Gebruik Azure Storage Mover private connections voor private-source migraties

Azure ondersteunt verschillende manieren om verbinding te maken met privénetwerken. De beste aanpak is afhankelijk van uw vereisten voor latentie, bandbreedte, beveiliging, kosten en operationele complexiteit.

• Azure ExpressRoute : persoonlijke, toegewezen connectiviteit die niet via het openbare internet gaat.
• Site-to-site IPsec VPN - Versleutelde tunnels via het openbare internet (meestal met behulp van Azure VPN-gateway).
• SD-WAN via virtuele netwerkapparaten (NVA's): apparaten van derden bieden VPN-/firewallfuncties en kunnen tunnels beëindigen in plaats van systeemeigen gateways te gebruiken.

Over het algemeen heeft ExpressRoute de voorkeur voor de hoogste bandbreedte en de laagste latentie. Als ExpressRoute niet beschikbaar is, gebruikt u site-naar-site-VPN of een OP SD-WAN/NVA gebaseerd ontwerp.

Belangrijke concepten

ExpressRoute: Privéconnectiviteit met Azure via een connectiviteitsprovider; doorgaans gebruikt voor voorspelbare latentie en hogere doorvoer.

Azure VPN-gateway SKU: De gatewaygrootte/SKU beïnvloedt het aantal tunnels en de doorvoer; kies op basis van de vereiste bandbreedte en tolerantie.

IPsec/IKE-beleid: cryptografische algoritmen en parameters die worden gebruikt om VPN-tunnels vast te stellen en te beveiligen (bijvoorbeeld AES- en SHA-families, DH/PFS-groepen).

BGP (Border Gateway Protocol): dynamische routering die voorvoegsels tussen netwerken uitwisselt; wordt vaak gebruikt voor actieve/actieve tunnels en routefailover.

Virtueel netwerkapparaat (NVA): een virtueel netwerkapparaat van derden (zoals firewall/SD-WAN) geïmplementeerd in Azure; vaak gebruikt voor geavanceerde inspectie, beleid en routering.

UDR (door de gebruiker gedefinieerde routes): aangepaste routes in Azure die verkeer naar een specifieke volgende hop sturen (bijvoorbeeld een NVA).

AWS Transit Gateway (TGW) / Virtual Private Gateway (VGW): AWS-routeringseindpunten voor VPN/Direct Connect; TGW heeft doorgaans de voorkeur voor hub-and-spoke en schaal.

AWS VPC-eindpunt (VPCE) voor Amazon S3: Privéconnectiviteit van een VPC naar S3; vaak gekoppeld aan privé-DNS - en eindpunt-/bucketbeleid.

S3-bucketbeleid en VPCE-beleid: Resourcegebaseerde beleidsregels die toegang kunnen toestaan/weigeren, inclusief beperkingen voor een specifieke VPCE via aws:SourceVpce.

Azure Private Link Service Direct Connect: Azure-mogelijkheid om uitgaande privéconnectiviteit te maken met een doel-IP (bijvoorbeeld een AWS VPCE IP) voor services zoals privéverbindingen van Storage Mover.

Goedkeuring van privéverbindingen: voor privéverbindingen is mogelijk expliciete goedkeuring vereist voordat deze kunnen worden gebruikt door workloads/taken.

Regionale uitlijning: Sommige resources (bijvoorbeeld AWS-VPCEs en bepaalde Azure-serviceconstructies) hebben een regiobereik en moeten worden geïmplementeerd in compatibele regio's.

Wanneer moet u elke optie gebruiken

ExpressRoute: kies wanneer u voorspelbare prestaties, privéconnectiviteit en hogere doorvoer nodig hebt voor hybride connectiviteit.

Site-naar-site-VPN: kies voor snellere installatie, lagere kosten of als back-uppad; prestaties zijn afhankelijk van internetvoorwaarden en gateway-SKU.

SD-WAN/NVA's: kies wanneer u leverancierspecifieke routering, beveiligingsinspectie of een bestaand SD-WAN operationeel model nodig hebt.

Connectiviteitsopties in Azure

ExpressRoute

Meer informatie:ExpressRoute-documentatie

Routering: BGP wordt vaak gebruikt via privécircuits om voorvoegsels uit te wisselen tussen Azure en uw netwerk.

Connectiviteitsproviders: ExpressRoute wordt doorgaans ingericht via een colocatie- of connectiviteitsprovider (bijvoorbeeld Equinix, Megaport).

Site-naar-site IPsec VPN (Azure VPN-gateway)

Overzicht: Gebruik Azure VPN-gateway voor versleutelde site-naar-site IPsec-tunnels via het openbare internet. Voor een hogere doorvoer en tolerantie selecteert u een geschikte gateway-SKU (bijvoorbeeld Generation2 en zone-redundante SKU's, indien beschikbaar).

Meer informatie:Zelfstudie: een S2S VPN-verbinding maken

Routering: Gebruik BGP om routes uit te wisselen en actieve/actieve tunnels tussen meerdere verbindingen te ondersteunen.

Zie voor een gedetailleerd overzicht van BGP met meerdere tunnels tussen Azure VPN-gateway en AWS: Tutorial - Een BGP-verbinding configureren tussen Azure en AWS.

Tips voor implementatie (VPN-prestaties)

Voorbeeld van aangepaste IPsec-/IKE-instellingen (valideren op basis van de compatibiliteit van uw apparaat): GCMAES256 voor IPsec-versleuteling/integriteit, SHA256 voor IKE-integriteit, DHGroup14, PFS2048.

Meer informatie:Aangepast IPsec-/IKE-verbindingsbeleid configureren.

SD-WAN met virtuele netwerkapparaten (NVA's)

SD-WAN en firewall NVA's kunnen VPN-tunnels beëindigen, inspectie uitvoeren en gecentraliseerd routerings- en beveiligingsbeleid toepassen. Deze benadering is handig wanneer u leverancierspecifieke mogelijkheden nodig hebt of als u al een SD-WAN platform op verschillende sites gebruikt.

