Usa Archiviazione di Azure Mover private connections per migrazioni a codice privato

Azure supporta diversi modi per connettersi alle reti private. L'approccio migliore dipende dai requisiti per latenza, larghezza di banda, sicurezza, costi e complessità operativa.

• Azure ExpressRoute : connettività privata e dedicata che non attraversa la rete Internet pubblica.
• VPN IPsec da sito a sito - Tunnel crittografati su Internet pubblico (in genere usando Gateway VPN di Azure).
• SD-WAN tramite appliance virtuali di rete : le appliance di terze parti forniscono funzionalità VPN/firewall e possono terminare i tunnel invece di usare gateway nativi.

In generale, ExpressRoute è preferibile per la larghezza di banda più elevata e la latenza più bassa. Quando ExpressRoute non è disponibile, utilizzare una VPN site-to-site o una progettazione basata su SD-WAN/NVA.

Concetti chiave

ExpressRoute: connettività privata a Azure tramite un provider di connettività; in genere usata per una latenza prevedibile e una velocità effettiva più elevata.

Gateway VPN di Azure SKU: le dimensioni del gateway/SKU influiscono sui conteggi e sulla velocità effettiva del tunnel. Scegliere in base alla larghezza di banda e alla resilienza necessarie.

Criteri IPsec/IKE: algoritmi e parametri crittografici usati per stabilire e proteggere i tunnel VPN (ad esempio, famiglie AES e SHA, gruppi DH/PFS).

BGP (Border Gateway Protocol): routing dinamico che scambia prefissi tra reti; comunemente usato per tunnel attivi/attivi e failover del percorso.

Network virtual appliance (NVA): un dispositivo virtual network di terze parti (ad esempio firewall/SD-WAN) distribuito in Azure; spesso usato per l'ispezione avanzata, i criteri e il routing.

UDR (route definite dall'utente): route personalizzate in Azure che indirizzano il traffico a un hop successivo specifico, ad esempio un'appliance virtuale di rete.

Gateway di transito AWS (TGW)/Gateway privato virtuale (VGW): endpoint di routing AWS per VPN/connessione diretta; TGW è in genere preferito per hub-spoke e scalabilità.

AWS VPC endpoint (VPCE) per Amazon S3: Connettività privata da un VPC a S3; spesso associato ai criteri private DNS e endpoint/bucket.

Criteri bucket S3 e criteri VPCE: criteri basati sulle risorse in grado di consentire/negare l'accesso, incluse le restrizioni a un VPCE specifico tramite aws:SourceVpce.

collegamento privato di Azure Service Direct Connect: funzionalità di Azure per creare connettività privata in uscita verso un indirizzo IP di destinazione (ad esempio, un indirizzo IP VPCE di AWS) per servizi come le connessioni private di Storage Mover.

Approvazione della connessione privata: le connessioni private potrebbero richiedere l'approvazione esplicita prima che possano essere usate da carichi di lavoro/processi.

Allineamento delle aree: alcune risorse(ad esempio, AWS VPCEs e determinati costrutti di servizio Azure) sono con ambito di area e devono essere distribuite in aree compatibili.

Quando usare ogni opzione

ExpressRoute: scegliere quando sono necessarie prestazioni prevedibili, connettività privata e velocità effettiva superiore per la connettività ibrida.

VPN da sito a sito: scegliere per una configurazione più veloce, un costo inferiore o come percorso di backup; le prestazioni dipendono dalle condizioni Internet e dallo SKU del gateway.

SD-WAN/NVAs: Quando si ha bisogno di un routing specifico del fornitore, di un'ispezione della sicurezza o di un modello operativo SD-WAN esistente.

Opzioni di connettività in Azure

ExpressRoute

Altre informazioni:Documentazione di ExpressRoute

Routing: BGP viene comunemente usato sui circuiti privati per scambiare prefissi tra Azure e la rete.

Provider di connettività: ExpressRoute viene in genere sottoposto a provisioning tramite un provider di condivisione o connettività, ad esempio Equinix, Megaport.

VPN IPsec da sito a sito (Gateway VPN di Azure)

Overview: Usare Gateway VPN di Azure per i tunnel IPsec da sito a sito crittografati su Internet pubblico. Per una maggiore velocità effettiva e resilienza, selezionare uno SKU del gateway appropriato (ad esempio, SKU Generation2 e con ridondanza della zona, se disponibili).

Informazioni aggiuntive:Tutorial - Creare una connessione VPN da sito a sito

Routing: Usare BGP per scambiare rotte e supportare i tunnel attivi/attivi tra più connessioni.

Per una procedura dettagliata sul multi-tunnel BGP tra Gateway VPN di Azure e AWS, vedere: Tutorial - Configurare una connessione abilitata per BGP tra Azure e AWS.

Suggerimenti per l'implementazione (prestazioni VPN)

Esempio di impostazioni IPsec/IKE personalizzate (convalida per la compatibilità del dispositivo): GCMAES256 per la crittografia/integrità IPsec, SHA256 per l'integrità IKE, DHGroup14, PFS2048.

Altre informazioni:Configurare criteri di connessione IPsec/IKE personalizzati.

SD-WAN con appliance virtuali di rete

SD-WAN e appliance virtuali di rete del firewall possono terminare i tunnel VPN, eseguire l'ispezione e applicare criteri di sicurezza e routing centralizzati. Questo approccio è utile quando sono necessarie funzionalità specifiche del fornitore o si usa già una piattaforma SD-WAN tra siti.

Fortinet: Firewall di nuova generazione FortiGate

Cisco: Catalizzatore SD-WAN, Meraki SD-WAN

HPE (Aruba Networks):EdgeConnect SD-WAN

Palo Alto Networks: Prisma SD-WAN

Arista (VMware): VeloCloud SD-WAN Virtual Edge

Le appliance virtuali di rete SD-WAN vengono comunemente concesse in licenza come PAYG (Pay-As-You-Go) o BYOL (Bring-Your-Own-License). Il supporto del fornitore varia in base all'opzione di distribuzione.

Distribuzione di esempio (FortiGate NVA in Azure)

Selezionare una topologia (singola macchina virtuale, attiva/passiva o attiva/attiva) in base ai requisiti di disponibilità e velocità effettiva.

