Connettersi ad Azure con un percorso privato per SQL Server abilitato da Azure Arc

Questo articolo descrive come configurare la comunicazione per un'istanza di SQL Server abilitata dall'istanza di Azure Arc in modo che si connetta ad Azure senza passare tramite percorsi Internet.

Questa progettazione distribuisce server proxy in avanti in Azure per consentire a SQL Server di comunicare tramite una VPN da sito a sito o ExpressRouteConnection con indirizzi IP privati. I proxy comunicano con gli URL arc sulla rete backbone di Azure.

Il diagramma seguente rappresenta questo modello.

Diagramma che rappresenta la distribuzione del percorso privato.

Per il forward proxy scegliere uno dei seguenti:

Caso d'uso

Usare questa architettura per SQL Server abilitata da Azure Arc quando:

  • L'istanza di SQL Server è isolata e protetta.

  • L'agente di Azure Connected Machine può comunicare solo con un proxy di inoltro tramite un indirizzo IP privato ospitato all'interno della rete virtuale in Azure. Gli URL e gli INDIRIZZI IP pubblici con cui comunica il proxy di inoltro, per l'accesso agli URL correlati ad Arc, si trovano all'interno del backbone Microsoft, non tramite Internet. Pertanto, il traffico non passa tramite la rete Internet pubblica.

  • Il traffico tra l'istanza di SQL Server e il proxy di inoltro deve essere protetto. Nel diagramma precedente, ExpressRoute viene illustrato per la connettività tra il server SQL e il proxy di inoltro, ma può essere ottenuto anche usando una VPN da sito a sito.

  • Il traffico attraversa il peering privato di ExpressRoute anziché il peering pubblico.

  • La configurazione proxy viene eseguita all'interno dell'agente Arc Connected Machine e non a livello di sistema operativo. Questa configurazione potrebbe non influire sui criteri correlati alla sicurezza.

  • La comunicazione Arc viene crittografata sulla porta 443 e l'uso di ExpressRoute o VPN da sito a sito aggiunge un ulteriore livello di sicurezza.

Prerequisito: una rete virtuale di Azure con due subnet

Questa architettura richiede una rete virtuale in Azure con due subnet. I passaggi seguenti preparano la VPN da sito a sito anziché ExpressRoute.

  1. Creare una rete virtuale e una subnet per il gateway VPN di Azure.
  2. Creare una subnet separata per Firewall di Azure.

Un passaggio successivo distribuisce Firewall di Azure come proxy avanzato.

Creare una VPN tra SQL Server e Azure

Creare una VPN da sito a sito dalla posizione di SQL Server ad Azure.

  1. Seguire la procedura descritta in Esercitazione: Creare e gestire un gateway VPN usando il portale di Azure per creare un gateway VPN.

  2. Crea un gateway di rete locale prima di creare la VPN site-to-site. Segui i passaggi del Tutorial: Crea una connessione VPN site-to-site nel portale Azure.

Creare il firewall e configurare il proxy

  1. Creare un firewall di Azure insieme a Gestione firewall.
  2. Configura l'impostazione esplicita del proxy Firewall di Azure per agire come proxy di forward.
  3. Creare una regola per consentire l'indirizzo IP di SQL Server (10.2.1.4).

L'agente di Azure Connected Machine usa tale regola per accedere https in uscita attraverso il firewall.

Connettere SQL Server con Azure Arc

Dal portale di Azure generare uno script di onboarding. Come illustrato qui, connettere SQL Server ad Azure Arc.

Eseguire lo script per installare l'agente Azure Connected Machine con le configurazioni corrette. È possibile configurare le impostazioni proxy quando si genera lo script.

In questo articolo, aggiorni le impostazioni del proxy del percorso privato dopo aver installato l'agente Azure Connected Machine.

Configurare l'agente di Azure Connected Machine

Per configurare l'agente di Azure Connected Machine, usare l'interfaccia della riga di comando azcmagent:

  1. Impostare l'URL del proxy

    azcmagent config set proxy.url "http://<ip address>:8443"

  2. Verificare l'URL del proxy

    azcmagent config get proxy.url

    La console restituisce l'URL proxy corrente.

  3. Verificare che l'agente sia connesso.

    azcmagent show | find "Agent Status"

    La console restituisce lo stato dell'agente. Se l'agente è configurato, la console restituisce:

    Agent Status: Connected

Ignorare gli URL

Potrebbe essere necessario configurare l'agente per ignorare determinati URL dall'uso del proxy e consentire invece l'accesso diretto. Bypass dell'URL proxy se è necessario supportare gli endpoint privati. Per ulteriori informazioni, consultare il bypass del proxy per gli endpoint privati.

Configurare il firewall per Log Analytics

È anche possibile configurare il firewall per inviare i log ad Log Analytics di Azure. Per informazioni dettagliate, vedere Monitorare Firewall di Azure.

Pulire le risorse

Se non si intende continuare a usare questa applicazione, eliminare queste risorse.

Per eliminare le risorse dal portale di Azure:

  1. Immettere il nome del gruppo di risorse nella casella di ricerca selezionarlo nei risultati della ricerca.
  2. Selezionare Elimina gruppo di risorse.
  3. Conferma il nome del gruppo risorse a Digita il nome del gruppo risorsa e seleziona Elimina.

Contenuti correlati

  • Ultimo aggiornamento: