Konfigurieren der DNS-Weiterleitung für Azure-Dateien mithilfe von VMs oder azure DNS Private Resolver

✔️ Gilt für: Klassische SMB- und NFS-Dateifreigaben, die mit dem Microsoft.Storage Ressourcenanbieter erstellt wurden

✖️ Gilt nicht für: Dateifreigaben, die mit dem Microsoft.FileShares-Ressourcenanbieter erstellt wurden

Mit Azure Files können Sie private Endpunkte für die Speicherkonten erstellen, die Ihre Dateifreigaben enthalten. Private Endpunkte können für viele unterschiedliche Anwendungsarten genutzt werden. Sie sind aber besonders nützlich, um aus Ihrem lokalen Netzwerk eine Verbindung mit Ihren Azure-Dateifreigaben herzustellen, indem eine VPN- oder ExpressRoute-Verbindung mit privatem Peering verwendet wird.

Damit Verbindungen mit Ihrem Speicherkonto über Ihren Netzwerktunnel hergestellt werden können, muss der vollqualifizierte Domänenname (Fully Qualified Domain Name, FQDN) Ihres Speicherkontos in die private IP-Adresse Ihres privaten Endpunkts aufgelöst werden. Um diese Auflösung zu erreichen, müssen Sie das Speicherendpunkt-Suffix (core.windows.netfür öffentliche Cloud-Regionen) an den privaten Azure-DNS-Dienst weiterleiten, der innerhalb Ihres virtuellen Netzwerks zugänglich ist. In diesem Artikel wird gezeigt, wie Sie die DNS-Weiterleitung einrichten und konfigurieren, um eine ordnungsgemäße Auflösung in die IP-Adresse des privaten Endpunkts Ihres Speicherkontos durchzuführen.

Bevor Sie beginnen, lesen Sie Planen einer Azure Files-Bereitstellung und Netzwerküberlegungen für Azure Files.

Wie DNS-Weiterleitung mit Azure Files funktioniert

Azure Files bietet die folgenden Arten von Endpunkten für den Zugriff auf Azure-Dateifreigaben:

  • Öffentliche Endpunkte mit einer öffentlichen IP-Adresse, auf die von jedem Ort der Welt aus zugegriffen werden kann.
  • Private Endpunkte, die in einem virtuellen Netzwerk vorhanden sind und eine private IP-Adresse im Adressraum des virtuellen Netzwerks aufweisen.
  • Dienstendpunkte, die den Zugriff auf den öffentlichen Endpunkt auf bestimmte virtuelle Netzwerke beschränken. Sie greifen weiterhin über die öffentliche IP-Adresse auf das Speicherkonto zu, aber der Zugriff ist nur von den Speicherorten möglich, die Sie in Ihrer Konfiguration angeben.

Öffentliche und private Endpunkte befinden sich unter dem Azure-Speicherkonto. Ein Speicherkonto ist ein Verwaltungskonstrukt, das einen gemeinsam genutzten Pool mit Speicherplatz darstellt, in dem Sie mehrere Dateifreigaben sowie weitere Speicherressourcen wie Blobcontainer oder Warteschlangen bereitstellen können.

Jedes Speicherkonto verfügt über einen vollqualifizierten Domänennamen (FQDN). Für die öffentlichen Cloudregionen folgt dieser FQDN dem Muster storageaccount.file.core.windows.net , bei dem storageaccount es sich um den Namen des Speicherkontos handelt. Wenn Sie für diesen Namen Anforderungen senden, z. B. zum Bereitstellen der Freigabe auf Ihrer Arbeitsstation, wird von Ihrem Betriebssystem eine DNS-Suche durchgeführt, um den vollqualifizierten Domänennamen in eine IP-Adresse aufzulösen.

Standardmäßig wird storageaccount.file.core.windows.net in die IP-Adresse des öffentlichen Endpunkts aufgelöst. Der öffentliche Endpunkt für ein Speicherkonto wird auf einem Azure-Speichercluster gehostet, der viele öffentliche Endpunkte von Speicherkonten hostet. Wenn Sie einen privaten Endpunkt erstellen, wird eine private DNS-Zone mit dem virtuellen Netzwerk verknüpft, dem sie hinzugefügt wurde, mit einem CNAME-Eintrag storageaccount.file.core.windows.net , der einem A-Eintrag für die private IP-Adresse des privaten Endpunkts Ihres Speicherkontos zugeordnet ist. Auf diese Weise können Sie den FQDN storageaccount.file.core.windows.net im virtuellen Netzwerk verwenden und erreichen, dass er in die IP-Adresse des privaten Endpunkts aufgelöst wird.

