnect SD-WAN

Palo Alto Netzwerke: Prisma SD-WAN

Arista (VMware): VeloCloud SD-WAN Virtual Edge

SD-WAN NVAs werden häufig als Pay-as-you-go (PAYG) oder Bring-Your-Own-License (BYOL) lizenziert. Die Anbieterunterstützung variiert je nach Bereitstellungsoption.

Beispiel für eine Implementierung (FortiGate NVA in Azure)

Wählen Sie eine Topologie (einzelne VM, aktiv/passiv oder aktiv/aktiv) basierend auf Verfügbarkeits- und Durchsatzanforderungen aus.

Wählen Sie eine geeignete VM-Größe (häufig F oder D-Serie mit höherer vCPU) aus, und aktivieren Sie beschleunigte Netzwerke , sofern unterstützt.

Netzwerkentwurf: Platzieren von Schnittstellen in WAN/LAN (und geschützten) Subnetzen und Konfigurieren von NSG-Regeln für erforderliche Verwaltungs- und VPN-Ports (z. B. UDP 500/4500 für IPsec).

Routing: Verwenden Sie UDRs, um Azure-zu-AWS-Präfixe durch den nächsten NVA-Hop zu steuern.

Dokumentation des Herstellers: Beispielschritte zum Konfigurieren von IPsec zwischen FortiGate-Geräten finden Sie im folgenden Fortinet Community-Artikel.

Konfigurieren von VPN-Standort-zu-Standort zwischen FortiGate-Geräten (Fortinet Community)

AWS-Konnektivität mit Azure

AWS Direct Connect zu Azure ExpressRoute

AWS Direct Connect kann mit Azure ExpressRoute über einen Colocation/Provider gekoppelt werden, um einen privaten, hohen Durchsatzpfad zwischen AWS und Azure zu erstellen.

Routing: BGP über private Leitungen

Verbindung: In der Regel über einen Colocation/Connectivity-Anbieter

Was ist Direct Connect? - AWS Direct Connect

Erstellen eines Direct Connect-Gateways – AWS Direct Connect

AWS Site-to-Site VPN (BGP)

Verwenden Sie für ein AWS-zu-Azure-VPN dynamisches Routing (BGP) und bevorzugen Sie das AWS Transit Gateway (TGW) für Skalierung und Leistung, wenn anwendbar.

Weitere Informationen:Lernprogramm – Konfigurieren einer BGP-fähigen Verbindung zwischen Azure und AWS.

AWS SD-WAN mit NVAs

Wenn Sie eine SD-WAN-Plattform in AWS (z. B. FortiGate auf EC2) betreiben, können Sie Tunnel in AWS beenden und eine Verbindung mit Azure herstellen, indem Sie dasselbe SD-WAN Richtlinienmodell verwenden, das lokal verwendet wird.

1. Starten Sie die NVA aus AWS Marketplace, und legen Sie die Größe der Instanz für den erforderlichen Durchsatz fest.
2. Fügen Sie WAN-/LAN-Schnittstellen an, ordnen Sie der WAN-Schnittstelle eine elastic IP zu, und deaktivieren Sie Quell-/Zielüberprüfungen, falls dies vom Appliance-Routingmodell erforderlich ist.
3. Konfigurieren Sie Sicherheitsgruppen und Routentabellen, um Azure-Präfixe zuzulassen und den Datenverkehr über die Appliance zu steuern.

Implementierungsdetails für AWS FSx privaten Zugriff (VPC-Endpunkte)

Konfigurieren eines AWS-VPC-Endpunkts (VPCE) für Amazon FSx

Ein AWS VPC-Endpunkt (VPCE) für FSx stellt einen privaten Endpunkt für einen S3-Dienst bereit, der es Ihrem VPC ermöglicht, FSx privat zu erreichen. Um deine FSx-Share-Datei zu erstellen und an eine VPC anzuhängen, sieh dir die AWS-Dokumentation an. Stelle sicher, dass dein Share in einem VPC liegt, der AWS-Konnektivität hat, und dass FSx-Sicherheit standardmäßig sicheren Datenverkehr auf Port 445 erlaubt.

Implementierungsdetails für privaten S3-Zugang (VPC-Endpunkte)

Konfigurieren eines AWS-VPC-Endpunkts (VPCE) für Amazon S3

Ein AWS-VPC-Endpunkt (VPCE) für S3 ermöglicht es Ihrem VPC, privat auf S3 zuzugreifen. ** Für diesen Entwurf aktivieren Sie in der Regel privates DNS und beschränken dann den Zugriff mithilfe von VPCE- und Bucket-Richtlinien.

Hochrangige Schritte

1. Stellen Sie sicher, dass in Ihrem VPC DNS-Unterstützung und DNS-Hostnamen aktiviert sind.
2. Erstellen Sie einen Schnittstellen-VPCE für Amazon S3 in der Ziel-VPC und den Zielsubnetzen, und aktivieren Sie Privates DNS.
3. Konfigurieren Sie VPCE-Richtlinien und Bucket-Richtlinien, um nur erforderliche S3-Aktionen zuzulassen und (optional) den Zugriff auf den spezifischen Endpunkt mithilfe von aws:SourceVpce einzuschränken.

Beispiel: S3-Bucketrichtlinie, die auf einen bestimmten VPCE beschränkt ist.

Hinweis: Notieren Sie die private IP-Adresse der VPCE; sie wird als Ziel-IP für Azure Private Link Service Direct Connect verwendet.

Überlegungen zu Sicherheitsgruppen

Lassen Sie den erforderlichen Datenverkehr von Azure-Quellpräfixen an den VPCE und die damit verbundenen AWS-Ressourcen zu (Prinzip der geringsten Rechte).

Azure-Konfiguration für Private Link Service Direct Connect

Erstellen der Private Link Service Direct Connect-Ressource

Private Link Service Direct Connect ermöglicht Azure, ausgehende private Verbindungen zu einer Ziel-IP-Adresse zu erstellen (z. B. eine AWS VPCE-IP). In diesem Szenario ermöglichen private Storage Mover-Verbindungen, einen privaten S3-Endpunkt über Ihren eingerichteten Azure-zu-AWS-Netzwerkpfad zu erreichen.

1. Stellen Sie die PLS Direct Connect-Ressource in derselben Azure-Region wie die Storage Mover-Ressource und das virtuelle Azure-Netzwerk bereit, das zum Erreichen von AWS verwendet wird.
2. Aktivieren Sie das Feature im Azure-Portal mithilfe des bereitgestellten Flight-Links: Azure-Portal-Flight-Link (PLS Direct Connect).
3. Stellen Sie sicher, dass das ausgewählte Azure VNet/Subnetz für die Quell-NAT über eine Verbindung zu der AWS VPC und der VPCE-IP-Adresse verfügt.