Scegliere una dimensione di macchina virtuale adatta (spesso F o serie D con vCPU superiore) e abilitare la rete accelerata , se supportata.

Progettazione di rete: posizionare le interfacce nelle subnet WAN/LAN (e protette) e configurare le regole del gruppo di sicurezza di rete per le porte VPN e di gestione necessarie (ad esempio UDP 500/4500 per IPsec).

Routing: usare route definite dall'utente per indirizzare i prefissi da Azure ad AWS tramite l'hop successivo di appliance virtuale di rete.

Documentazione del fornitore: Per alcuni passaggi per configurare IPsec tra i dispositivi FortiGate, vedere l'articolo della community di Fortinet di seguito.

Come configurare una vpn da sito a sito tra i dispositivi FortiGate (Fortinet Community)

Connettività AWS ad Azure

AWS Direct Connect con Azure ExpressRoute

AWS Direct Connect può essere associato ad Azure ExpressRoute tramite un colocation/provider per creare un collegamento privato ad alta capacità di throughput tra AWS e Azure.

Routing: BGP su circuiti privati

Connettività: In genere tramite un provider di condivisione/connettività

Che cos'è Direct Connect? - AWS Direct Connect

Creare un gateway Direct Connect - AWS Direct Connect

VPN da sito a sito AWS (BGP)

Per LA VPN da AWS a Azure, usare il routing dinamico (BGP) e preferire AWS Transit Gateway (TGW) per scalabilità e prestazioni, se applicabile.

Altre informazioni:Esercitazione: Configurare una connessione abilitata per BGP tra Azure e AWS.

AWS SD-WAN con appliance virtuale di rete

Se si usa una piattaforma SD-WAN in AWS (ad esempio, FortiGate su EC2), è possibile terminare i tunnel in AWS e connettersi ad Azure usando lo stesso modello di criteri di SD-WAN usato in locale.

1. Avvia l'NVA (appliance di rete virtuale) da AWS Marketplace e ridimensiona l'istanza per la velocità effettiva richiesta.
2. Collegare interfacce WAN/LAN, associare un INDIRIZZO IP elastico all'interfaccia WAN e disabilitare i controlli di origine/destinazione, se richiesto dal modello di routing dell'appliance.
3. Configurare i gruppi di sicurezza e le tabelle di routing per consentire i prefissi Azure e indirizzare il traffico tramite l'appliance.

Dettagli di implementazione per l'accesso privato AWS FSx (endpoint VPC)

Configura un endpoint AWS VPC (VPCE) per Amazon FSx

Un endpoint APPS VPC (VPCE) per FSx fornisce un endpoint privato a un servizio S3 che permette alla tua VPC di raggiungere FSx in modo privato. Per creare la tua condivisione FSx e collegarla a una VPC, consulta la documentazione AWS. Assicurati che la tua quota sia all'interno di una VPC con connettività AWS e che la sicurezza FSx consenta di default traffico sicuro sulla porta 445.

Dettagli di implementazione per l'accesso privato S3 (endpoint VPC)

Configurare un endpoint VPC AWS (VPCE) per Amazon S3

Un endpoint VPC AWS (VPCE) per Amazon S3 consente alla VPC di accedere a S3 in modo privato. Per questa progettazione, in genere si abilita il DNS privato e quindi si vincola l'accesso utilizzando VPCE e i criteri del bucket.

Fasi ad alto livello

1. Verificare che il VPC disponga del supporto DNS e dei nomi host DNS abilitati.
2. Creare un interface VPCE per Amazon S3 nella VPC e nelle subnet di destinazione e abilitare private DNS.
3. Configurare i criteri VPCE e bucket per consentire solo le azioni S3 necessarie e(facoltativamente) limitare l'accesso all'endpoint specifico usando aws:SourceVpce.

Esempio: criteri di bucket S3 limitati a un VPCE specifico.

Note: Registrare l'indirizzo IP privato VPCE; viene usato come INDIRIZZO IP di destinazione per collegamento privato di Azure Service Direct Connect.

Considerazioni sui gruppi di sicurezza

Consentire il traffico richiesto dai prefissi di origine di Azure al VPCE e alle risorse AWS correlate (principio dei privilegi minimi).

Configurazione di Azure per il servizio di collegamento privato Direct Connect

Creare la risorsa collegamento privato Service Direct Connect

collegamento privato Service Direct Connect consente ad Azure di creare connettività privata in uscita a un indirizzo IP di destinazione, ad esempio un INDIRIZZO IP VPCE AWS. In questo scenario, consente alle connessioni private di Storage Mover di raggiungere un endpoint S3 privato tramite il percorso di rete da Azure a AWS stabilito.

1. Distribuire la risorsa PLS Direct Connect nella stessa area di Azure della risorsa Storage Mover e della rete virtuale di Azure utilizzata per raggiungere AWS.
2. Abilitare la funzionalità nel portale di Azure utilizzando il collegamento di volo fornito: collegamento di volo del portale di Azure (PLS Direct Connect).
3. Verificare che la rete virtuale Azure/subnet selezionata per il NAT di origine disponga di connettività al VPC AWS e all'indirizzo IP VPCE.

Fasi ad alto livello

1. Creare la risorsa collegamento privato Service (Your Service) per Direct Connect nell'area corretta.
2. Configurare le impostazioni in uscita:
3. Impostare il metodo di connessione su Indirizzo IP di destinazione e immettere l'indirizzo IP DI AWS VPCE.
4. Selezionare la rete virtuale NAT di origine e la subnet che possono instradarsi a AWS.
5. Configurare le impostazioni dell'indirizzo IP privato in base alle esigenze per la resilienza, ad esempio due o più indirizzi in incrementi supportati.

Creare e approvare connessioni private

Dopo aver creato la risorsa Direct Connect, creare una connessione privata in Storage Mover e approvarla prima dell'uso.

az storage-mover connection create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --private-link-service-id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --description "Private S3 connection"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.privateEndpointResourceId --output tsv

az network private-endpoint-connection list --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --query "[].{name:name,id:id,privateEndpointId:properties.privateEndpoint.id}" --output table

az network private-endpoint-connection approve --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService/privateEndpointConnections/<private-endpoint-connection-name>" --description "Approved for Azure Storage Mover"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.connectionStatus --output tsv

Usare connessioni private per la migrazione da cloud a cloud

az storage-mover job-definition create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --project-name "my-migration-project" --job-definition-name "my-job-definition" --job-type CloudToCloud --copy-mode Additive --source-name "my-s3-endpoint" --target-name "my-blob-endpoint" --source-subpath "/" --target-subpath "/" --connections "/subscriptions/<subscription-id>/resourceGroups/c2c-migration-rg/providers/Microsoft.StorageMover/storageMovers/myStorageMover/connections/private-connection" --description "Private S3 to Azure Blob Storage"

Architecture

Flusso di migrazione privata (rete privata)

Il diagramma precedente mostra il networking privato con AWS, ma lo stesso schema di connessione privata si applica ad altri scenari di sorgente privata supportati.

Flusso di migrazione cloud-to-cloud (contenitore pubblico S3 verso Blob di Azure)

Troubleshooting

Connettività e indirizzamento IP

• Verifica l'indirizzo IP di destinazione nel Servizio di collegamento privato di Azure: Assicurarsi che il Servizio di collegamento privato di Azure sia diretto specificamente all'indirizzo IP dell'endpoint VPC di AWS. Una mancata corrispondenza in questo caso impedirà l'handshake iniziale.
• Convalida percorso di rete: Verificare che l'infrastruttura di rete sottostante (ad esempio VPN, ExpressRoute o Cloud Interconnect) sia stabilita e instradare correttamente il traffico tra l'ambiente di Azure e aws VPC.
• Controllare le configurazioni dell'interfaccia: Esaminare la configurazione dell'endpoint VPC di AWS per assicurarsi che sia attiva e associata alle subnet e ai gruppi di sicurezza corretti.

Configurazione dei criteri VPCE

• Verificare le autorizzazioni delle risorse: esaminare l'elemento Resource nei criteri VPCE. Deve includere in modo esplicito l'ARN del bucket S3 di destinazione (ad esempio, arn:aws:s3:::your-bucket-name e arn:aws:s3:::your-bucket-name/*).
• Autorizzazioni per le azioni di controllo: Assicurarsi che l'elemento Action nei criteri VPCE consenta le operazioni necessarie. Sono necessari almeno s3:Get*s3:List* per la lettura e l'esplorazione dei dati.
• Logica dei criteri: Se si usa un criterio personalizzato, assicurarsi che non siano presenti istruzioni "Deny" che eseguono inavvertitamente l'override delle istruzioni "Allow" per il traffico di origine di Azure.
  

Vincoli dei criteri di bucket S3

• Elenco elementi consentiti VPCE: controllare i criteri di bucket S3 per un blocco Condition. Se il bucket limita l'accesso, deve consentire in modo esplicito il aws:SourceVpce corrispondente all'endpoint VPC usato.
• Accesso principale: Assicurarsi che l'identità IAM o l'accesso anonimo (se applicabile tramite VPCE) non sia bloccato dall'elenco di controllo accessi (ACL) del bucket o dalle impostazioni di blocco dell'accesso pubblico.

Allineamento regionale

• Convalida dell'ambito della regione: Gli endpoint VPC AWS per S3 sono con ambito regionale. Una VPCE in us-west non può instradare il traffico a un bucket S3 che si trova in us-east.
• Rimediazione: Se identifichi una discrepanza regionale, migra il bucket S3 nella stessa regione del VPCE, oppure stabilisci un nuovo VPCE nella regione del bucket. Questo approccio potrebbe richiedere un ulteriore instradamento tra regioni.

Limits

• I clienti possono configurare un massimo di 10 connessioni private/area. Ciò include lo stato della connessione privata nello stato Approvato/In sospeso/Disconnesso.
• PLS direct deve essere configurato nella stessa area della risorsa di Storage Mover.

Performance

Archiviazione di Azure Mover supporta la migrazione sicura e su larga scala dei dati in ambienti cloud, inclusi scenari che richiedono un isolamento di rete rigoroso. Utilizzando collegamento privato di Azure e gli endpoint privati, i trasferimenti di dati rimangono all’interno di confini attendibili tra Google Cloud VPC e la rete virtuale di Azure.

Questo articolo illustra come configurare la connettività di rete privata tra Google Cloud Storage (GCS) e Azure, configurare le connessioni private in Storage Mover e creare un processo di migrazione che mantiene i dati fuori da Internet pubblico.

Prerequisites

Prerequisiti di Azure

• Una sottoscrizione di Azure attiva con le autorizzazioni necessarie per creare e gestire le risorse di Archiviazione di Azure Mover.
• Una risorsa di Storage Mover distribuita nella sottoscrizione Azure.
• Un Azure Key Vault per archiviare le credenziali HMAC GCS (Chiave di accesso e chiave privata).
• Familiarità con la gerarchia di risorse Archiviazione di Azure Mover.

Prerequisiti di Google Cloud

• Un account Google Cloud con accesso al bucket GCS di cui si vuole eseguire la migrazione.
• Chiavi HMAC generate per un account del servizio GCS (ID chiave di accesso e chiave privata).
• Un VPC di Google Cloud con connettività a Azure (tramite vpn cloud o interconnessione cloud).
• Confermare che l'account di servizio GCS disponga almeno dei ruoli Storage Legacy Bucket Reader e Storage Legacy Object Reader per il bucket di destinazione.
• Un endpoint Private Service Connect (PSC) per le API di Google configurato nella VPC di GCP, che fornisce un indirizzo IP privato stabile per l'accesso a Cloud Storage.

Prerequisiti di rete privata

• Una risorsa collegamento privato Service Direct Connect configurata in Azure con l'ip dell'endpoint PSC GCP come destinazione.
• Familiarità con la documentazione di rete di collegamento privato di Azure.

Opzioni di connettività di rete privata

Per eseguire la migrazione dei dati da un bucket GCS con restrizioni VPC, è necessario innanzitutto un percorso di rete privato tra google Cloud VPC e Azure. Azure supporta diverse opzioni di connettività:

Per la maggior parte degli scenari, la VPN da sito a sito offre un buon equilibrio tra costi e prestazioni. Per ottenere una velocità effettiva più elevata, usare ExpressRoute associato a Google Cloud Interconnect.

Opzioni di connettività in Azure

ExpressRoute

Altre informazioni:Documentazione di ExpressRouteRouting: BGP viene comunemente usato sui circuiti privati per scambiare prefissi tra Azure e la rete. Provider di connettività: ExpressRoute viene in genere sottoposto a provisioning tramite un provider di condivisione o connettività, ad esempio Equinix, Megaport.

VPN IPsec da sito a sito (Gateway VPN di Azure)

Overview: Usare Gateway VPN di Azure per i tunnel IPsec da sito a sito crittografati su Internet pubblico. Per una maggiore velocità effettiva e resilienza, selezionare uno SKU del gateway appropriato (ad esempio, SKU Generation2 e con ridondanza della zona, se disponibili). Ulteriori informazioni:Esercitazione - Creare una connessione VPN da sito a sitoRouting: Usare BGP per scambiare rotte e supportare tunnel attivo/attivo tra più connessioni.

Per una procedura dettagliata sulla VPN a disponibilità elevata tra Google Cloud e Azure, vedere Creare connessioni VPN a disponibilità elevata tra Google Cloud e Azure.

Suggerimenti per l'implementazione (prestazioni VPN)

Esempio di impostazioni IPsec/IKE personalizzate (convalida per la compatibilità del dispositivo): GCMAES256 per la crittografia/integrità IPsec, SHA256 per l'integrità IKE, DHGroup14, PFS2048.

Altre informazioni:Configurare criteri di connessione IPsec/IKE personalizzati.

Configurare una VPN da sito a sito tra Azure e Google Cloud

Per quanto riguarda Google Cloud:

• Crea un gateway VPN HA nella tua VPC. Si notino i due indirizzi IP esterni assegnati automaticamente.
• Creare un router cloud nella stessa area per gestire le sessioni BGP.
• Creare tunnel VPN che puntano agli indirizzi IP pubblici Gateway VPN di Azure.
• Configurare le sessioni BGP nel router cloud usando gli indirizzi IP peer BGP scambiati con Azure.
• Assicurarsi che la subnet dell'endpoint PSC sia raggiungibile da Azure tramite il tunnel VPN. Cloud Router pubblica automaticamente ad Azure, tramite BGP, gli instradamenti per le subnet VPC.

Ulteriori informazioni:

• Google Cloud HA VPN

Nota: Non è necessaria alcuna configurazione di crittografia specifica sul lato Google Cloud. Google Cloud HA VPN negozia automaticamente le impostazioni IPsec in base a ciò che riceve dal Gateway VPN di Azure.

Configurare l'accesso privato a GCS

Private Service Connect (PSC) crea un endpoint privato con un indirizzo IP RFC 1918 stabile all'interno di Google Cloud VPC per l'accesso alle API Google, incluso Cloud Storage. Questo indirizzo IP è la destinazione configurata in collegamento privato di Azure Service Direct Connect.

• Nella Google Cloud Console, vai a Servizi di rete>Private Service Connect.

• Selezionare Connetti un endpoint e scegliere API Google come destinazione.

• Selezionare Tutte le API Google Cloud o i valori VPC-SC nel campo Tipo di bundle , a seconda dei requisiti di sicurezza.

• Assegnare un indirizzo IP privato dalla subnet VPC.

  Registrare questo indirizzo IP privato. È necessario quando si configura la risorsa Azure PLS Direct Connect.

Ulteriori informazioni

Limitare l'accesso al bucket GCS (facoltativo)

Per limitare ulteriormente il bucket GCS all'accesso solo VPC, è possibile usare il filtro IP del bucket GCS:

• Limitare l'accesso alla rete VPC di GCP specifica o agli intervalli IP specifici.

• Limiti: massimo 200 blocchi CIDR, 25 reti VPC per bucket.

  Ulteriori informazioni

Crea la risorsa di connessione diretta del servizio Private Link

collegamento privato Service (PLS) Direct Connect crea connettività privata in uscita da Azure a un indirizzo IP di destinazione. Per GCS, l'INDIRIZZO IP di destinazione è l'ip dell'endpoint PSC nel VPC google Cloud, raggiungibile tramite il tunnel VPN o di interconnessione.

• Nel portale di Azure, passare a Home > Network foundation > ai servizi collegamento privato.
• Selezionare Crea un servizio collegamento privato.
• Nella scheda Nozioni di base, selezionare la stessa area di Azure della risorsa Storage Mover.
• Nella scheda Impostazioni in uscita:
• Metodo di connessione: selezionare Indirizzo IP di destinazione
• Indirizzo IP: immettere l'indirizzo IP dell'endpoint GCP Private Service Connect (PSC) registrato in precedenza.
• Rete virtuale NAT di origine: selezionare la rete virtuale contenente il Gateway VPN di Azure
• Subnet di origine per il NAT: selezionare la subnet con connettività VPN verso GCP
• Impostazioni dell'indirizzo IP privato: configurare almeno 2 indirizzi IP NAT (è richiesto un numero pari)
• Nella scheda Sicurezza di accesso selezionare l'impostazione di visibilità appropriata (il controllo degli accessi in base al ruolo è più restrittivo)
• Selezionare Rivedi e crea.

Creare e approvare connessioni private

Dopo aver creato la risorsa PLS Direct Connect, creare una connessione privata in Storage Mover e approvarla prima dell'uso.

Creare una connessione privata

az storage-mover connection create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --private-link-service-id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --description "Private GCS connection"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.privateEndpointResourceId --output tsv

Approvare la connessione privata

az network private-endpoint-connection list --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --query "[].{name:name,id:id,privateEndpointId:properties.privateEndpoint.id}" --output table

az network private-endpoint-connection approve --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService/privateEndpointConnections/<private-endpoint-connection-name>" --description "Approved for Azure Storage Mover"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.connectionStatus --output tsv

Crea un processo di migrazione con connessioni private

az storage-mover job-definition create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --project-name "my-migration-project" --job-definition-name "my-job-definition" --job-type CloudToCloud --copy-mode Additive --source-name "my-gcs-endpoint" --target-name "my-blob-endpoint" --source-subpath "/" --target-subpath "/" --connections "/subscriptions/<subscription-id>/resourceGroups/c2c-migration-rg/providers/Microsoft.StorageMover/storageMovers/myStorageMover/connections/private-connection" --description "Private GCS to Azure Blob Storage"