Fortinet: FortiGate Next Generation Firewall

Cisco: Catalyst SD-WAN, Meraki SD-WAN

HPE (Aruba Networks): EdgeConnect SD-WAN

Palo Alto Netwerken: Prisma SD-WAN

Arista (VMware): VeloCloud SD-WAN Virtual Edge

SD-WAN NVA's zijn doorgaans gelicentieerd als pay-as-you-go (PAYG) of bring-your-own-license (BYOL). Ondersteuning van leveranciers verschilt per implementatieoptie.

Voorbeeldimplementatie (FortiGate NVA in Azure)

Selecteer een topologie (één VM, actief/passief of actief/actief) op basis van beschikbaarheids- en doorvoervereisten.

Kies een geschikte VM-grootte (vaak F- of D-serie met een hogere vCPU) en schakel versneld netwerken in waar ondersteund.

Netwerkontwerp: plaats interfaces in WAN/LAN-subnetten (en beveiligde) subnetten en configureer NSG-regels voor vereiste beheer- en VPN-poorten (bijvoorbeeld UDP 500/4500 voor IPsec).

Routering: UDR's gebruiken om Azure-naar-AWS-voorvoegsels te sturen via de volgende NVA-hop.

Documentatie voor leveranciers: Zie het artikel fortinet Community hieronder voor de stappen voor het configureren van IPsec tussen FortiGate-apparaten.

Site-to-site VPN configureren tussen FortiGate-apparaten (Fortinet Community)

AWS-connectiviteit met Azure

AWS Direct Connect met Azure ExpressRoute

AWS Direct Connect kan worden gekoppeld aan Azure ExpressRoute via een colocatiecentrum/provider om een privéverbinding met hoge doorvoersnelheid tussen AWS en Azure te creëren.

Routering: BGP via privécircuits

Connectiviteit: Normaal gesproken via een colocatie-/connectiviteitsprovider

Wat is Direct Connect? - AWS Direct Connect

Een Direct Connect-gateway maken - AWS Direct Connect

AWS site-to-site VPN (BGP)

Voor AWS-naar-Azure VPN gebruikt u dynamische routering (BGP) en geeft u de voorkeur aan AWS Transit Gateway (TGW) voor schaal en prestaties, indien van toepassing.

Meer informatie:Zelfstudie: een BGP-verbinding configureren tussen Azure en AWS.

AWS SD-WAN met NVAs

Als u een SD-WAN-platform in AWS gebruikt (bijvoorbeeld FortiGate op EC2), kunt u tunnels in AWS beëindigen en verbinding maken met Azure met behulp van hetzelfde SD-WAN beleidsmodel dat on-premises wordt gebruikt.

1. Start de NVA vanuit AWS Marketplace en groot de instantie voor de vereiste doorvoer.
2. Koppel WAN/LAN-interfaces, koppel een elastisch IP-adres aan de WAN-interface en schakel controles van bron/bestemming uit, indien vereist door het routeringsmodel van het apparaat.
3. Configureer beveiligingsgroepen en routetabellen om Azure-voorvoegsels toe te staan en verkeer door het apparaat te sturen.

Implementatiedetails voor AWS FSx private access (VPC-eindpunten)

Configureer een AWS VPC-endpoint (VPCE) voor Amazon FSx

Een AWS VPC-endpoint (VPCE) voor FSx biedt een privé-endpoint aan een S3-service waarmee je VPC privé contact kan maken met FSx. Om je FSx-share aan te maken en aan een VPC te koppelen, zie je de AWS-documentatie. Zorg ervoor dat je share binnen een VPC zit met AWS-connectiviteit en dat FSx-beveiliging standaard veilig verkeer op poort 445 toestaat.

Implementatiedetails voor S3-privétoegang (VPC-eindpunten)

Een AWS VPC-eindpunt (VPCE) configureren voor Amazon S3

Met een AWS VPC-eindpunt (VPCE) voor S3 kan uw VPC S3 privé bereiken. Voor dit ontwerp schakelt u doorgaans privé-DNS in en beperkt u vervolgens de toegang met VPCE- en bucketbeleid.

Stappen op hoog niveau

1. Controleer of dns-ondersteuning en DNS-hostnamen zijn ingeschakeld voor uw VPC.
2. Maak een interface-VPCE voor Amazon S3 in de doel-VPC en subnetten en schakel privé-DNS in.
3. Configureer VPCE- en bucketbeleid om alleen vereiste S3-acties toe te staan en (optioneel) de toegang tot het specifieke eindpunt te beperken met behulp van aws:SourceVpce.

Voorbeeld: S3-bucketbeleid beperkt tot een specifieke VPCE.

Opmerking: Noteer het privé-IP-adres van de VPCE; het wordt gebruikt als het doel-IP-adres voor Azure Private Link Service Direct Connect.

Overwegingen voor beveiligingsgroepen

Sta vereist verkeer van Azure bronprefixen toe aan de VPCE en gerelateerde AWS-resources (principe van minimale bevoegdheden).

Azure-configuratie voor Private Link Service Direct Connect

De Private Link Service Direct Connect-resource maken

Met Private Link Service Direct Connect kan Azure uitgaande privéconnectiviteit maken met een doel-IP-adres (bijvoorbeeld een AWS VPCE IP). In dit scenario kunnen privéverbindingen van Storage Mover een privé-S3-eindpunt bereiken via uw tot stand gebrachte Azure-naar-AWS-netwerkpad.

1. Implementeer de PLS Direct Connect-resource in dezelfde Azure-regio als de Storage Mover-resource en het virtuele Azure-netwerk dat wordt gebruikt om AWS te bereiken.
2. Schakel de functie in de Azure Portal in door gebruik te maken van de verstrekte flight link: Azure Portal flight link (PLS Direct Connect).
3. Zorg ervoor dat het Azure VNet/subnet dat is geselecteerd voor bron-NAT verbinding heeft met de AWS-VPC en het VPCE-IP-adres.

Stappen op hoog niveau

1. Maak de resource Private Link Service (Your Service) voor Direct Connect in de juiste regio.
2. Uitgaande instellingen configureren:
3. Stel de verbindingsmethode in op het doel-IP-adres en voer het IP-adres van AWS VPCE in.
4. Selecteer het virtuele nat-bronnetwerk en subnet dat naar AWS kan worden gerouteerd.
5. Configureer instellingen voor privé-IP-adressen zoals vereist voor tolerantie (bijvoorbeeld twee of meer adressen in ondersteunde stappen).

Privéverbindingen maken en goedkeuren

Nadat u de Direct Connect-resource hebt gemaakt, maakt u een privéverbinding in Storage Mover en keurt u deze goed voordat u deze gebruikt.

az storage-mover connection create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --private-link-service-id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --description "Private S3 connection"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.privateEndpointResourceId --output tsv

az network private-endpoint-connection list --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --query "[].{name:name,id:id,privateEndpointId:properties.privateEndpoint.id}" --output table

az network private-endpoint-connection approve --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService/privateEndpointConnections/<private-endpoint-connection-name>" --description "Approved for Azure Storage Mover"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.connectionStatus --output tsv

Privéverbindingen gebruiken voor cloud-naar-cloudmigratie

az storage-mover job-definition create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --project-name "my-migration-project" --job-definition-name "my-job-definition" --job-type CloudToCloud --copy-mode Additive --source-name "my-s3-endpoint" --target-name "my-blob-endpoint" --source-subpath "/" --target-subpath "/" --connections "/subscriptions/<subscription-id>/resourceGroups/c2c-migration-rg/providers/Microsoft.StorageMover/storageMovers/myStorageMover/connections/private-connection" --description "Private S3 to Azure Blob Storage"

Architecture

Privémigratiestroom (privénetwerk)

Het voorgaande diagram toont privénetwerken naar AWS, maar hetzelfde privé-verbindingspatroon geldt voor andere ondersteunde private-source scenario's.

Cloud-naar-cloud-migratiestroom (openbare S3-bucket naar Azure Blob)

Troubleshooting

Connectiviteit en IP-adressering

• Doel-IP controleren in Azure PLS: Zorg ervoor dat de Azure Private Link-service specifiek verwijst naar het IP-adres van het AWS VPC-eindpunt. Een verschil hier verhindert de eerste handshake.
• Netwerkpad valideren: Controleer of de onderliggende netwerkinfrastructuur (bijvoorbeeld VPN, ExpressRoute of Cloud Interconnect) tot stand is gebracht en dat verkeer correct wordt gerouteerd tussen de Azure-omgeving en de AWS-VPC.
• Interfaceconfiguraties controleren: Controleer de configuratie van het AWS VPC-eindpunt om ervoor te zorgen dat deze actief is en is gekoppeld aan de juiste subnetten en beveiligingsgroepen.

Configuratie van VPCE-beleid

• Resourcemachtigingen controleren: Inspecteer het Resource element in uw VPCE-beleid. Het moet expliciet de ARN van de doel-S3-bucket (bijvoorbeeld arn:aws:s3:::your-bucket-name en arn:aws:s3:::your-bucket-name/*) bevatten.
• Controleactiemachtigingen: Zorg ervoor dat het Action element in het VPCE-beleid de benodigde bewerkingen toestaat. Op zijn minst zijn s3:Get* en s3:List* vereist voor het lezen en browsen van gegevens.
• Beleidslogica: Als u een aangepast beleid gebruikt, moet u ervoor zorgen dat er geen 'Weigeren'-instructies zijn die per ongeluk de instructies 'Toestaan' overschrijven voor het verkeer dat afkomstig is uit Azure.
  

Beperkingen voor het S3-bucketbeleid

• VPCE toestemmingslijst: Controleer of het S3 Bucket-beleid een Condition blok bevat. Als de bucket toegang beperkt, moet het aws:SourceVpce dat overeenkomt met het gebruikte VPC-eindpunt expliciet worden toegestaan.
• Principal Access: Zorg ervoor dat de IAM-identiteit of de anonieme toegang (indien van toepassing via VPCE) niet wordt geblokkeerd door de toegangsbeheerlijst (ACL) van de bucket of de instellingen voor het blokkeren van openbare toegang.

Regionale uitlijning

• Validatie van regiobereik: AWS VPC-eindpunten voor S3 zijn regionaal beperkt. Een VPCE in us-west kan geen verkeer routeren naar een S3-bucket die zich in us-eastbevindt.
• Sanering: Als je een regionale mismatch identificeert, migreer dan de S3-bucket naar dezelfde regio als de VPCE, of richt een nieuwe VPCE in de bucket-regio op. Deze aanpak kan extra routering tussen regio's vereisen.

Limits

• Klanten kunnen maximaal 10 privéverbindingen/regio's configureren. Dit omvat de status van privéverbindingen in de staat Goedgekeurd/In behandeling/Verbroken verbinding.
• PLS Direct moet worden geconfigureerd in dezelfde regio als de Storage Mover-resource.

Performance

Azure Storage Mover ondersteunt veilige, grootschalige gegevensmigratie in cloudomgevingen, waaronder scenario's waarvoor strikte netwerkisolatie is vereist. Door Azure Private Link en privé-eindpunten te gebruiken, blijven gegevensoverdrachten binnen vertrouwde grenzen tussen uw Google Cloud VPC en Azure virtueel netwerk.

In dit artikel wordt uitgelegd hoe u een privénetwerkverbinding instelt tussen Google Cloud Storage (GCS) en Azure, privéverbindingen configureert in Storage Mover en een migratietaak maakt waarmee gegevens van het openbare internet worden bewaard.

