Azure File Sync Proxy et paramètres du pare-feu

Azure File Sync connecte vos serveurs sur site à Azure Files, permettant ainsi la synchronisation multisite et les fonctionnalités de tiering cloud. Ainsi, un serveur sur site doit être connecté à Internet. Un administrateur informatique doit décider du meilleur chemin pour que le serveur puisse accéder aux services cloud Azure.

Cet article offre un aperçu des exigences spécifiques et des options disponibles pour connecter efficacement et en toute sécurité votre serveur à Azure File Sync.

Avant de lire ce guide pratique, examinez les considérations sur Azure File Sync sur le réseau.

Présentation du réseau Azure File Sync

Azure File Sync agit comme un service d’orchestration entre votre Windows Server, votre partage de fichiers Azure et plusieurs autres services Azure pour synchroniser les données telles que décrites dans votre groupe de synchronisation. Pour que Azure File Sync fonctionne correctement, vous devrez configurer vos serveurs pour communiquer avec les services Azure suivants :

• stockage Azure
• Azure File Sync
• Azure Resource Manager
• Services d’authentification

Ports requis pour Azure File Sync

Azure File Sync déplace exclusivement les données et métadonnées des fichiers via HTTPS et nécessite que le port 443 soit ouvert en sortie. Par conséquent, tout le trafic est chiffré.

Réseaux et connexions spéciales vers Azure

L’agent Azure File Sync n’a aucune exigence concernant des canaux spéciaux comme ExpressRoute, etc. vers Azure.

Azure File Sync fonctionne par tous les moyens disponibles permettant d’accéder à Azure. Il s’adapte automatiquement aux caractéristiques du réseau comme la bande passante et la latence, et offre un contrôle administrateur pour les réglages fins.

Paramètres du proxy Azure File Sync

Azure File Sync prend en charge les paramètres de proxy au niveau des ordinateurs et relatifs à l’application.

Paramètres de proxy spécifiques à l’application

Les paramètres proxy spécifiques à l’application permettent la configuration d’un proxy spécifiquement pour le trafic Azure File Sync. Les paramètres proxy spécifiques à l’application sont pris en charge sur la version 4.0.1.0 ou ultérieure de l’agent et peuvent être configurés lors de l’installation de l’agent ou en utilisant le Set-StorageSyncProxyConfiguration cmdlet PowerShell. Utilisez le Get-StorageSyncProxyConfiguration cmdlet pour renvoyer tous les paramètres de proxy actuellement configurés. Un résultat vide indique qu’aucun réglage proxy n’est configuré. Pour supprimer la configuration proxy existante, utilisez le Remove-StorageSyncProxyConfiguration cmdlet.

Commandes PowerShell pour configurer les paramètres de proxy spécifiques à l’application :

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"
Set-StorageSyncProxyConfiguration -Address <url> -Port <port number> -ProxyCredential <credentials>

Par exemple, si votre serveur proxy requiert une authentification avec un nom d’utilisateur et un mot de passe, exécutez les commandes PowerShell suivantes :

# IP address or name of the proxy server.
$Address="http://127.0.0.1"

# The port to use for the connection to the proxy.
$Port=8080

# The user name for a proxy.
$UserName="user_name"

# Please type or paste a string with a password for the proxy.
$SecurePassword = Read-Host -AsSecureString

$Creds = New-Object System.Management.Automation.PSCredential ($UserName, $SecurePassword)

# Please verify that you have entered the password correctly.
Write-Host $Creds.GetNetworkCredential().Password

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"

Set-StorageSyncProxyConfiguration -Address $Address -Port $Port -ProxyCredential $Creds

Paramètres de proxy au niveau de la machine

Les paramètres du proxy à l’échelle de la machine sont transparents pour l’agent Azure File Sync car tout le trafic du serveur est acheminé via le proxy.