Troubleshooting

Connettività e indirizzamento IP

• Verificare l'indirizzo IP di destinazione in Azure PLS: assicurarsi che PLS Direct Connect punti all'indirizzo IP dell'endpoint PSC GCP. La mancata corrispondenza impedisce la connettività.
• Convalida del percorso di rete: verificare che i tunnel Cloud VPN mostrino lo stato Stabilito nella console Google Cloud > Connettività ibrida > VPN.
• Controllare BGP: verificare che le sessioni BGP del router cloud siano attive e che le subnet VPC (inclusa la subnet dell'endpoint PSC) siano annunciate per Azure.
• Verificare l'endpoint PSC: verificare che lo stato dell'endpoint PSC sia Connesso in Servizi > di rete di Google Cloud Console > Private Service Connect.
• Controlla l'allineamento dell'area: PLS Direct Connect e Storage Mover devono trovarsi nella stessa area Azure. Autenticazione (HMAC)
• Verificare che la chiave di accesso HMAC e la chiave privata in Azure Key Vault siano attive e non siano scadute.
• Verificare che l'identità gestita dell'endpoint di origine disponga del ruolo Key Vault Secrets User nel Key Vault.
• Confermare che l'account di servizio GCS disponga almeno dei ruoli Storage Legacy Bucket Reader e Storage Legacy Object Reader per il bucket di destinazione.
• Le chiavi HMAC funzionano solo con l'API XML GCS (non con l'API JSON).
• Dopo aver creato una nuova chiave HMAC, attendere fino a 60 secondi prima che diventi attiva. Connessioni private
• Solo le connessioni in stato Approvato vengono visualizzate nella procedura guidata del processo. Controllare lo stato in Endpoint di archiviazione > Connessioni private (Anteprima).
• Se lo stato è In sospeso: selezionare la connessione e selezionare Approva.
• Se lo stato è Disconnesso: è possibile che la risorsa PLS Direct Connect sia stata eliminata o modificata. Il processo di migrazione di Risoluzione dei problemi non è riuscito. Controllare i log di copia e del processo per i messaggi di errore. Cause comuni: credenziali non valide, connettività di rete. Errore di autenticazione Verificare che le chiavi HMAC in Key Vault siano corrette e attive. Verificare che il ruolo Key Vault Secrets User sia assegnato. Errore di autorizzazione sulla destinazione. Verificare che l'identità gestita dell'endpoint di destinazione disponga del ruolo Collaboratore dati BLOB di archiviazione nel contenitore BLOB. Il trasferimento dei dati è lento Controllare la larghezza di banda di rete. GCS può limitare le richieste API compatibili con S3. Aggiungere altre connessioni private. Gli oggetti mancanti dopo la sincronizzazione dei timestamp GCS hanno una granularità di secondo livello. Gli oggetti modificati nello stesso secondo dell'ultima sincronizzazione potrebbero non essere rilevati fino all'esecuzione successiva. URL di origine rifiutato Assicurarsi che l'URL usi HTTPS, senza parametri di query o frammenti. Utilizzare un nome di dominio pienamente qualificato valido.

Limiti noti

• Massimo 10 connessioni private per sottoscrizione per area (Approvato + In sospeso + Disconnesso combinato). Per altre informazioni, vedere Configurare collegamento privato Service Direct Connect.
• PLS Direct Connect deve essere configurato nella stessa area della risorsa di Storage Mover.
• La pianificazione non è disponibile per il tipo di origine GCS. I processi devono essere eseguiti manualmente.
• Ogni processo di migrazione supporta il trasferimento di un massimo di 500 milioni di oggetti.
• È supportato solo l'accesso HTTPS all'origine compatibile con S3.
• L'origine compatibile con S3 deve supportare l'autenticazione della firma AWS versione 4 (SigV4).
• Massimo 10 chiavi HMAC per account di servizio GCS.

Performance

I benchmark seguenti sono stati misurati usando Gateway VPN di Azure con più tunnel IPsec combinati con connessioni private di Storage Mover:

Prerequisites

Prerequisiti di Azure

• Una sottoscrizione di Azure attiva con le autorizzazioni necessarie per creare e gestire le risorse di Archiviazione di Azure Mover.
• Una risorsa di Storage Mover distribuita nella sottoscrizione Azure.
• Un Azure Key Vault per memorizzare le tue Chiavi Segrete OCI dei clienti (Chiave di accesso e Chiave Segreta).
• Familiarità con la gerarchia di risorse Archiviazione di Azure Mover.

Prerequisiti OCI

• Una tenancy di Oracle Cloud Infrastructure (OCI) con accesso al bucket di archiviazione di oggetti che si desidera migrare.
• Chiavi Segrete del Cliente generate per un utente OCI (ID Chiave di Accesso + Chiave Segreta).
• Una rete virtuale cloud OCI (VCN) con connettività ad Azure (tramite Site-to-Site VPN o FastConnect).
• Una policy IAM che concede all'utente o al gruppo accesso di lettura ai bucket e agli oggetti di destinazione (ad esempio: Allow group <G> to read buckets in compartment <C> e Allow group <G> to read objects in compartment <C>).
• Un endpoint privato OCI Object Storage (o Service Gateway) che fornisce un IP privato stabile per l'accesso all'Object Storage all'interno del tuo VCN.

Prerequisiti di rete privata

• Una risorsa collegamento privato Service Direct Connect configurata in Azure con l'IP privato OCI Object Storage come destinazione.
• Familiarità con la documentazione di rete di collegamento privato di Azure.

Opzioni di connettività di rete privata

Per migrare i dati da un bucket OCI con VCN limitato, hai prima bisogno di un percorso di rete privato tra il tuo VCN OCI e Azure. Azure supporta diverse opzioni di connettività:

Per la maggior parte degli scenari, la VPN da sito a sito offre un buon equilibrio tra costi e prestazioni. Per la massima produttività, usa ExpressRoute abbinato a OCI FastConnect.

Opzioni di connettività in Azure

ExpressRoute

Altre informazioni:Documentazione di ExpressRoute

Routing: BGP viene comunemente usato sui circuiti privati per scambiare prefissi tra Azure e la rete.

Provider di connettività: ExpressRoute viene in genere sottoposto a provisioning tramite un provider di condivisione o connettività, ad esempio Equinix, Megaport.