Prerequisites

vereisten voor Azure

• Een actief Azure-abonnement met machtigingen voor het maken en beheren van Azure Storage Mover-resources.
• Een Storage Mover-resource die is geïmplementeerd in uw Azure-abonnement.
• Een Azure Key Vault voor het opslaan van uw GCS HMAC-referenties (toegangssleutel en geheime sleutel).
• Bekendheid met de Azure Storage Mover-resourcehiërarchie.

Vereisten voor Google Cloud

• Een Google Cloud-account met toegang tot de GCS-bucket die u wilt migreren.
• HMAC-sleutels die zijn gegenereerd voor een GCS-serviceaccount (toegangssleutel-id en geheime sleutel).
• Een Google Cloud VPC met connectiviteit met Azure (via Cloud VPN of Cloud Interconnect).
• Controleer of het GCS-serviceaccount minimaal beschikt over de rollen Storage Legacy Bucket Reader en Storage Legacy Object Reader op de doelbucket.
• Een PSC-eindpunt (Private Service Connect) voor Google-API's die zijn geconfigureerd in uw GCP VPC, met een stabiel privé-IP-adres voor cloudopslagtoegang.

Vereisten voor privénetwerken

• Een Private Link Service Direct Connect-resource die is geconfigureerd in Azure met het IP-adres van het GCP PSC-eindpunt als doel.
• Bekendheid met Azure Private Link netwerkdocumentatie.

Connectiviteitsopties voor privénetwerk

Als u gegevens wilt migreren van een GCS-bucket met VPC-beperkingen, hebt u eerst een privénetwerkpad nodig tussen uw Google Cloud VPC en Azure. Azure ondersteunt verschillende connectiviteitsopties:

Voor de meeste scenario's biedt site-naar-site-VPN een goede balans tussen kosten en prestaties. Voor de hoogste doorvoer gebruikt u ExpressRoute die is gekoppeld aan Google Cloud Interconnect.

Connectiviteitsopties in Azure

ExpressRoute

Meer informatie:ExpressRoute-documentatieroutering: BGP wordt vaak gebruikt via privécircuits om voorvoegsels uit te wisselen tussen Azure en uw netwerk. Connectiviteitsproviders: ExpressRoute wordt doorgaans ingericht via een colocatie- of connectiviteitsprovider (bijvoorbeeld Equinix, Megaport).

Site-naar-site IPsec VPN (Azure VPN-gateway)

Overzicht: Gebruik Azure VPN-gateway voor versleutelde site-naar-site IPsec-tunnels via het openbare internet. Voor een hogere doorvoer en tolerantie selecteert u een geschikte gateway-SKU (bijvoorbeeld Generation2 en zone-redundante SKU's, indien beschikbaar). Meer informatie:Zelfstudie: Een S2S VPN-verbindingsroutering maken: BGP gebruiken om routes uit te wisselen en actieve/actieve tunnels tussen meerdere verbindingen te ondersteunen.

Zie HA VPN-verbindingen maken tussen Google Cloud en Azure voor een gedetailleerd overzicht van HA VPN-verbindingen tussen Google Cloud en Azure.

Tips voor implementatie (VPN-prestaties)

Voorbeeld van aangepaste IPsec-/IKE-instellingen (valideren op basis van de compatibiliteit van uw apparaat): GCMAES256 voor IPsec-versleuteling/integriteit, SHA256 voor IKE-integriteit, DHGroup14, PFS2048.

Meer informatie:Aangepast IPsec-/IKE-verbindingsbeleid configureren.

Site-naar-site-VPN configureren tussen Azure en Google Cloud

Aan de zijde van Google Cloud:

• Maak een ha-VPN Gateway op uw VPC. Let op de twee automatisch toegewezen externe IP-adressen.
• Maak een cloudrouter in dezelfde regio om BGP-sessies te beheren.
• Maak VPN-tunnels die verwijzen naar de Azure VPN-gateway openbare IP-adressen.
• Configureer BGP-sessies op cloudrouter met behulp van de BGP-peer-IP's die worden uitgewisseld met Azure.
• Zorg ervoor dat het SUBnet van het PSC-eindpunt bereikbaar is vanaf Azure via de VPN-tunnel. Cloud Router adverteert routes voor uw VPC-subnetten naar Azure automatisch via BGP.

Meer informatie:

• Google Cloud HA VPN

Opmerking: Er is geen specifieke coderingsconfiguratie vereist aan de kant van Google Cloud. Google Cloud HA VPN onderhandelt automatisch over IPsec-instellingen op basis van wat het ontvangt van de Azure VPN-gateway.

Persoonlijke toegang tot GCS configureren

Private Service Connect (PSC) maakt een privé-eindpunt met een stabiel RFC 1918 IP-adres in uw Google Cloud VPC voor toegang tot Google-API's, waaronder Cloud Storage. Dit IP-adres is de bestemming die u configureert in Azure Private Link Service Direct Connect.

• Navigeer in de Google Cloud-console naarPrivate Service Connect voor >.

• Selecteer Verbinding maken met een eindpunt en kies Google-API's als doel.

• Selecteer alle Google Cloud-API's of VPC-SC-waarden in het veld Bundeltype , afhankelijk van uw beveiligingsvereisten.

• Wijs een privé-IP-adres toe vanuit uw VPC-subnet.

  Noteer dit privé-IP-adres. U hebt deze nodig bij het configureren van de Azure PLS Direct Connect-resource.

Meer informatie

Toegang tot GCS-buckets beperken (optioneel)

Als u uw GCS-bucket verder wilt beperken tot alleen-VPC-toegang, kunt u IP-filtering voor GCS-buckets gebruiken:

• Beperk de toegang tot uw specifieke GCP VPC-netwerk of IP-bereiken.

• Limieten: maximaal 200 CIDR-blokken, 25 VPC-netwerken per bucket.