Pour configurer les paramètres du proxy à l’échelle de la machine, suivez ces étapes :

1. Configurer les paramètres de proxy pour les applications .NET

   • Modifiez ces deux fichiers :
     C :\Windows\Microsoft.NET\Framework64\v4.0.30319\Config\machine.config
     C :\Windows\Microsoft.NET\Framework\v4.0.30319\Config\machine.config

   • Ajoutez la <section system.net> dans les fichiers machine.config (sous la <section system.serviceModel> ). Remplacez 127.0.01:8888 par l’adresse IP et le port du serveur proxy.

     <system.net>
        <defaultProxy enabled="true" useDefaultCredentials="true">
          <proxy autoDetect="false" bypassonlocal="false" proxyaddress="http://127.0.0.1:8888" usesystemdefault="false" />
        </defaultProxy>
     </system.net>
     

2. Définir les paramètres de proxy WinHTTP

   Note

   Pour configurer un Windows Server afin d’utiliser un serveur proxy, vous pouvez utiliser plusieurs méthodes, notamment WPAD, fichier PAC, netsh, et d’autres. Les étapes de cet article expliquent comment configurer les paramètres du proxy en utilisant netsh. Cependant, vous pouvez utiliser n’importe quelle méthode listée dans les paramètres Configurer le serveur proxy dans la documentation Windows.

   • Exécutez la commande suivante depuis une invite de commande élevée ou PowerShell pour voir le paramètre proxy existant :

     netsh winhttp show proxy

   • Exécutez la commande suivante depuis une invite de commande élevée ou PowerShell pour définir le paramètre du proxy (changez 127.0.01:8888 vers l’adresse IP et le port du serveur proxy) :

     netsh winhttp set proxy 127.0.0.1:8888

3. Redémarrez le service Storage Sync Agent en exécutant la commande suivante depuis une invite de commande élevée ou PowerShell :

   net stop filesyncsvc

   Note

   Le service Storage Sync Agent (filesyncsvc) démarre automatiquement après son arrêt.

Paramètres du pare-feu Azure File Sync

Comme mentionné dans une section précédente, il faut ouvrir le port 443 sortant. En fonction des politiques de votre centre de données, branche ou région, vous pourriez devoir restreindre davantage le trafic sur ce port à des domaines spécifiques.

Le tableau suivant décrit les domaines requis pour la communication :

Le tableau suivant décrit à quoi sert chaque point d’extrémité :

Si *.afs.azure.net ou* .one.microsoft.com est trop vaste, vous pouvez limiter les communications du serveur aux seules instances régionales explicites du service Azure Files Sync. Les instances à définir dépendent de la région du service de synchronisation de stockage où vous avez déployé et inscrit le serveur. Cette région est appelée « URL de point de terminaison principal » dans le tableau ci-dessous.

Pour des raisons de continuité d’activité et de reprise après sinistre (BCDR), vous pouvez créer vos partages de fichiers Azure dans un compte de stockage configuré pour un stockage géo-redondant (GRS). Si vous choisissez cette option, vos partages de fichiers Azure basculent vers la région appariée en cas de panne régionale durable. Azure File Sync utilise les mêmes paires régionales que le stockage. Donc, si vous utilisez des comptes de stockage GRS, vous devez autoriser des URL supplémentaires pour permettre à votre serveur de communiquer avec la région jumelée pour Azure File Sync. Le tableau suivant désigne cela par « Région jumelée ». De plus, il y a une URL de profil du gestionnaire de trafic que vous devez activer également. Cette URL garantit que le trafic réseau peut être redirigé de manière transparente vers la région jumelée en cas de basculement et est désignée sous le nom d’« URL de découverte » dans le tableau.

Cloud public

• Si vous utilisez un compte de stockage configuré pour un stockage localement redondant (LRS) ou un stockage en zone redondant (ZRS), vous n’avez qu’à activer l’URL indiquée sous « URL principale du point de terminaison ».
• Si vous utilisez un compte de stockage configuré pour GRS, activez les trois URL suivantes : l’URL du point de terminaison principal pour votre région, l’URL du point de terminaison principal pour la région appariée et l’URL de découverte pour votre région.