VPN IPsec da sito a sito (Gateway VPN di Azure)

Overview: Usare Gateway VPN di Azure per i tunnel IPsec da sito a sito crittografati su Internet pubblico. Per una maggiore velocità effettiva e resilienza, selezionare uno SKU del gateway appropriato (ad esempio, SKU Generation2 e con ridondanza della zona, se disponibili).

Informazioni aggiuntive:Tutorial - Creare una connessione VPN da sito a sito

Routing: Usare BGP per scambiare rotte e supportare i tunnel attivi/attivi tra più connessioni.

Suggerimenti per l'implementazione (prestazioni VPN)

Esempio di impostazioni IPsec/IKE personalizzate (convalida per la compatibilità del dispositivo): GCMAES256 per la crittografia/integrità IPsec, SHA256 per l'integrità IKE, DHGroup14, PFS2048.

Altre informazioni:Configurare criteri di connessione IPsec/IKE personalizzati.

Configura la VPN site-to-site tra Azure e OCI

Per quanto riguarda l'OCI:

• Crea un Dynamic Routing Gateway (DRG) e collegalo al tuo VCN.
• Crea un oggetto Customer-Premises Equipment (CPE) per ogni indirizzo IP pubblico Gateway VPN di Azure.
• Crea una connessione IPSec (Site-to-Site VPN) con tunnel verso gli indirizzi IP pubblici di Gateway VPN di Azure.
• Configura BGP (o routing statico) sul DRG usando gli IP peer BGP scambiati con Azure.
• Assicurati che la subnet privata dell'endpoint Object Storage sia raggiungibile da Azure tramite il tunnel VPN; pubblicizza le tue subnet VCN su Azure tramite BGP.

Scopri di più:OCI Site-to-Site VPN

Configura l'accesso privato allo Storage Oggetti OCI

Un endpoint privato OCI Object Storage (o Service Gateway) fornisce un indirizzo IP privato stabile all'interno del tuo VCN per accedere all'Object Storage. Questo indirizzo IP è la destinazione configurata in collegamento privato di Azure Service Direct Connect.

• Nella OCI Console, vai a Networking> e crea un endpoint privato per Object Storage nel tuo VCN.
• Assegna un indirizzo IP privato dalla tua subnet VCN.
• Registrare questo indirizzo IP privato. È necessario quando si configura la risorsa Azure PLS Direct Connect.

Restringire l'accesso al bucket OCI (opzionale)

• Usa le policy OCI IAM per concedere l'accesso di lettura con privilegio minimo e imposta la visibilità del bucket su privata.
• Opzionalmente, limita l'accesso al tuo VCN utilizzando le regole di sicurezza privata e di rete Object Storage.

Crea la risorsa di connessione diretta del servizio Private Link

collegamento privato Service (PLS) Direct Connect crea connettività privata in uscita da Azure a un indirizzo IP di destinazione. Per OCI, l'IP di destinazione è l'IP privato dell'endpoint OCI Object Storage nel tuo VCN, raggiungibile tramite la tua VPN o tunnel FastConnect.

• Nel portale di Azure, vai a Home>Network foundation>collegamento privato services.
• Seleziona Crea un servizio di link privato.
• Nella scheda Basics, seleziona la stessa regione Azure della tua risorsa Storage Mover.
• Nella scheda Impostazioni in Uscita :
  • Metodo di connessione: seleziona indirizzo IP di destinazione.
  • Indirizzo IP: inserisci l'indirizzo IP dell'endpoint privato OCI Object Storage che hai registrato in precedenza.
  • Source NAT Rete virtuale: seleziona il VNet che contiene il tuo Gateway VPN di Azure.
  • Subnet NAT di origine: seleziona la subnet con connettività VPN a OCI.
  • Impostazioni dell'indirizzo IP privato: configura almeno 2 IP NAT (numero pari richiesto).
• Nella scheda Sicurezza degli Accessi : seleziona l'impostazione di visibilità appropriata (il controllo accessibile basato solo sul ruolo è il più restrittivo).
• Seleziona Rivedi + Crea.

Creare e approvare connessioni private

Dopo aver creato la risorsa PLS Direct Connect, creare una connessione privata in Storage Mover e approvarla prima dell'uso.

Creare una connessione privata

1. Passa alla risorsa di Storage Mover nel portale Azure.
2. Sotto Gestione risorse, seleziona Endpoint di archiviazione.
3. Seleziona la scheda Connessioni private (Anteprima ).
4. Seleziona Aggiungi connessioni private.
5. Immettere un nome per la connessione privata.
6. Seleziona la risorsa collegamento privato Service Direct Connect che hai creato.
7. Fare clic su Crea. Il provisioning richiede 20-30 secondi. Aggiorna per vedere la connessione nella griglia.

Approvare la connessione privata

1. Selezionare la casella di controllo accanto alla connessione privata appena creata.
2. Selezionare Approva.
3. Attendi che lo stato della connessione del servizio di collegamento privato cambi in Approvato.

Crea un processo di migrazione con connessioni private

Scheda Informazioni di base

• Endpoint sorgente: seleziona un endpoint sorgente compatibile OCI S3 esistente, oppure seleziona Aggiungi endpoint sorgente per crearne uno.
• Endpoint di destinazione: seleziona un endpoint di destinazione Archiviazione BLOB di Azure esistente oppure seleziona Aggiungi endpoint di destinazione.
• Nella sezione Connessioni private (Anteprima), seleziona Aggiungi per associare le connessioni private approvate a questo processo. È possibile associare più connessioni private per il bilanciamento del carico.
• I passaggi restanti della procedura sono gli stessi di una migrazione pubblica da OCI a Blob.

Troubleshooting

Connettività e indirizzamento IP

• Verifica l'IP di destinazione in Azure PLS: assicurati che PLS Direct Connect punti all'indirizzo IP privato dell'endpoint OCI Object Storage. Una discrepanza impedisce la connettività.
• Valida il percorso di rete: conferma che i tunnel VPN Site-to-Site OCI (o il circuito virtuale FastConnect) mostrino uno stato Up nella console OCI.
• Controlla il routing: verifica che le sessioni DRG BGP siano state create e che le tue subnet VCN (inclusa la subnet privata dell'endpoint) siano pubblicizzate su Azure.
• Verificare l'endpoint privato: confermare che l'endpoint privato dell'archiviazione di oggetti OCI sia attivo e venga risolto nell'indirizzo IP privato previsto.
• Controlla l'allineamento della regione: PLS Direct Connect e Storage Mover devono essere nella stessa regione Azure.

Authentication

• Verifica che la Chiave di Accesso e la Chiave Segreta (OCI Customer Secret Keys) in Azure Key Vault siano attive e corrette.
• Verificare che l'identità gestita dell'endpoint di origine disponga del ruolo Utente dei segreti Key Vault per il Key Vault.
• Conferma che l'utente o il gruppo OCI abbia una policy IAM che conceda accesso di lettura ai bucket e agli oggetti target.
• Se l'inizializzazione del client S3 fallisce, si usano URL in stile path per i bucket i cui nomi contengono _ o ..

Limiti noti

• Massimo 10 connessioni private per sottoscrizione per area (Approvato + In sospeso + Disconnesso combinato).
• PLS Direct Connect deve essere configurato nella stessa area della risorsa di Storage Mover.
• La pianificazione non è disponibile per il tipo di sorgente OCI. I processi devono essere eseguiti manualmente.
• Ogni processo di migrazione supporta il trasferimento di un massimo di 500 milioni di oggetti.
• È supportato solo l'accesso HTTPS all'origine compatibile con S3.
• L'origine compatibile con S3 deve supportare l'autenticazione della firma AWS versione 4 (SigV4).
• I bucket con nomi incompatibili con DNS (_, .) devono usare URL in stile path-style.
• Le Chiavi Segrete del Cliente per utente OCI sono soggette ai limiti di servizio OCI (predefinito è basso; richiedi un aumento se necessario). Verifica il limite attuale nella console OCI.

Performance

I seguenti benchmark sono stati misurati utilizzando Gateway VPN di Azure con più tunnel IPsec combinati con connessioni private Storage Mover. La velocità effettiva dipende dai limiti del tuo VCN, VPN/FastConnect e Object Storage.

Azure supporta diversi modi per connettersi alle reti private. L'approccio migliore dipende dai requisiti per latenza, larghezza di banda, sicurezza, costi e complessità operativa.

• Azure ExpressRoute : connettività privata e dedicata che non attraversa la rete Internet pubblica.
• VPN IPsec da sito a sito - Tunnel crittografati su Internet pubblico (in genere usando Gateway VPN di Azure).
• SD-WAN tramite dispositivi virtuali di rete (NVA) - Gli appliance di terze parti offrono funzionalità VPN e firewall, e possono terminare i tunnel invece di utilizzare gateway nativi.

In generale, ExpressRoute è preferibile per la larghezza di banda più elevata e la latenza più bassa. Quando ExpressRoute non è disponibile, utilizzare una VPN site-to-site o una progettazione basata su SD-WAN/NVA.

Concetti chiave

ExpressRoute: Connettività privata con Azure tramite un fornitore di connettività. Tipicamente usati per latenza prevedibile e un throughput più elevato.

Gateway VPN di Azure SKU: La dimensione/SKU del gateway influisce sul numero di tunnel e sulla produttività. Scegli in base alla larghezza di banda e alla resilienza richieste.

Politica IPsec/IKE: algoritmi crittografici e parametri utilizzati per stabilire e proteggere tunnel VPN, come le famiglie AES e SHA, DH e gruppi PFS.

BGP (Border Gateway Protocol): Routing dinamico che scambia prefissi tra reti. Comunemente usato per tunnel attivi/attivi e failover di route.

Appliance virtuale di rete (NVA): Un dispositivo di rete virtuale di terze parti, come un firewall o un SD-WAN distribuito in Azure. Spesso utilizzato per ispezioni avanzate, politiche e instradamenti.

UDR (rotte definite dall'utente): Rotte personalizzate in Azure che indirizzano il traffico verso un prossimo salto specifico, come un NVA.

collegamento privato di Azure Service Direct Connect: capacità Azure di creare connettività privata in uscita verso un IP di destinazione, come un IP AWS VPCE, per servizi come le connessioni private Storage Mover.

Approvazione delle connessioni private: le connessioni private potrebbero richiedere un'approvazione esplicita prima che carichi di lavoro o lavori possano utilizzarle.

Quando usare ogni opzione

ExpressRoute: scegliere quando sono necessarie prestazioni prevedibili, connettività privata e velocità effettiva superiore per la connettività ibrida.

VPN site-to-site: scegli per una configurazione più veloce, costi inferiori o come percorso di backup. Le prestazioni dipendono dalle condizioni di internet e dallo SKU gateway.

SD-WAN/NVAs: Quando si ha bisogno di un routing specifico del fornitore, di un'ispezione della sicurezza o di un modello operativo SD-WAN esistente.

Opzioni di connettività in Azure

ExpressRoute

Altre informazioni:Documentazione di ExpressRoute

Routing: BGP viene comunemente usato sui circuiti privati per scambiare prefissi tra Azure e la rete.

Fornitori di connettività: Tipicamente, si fornisce ExpressRoute tramite un fornitore di colocation o connettività, come Equinix o Megaport.

VPN IPsec da sito a sito (Gateway VPN di Azure)

Overview: Usare Gateway VPN di Azure per i tunnel IPsec da sito a sito crittografati su Internet pubblico. Per una maggiore velocità effettiva e resilienza, selezionare uno SKU del gateway appropriato, ad esempio SKU Generation2 e con ridondanza della zona, se disponibili.

Informazioni aggiuntive:Tutorial - Creare una connessione VPN da sito a sito

Routing: Usare BGP per scambiare rotte e supportare i tunnel attivi/attivi tra più connessioni.

Suggerimenti per l'implementazione (prestazioni VPN)

Esempi di impostazioni personalizzate IPsec/IKE (validate rispetto alla compatibilità del tuo dispositivo): GCMAES256 per la crittografia e integrità IPsec, SHA256 per l'integrità IKE, DHGroup14, PFS2048.

Altre informazioni:Configurare criteri di connessione IPsec/IKE personalizzati.

SD-WAN con appliance virtuali di rete

SD-WAN e appliance virtuali di rete del firewall possono terminare i tunnel VPN, eseguire l'ispezione e applicare criteri di sicurezza e routing centralizzati. Questo approccio è utile quando sono necessarie funzionalità specifiche del fornitore o si usa già una piattaforma SD-WAN tra siti.