  Meer informatie

De Direct Connect-resource voor de Private Link-service maken

Private Link Service (PLS) Direct Connect maakt uitgaande privéconnectiviteit van Azure naar een doel-IP-adres. Voor GCS is het doel-IP het IP-adres van het PSC-eindpunt in uw Google Cloud VPC, bereikbaar via uw VPN- of Interconnect-tunnel.

• Navigeer in de Azure-portal naar Home > Network Foundation > Private Link services.
• Selecteer Een private link-service maken.
• Selecteer op het tabblad Basisinformatie dezelfde Azure regio als uw Storage Mover-resource.
• Op het tabblad Uitgaande instellingen:
• Verbindingsmethode: doel-IP-adres selecteren
• IP-adres: voer het IP-adres van het GCP Private Service Connect-eindpunt (PSC) in dat u eerder hebt genoteerd.
• Virtueel netwerk voor Source NAT: selecteer het VNet dat uw Azure VPN-gateway bevat
• Bron-NAT-subnet: selecteer het subnet met VPN-connectiviteit met GCP
• Instellingen voor privé-IP-adressen: minimaal 2 NAT IP-adressen configureren (even getal vereist)
• Op het tabblad Beveiliging van Toegang: Selecteer de juiste zichtbaarheidsinstelling (alleen op rollen gebaseerd toegangsbeheer is het meest beperkend)
• Kies Beoordelen + creëren.

Privéverbindingen maken en goedkeuren

Nadat u de PLS Direct Connect-resource hebt gemaakt, maakt u een privéverbinding in Storage Mover en keurt u deze goed voordat u deze gebruikt.

Een privéverbinding maken

az storage-mover connection create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --private-link-service-id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --description "Private GCS connection"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.privateEndpointResourceId --output tsv

De privéverbinding goedkeuren

az network private-endpoint-connection list --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --query "[].{name:name,id:id,privateEndpointId:properties.privateEndpoint.id}" --output table

az network private-endpoint-connection approve --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService/privateEndpointConnections/<private-endpoint-connection-name>" --description "Approved for Azure Storage Mover"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.connectionStatus --output tsv

Een migratietaak maken met privéverbindingen

az storage-mover job-definition create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --project-name "my-migration-project" --job-definition-name "my-job-definition" --job-type CloudToCloud --copy-mode Additive --source-name "my-gcs-endpoint" --target-name "my-blob-endpoint" --source-subpath "/" --target-subpath "/" --connections "/subscriptions/<subscription-id>/resourceGroups/c2c-migration-rg/providers/Microsoft.StorageMover/storageMovers/myStorageMover/connections/private-connection" --description "Private GCS to Azure Blob Storage"

Troubleshooting

Connectiviteit en IP-adressering

• Controleer het doel-IP-adres in Azure PLS: zorg ervoor dat PLS Direct Connect-punten worden gekoppeld aan het IP-adres van uw GCP PSC-eindpunt. Niet-overeenkomen voorkomt connectiviteit.
• Netwerkpad valideren: bevestig dat Cloud VPN-tunnels in Google Cloud Console > Hybrid Connectivity > VPN de status 'Established' weergeven.
• Controleer BGP: controleer of BGP-sessies van de cloudrouter actief zijn en dat uw VPC-subnetten (inclusief het subnet van het PSC-eindpunt) worden geadverteerd naar Azure.
• Controleer het PSC-eindpunt: bevestig dat de status van het PSC-eindpunt Verbonden is in Google Cloud Console > Netwerkservices > Private Service Connect.
• Regio-uitlijning controleren: PLS Direct Connect en Storage Mover moeten zich in dezelfde Azure regio bevinden. Verificatie (HMAC)
• Controleer of de HMAC-toegangssleutel en geheime sleutel in Azure Key Vault actief zijn en niet zijn verlopen.
• Controleer of de beheerde identiteit van het broneindpunt de rol Key Vault Secrets User heeft op uw Key Vault.
• Controleer of het GCS-serviceaccount minimaal beschikt over de rollen Storage Legacy Bucket Reader en Storage Legacy Object Reader op de doelbucket.
• HMAC-sleutels werken alleen met GCS XML-API (niet JSON-API).
• Nadat u een nieuwe HMAC-sleutel hebt gemaakt, wacht u maximaal 60 seconden voordat deze actief wordt. Privéverbindingen
• Alleen verbindingen met de status 'Goedgekeurd' worden in de taakwizard weergegeven. Controleer de status bij Opslageindpunten > Privéverbindingen (Preview).
• Als de status In behandeling is: selecteer de verbinding en selecteer Goedkeuren.
• Als de status Verbroken is: de PLS Direct Connect-resource is mogelijk verwijderd of gewijzigd. Migratietaak voor probleemoplossing is mislukt. Controleer de kopieer- en taaklogboeken op foutmeldingen. Veelvoorkomende oorzaken: ongeldige referenties, netwerkverbinding. Verificatiefout: controleer of HMAC-sleutels in Key Vault juist en actief zijn. Controleer of de rol Key Vault Secrets User is toegewezen. Machtigingsfout op doel. Controleer of de beheerde identiteit van het doelendpunt de rol Inzender van opslagblobgegevens heeft voor de Blob-container. Gegevensoverdracht is traag: netwerkbandbreedte controleren. GCS kan S3-compatibele API-aanvragen beperken. Voeg meer privéverbindingen toe. Objecten die ontbreken na synchronisatie GCS-tijdstempels hebben granulariteit op het tweede niveau. Objecten die zijn gewijzigd in dezelfde seconde als de laatste synchronisatie, worden mogelijk pas gedetecteerd tijdens de volgende uitvoering. Bron-URL afgewezen. Zorg ervoor dat de URL HTTPS gebruikt en geen queryparameters of fragmenten bevat. Gebruik een geldige volledig gekwalificeerde domeinnaam.