Hochrangige Schritte

1. Erstellen Sie die Ressource Private Link Service (Your Service) für Direct Connect in der richtigen Region.
2. Ausgehende Einstellungen konfigurieren:
3. Legen Sie die Verbindungsmethode auf Ziel-IP-Adresse fest, und geben Sie die AWS-VPCE-IP-Adresse ein.
4. Wählen Sie das virtuelle NAT-Quellnetzwerk und das Subnetz aus, das an AWS weitergeleitet werden kann.
5. Konfigurieren Sie private IP-Adresseinstellungen nach Bedarf für Resilienz (z. B. zwei oder mehr Adressen in unterstützten Einzelschritten).

Erstellen und Genehmigen privater Verbindungen

Erstellen Sie nach dem Erstellen der Direct Connect-Ressource eine private Verbindung in Storage Mover, und genehmigen Sie sie vor der Verwendung.

az storage-mover connection create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --private-link-service-id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --description "Private S3 connection"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.privateEndpointResourceId --output tsv

az network private-endpoint-connection list --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --query "[].{name:name,id:id,privateEndpointId:properties.privateEndpoint.id}" --output table

az network private-endpoint-connection approve --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService/privateEndpointConnections/<private-endpoint-connection-name>" --description "Approved for Azure Storage Mover"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.connectionStatus --output tsv

Verwenden privater Verbindungen für die Cloud-zu-Cloud-Migration

az storage-mover job-definition create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --project-name "my-migration-project" --job-definition-name "my-job-definition" --job-type CloudToCloud --copy-mode Additive --source-name "my-s3-endpoint" --target-name "my-blob-endpoint" --source-subpath "/" --target-subpath "/" --connections "/subscriptions/<subscription-id>/resourceGroups/c2c-migration-rg/providers/Microsoft.StorageMover/storageMovers/myStorageMover/connections/private-connection" --description "Private S3 to Azure Blob Storage"

Architecture

Privater Migrationsfluss (privates Netzwerk)

Das vorstehende Diagramm zeigt private Netzwerke zu AWS, aber dasselbe private Verbindungsmuster gilt für andere unterstützte private Quelle-Szenarien.

Cloud-zu-Cloud-Migrationsfluss (öffentlicher S3-Bucket zu Azure Blob)

Troubleshooting

Konnektivität und IP-Adressierung

• Verify Destination IP in Azure PLS: Stellen Sie sicher, dass der Azure Private Link-Dienst gezielt auf die IP-Adresse des AWS VPC-Endpunkts verweist. Ein Konflikt hier verhindert den anfänglichen Handshake.
• Überprüfen des Netzwerkpfads: Vergewissern Sie sich, dass die zugrunde liegende Netzwerkinfrastruktur (z. B. VPN, ExpressRoute oder Cloud Interconnect) eingerichtet ist und den Datenverkehr ordnungsgemäß zwischen der Azure-Umgebung und dem AWS VPC routet.
• Schnittstellenkonfigurationen überprüfen: Überprüfen Sie die AWS VPC Endpoint-Konfiguration, um sicherzustellen, dass sie aktiv ist und den korrekten Subnetz- und Sicherheitsgruppen zugeordnet ist.

VPCE-Richtlinienkonfiguration

• Ressourcenberechtigungen überprüfen: Überprüfen Sie das Resource Element in Ihrer VPCE-Richtlinie. Sie muss explizit den ARN des Ziel-S3-Buckets (z. B arn:aws:s3:::your-bucket-name . und arn:aws:s3:::your-bucket-name/*) enthalten.
• Berechtigungen für Prüfungshandlungen: Stellen Sie sicher, dass das Action-Element in der VPCE-Richtlinie die erforderlichen Vorgänge zulässt. Mindestens s3:Get* und s3:List* sind zum Lesen und Durchsuchen von Daten erforderlich.
• Policy Logic: Stellen Sie bei Verwendung einer benutzerdefinierten Richtlinie sicher, dass keine "Deny"-Anweisungen vorhanden sind, die versehentlich die "Allow"-Anweisungen für den Azure-Quelldatenverkehr außer Kraft setzen.
  

Einschränkungen der S3-Bucket-Richtlinien

• VPCE-Zulassungslisten: Überprüfen Sie die S3-Bucket-Richtlinie auf einen Condition-Block. Wenn der Bucket den Zugriff beschränkt, muss er explizit den aws:SourceVpce zulassen, der dem verwendeten VPC-Endpunkt entspricht.
• Principal Access: Stellen Sie sicher, dass die IAM-Identität oder der anonyme Zugriff (falls zutreffend über VPCE) nicht durch die Zugriffssteuerungsliste (ACL) des Buckets oder die Einstellungen der öffentlichen Zugriffssperre blockiert werden.

Regionale Ausrichtung

• Bereichsüberprüfung: AWS VPC-Endpunkte für S3 sind regionspezifisch. Ein VPCE in us-west kann keinen Datenverkehr zu einem S3-Bucket weiterleiten, der sich in us-east befindet.
• Sanierung: Wenn du eine regionale Diskrepanz feststellst, migriere den S3-Bucket in dieselbe Region wie die VPCE oder richte eine neue VPCE in der Region des Buckets ein. Dieser Ansatz könnte zusätzliches Querschnitts-Routing erfordern.

Limits

• Kunden können maximal 10 private Verbindungen/Region konfigurieren. Dies schließt den Zustand der privaten Verbindung im Status "Genehmigt/Ausstehend/Getrennt" ein.
• PLS direct sollte in derselben Region wie die Storage Mover-Ressource konfiguriert werden.

Leistung

Azure Storage Mover unterstützt sichere, umfangreiche Datenmigration in Cloudumgebungen, einschließlich Szenarien, die eine strenge Netzwerkisolation erfordern. Durch die Verwendung von Azure Private Link und privaten Endpunkten bleiben Datenübertragungen innerhalb vertrauenswürdiger Grenzen zwischen Ihrem Google Cloud DLP und Azure virtuellen Netzwerk.

In diesem Artikel wird erläutert, wie Sie private Netzwerkverbindungen zwischen Google Cloud Storage (GCS) und Azure einrichten, private Verbindungen in Storage Mover konfigurieren und einen Migrationsjob erstellen, bei dem die Daten nicht über das öffentliche Internet übertragen werden.

Voraussetzungen

Voraussetzungen für Azure

• Ein aktives Azure-Abonnement mit Berechtigungen zum Erstellen und Verwalten von Azure Storage Mover-Ressourcen.
• Eine Storage Mover-Ressource, die in Ihrem Azure-Abonnement bereitgestellt wird.
• Ein Azure Key Vault zum Speichern Ihrer GCS HMAC-Anmeldeinformationen (Zugriffsschlüssel und geheimer Schlüssel).
• Vertrautheit mit der Azure Storage Mover-Ressourcenhierarchie.

Voraussetzungen für Google Cloud

• Ein Google Cloud-Konto mit Zugriff auf den GCS-Bucket, den Sie migrieren möchten.
• HMAC-Schlüssel, die für ein GCS-Dienstkonto generiert werden (Zugriffsschlüssel-ID + Geheimer Schlüssel).
• Eine Google Cloud VPC mit Verbindung zu Azure (über Cloud VPN oder Cloud Interconnect).
• Vergewissern Sie sich, dass das GCS-Dienstkonto mindestens über die Rollen „Storage Legacy Bucket Reader“ und „Storage Legacy Object Reader“ für den Ziel-Bucket verfügt.
• Ein Private Service Connect (PSC)-Endpunkt für Google APIs, der in Ihrer GCP-VPC konfiguriert ist und eine stabile private IP für den Zugriff auf Cloud Storage bereitstellt.

Voraussetzungen für private Netzwerke

• Eine Private Link Service Direct Connect-Ressource, die in Azure mit der GCP PSC-Endpunkt-IP als Ziel konfiguriert ist.
• Vertrautheit mit Azure Private Link Netzwerkdokumentation.

Optionen für private Netzwerkkonnektivität

Um Daten aus einem VPC-beschränkten GCS-Bucket zu migrieren, müssen Sie zunächst einen privaten Netzwerkpfad zwischen Ihrer Google Cloud VPC und Azure einrichten. Azure unterstützt mehrere Konnektivitätsoptionen:

Für die meisten Szenarien bietet das Standort-zu-Standort-VPN eine gute Balance zwischen Kosten und Leistung. Verwenden Sie für den höchsten Durchsatz ExpressRoute, gekoppelt mit Google Cloud Interconnect.

Konnektivitätsoptionen in Azure

ExpressRoute

Weitere Informationen:ExpressRoute-DokumentationRouting: BGP wird häufig über private Verbindungen verwendet, um Präfixe zwischen Azure und Ihrem Netzwerk auszutauschen. Konnektivitätsanbieter: ExpressRoute wird in der Regel über einen Colocation- oder Verbindungsanbieter bereitgestellt (z. B. Equinix, Megaport).

Standort-zu-Standort-IPsec-VPN (Azure VPN-Gateway)

Übersicht: Verwenden Sie das Azure VPN-Gateway für verschlüsselte IPsec-Tunnel vor Ort über das öffentliche Internet. Wählen Sie für eine höhere Durchsatz- und Ausfallsicherheit eine entsprechende Gateway-SKU aus (z. B. Generation2 und zonenredundante SKUs, sofern verfügbar). Weitere Informationen:Lernprogramm – Erstellen eines S2S VPN-Verbindungsroutings: Verwenden Sie BGP, um Routen auszutauschen und aktive/aktive Tunnel über mehrere Verbindungen hinweg zu unterstützen.

Eine ausführliche exemplarische Vorgehensweise zu HA VPN zwischen Google Cloud und Azure finden Sie unter Erstellen von HA VPN-Verbindungen zwischen Google Cloud und Azure.

Implementierungstipps (VPN-Leistung)

Beispiel für benutzerdefinierte IPsec/IKE-Einstellungen (anhand der Gerätekompatibilität überprüfen): GCMAES256 für IPsec-Verschlüsselung/Integrität, SHA256 für IKE-Integrität, DHGroup14, PFS2048.

Erfahren Sie mehr:Konfigurieren Sie benutzerdefinierte IPsec/IKE-Verbindungsrichtlinien.

Konfigurieren von Standort-zu-Standort-VPN zwischen Azure und Google Cloud

Auf der Google Cloud-Seite:

• Erstellen Sie ein HA-VPN-Gateway in Ihrem VPC. Beachten Sie die beiden automatisch zugewiesenen externen IP-Adressen.
• Erstellen Sie einen Cloudrouter in derselben Region, um BGP-Sitzungen zu verwalten.
• Erstellen Sie VPN-Tunnel, die auf die Azure VPN Gateway öffentlichen IP-Adressen verweisen.
• Konfigurieren Sie BGP-Sitzungen auf Cloudrouter mithilfe der BGP-Peer-IPs, die mit Azure ausgetauscht werden.
• Stellen Sie sicher, dass das SUBnetz des PSC-Endpunkts über den VPN-Tunnel von Azure aus erreichbar ist. Cloud Router kündigt die Routen Ihrer VPC-Subnetze automatisch über BGP bei Azure an.

Erfahren Sie mehr:

• Google Cloud HA VPN

Hinweis: Auf der Google Cloud-Seite ist keine spezifische Verschlüsselungskonfiguration erforderlich. Google Cloud HA VPN überhandelt IPsec-Einstellungen automatisch basierend auf dem, was es von der Azure VPN Gateway erhält.

Konfigurieren des privaten Zugriffs auf GCS

Private Service Connect (PSC) erstellt einen privaten Endpunkt mit einer stabilen RFC 1918-IP-Adresse in Ihrer Google Cloud CLI für den Zugriff auf Google-APIs, einschließlich Cloud Storage. Diese IP-Adresse ist das Ziel, das Sie in Azure Private Link Service Direct Connect konfigurieren.

• Navigieren Sie in der Google Cloud Console zu Network Services>Private Service Connect.

• Wählen Sie einen Endpunkt verbinden und Google-APIs als Ziel aus.

• Wählen Sie je nach Ihren Sicherheitsanforderungen im Feld Bundle-Typ entweder die Werte Alle Google Cloud APIs oder VPC-SC aus.

• Weisen Sie eine private IP-Adresse aus Ihrem VPC-Subnetz zu.

  Notieren Sie diese private IP-Adresse. Sie benötigen sie beim Konfigurieren der Azure PLS Direct Connect-Ressource.

Weitere Informationen

Einschränken des GCS-Bucketzugriffs (optional)

Um den Zugriff auf Ihren GCS-Bucket weiter auf ausschließlich über das VPC möglichen Zugriff zu beschränken, können Sie die IP-Filterung für GCS-Buckets verwenden:

• Beschränken Sie den Zugriff auf Ihr bestimmtes GCP VPC-Netzwerk oder Ihre IP-Bereiche.

• Limits: max. 200 CIDR-Blöcke, 25 VPC-Netzwerke pro Bucket.

  Weitere Informationen

Erstellen Sie die Direct-Connect-Ressource des Private-Link-Diensts

Private Link Service (PLS) Direct Connect erstellt ausgehende private Verbindungen von Azure zu einer Ziel-IP-Adresse. Für GCS ist die Ziel-IP die PSC-Endpunkt-IP in Ihrer Google-Cloud-VPC, die über Ihren VPN- oder Interconnect-Tunnel erreichbar ist.