Exemple : Vous déployez un service de synchronisation de stockage et "West US" enregistrez votre serveur avec celui-ci. Les URL avec lesquelles le serveur peut communiquer dans ce cas sont les suivantes :

• https://westus01.afs.azure.net (point de terminaison principal : USA Ouest)
• https://eastus01.afs.azure.net (région de basculement jumelée : USA Est)
• https://tm-westus01.afs.azure.net (URL de découverte de la région primaire)

Le tableau suivant liste les points de terminaison pour Azure File Sync dans les régions cloud publiques Azure.

Azure Government

Le tableau suivant répertorie les points de terminaison pour Azure File Sync dans les régions Azure Government.

Microsoft Azure exploité par 21Vianet

Le tableau suivant liste les points d’accès pour Azure File Sync dans Microsoft Azure exploités par 21 régions Vianet.

Liste d’autorisation des adresses IP d’Azure File Sync

Azure File Sync prend en charge l’utilisation d’étiquettes de service, qui représentent un groupe de préfixes d’adresses IP pour un service Azure donné. Vous pouvez utiliser des étiquettes de service pour créer des règles de pare-feu qui permettent la communication avec le service Azure File Sync. Le service tag pour Azure File Sync est StorageSyncService.

Si vous utilisez Azure File Sync dans Azure, vous pouvez utiliser le nom du tag de service directement dans votre groupe de sécurité réseau pour permettre le trafic. Pour en savoir plus sur la manière de procéder, consultez les groupes de sécurité réseau.

Si vous utilisez Azure File Sync sur site, vous pouvez utiliser l'API des balises de service pour obtenir des plages d'adresses IP spécifiques pour la liste d'autorisations de votre pare-feu. Il existe deux méthodes pour obtenir ces informations :

• La liste actuelle des plages d’adresses IP pour tous les services Azure qui prennent en charge les étiquettes de service est publiée chaque semaine dans le centre de téléchargement Microsoft sous la forme d’un document JSON. Chaque Cloud Azure possède son propre document JSON avec les plages d’adresses IP pertinentes pour ce Cloud :
  • Azure public
  • Azure Gouvernement des États-Unis
  • Microsoft Azure géré par 21Vianet
  • Azure Allemagne
• L’API de découverte des balises de service permet la récupération programmatique de la liste actuelle des balises de service. Vous pouvez utiliser l’aire de l’API en fonction de vos préférences d’automatisation :
  • REST API
  • Azure PowerShell
  • Service de contrôle d’accès Azure (CLI)

Comme l'API de découverte des balises de service peut ne pas être mise à jour aussi fréquemment que les documents JSON publiés dans le Centre de téléchargement Microsoft, nous recommandons d'utiliser le document JSON pour mettre à jour la liste d'autorisations de votre pare-feu sur site. Pour cela, procédez comme suit :

# The specific region to get the IP address ranges for. Replace westus2 with the desired region code 
# from Get-AzLocation.
$region = "westus2"

# The service tag for Azure File Sync. Don't change unless you're adapting this
# script for another service.
$serviceTag = "StorageSyncService"

# Download date is the string matching the JSON document on the Download Center. 
$possibleDownloadDates = 0..7 | `
    ForEach-Object { [System.DateTime]::Now.AddDays($_ * -1).ToString("yyyyMMdd") }

# Verify the provided region
$validRegions = Get-AzLocation | `
    Where-Object { $_.Providers -contains "Microsoft.StorageSync" } | `
    Select-Object -ExpandProperty Location

if ($validRegions -notcontains $region) {
    Write-Error `
            -Message "The specified region $region isn't available. Either Azure File Sync isn't deployed there or the region doesn't exist." `
            -ErrorAction Stop
}

# Get the Azure cloud. This should automatically based on the context of 
# your Az PowerShell login, however if you manually need to populate, you can find
# the correct values using Get-AzEnvironment.
$azureCloud = Get-AzContext | `
    Select-Object -ExpandProperty Environment | `
    Select-Object -ExpandProperty Name