Bekende limieten

• Maximaal 10 privéverbindingen per abonnement per regio (goedgekeurd, in behandeling en verbroken samen). Zie Private Link Service Direct Connect configureren voor meer informatie.
• PLS Direct Connect moet worden geconfigureerd in dezelfde regio als de Storage Mover-resource.
• Planning is niet beschikbaar voor GCS-brontype. Taken moeten handmatig worden uitgevoerd.
• Elke migratietaak ondersteunt overdracht van maximaal 500 miljoen objecten.
• Alleen HTTPS-toegang tot de S3-compatibele bron wordt ondersteund.
• De bron die compatibel is met S3 moet ondersteuning bieden voor VERIFICATIE van AWS Signature Versie 4 (SigV4).
• Maximaal 10 HMAC-sleutels per GCS-serviceaccount.

Performance

De volgende benchmarks zijn gemeten met behulp van Azure VPN-gateway met meerdere IPsec-tunnels in combinatie met privéverbindingen van Storage Mover:

Prerequisites

vereisten voor Azure

• Een actief Azure-abonnement met machtigingen voor het maken en beheren van Azure Storage Mover-resources.
• Een Storage Mover-resource die is geïmplementeerd in uw Azure-abonnement.
• Een Azure Key Vault om je OCI Customer Secret Keys (Access Key en Secret Key) op te slaan.
• Bekendheid met de Azure Storage Mover-resourcehiërarchie.

OCI-vereisten

• Een Oracle Cloud Infrastructure (OCI)-tenancy met toegang tot de Object Storage-bucket die u wilt migreren.
• Klantgeheime sleutels gegenereerd voor een OCI-gebruiker (Access Key ID + Secret Key).
• Een OCI Virtual Cloud Network (VCN) met connectiviteit naar Azure (via Site-to-Site VPN of FastConnect).
• Een IAM-beleid dat de gebruiker of groep leestoegang geeft tot de doelbuckets en objecten (bijvoorbeeld: Allow group <G> to read buckets in compartment <C> en Allow group <G> to read objects in compartment <C>).
• Een OCI Object Storage privé-endpoint (of Service Gateway) die een stabiel privé-IP biedt voor Object Storage toegang binnen uw VCN.

Vereisten voor privénetwerken

• Een Private Link Service Direct Connect-resource geconfigureerd in Azure met het OCI Object Storage private endpoint IP als bestemming.
• Bekendheid met Azure Private Link netwerkdocumentatie.

Connectiviteitsopties voor privénetwerk

Om data te migreren vanuit een VCN-beperkte OCI-bucket, heb je eerst een privé netwerkpad nodig tussen je OCI-VCN en Azure. Azure ondersteunt verschillende connectiviteitsopties:

Voor de meeste scenario's biedt site-naar-site-VPN een goede balans tussen kosten en prestaties. Voor de hoogste doorvoersnelheid gebruik je ExpressRoute in combinatie met OCI FastConnect.

Connectiviteitsopties in Azure

ExpressRoute

Meer informatie:ExpressRoute-documentatie

Routering: BGP wordt vaak gebruikt via privécircuits om voorvoegsels uit te wisselen tussen Azure en uw netwerk.

Connectiviteitsproviders: ExpressRoute wordt doorgaans ingericht via een colocatie- of connectiviteitsprovider (bijvoorbeeld Equinix, Megaport).

Site-naar-site IPsec VPN (Azure VPN-gateway)

Overzicht: Gebruik Azure VPN-gateway voor versleutelde site-naar-site IPsec-tunnels via het openbare internet. Voor een hogere doorvoer en tolerantie selecteert u een geschikte gateway-SKU (bijvoorbeeld Generation2 en zone-redundante SKU's, indien beschikbaar).

Meer informatie:Zelfstudie: een S2S VPN-verbinding maken

Routering: Gebruik BGP om routes uit te wisselen en actieve/actieve tunnels tussen meerdere verbindingen te ondersteunen.

Tips voor implementatie (VPN-prestaties)

Voorbeeld van aangepaste IPsec-/IKE-instellingen (valideren op basis van de compatibiliteit van uw apparaat): GCMAES256 voor IPsec-versleuteling/integriteit, SHA256 voor IKE-integriteit, DHGroup14, PFS2048.

Meer informatie:Aangepast IPsec-/IKE-verbindingsbeleid configureren.

Configureer site-to-site VPN tussen Azure en OCI

Aan de kant van OCI:

• Maak een Dynamic Routing Gateway (DRG) aan en verbind deze aan je VCN.
• Maak een Customer-Premises Equipment (CPE)-object aan voor elk Azure VPN-gateway publieke IP-adres.
• Maak een IPSec-verbinding (Site-to-Site VPN) met tunnels naar de publieke IP-adressen van de Azure VPN-gateway.
• Configureer BGP (of statische routering) op de DRG met behulp van de BGP-peer IP's die met Azure zijn uitgewisseld.
• Zorg ervoor dat het Object Storage privé-endpoint subnet bereikbaar is vanuit Azure via de VPN-tunnel; adverteer je VCN-subnetten aan Azure via BGP.

Lees meer:OCI Site-to-Site VPN

Configureer privétoegang tot OCI Object Storage

Een privé-endpoint (of Service Gateway) van OCI Object Storage biedt een stabiel privé-IP-adres binnen uw VCN voor toegang tot Object Storage. Dit IP-adres is de bestemming die u configureert in Azure Private Link Service Direct Connect.

• Navigeer in de OCI-console naar Networking>Virtual Cloud Networks en maak een Object Storage privé-endpoint aan in je VCN.
• Wijs een privé IP-adres toe vanaf je VCN-subnet.
• Noteer dit privé-IP-adres. U hebt deze nodig bij het configureren van de Azure PLS Direct Connect-resource.

Beperk de toegang tot de OCI-bucket (optioneel)

• Gebruik OCI IAM-beleidsregels om least-privilege leestoegang te verlenen en stel bucket visibility in op privé.
• Beperk optioneel de toegang tot je VCN door gebruik te maken van de Object Storage private endpoint- en netwerkbeveiligingsregels.