• Navigieren Sie im Azure-Portal zu Startseite > Netzwerkgrundlagen > Private Link-Dienste.
• Wählen Sie "Privaten Linkdienst erstellen" aus.
• Wählen Sie auf der Registerkarte "Grundlagen" denselben Azure Bereich wie Ihre Storage Mover-Ressource aus.
• Auf der Registerkarte Einstellungen für „Ausgehend”:
• Verbindungsmethode: Ziel-IP-Adresse auswählen
• IP-Adresse: Geben Sie die IP-Adresse des GCP Private Service Connect (PSC)-Endpunkts ein, die Sie zuvor aufgezeichnet haben.
• Virtuelles Netzwerk für Quell-NAT: Wählen Sie das VNet aus, das Ihr Azure VPN-Gateway enthält.
• NAT-Quellsubnetz: Wählen Sie das Subnetz mit VPN-Konnektivität mit GCP aus.
• Einstellungen für private IP-Adressen: Konfigurieren von mindestens 2 NAT-IPs (gerade Anzahl erforderlich)
• Wählen Sie auf der Registerkarte "Access-Sicherheit" die entsprechende Sichtbarkeitseinstellung aus (die rollenbasierte Zugriffssteuerung ist nur restriktiv)
• Klicken Sie auf Überprüfen + erstellen.

Erstellen und Genehmigen privater Verbindungen

Erstellen Sie nach dem Erstellen der PLS Direct Connect-Ressource eine private Verbindung in Storage Mover, und genehmigen Sie sie vor der Verwendung.

Erstellen einer privaten Verbindung

az storage-mover connection create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --private-link-service-id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --description "Private GCS connection"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.privateEndpointResourceId --output tsv

Genehmigen der privaten Verbindung

az network private-endpoint-connection list --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --query "[].{name:name,id:id,privateEndpointId:properties.privateEndpoint.id}" --output table

az network private-endpoint-connection approve --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService/privateEndpointConnections/<private-endpoint-connection-name>" --description "Approved for Azure Storage Mover"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.connectionStatus --output tsv

Erstellen Sie einen Migrationsauftrag mit privaten Verbindungen

az storage-mover job-definition create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --project-name "my-migration-project" --job-definition-name "my-job-definition" --job-type CloudToCloud --copy-mode Additive --source-name "my-gcs-endpoint" --target-name "my-blob-endpoint" --source-subpath "/" --target-subpath "/" --connections "/subscriptions/<subscription-id>/resourceGroups/c2c-migration-rg/providers/Microsoft.StorageMover/storageMovers/myStorageMover/connections/private-connection" --description "Private GCS to Azure Blob Storage"

Troubleshooting

Konnektivität und IP-Adressierung

• Überprüfen Sie die Ziel-IP in Azure PLS: Stellen Sie sicher, dass PLS Direct Connect auf Ihre IP-Adresse des GCP PSC-Endpunkts verweist. Eine Nichtübereinstimmung verhindert die Verbindung.
• Überprüfen des Netzwerkpfads: Bestätigen Sie, dass Cloud-VPN-Tunnel den Status "Eingerichtet" in Google Cloud Console > Hybrid Connectivity > VPN anzeigen.
• BGP prüfen: Vergewissern Sie sich, dass die Cloud Router BGP-Sitzungen aktiv sind und dass Ihre VPC-Subnetze (einschließlich des PSC-Endpunktsubnetzes) an Azure angekündigt werden.
• Überprüfen Sie den PSC-Endpunkt: Vergewissern Sie sich, dass der PSC-Endpunktstatus in google Cloud Console > Network Services > Private Service Connect verbunden ist.
• Überprüfen der Bereichsausrichtung: PLS Direct Connect und Storage Mover müssen sich in derselben Azure Region befinden. Authentifizierung (HMAC)
• Überprüfen Sie, ob HMAC-Zugriffstaste und geheimer Schlüssel in Azure Key Vault aktiv und nicht abgelaufen sind.
• Vergewissern Sie sich, dass die verwaltete Identität des Quellendpunkts für Ihren Key Vault über die Rolle „Key Vault-Geheimnisbenutzer“ verfügt.
• Vergewissern Sie sich, dass das GCS-Dienstkonto mindestens über die Rollen „Storage Legacy Bucket Reader“ und „Storage Legacy Object Reader“ für den Ziel-Bucket verfügt.
• HMAC-Schlüssel funktionieren nur mit DER GCS-XML-API (nicht mit JSON-API).
• Warten Sie nach dem Erstellen eines neuen HMAC-Schlüssels bis zu 60 Sekunden, bevor sie aktiv wird. Private Verbindungen
• Im Auftragsassistenten werden nur Verbindungen mit dem Status „Genehmigt“ angezeigt. Überprüfen Sie den Status unter Speicherendpunkte > Private Verbindungen (Vorschau).
• Wenn der Status „Ausstehend“ lautet, wählen Sie die Verbindung und dann „Genehmigen“ aus.
• Wenn der Status "Getrennt" lautet: Die PLS Direct Connect-Ressource wurde möglicherweise gelöscht oder geändert. Problembehebungsmigration fehlgeschlagen. Überprüfen Sie die Kopier- und Auftragsprotokolle auf Fehlermeldungen. Häufige Ursachen: ungültige Anmeldeinformationen, Netzwerkkonnektivität. Authentifizierungsfehler Überprüfen Sie, ob HMAC-Schlüssel in Key Vault korrekt und aktiv sind. Überprüfen Sie, ob die Rolle „Key Vault-Geheimnisbenutzer“ zugewiesen ist. Berechtigungsfehler beim Ziel. Überprüfen Sie, ob die verwaltete Identität des Zielendpunkts für den Blobcontainer über die Rolle „Mitwirkender an Storage-Blobdaten” verfügt. Die Datenübertragung ist langsam. Überprüfen Sie die Netzwerkbandbreite. GCS kann S3-kompatible API-Anfragen drosseln. Fügen Sie weitere private Verbindungen hinzu. Objekte, die nach der Synchronisierung von GCS-Zeitstempeln fehlen, weisen eine Granularität auf zweiter Ebene auf. Objekte, die in derselben Sekunde wie die letzte Synchronisierung geändert wurden, werden möglicherweise erst erkannt, wenn die nächste Ausführung ausgeführt wird. Quell-URL abgelehnt. Stellen Sie sicher, dass die URL HTTPS verwendet und keine Abfrageparameter oder Fragmente enthält. Verwenden Sie einen gültigen vollqualifizierten Domänennamen.