Da unser oberstes Ziel darin besteht, über einen Netzwerktunnel wie eine VPN- oder ExpressRoute-Verbindung auf die im Speicherkonto gehosteten Azure-Dateifreigaben zuzugreifen, müssen Sie Ihre lokalen DNS-Server so konfigurieren, dass Anforderungen an den Azure Files-Dienst an den privaten Azure-DNS-Dienst weitergeleitet werden.

Sie können die DNS-Weiterleitung auf eine von zwei Arten konfigurieren:

  • Verwenden Sie DNS-Server-VMs: Richten Sie die bedingte Weiterleitung (*.core.windows.net oder das entsprechende Speicherendpunktsuffix für die US-Regierung, Deutschland oder China-spezifische Clouds) an eine virtuelle DNS-Server-VM ein, die in Ihrem virtuellen Azure-Netzwerk gehostet wird. Dieser DNS-Server leitet dann die Anforderung rekursiv an Azure's privaten DNS-Dienst weiter, der den FQDN (Fully Qualified Domain Name) des Speicherkontos zur entsprechenden privaten IP-Adresse auflöst. Dies ist ein einmaliger Schritt für alle Azure-Dateifreigaben, die in Ihrem virtuellen Netzwerk gehostet werden.

  • Azure DNS Private Resolver verwenden: Wenn Sie keinen VM-basierten DNS-Server bereitstellen möchten, können Sie dieselbe Aufgabe mit Azure DNS Private Resolver ausführen.

Zusätzlich zu Azure Files werden DNS-Namensauflösungsanforderungen für andere Azure-Speicherdienste (Azure Blob Storage, Azure Table Storage, Azure Queue Storage usw.) an den privaten DNS-Dienst von Azure weitergeleitet. Sie können bei Bedarf weitere Endpunkte für andere Azure-Dienste hinzufügen.

Voraussetzungen

Bevor Sie die DNS-Weiterleitung an Azure Files einrichten können, benötigen Sie Folgendes:

Konfigurieren der DNS-Weiterleitung mithilfe von VMs

Wenn Sie bereits DNS-Server in Ihrem virtuellen Azure-Netzwerk haben oder Ihre eigenen DNS-Server-VMs bereitstellen möchten, indem Sie die von Ihrer Organisation verwendete Methodik nutzen, können Sie DNS mit den integrierten DNS-Server PowerShell-Cmdlets konfigurieren.

Diagramm mit der Netzwerktopologie zum Konfigurieren der D N S-Weiterleitung mithilfe virtueller Computer in Azure.

Von Bedeutung

Dieser Artikel geht davon aus, dass Sie den DNS-Server innerhalb von Windows Server in Ihrer lokalen Umgebung verwenden. Sie können alle hier beschriebenen Schritte mit jedem beliebigen DNS-Server ausführen, nicht nur dem Windows-DNS-Server.

Erstellen Sie auf Ihren lokalen DNS-Servern eine bedingte Weiterleitung mithilfe von Add-DnsServerConditionalForwarderZone. Diese bedingte Weiterleitung muss auf allen lokalen DNS-Servern bereitgestellt werden, damit der Datenverkehr ordnungsgemäß an Azure weitergeleitet wird. Denken Sie daran, die <azure-dns-server-ip> Einträge durch die entsprechenden IP-Adressen für Ihre Umgebung zu ersetzen.

$vnetDnsServers = "<azure-dns-server-ip>", "<azure-dns-server-ip>"

$storageAccountEndpoint = Get-AzContext | `
    Select-Object -ExpandProperty Environment | `
    Select-Object -ExpandProperty StorageEndpointSuffix

Add-DnsServerConditionalForwarderZone `
        -Name $storageAccountEndpoint `
        -MasterServers $vnetDnsServers

Auf den DNS-Servern in Ihrem virtuellen Azure-Netzwerk müssen Sie auch eine Weiterleitung einrichten, sodass Anforderungen für die DNS-Zone des Speicherkontos an den privaten Azure-DNS-Dienst weitergeleitet werden, der von der reservierten IP-Adresse 168.63.129.16vorgeführt wird. (Denken Sie daran, $storageAccountEndpoint zu befüllen, wenn Sie die Befehle in einer anderen PowerShell-Sitzung ausführen.)

Add-DnsServerConditionalForwarderZone `
        -Name $storageAccountEndpoint `
        -MasterServers "168.63.129.16"

Konfigurieren der DNS-Weiterleitung mithilfe von Azure DNS Private Resolver

Wenn Sie dns-Server-VMs lieber nicht bereitstellen möchten, können Sie dieselbe Aufgabe mit Azure DNS Private Resolver ausführen. Siehe Erstellen eines azure DNS Private Resolver mithilfe des Azure-Portals.

Diagramm mit der Netzwerktopologie zum Konfigurieren der D N S-Weiterleitung mit Azure D N S Private Resolver.

Es gibt keinen Unterschied bei der Konfiguration Ihrer lokalen DNS-Server, außer dass Sie nicht auf die IP-Adressen der DNS-Server in Azure verweisen, sondern auf die IP-Adresse des eingehenden Endpunkts des Resolvers. Der Resolver erfordert keine Konfiguration, da abfragen standardmäßig an den privaten Azure-DNS-Server weitergeleitet werden. Wenn eine private DNS-Zone mit dem VNet verknüpft ist, in dem der Resolver bereitgestellt wird, kann der Resolver mit Einträgen aus dieser DNS-Zone antworten.

Warnung

Beim Konfigurieren von Weiterleitungen für die zone core.windows.net werden alle Abfragen für diese öffentliche Domäne an Ihre Azure DNS-Infrastruktur weitergeleitet. Dies verursacht ein Problem, wenn Sie versuchen, auf ein Speicherkonto eines anderen Mandanten zuzugreifen, der mit privaten Endpunkten konfiguriert wurde, da Azure DNS die Abfrage für den öffentlichen Speicherkontonamen mit einem CNAME beantwortet, der in Ihrer privaten DNS-Zone nicht vorhanden ist. Eine Problemumgehung für dieses Problem besteht darin, einen mandantenübergreifenden privaten Endpunkt in Ihrer Umgebung zu erstellen, um eine Verbindung mit diesem Speicherkonto herzustellen.

Um die DNS-Weiterleitung mit Azure DNS Private Resolver zu konfigurieren, führen Sie dieses Skript auf Ihren lokalen DNS-Servern aus. Ersetzen Sie <resolver-ip> durch die IP-Adresse des eingehenden Endpunkts des Auflösers.

$privateResolver = "<resolver-ip>"

$storageAccountEndpoint = Get-AzContext | `
    Select-Object -ExpandProperty Environment | `
    Select-Object -ExpandProperty StorageEndpointSuffix

Add-DnsServerConditionalForwarderZone `
        -Name $storageAccountEndpoint `
        -MasterServers $privateResolver

Überprüfen Sie, ob die DNS-Weiterleitung funktioniert

Bevor Sie testen, ob die DNS-Weiterleitungen funktionieren, löschen Sie den DNS-Cache auf Ihrem lokalen Arbeitsplatz mit Clear-DnsClientCache. Um zu testen, ob Sie den FQDN Ihres Speicherkontos erfolgreich auflösen können, verwenden Resolve-DnsName oder nslookup.

# Replace storageaccount.file.core.windows.net with the appropriate FQDN for your storage account.
# Note that the proper suffix (core.windows.net) depends on the cloud you're deployed in.
Resolve-DnsName -Name storageaccount.file.core.windows.net

Wenn die Namensauflösung erfolgreich ist, entspricht die gelöste IP-Adresse der privaten IP-Adresse des privaten Endpunkts Ihres Speicherkontos.

Name                              Type   TTL   Section    NameHost
----                              ----   ---   -------    --------
storageaccount.file.core.windows. CNAME  29    Answer     storageaccount.privatelink.file.core.windows.net
net

Name       : storageaccount.privatelink.file.core.windows.net
QueryType  : A
TTL        : 1769
Section    : Answer
IP4Address : 192.168.0.4

Wenn Sie eine SMB-Dateifreigabe einbinden, können Sie auch den Test-NetConnection-Befehl verwenden, um zu überprüfen, ob eine TCP-Verbindung mit Ihrem Speicherkonto erfolgreich hergestellt werden kann.

Test-NetConnection -ComputerName storageaccount.file.core.windows.net -CommonTCPPort SMB

Siehe auch

  • Last updated on