# Build the download URI
$downloadUris = @()
switch($azureCloud) {
    "AzureCloud" { 
        $downloadUris = $possibleDownloadDates | ForEach-Object {  
            "https://download.microsoft.com/download/7/1/D/71D86715-5596-4529-9B13-DA13A5DE5B63/ServiceTags_Public_$_.json"
        }
    }

    "AzureUSGovernment" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/6/4/D/64DB03BF-895B-4173-A8B1-BA4AD5D4DF22/ServiceTags_AzureGovernment_$_.json"
        }
    }

    "AzureChinaCloud" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/9/D/0/9D03B7E2-4B80-4BF3-9B91-DA8C7D3EE9F9/ServiceTags_China_$_.json"
        }
    }

    "AzureGermanCloud" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/0/7/6/076274AB-4B0B-4246-A422-4BAF1E03F974/ServiceTags_AzureGermany_$_.json"
        }
    }

    default {
        Write-Error -Message "Unrecognized Azure Cloud: $_" -ErrorAction Stop
    }
}

# Find most recent file
$found = $false 
foreach($downloadUri in $downloadUris) {
    try { $response = Invoke-WebRequest -Uri $downloadUri -UseBasicParsing } catch { }
    if ($response.StatusCode -eq 200) {
        $found = $true
        break
    }
}

if ($found) {
    # Get the raw JSON 
    $content = [System.Text.Encoding]::UTF8.GetString($response.Content)

    # Parse the JSON
    $serviceTags = ConvertFrom-Json -InputObject $content -Depth 100

    # Get the specific $ipAddressRanges
    $ipAddressRanges = $serviceTags | `
        Select-Object -ExpandProperty values | `
        Where-Object { $_.id -eq "$serviceTag.$region" } | `
        Select-Object -ExpandProperty properties | `
        Select-Object -ExpandProperty addressPrefixes
} else {
    # If the file cannot be found, that means there hasn't been an update in
    # more than a week. Please verify the download URIs are still accurate
    # by checking https://learn.microsoft.com/azure/virtual-network/service-tags-overview
    Write-Verbose -Message "JSON service tag file not found."
    return
}

Vous pouvez ensuite utiliser les plages d’adresses IP figurant dans $ipAddressRanges pour mettre à jour votre pare-feu. Pour plus d’informations sur la mise à jour de votre pare-feu, consultez le site web de votre équipement réseau/pare-feu.

Tester la connectivité réseau aux points de terminaison de service

Une fois qu’un serveur est enregistré auprès du service Azure File Sync, le Test-StorageSyncNetworkConnectivity cmdlet et ServerRegistration.exe peuvent être utilisés pour tester les communications avec tous les points de terminaison (URL) spécifiques à ce serveur. Ce cmdlet peut aider à dépanner lorsque des communications incomplètes empêchent le serveur de fonctionner pleinement avec Azure File Sync et il peut être utilisé pour affiner les configurations de proxy et de pare-feu.

Pour exécuter le test de connectivité réseau, exécutez les commandes PowerShell suivantes :

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"
Test-StorageSyncNetworkConnectivity

Si le test échoue, collectez les traces de débogage WinHTTP pour résoudre le problème : netsh trace start scenario=InternetClient_dbg capture=yes overwrite=yes maxsize=1024

Relance le test de connectivité réseau, puis arrête de collecter des traces : netsh trace stop

Mettez le fichier généré NetTrace.etl dans une archive ZIP, ouvrez un dossier de support, et partagez le fichier avec le support.

Résumé des exigences relatives aux pare-feu et proxy

Les listes précédentes dans ce document contiennent les URL avec lesquelles Azure File Sync communique. Les pare-feux doivent autoriser le trafic sortant vers ces domaines. Microsoft s’efforce de maintenir cette liste à jour.

Mettre en place des règles de pare-feu restreindant le domaine peut être une mesure pour améliorer la sécurité. Si ces configurations de pare-feu sont utilisées, gardez à l’esprit que les URL seront ajoutées et pourraient même changer avec le temps. Consultez cet article de temps en temps.

Étapes suivantes

• Planification d’un déploiement de synchronisation de fichiers Azure
• Deploy Azure File Sync
• Surveiller Azure File Sync