De Direct Connect-resource voor de Private Link-service maken

Private Link Service (PLS) Direct Connect maakt uitgaande privéconnectiviteit van Azure naar een doel-IP-adres. Voor OCI is het bestemmings-IP het OCI Object Storage privé-eindpunt IP in je VCN, bereikbaar via je VPN of FastConnect-tunnel.

• Ga in de Azure-portal naar Home>Network foundation>Private Link-services.
• Selecteer Een Private Link-service maken.
• Selecteer op het tabblad Basics dezelfde Azure-regio als je Storage Mover-resource.
• Op het tabblad Outbound-instellingen :
  • Verbindingswijze: selecteer het bestemmings-IP-adres.
  • IP-adres: voer het privé-endpoint IP-adres van OCI Object Storage in dat je eerder hebt geregistreerd.
  • Bron NAT Virtueel netwerk: selecteer de VNet met je Azure VPN-gateway.
  • Bron NAT-subnet: selecteer het subnet met VPN-connectiviteit naar OCI.
  • Instellingen voor privé IP-adres: configureer minstens 2 NAT-IP's (even aantal vereist).
• Selecteer op het tabblad Toegangsbeveiliging de juiste zichtbaarheidsinstelling (Rolgebaseerde toegangscontrole is het meest beperkend).
• Kies Beoordelen + creëren.

Privéverbindingen maken en goedkeuren

Nadat u de PLS Direct Connect-resource hebt gemaakt, maakt u een privéverbinding in Storage Mover en keurt u deze goed voordat u deze gebruikt.

Een privéverbinding maken

1. Navigeer naar uw Storage Mover-resource in de Azure-portal.
2. Onder Resource management selecteert u Opslageindpunten.
3. Selecteer het tabblad Privéverbindingen (Voorbeeld).
4. Selecteer Privéverbindingen toevoegen.
5. Voer een naam in voor de privéverbinding.
6. Selecteer de Private Link Service Direct Connect-bron die je hebt aangemaakt.
7. Klik op Creëren. Het provisioneren duurt 20-30 seconden. Vernieuw om de verbinding in het raster te zien.

De privéverbinding goedkeuren

1. Schakel het selectievakje in naast de zojuist gemaakte privéverbinding.
2. Selecteer Goedkeuren.
3. Wacht tot de status van de Private link-serviceverbinding verandert naar Goedgekeurd.

Een migratietaak maken met privéverbindingen

Tabblad Basis

• Bron-eindpunt: selecteer een bestaand OCI S3-compatibel bron-eindpunt, of selecteer Bron-eindpunt toevoegen om er een aan te maken.
• Target Endpoint: selecteer een bestaand Azure Blob Storage target endpoint, of selecteer Add target endpoint.
• Selecteer in de sectie Private connections (Preview)Toevoegen om goedgekeurde private verbindingen aan deze taak te koppelen. U kunt meerdere privéverbindingen koppelen voor taakverdeling.
• De resterende taken zijn hetzelfde als bij een publieke OCI-naar-Blob-migratie.

Troubleshooting

Connectiviteit en IP-adressering

• Verifieer het bestemmings-IP in Azure PLS: zorg ervoor dat PLS Direct Connect wijst naar het privé-eindpunt IP-adres van je OCI Object Storage. Een mismatch verhindert connectiviteit.
• Valideer het netwerkpad: bevestig dat de OCI Site-to-Site VPN-tunnels (of FastConnect virtuele circuit) een Up-status tonen in de OCI-console.
• Controleer routing: bevestig dat de DRG BGP-sessies zijn opgezet en dat je VCN-subnetten (inclusief het private endpoint subnet) aan Azure worden geadverteerd.
• Verifieer het privé-eindpunt: bevestig dat het privé-eindpunt van OCI Object Storage actief is en wordt opgelost naar het verwachte privé-IP.
• Controleer de uitlijning van de regio: PLS Direct Connect en Storage Mover moeten zich in dezelfde Azure-regio bevinden.

Verificatie

• Controleer of de Access Key en Secret Key (OCI Customer Secret Keys) in Azure Key Vault actief en correct zijn.
• Bevestig dat de beheerde identiteit van het bron-eindpunt de rol Key Vault Secrets User voor uw Key Vault heeft.
• Bevestig dat de OCI-gebruiker of -groep een IAM-beleid heeft dat leestoegang verleent tot de doelbuckets en objecten.
• Als de initialisatie van de S3-client mislukt, gebruik dan URL's in padstijl voor buckets waarvan de namen _ of . bevatten.

Bekende limieten

• Maximaal 10 privéverbindingen per abonnement per regio (goedgekeurd, in behandeling en verbroken samen).
• PLS Direct Connect moet worden geconfigureerd in dezelfde regio als de Storage Mover-resource.
• Planning is niet beschikbaar voor het OCI-brontype. Taken moeten handmatig worden uitgevoerd.
• Elke migratietaak ondersteunt overdracht van maximaal 500 miljoen objecten.
• Alleen HTTPS-toegang tot de S3-compatibele bron wordt ondersteund.
• De bron die compatibel is met S3 moet ondersteuning bieden voor VERIFICATIE van AWS Signature Versie 4 (SigV4).
• Buckets met DNS-incompatibele namen (_, .) moeten pad-achtige URL's gebruiken.
• Customer Secret Keys per OCI-gebruiker zijn onderworpen aan OCI-servicelimieten (standaard is laag; vraag indien nodig om een verhoging). Controleer de huidige limiet in de OCI-console.

Performance

De volgende benchmarks werden gemeten met behulp van Azure VPN-gateway met meerdere IPsec-tunnels gecombineerd met Storage Mover-privéverbindingen. De daadwerkelijke doorvoer hangt af van je VCN-, VPN/FastConnect- en Object Storage limieten.