Fortinet: Firewall di nuova generazione FortiGate

Cisco: Catalizzatore SD-WAN, Meraki SD-WAN

HPE (Aruba Networks):EdgeConnect SD-WAN

Palo Alto Networks: Prisma SD-WAN

Arista (VMware): VeloCloud SD-WAN Virtual Edge

Le appliance virtuali di rete SD-WAN vengono comunemente concesse in licenza come PAYG (Pay-As-You-Go) o BYOL (Bring-Your-Own-License). Il supporto del fornitore varia in base all'opzione di distribuzione.

Distribuzione di esempio (FortiGate NVA in Azure)

Selezionare una topologia (singola macchina virtuale, attiva/passiva o attiva/attiva) in base ai requisiti di disponibilità e velocità effettiva.

Scegliere una dimensione di macchina virtuale adatta (spesso F o serie D con vCPU superiore) e abilitare la rete accelerata , se supportata.

Progettazione di rete: posizionare le interfacce nelle subnet WAN/LAN (e protette) e configurare le regole del gruppo di sicurezza di rete per le porte VPN e di gestione necessarie (ad esempio UDP 500/4500 per IPsec).

Routing: usare route definite dall'utente per indirizzare i prefissi da Azure ad AWS tramite l'hop successivo di appliance virtuale di rete.

Documentazione del fornitore: Per alcuni passaggi per configurare IPsec tra i dispositivi FortiGate, vedere l'articolo della community di Fortinet di seguito.

Come configurare una vpn da sito a sito tra i dispositivi FortiGate (Fortinet Community)

Considerazioni sui gruppi di sicurezza

Consentire il traffico richiesto dai prefissi sorgente on-premise alla rete virtuale Azure (VNet) utilizzando il principio del privilegio minimo.

Configurazione di Azure per il servizio di collegamento privato Direct Connect

Creare la risorsa collegamento privato Service Direct Connect

collegamento privato Service Direct Connect consente ad Azure di creare connettività privata in uscita verso un indirizzo IP di destinazione. In questo scenario, consente alle connessioni private di Storage Mover di raggiungere un endpoint on-premises tramite il percorso Azure VNet che hai stabilito.

1. Distribuisci la risorsa PLS Direct Connect nella stessa regione Azure della risorsa Storage Mover e della rete virtuale Azure usata per accedere ai tuoi dati on-premise.
2. Abilita la funzione nel portale Azure utilizzando il link di volo fornito: collegamento di volo del portale Azure (PLS Direct Connect).
3. Assicurati che il VNet Azure e la subnet selezionati per il NAT sorgente abbiano connettività con l'indirizzo di destinazione sorgente.

Fasi ad alto livello

1. Creare la risorsa collegamento privato Service (Your Service) per Direct Connect nell'area corretta.
2. Configurare le impostazioni in uscita:
3. Imposta il metodo di connessione su indirizzo IP di destinazione e inserisci l'indirizzo di destinazione di origine.
4. Selezionare la rete virtuale e la subnet NAT di origine da cui è possibile instradare il traffico verso la condivisione file.
5. Configurare le impostazioni degli indirizzi IP privati in base alle esigenze di resilienza, ad esempio con due o più indirizzi secondo gli incrementi supportati.

Creare e approvare connessioni private

Dopo aver creato la risorsa Direct Connect, creare una connessione privata in Storage Mover e approvarla prima dell'uso.

1. In Storage Mover aprire Storage Endpoint e quindi la scheda Private Connections.
2. Crea una connessione privata che faccia riferimento al servizio di collegamento privato Direct Connect, e poi approvala così da poter essere associata ai lavori.
3. Usa la connessione privata precedente come parte dell'operazione di creazione di lavori per la migrazione delle PMI.
4. Seleziona i valori del tipo di migrazione e del tipo sorgente corrispondenti al supporto SMB senza agente nel tuo tenant.
5. Configura l'endpoint sorgente SMB (host/share e credenziali Key Vault) e associa la connessione privata approvata.
6. Verificare che la connessione privata sia elencata e in Stato Approvato .
7. Completare la configurazione residua del lavoro ed eseguire i passaggi come documentato per le migrazioni target da SMB a Azure.

Troubleshooting

Connettività e indirizzamento IP

• Verificare l'IP di destinazione in Azure PLS: assicurarsi che l'IP di destinazione delle connessioni dirette di collegamento privato di Azure Service sia configurato per puntare al server corretto e raggiungibile in locale. Una mancata corrispondenza in questo caso impedirà l'handshake iniziale.
• Valida il percorso di rete: Conferma che l'infrastruttura di rete sottostante (ad esempio, VPN, ExpressRoute o Cloud Interconnect) sia stabilita e che il traffico sia instradato correttamente tra l'ambiente Azure e la rete on-premises.
• Controlla le configurazioni di Rete virtuale: Rivedi la virtual network e, se applicabile, la configurazione del network gateway per assicurarti che sia attiva e associata alle corrette subnet e ai gruppi di sicurezza.

Configurazione della rete on-premises

Consentire il traffico di rete sulle porte richieste: Verifica le impostazioni del firewall che permettano il traffico di rete in entrata sulle porte richieste (Porta 445 per SMB e Porta 443 per traffico S3 e HTTPS) dalla rete virtuale Azure.

Limits

• I clienti possono configurare fino a 10 Connessioni Private per regione. Questo include lo stato di connessione privata negli stati Approvato, Pendente e Disconnesso.
• Dovresti configurare PLS direttamente nella stessa regione della risorsa Storage Mover.

Performance

• Esaminare i concetti e la pianificazione di ExpressRoute nella documentazione di ExpressRoute.
• Creare una connessione VPN da sito a sito in Azure: Tutorial - Creare una connessione VPN da sito a sito.
• Per BGP tra Azure e AWS, seguire questa procedura: Tutorial - Configurare una connessione abilitata per BGP tra Azure e AWS.

• Introduzione alla migrazione di origine compatibile con GCS S3
• Creare una VPN a disponibilità elevata per Azure
• Connessione al servizio privato

Abbiamo bisogno di alcuni link "next step" per la migrazione di Oracle.

• Eseguire la migrazione dei dati da SMB locale ad File di Azure con Archiviazione di Azure Mover (Anteprima)
• Migrare i dati tramite connessioni private in Spostamento archiviazione di Azure
• Archiviazione di Azure Mover Requisiti di rete