Bekannte Grenzwerte

• Höchstens 10 private Verbindungen pro Abonnement und Region (Genehmigt + Ausstehend + Getrennt insgesamt). Weitere Informationen finden Sie unter Configure Private Link Service Direct Connect.
• PLS Direct Connect muss in derselben Region wie die Storage Mover-Ressource konfiguriert werden.
• Die Planung ist für den GCS-Quelltyp nicht verfügbar. Aufträge müssen manuell ausgeführt werden.
• Jeder Migrationsauftrag unterstützt die Übertragung von bis zu 500 Millionen Objekten.
• Nur HTTPS-Zugriff auf die S3-kompatible Quelle wird unterstützt.
• Die S3-kompatible Quelle muss die AWS Signature Version 4 (SigV4)-Authentifizierung unterstützen.
• Maximal 10 HMAC-Schlüssel pro GCS-Dienstkonto.

Leistung

Die folgenden Benchmarks wurden mit Azure VPN Gateway mit mehreren IPsec-Tunneln in Kombination mit privaten Storage Mover-Verbindungen gemessen:

Voraussetzungen

Voraussetzungen für Azure

• Ein aktives Azure-Abonnement mit Berechtigungen zum Erstellen und Verwalten von Azure Storage Mover-Ressourcen.
• Eine Storage Mover-Ressource, die in Ihrem Azure-Abonnement bereitgestellt wird.
• Ein Azure Key Vault, um Ihre OCI-Kundengeheimschlüssel (Access Key und Secret Key) zu speichern.
• Vertrautheit mit der Azure Storage Mover-Ressourcenhierarchie.

OCI-Voraussetzungen

• Eine Oracle Cloud Infrastructure (OCI)-Tenancy mit Zugriff auf den Object-Storage-Bucket, den Sie migrieren möchten.
• Kundengeheimschlüssel, die für einen OCI-Benutzer generiert werden (Zugangsschlüssel-ID + Geheimschlüssel).
• Ein OCI Virtual Cloud Network (VCN) mit Verbindung zu Azure (über Site-to-Site VPN oder FastConnect).
• Eine IAM-Richtlinie, die dem Benutzer oder der Gruppe Lesezugriff auf die Zielbuckets und Objekte gewährt (zum Beispiel: Allow group <G> to read buckets in compartment <C> und Allow group <G> to read objects in compartment <C>).
• Ein privater Endpunkt (oder Service Gateway) für OCI Object Storage, der eine stabile private IP für den Zugriff auf den Objektspeicher innerhalb Ihres VCN bereitstellt.

Voraussetzungen für private Netzwerke

• Eine Private Link Service Direct Connect Ressource, die in Azure konfiguriert ist, mit der privaten Endpunkt-IP von OCI Object Storage als Ziel.
• Vertrautheit mit Azure Private Link Netzwerkdokumentation.

Optionen für private Netzwerkkonnektivität

Um Daten aus einem VCN-eingeschränkten OCI-Bucket zu migrieren, benötigen Sie zunächst einen privaten Netzwerkpfad zwischen Ihrem OCI-VCN und Azure. Azure unterstützt mehrere Konnektivitätsoptionen:

Für die meisten Szenarien bietet das Standort-zu-Standort-VPN eine gute Balance zwischen Kosten und Leistung. Für den höchsten Durchsatz verwenden Sie ExpressRoute in Kombination mit OCI FastConnect.

Konnektivitätsoptionen in Azure

ExpressRoute

Weitere Informationen:ExpressRoute-Dokumentation

Routing: BGP wird häufig über private Schaltkreise verwendet, um Präfixe zwischen Azure und Ihrem Netzwerk auszutauschen.

Konnektivitätsanbieter: ExpressRoute wird in der Regel über einen Colocation- oder Verbindungsanbieter bereitgestellt (z. B. Equinix, Megaport).

Standort-zu-Standort-IPsec-VPN (Azure VPN-Gateway)

Übersicht: Verwenden Sie das Azure VPN-Gateway für verschlüsselte IPsec-Tunnel vor Ort über das öffentliche Internet. Wählen Sie für eine höhere Durchsatz- und Ausfallsicherheit eine entsprechende Gateway-SKU aus (z. B. Generation2 und zonenredundante SKUs, sofern verfügbar).

Weitere Informationen:Lernprogramm – Erstellen einer S2S-VPN-Verbindung

Routing: Verwenden Sie BGP, um Routen auszutauschen und aktive/aktive Tunnel über mehrere Verbindungen zu unterstützen.

Implementierungstipps (VPN-Leistung)

Beispiel für benutzerdefinierte IPsec/IKE-Einstellungen (anhand der Gerätekompatibilität überprüfen): GCMAES256 für IPsec-Verschlüsselung/Integrität, SHA256 für IKE-Integrität, DHGroup14, PFS2048.

Erfahren Sie mehr:Konfigurieren Sie benutzerdefinierte IPsec/IKE-Verbindungsrichtlinien.

Configure site-to-site VPN zwischen Azure und OCI

Auf der OCI-Seite:

• Erstellen Sie ein Dynamic Routing Gateway (DRG) und verbinden Sie es mit Ihrem VCN.
• Erstelle für jede Azure VPN Gateway öffentliche IP-Adresse ein Customer-Premises Equipment (CPE)-Objekt.
• Erstellen Sie eine IPSec-Verbindung (Site-to-Site VPN) mit Tunneln zu den öffentlichen IP-Adressen des Azure VPN Gateway.
• Konfigurieren Sie BGP (oder statisches Routing) auf der DRG mithilfe der BGP-Peer-IPs, die mit Azure ausgetauscht werden.
• Stellen Sie sicher, dass das Subnetz des privaten Endpunkts von Object Storage von Azure aus über den VPN-Tunnel erreichbar ist; kündigen Sie Ihre VCN-Subnetze gegenüber Azure über BGP an.

Erfahren Sie mehr:OCI Site-to-Site VPN

Konfigurieren Sie den privaten Zugriff auf OCI-Objektspeicher

Ein privater Endpunkt (oder Service Gateway) für OCI Object Storage stellt eine stabile private IP-Adresse in Ihrem VCN bereit, um auf Object Storage zuzugreifen. Diese IP-Adresse ist das Ziel, das Sie in Azure Private Link Service Direct Connect konfigurieren.

• In der OCI-Konsole navigieren Sie zu Networking>Virtual Cloud Networks und erstellen Sie einen privaten Endpunkt für Objektspeicher in Ihrem VCN.
• Weisen Sie eine private IP-Adresse aus Ihrem VCN-Subnetz zu.
• Notieren Sie diese private IP-Adresse. Sie benötigen sie beim Konfigurieren der Azure PLS Direct Connect-Ressource.

Einschränkung des OCI-Bucket-Zugriffs (optional)

• Verwenden Sie OCI-IAM-Richtlinien, um Lesezugriff mit den geringstmöglichen Berechtigungen zu gewähren, und setzen Sie die Sichtbarkeit des Buckets auf private.
• Beschränken Sie optional den Zugriff auf Ihr VCN durch die Verwendung des privaten Endpunkts Object Storage und der Netzwerksicherheitsregeln.

Erstellen Sie die Direct-Connect-Ressource des Private-Link-Diensts

Private Link Service (PLS) Direct Connect erstellt ausgehende private Verbindungen von Azure zu einer Ziel-IP-Adresse. Für OCI ist die Ziel-IP die private Endend-IP des OCI Object Storage in Ihrem VCN, erreichbar über Ihr VPN oder den FastConnect-Tunnel.

• Navigieren Sie im Azure-Portal zu Home>Network foundation>Private Link services.
• Wählen Sie Private Link-Dienst erstellen.
• Wählen Sie im Tab Basics dieselbe Azure-Region wie Ihre Storage Mover-Ressource aus.
• Im Tab Outbound-Einstellungen :
  • Verbindungsmethode: Ziel-IP-Adresse auswählen.
  • IP-Adresse: Geben Sie die private Endpunkt-IP-Adresse des OCI Object Storage ein, die Sie zuvor aufgezeichnet haben.
  • Quelle-NAT-Virtuelles Netzwerk: Wählen Sie das VNet aus, das Ihr Azure VPN Gateway enthält.
  • Quell-NAT-Subnetz: Wählen Sie das Subnetz mit VPN-Verbindung zum OCI aus.
  • Private IP-Adresseinstellungen: Konfigurieren Sie mindestens 2 NAT-IPs (gerade Anzahl erforderlich).
• Im Reiter Zugriffssicherheit : Wählen Sie die entsprechende Sichtbarkeitseinstellung aus (rollenbasierte Zugriffskontrolle ist am restriktivsten).
• Klicken Sie auf Überprüfen + erstellen.

Erstellen und Genehmigen privater Verbindungen

Erstellen Sie nach dem Erstellen der PLS Direct Connect-Ressource eine private Verbindung in Storage Mover, und genehmigen Sie sie vor der Verwendung.

Erstellen einer privaten Verbindung

1. Navigieren Sie im Azure-Portal zu Ihrer Storage Mover-Ressource.
2. Wählen Sie unter RessourcenverwaltungSpeicher-Endpunkte aus.
3. Wählen Sie den Reiter Private Connections (Vorschau).
4. Wählen Sie Private Verbindungen hinzufügen aus.
5. Geben Sie einen Namen für die private Verbindung ein.
6. Wählen Sie die von Ihnen erstellte Private Link Service Direct Connect-Ressource aus.
7. Wählen Sie "Erstellen" aus. Die Bereitstellung dauert 20 bis 30 Sekunden. Aktualisieren Sie, um die Verbindung im Raster anzuzeigen.

Genehmigen der privaten Verbindung

1. Aktivieren Sie das Kontrollkästchen neben ihrer neu erstellten privaten Verbindung.
2. Wählen Sie Genehmigen aus.
3. Warte, bis sich der Status der Private-Link-Service-Verbindung auf Genehmigt ändert.

Erstellen Sie einen Migrationsauftrag mit privaten Verbindungen

Grundlagen-Tab

• Quell-Endpunkt: Wählen Sie einen bestehenden OCI S3-kompatiblen Quell-Endpunkt oder wählen Sie " Quell-Endpunkt hinzufügen ", um einen zu erstellen.
• Ziel-Endpunkt: Wählen Sie einen bestehenden Azure Blob Storage-Ziel-Endpunkt oder wählen Sie Ziel-Endpunkt hinzufügen.
• Im Bereich Private Verbindungen (Vorschau) wählen Sie " Hinzufügen zur Verknüpfung genehmigter privater Verbindungen" mit diesem Job. Sie können mehrere private Verbindungen zum Lastenausgleich verknüpfen.
• Die verbleibenden Auftragsschritte sind identisch mit denen bei einer öffentlichen OCI-zu-Blob-Migration.

Troubleshooting

Konnektivität und IP-Adressierung

• Verifizieren Sie die Ziel-IP in Azure PLS: Stellen Sie sicher, dass PLS Direct Connect auf die private Endpunktadresse Ihres OCI Object Storage zeigt. Eine Fehlanpassung verhindert die Konnektivität.
• Netzwerkpfad validieren: Bestätigen Sie, dass die OCI Site-to-Site-VPN-Tunnel (oder FastConnect Virtual Circuit) einen Up-Status in der OCI-Konsole anzeigen.
• Überprüfen Sie das Routing: Bestätigen Sie, dass die DRG-BGP-Sitzungen eingerichtet sind und Ihre VCN-Subnetze (einschließlich des privaten Endpunkts-Subnetzes) an Azure angekündigt werden.
• Überprüfen Sie den privaten Endpunkt: Bestätigen Sie, dass der private Endpunkt des OCI Object Storage aktiv ist und auf die erwartete private IP aufgelöst wird.
• Überprüfen Sie die Ausrichtung der Region: PLS Direct Connect und Storage Mover müssen sich in derselben Azure-Region befinden.

Authentication

• Überprüfen Sie, ob der Access Key und der Secret Key (OCI Customer Secret Keys) in Azure Key Vault aktiv und korrekt sind.
• Vergewissern Sie sich, dass die verwaltete Identität des Quellendpunkts für Ihren Key Vault über die Key Vault Secrets User-Rolle verfügt.
• Bestätigen Sie, dass der OCI-Benutzer oder die Gruppe über eine IAM-Richtlinie verfügt, die Lesezugriff auf die Ziel-Buckets und -Objekte gewährt.
• Wenn die Initialisierung des S3-Clients fehlschlägt, verwenden Sie URLs im Pfadstil für Buckets, deren Namen _ oder . enthalten.

Bekannte Grenzwerte

• Höchstens 10 private Verbindungen pro Abonnement und Region (Genehmigt + Ausstehend + Getrennt insgesamt).
• PLS Direct Connect muss in derselben Region wie die Storage Mover-Ressource konfiguriert werden.
• Für den OCI-Quelltyp ist keine Zeitplanung verfügbar. Aufträge müssen manuell ausgeführt werden.
• Jeder Migrationsauftrag unterstützt die Übertragung von bis zu 500 Millionen Objekten.
• Nur HTTPS-Zugriff auf die S3-kompatible Quelle wird unterstützt.
• Die S3-kompatible Quelle muss die AWS Signature Version 4 (SigV4)-Authentifizierung unterstützen.
• Buckets mit DNS-inkompatiblen Namen (_, .) müssen URLs im Pfadstil verwenden.
• Kundengeheimschlüssel pro OCI-Nutzer unterliegen OCI-Servicebeschränkungen (Standard ist niedrig; bei Bedarf eine Erhöhung anfordern). Überprüfen Sie das aktuelle Limit in der OCI-Konsole.

Leistung

Die folgenden Benchmarks wurden mit Azure VPN Gateway mit mehreren IPsec-Tunneln in Kombination mit Storage Mover-Privatverbindungen gemessen. Der tatsächliche Durchsatz hängt von deinen VCN-, VPN-/FastConnect- und Objektspeichergrenzen ab.

Azure unterstützt mehrere Möglichkeiten zum Herstellen einer Verbindung mit privaten Netzwerken. Der beste Ansatz hängt von Ihren Anforderungen für Latenz, Bandbreite, Sicherheit, Kosten und Betriebskomplexität ab.

• Azure ExpressRoute – Private, dedizierte Konnektivität, die das öffentliche Internet nicht durchläuft.
• Standort-zu-Standort-IPsec-VPN – Verschlüsselte Tunnel über das öffentliche Internet (in der Regel mit Azure VPN-Gateway).
• SD-WAN über Network Virtual Appliances (NVAs) – Drittanbieter-Appliances bieten VPN- und Firewall-Funktionen und können Tunnel anstelle nativer Gateways terminieren.

Im Allgemeinen wird ExpressRoute für die höchste Bandbreite und niedrigste Latenz bevorzugt. Wenn ExpressRoute nicht verfügbar ist, verwenden Sie standortbasiertes VPN oder ein SD-WAN/NVA-basiertes Design.

Wichtige Konzepte

ExpressRoute: Private Verbindung zu Azure über einen Konnektivitätsanbieter. Typischerweise für vorhersehbare Latenz und höheren Durchsatz verwendet.

Azure VPN Gateway SKU: Die Gateway-Größe/SKU beeinflusst die Tunnelzählung und den Durchsatz. Wählen Sie nach benötigter Bandbreite und Resilienz.

IPsec/IKE-Politik: Kryptografische Algorithmen und Parameter, die zur Einrichtung und Sicherung von VPN-Tunneln verwendet werden, wie AES- und SHA-Familien, DH- und PFS-Gruppen.

BGP (Border Gateway Protocol): Dynamisches Routing, das Präfixe zwischen Netzwerken austauscht. Wird häufig bei aktiven/aktiven Tunneln und beim Routen-Failover verwendet.

Network Virtual Appliance (NVA): Ein virtuelles Netzwerkgerät von Drittanbietern, wie eine Firewall oder SD-WAN, das in Azure installiert wird. Wird häufig für erweiterte Inspektion, Richtlinien und Routing verwendet.

UDR (benutzerdefinierte Routen): Benutzerdefinierte Routen in Azure, die den Datenverkehr zu einem bestimmten nächsten Sprung, wie einem NVA, leiten.

Azure Private Link Service Direct Connect: Azure-Fähigkeit, ausgehende private Verbindungen zu einer Ziel-IP, wie z. B. einer AWS VPCE IP, für Dienste wie Storage Mover-Privatverbindungen herzustellen.

Die Genehmigung privater Verbindungen: Private Verbindungen benötigen möglicherweise eine ausdrückliche Genehmigung, bevor Workloads oder Jobs sie nutzen dürfen.

Wann jede Option verwendet werden soll

ExpressRoute: Wählen Sie aus, wann vorhersehbare Leistung, private Konnektivität und höherer Durchsatz für Hybridkonnektivität erforderlich sind.

Site-to-Site-VPN: Wählen Sie eine schnellere Einrichtung, niedrigere Kosten oder als Backup-Pfad. Die Leistung hängt von den Internetbedingungen und der Gateway-SKU ab.

SD-WAN/NVAs: Wählen Sie aus, wann Sie herstellerspezifisches Routing, Sicherheitsüberprüfung oder ein vorhandenes SD-WAN Betriebsmodell benötigen.

Konnektivitätsoptionen in Azure

ExpressRoute

Weitere Informationen:ExpressRoute-Dokumentation

Routing: BGP wird häufig über private Schaltkreise verwendet, um Präfixe zwischen Azure und Ihrem Netzwerk auszutauschen.

Konnektivitätsanbieter: Typischerweise stellt man ExpressRoute über einen Colocation- oder Konnektivitätsanbieter wie Equinix oder Megaport bereit.

Standort-zu-Standort-IPsec-VPN (Azure VPN-Gateway)

Übersicht: Verwenden Sie das Azure VPN-Gateway für verschlüsselte IPsec-Tunnel vor Ort über das öffentliche Internet. Für einen höheren Durchsatz und eine bessere Ausfallsicherheit wählen Sie eine geeignete Gateway-SKU, z. B. Generation2- und zonenredundante SKUs, sofern verfügbar.

Weitere Informationen:Lernprogramm – Erstellen einer S2S-VPN-Verbindung

Routing: Verwenden Sie BGP, um Routen auszutauschen und aktive/aktive Tunnel über mehrere Verbindungen zu unterstützen.

Implementierungstipps (VPN-Leistung)

Beispiele für benutzerdefinierte IPsec/IKE-Einstellungen (überprüfen Sie die Gerätekompatibilität): GCMAES256 für IPsec-Verschlüsselung und -Integrität, SHA256 für IKE-Integrität, DHGroup14PFS2048.

Erfahren Sie mehr:Konfigurieren Sie benutzerdefinierte IPsec/IKE-Verbindungsrichtlinien.

SD-WAN mit virtuellen Netzwerkgeräten (NVAs)

SD-WAN und Firewall-NVAs können VPN-Tunnel beenden, Inspektionen durchführen und zentrale Routing- und Sicherheitsrichtlinien anwenden. Dieser Ansatz ist nützlich, wenn Sie herstellerspezifische Funktionen benötigen oder bereits eine SD-WAN Plattform auf allen Websites betreiben.

Fortinet: FortiGate Firewall der nächsten Generation

Cisco: Catalyst SD-WAN, Meraki SD-WAN

HPE (Aruba Networks): EdgeConnect SD-WAN

Palo Alto Netzwerke: Prisma SD-WAN

Arista (VMware): VeloCloud SD-WAN Virtual Edge

SD-WAN NVAs werden häufig als Pay-as-you-go (PAYG) oder Bring-Your-Own-License (BYOL) lizenziert. Die Anbieterunterstützung variiert je nach Bereitstellungsoption.

Beispiel für eine Implementierung (FortiGate NVA in Azure)

Wählen Sie eine Topologie (einzelne VM, aktiv/passiv oder aktiv/aktiv) basierend auf Verfügbarkeits- und Durchsatzanforderungen aus.

Wählen Sie eine geeignete VM-Größe (häufig F oder D-Serie mit höherer vCPU) aus, und aktivieren Sie beschleunigte Netzwerke , sofern unterstützt.

Netzwerkentwurf: Platzieren von Schnittstellen in WAN/LAN (und geschützten) Subnetzen und Konfigurieren von NSG-Regeln für erforderliche Verwaltungs- und VPN-Ports (z. B. UDP 500/4500 für IPsec).

Routing: Verwenden Sie UDRs, um Azure-zu-AWS-Präfixe durch den nächsten NVA-Hop zu steuern.

Dokumentation des Herstellers: Beispielschritte zum Konfigurieren von IPsec zwischen FortiGate-Geräten finden Sie im folgenden Fortinet Community-Artikel.

Konfigurieren von VPN-Standort-zu-Standort zwischen FortiGate-Geräten (Fortinet Community)

Überlegungen zu Sicherheitsgruppen

Erlauben Sie erforderlichen Datenverkehr von On-Premise-Quellpräfixen zum Azure-virtuellen Netzwerk (VNet) unter Verwendung des Prinzips der geringsten Privilegien.

Azure-Konfiguration für Private Link Service Direct Connect

Erstellen der Private Link Service Direct Connect-Ressource

Private Link Service Direct Connect ermöglicht es Azure, ausgehende private Verbindungen zu einer Ziel-IP-Adresse herzustellen. In diesem Szenario ermöglicht es den privaten Storage Mover-Verbindungen, über Ihren etablierten Azure-VNet-Pfad einen lokalen Endpunkt zu erreichen.

1. Stellen Sie die PLS Direct Connect Ressource in derselben Azure-Region bereit wie die Storage Mover-Ressource und das virtuelle Azure-Netzwerk, das zur Erreichbarkeit Ihrer lokalen Daten verwendet wird.
2. Aktivieren Sie die Funktion im Azure-Portal über die bereitgestellte Flugverbindung: Azure Portal Flugverbindung (PLS Direct Connect).
3. Stellen Sie sicher, dass das für Quell-NAT ausgewählte Azure-VNet und Subnetz eine Verbindung zur Quell-Zieladresse haben.

Hochrangige Schritte

1. Erstellen Sie die Ressource Private Link Service (Your Service) für Direct Connect in der richtigen Region.
2. Ausgehende Einstellungen konfigurieren:
3. Stellen Sie die Verbindungsmethode auf die Ziel-IP-Adresse ein und geben Sie die Quell-Zieladresse ein.
4. Wählen Sie das virtuelle Quell-NAT-Netzwerk und Subnetz aus, das zu Ihrer Dateifreigabe routen kann.
5. Konfigurieren Sie die Einstellungen für private IP-Adressen nach Bedarf für die Ausfallsicherheit, z. B. zwei oder mehr Adressen in unterstützten Abstufungen.

Erstellen und Genehmigen privater Verbindungen

Erstellen Sie nach dem Erstellen der Direct Connect-Ressource eine private Verbindung in Storage Mover, und genehmigen Sie sie vor der Verwendung.

1. Öffnen Sie in Storage MoverStorage Endpoints und dann die Registerkarte Private Connections.
2. Erstellen Sie eine private Verbindung, die auf den Direct Connect Private Link-Service verweist, und genehmigen Sie diese dann, damit sie mit Jobs verknüpft werden kann.
3. Verwenden Sie die zuvor eingerichtete private Verbindung als Teil des Job erstellen-Vorgangs für Ihren SMB-Migrationsworkload.
4. Wählen Sie den Migrationstyp und die Quelltypwerte, die dem agentenlosen SMB-Mount in Ihrem Tenant entsprechen.
5. Konfigurieren Sie den SMB-Quellendpunkt (Host/Share- und Key Vault-Zugangsdaten) und verknüpfen Sie die genehmigte private Verbindung.
6. Überprüfen Sie, ob die private Verbindung aufgelistet und im Status "Genehmigt" angezeigt wird.
7. Schließen Sie die verbleibenden Job-Konfigurationen ab und führen Schritte wie dokumentiert für SMB-zu-Azure-Zielmigrationen aus.

Troubleshooting

Konnektivität und IP-Adressierung

• Überprüfen Sie die Ziel-IP in Azure PLS: Stellen Sie sicher, dass die Azure Private Link Service Direct die Ziel-IP auf den korrekt erreichbaren Server vor Ort zeigt. Ein Konflikt hier verhindert den anfänglichen Handshake.
• Netzwerkpfad validieren: Bestätigen Sie, dass die zugrunde liegende Netzwerkinfrastruktur (z. B. VPN, ExpressRoute oder Cloud Interconnect) eingerichtet ist und der Datenverkehr korrekt zwischen der Azure-Umgebung und dem lokalen Netzwerk geleitet wird.
• Überprüfen Sie die Virtual Network-Konfigurationen: Überprüfen Sie das Virtual Network und, falls zutreffend, die Konfiguration des Netzwerkgateways, um sicherzustellen, dass es aktiv ist und mit den richtigen Subnetzen und Sicherheitsgruppen verknüpft ist.

On-Premises-Netzwerkkonfiguration

Netzwerkverkehr über erforderliche Ports erlauben: Überprüfen Sie, ob die Firewall-Einstellungen den eingehenden Netzwerkverkehr über erforderliche Ports (Port 445 für SMB und Port 443 für S3- und HTTPS-Datenverkehr) aus dem Azure-virtuellen Netzwerk erlauben.

Limits

• Kunden können bis zu 10 private Verbindungen pro Region konfigurieren. Dazu gehört der Status einer privaten Verbindung mit den Status „Genehmigt“, „Ausstehend“ und „Getrennt“.
• Du solltest PLS Direct in derselben Region wie die Storage Mover-Ressource konfigurieren.

Leistung

• Lesen Sie die ExpressRoute-Konzepte und -Planung in der ExpressRoute-Dokumentation.
• Erstellen Sie eine Standort-zu-Standort-VPN-Verbindung in Azure: Tutorial – Erstellen einer S2S-VPN-Verbindung.
• Folgen Sie für BGP zwischen Azure und AWS: Tutorial – Konfigurieren einer BGP-fähigen Verbindung zwischen Azure und AWS.

• Erste Schritte mit gcS S3-kompatibler Quellmigration
• Erstellen von HA VPN zum Azure
• Private Service Connect

Wir brauchen einige "Next Step"-Links für die Oracle-Migration.

• Migrieren von Daten aus lokalem SMB zu Azure Files mit Azure Storage Mover (Vorschau)
• Daten mit privaten Verbindungen in Azure Storage Mover migrieren
• Azure Storage Mover-Netzwerkanforderungen