Azure ondersteunt verschillende manieren om verbinding te maken met privénetwerken. De beste aanpak is afhankelijk van uw vereisten voor latentie, bandbreedte, beveiliging, kosten en operationele complexiteit.

• Azure ExpressRoute : persoonlijke, toegewezen connectiviteit die niet via het openbare internet gaat.
• Site-to-site IPsec VPN - Versleutelde tunnels via het openbare internet (meestal met behulp van Azure VPN-gateway).
• SD-WAN via netwerkvirtuele appliances (NVA's) - Appliances van derden bieden VPN- en firewallfuncties, en ze kunnen tunnels beëindigen in plaats van native gateways te gebruiken.

Over het algemeen heeft ExpressRoute de voorkeur voor de hoogste bandbreedte en de laagste latentie. Als ExpressRoute niet beschikbaar is, gebruikt u site-naar-site-VPN of een OP SD-WAN/NVA gebaseerd ontwerp.

Belangrijke concepten

ExpressRoute: Privéverbinding met Azure via een connectiviteitsprovider. Wordt meestal gebruikt voor voorspelbare latentie en hogere doorvoersnelheid.

Azure VPN-gateway SKU: De gatewaygrootte/SKU beïnvloedt het aantal tunnels en de doorvoer. Kies op basis van de benodigde bandbreedte en veerkracht.

IPsec/IKE-beleid: Cryptografische algoritmen en parameters die worden gebruikt om VPN-tunnels op te zetten en te beveiligen, zoals AES- en SHA-families, DH- en PFS-groepen.

BGP (Border Gateway Protocol): Dynamische routering die voorvoegsels tussen netwerken uitwisselt. Wordt vaak gebruikt voor actieve/actieve tunnels en route-failover.

Netwerk-virtueel apparaat (NVA): Een virtueel netwerkapparaat van derden, zoals een firewall of SD-WAN geïnstalleerd in Azure. Vaak gebruikt voor geavanceerde inspectie, beleid en routering.

UDR (door de gebruiker gedefinieerde routes): Aangepaste routes in Azure die het verkeer naar een specifieke volgende hop sturen, zoals een NVA.

Azure Private Link Service Direct Connect: Azure-mogelijkheid om uitgaande private connectiviteit te creëren naar een bestemmings-IP, zoals een AWS VPCE IP, voor diensten zoals Storage Mover privéverbindingen.

Goedkeuring van een privéverbinding: Privéverbindingen kunnen expliciete goedkeuring vereisen voordat workloads of jobs ze kunnen gebruiken.

Wanneer moet u elke optie gebruiken

ExpressRoute: kies wanneer u voorspelbare prestaties, privéconnectiviteit en hogere doorvoer nodig hebt voor hybride connectiviteit.

Site-to-site VPN: Kies voor snellere opstelling, lagere kosten, of als back-uppad. De prestaties hangen af van de internetcondities en de gateway-SKU.

SD-WAN/NVA's: kies wanneer u leverancierspecifieke routering, beveiligingsinspectie of een bestaand SD-WAN operationeel model nodig hebt.

Connectiviteitsopties in Azure

ExpressRoute

Meer informatie:ExpressRoute-documentatie

Routering: BGP wordt vaak gebruikt via privécircuits om voorvoegsels uit te wisselen tussen Azure en uw netwerk.

Connectiviteitsaanbieders: Meestal provisioneer je ExpressRoute via een colocatie- of connectiviteitsprovider, zoals Equinix of Megaport.

Site-naar-site IPsec VPN (Azure VPN-gateway)

Overzicht: Gebruik Azure VPN-gateway voor versleutelde site-naar-site IPsec-tunnels via het openbare internet. Voor een hogere doorvoer en veerkracht kies je een geschikte gateway-SKU, zoals Generation2 en zone-redundante SKU's waar beschikbaar.

Meer informatie:Zelfstudie: een S2S VPN-verbinding maken

Routering: Gebruik BGP om routes uit te wisselen en actieve/actieve tunnels tussen meerdere verbindingen te ondersteunen.

Tips voor implementatie (VPN-prestaties)

Voorbeeldinstellingen voor aangepaste IPsec/IKE (valideren tegen de compatibiliteit van je apparaat): GCMAES256 voor IPsec-encryptie en integriteit, SHA256 voor IKE-integriteit, DHGroup14, PFS2048.

Meer informatie:Aangepast IPsec-/IKE-verbindingsbeleid configureren.

SD-WAN met virtuele netwerkapparaten (NVA's)

SD-WAN en firewall NVA's kunnen VPN-tunnels beëindigen, inspectie uitvoeren en gecentraliseerd routerings- en beveiligingsbeleid toepassen. Deze benadering is handig wanneer u leverancierspecifieke mogelijkheden nodig hebt of als u al een SD-WAN platform op verschillende sites gebruikt.

Fortinet: FortiGate Next Generation Firewall

Cisco: Catalyst SD-WAN, Meraki SD-WAN

HPE (Aruba Networks): EdgeConnect SD-WAN

Palo Alto Netwerken: Prisma SD-WAN

Arista (VMware): VeloCloud SD-WAN Virtual Edge

SD-WAN NVA's zijn doorgaans gelicentieerd als pay-as-you-go (PAYG) of bring-your-own-license (BYOL). Ondersteuning van leveranciers verschilt per implementatieoptie.

Voorbeeldimplementatie (FortiGate NVA in Azure)

Selecteer een topologie (één VM, actief/passief of actief/actief) op basis van beschikbaarheids- en doorvoervereisten.

Kies een geschikte VM-grootte (vaak F- of D-serie met een hogere vCPU) en schakel versneld netwerken in waar ondersteund.

Netwerkontwerp: plaats interfaces in WAN/LAN-subnetten (en beveiligde) subnetten en configureer NSG-regels voor vereiste beheer- en VPN-poorten (bijvoorbeeld UDP 500/4500 voor IPsec).

Routering: UDR's gebruiken om Azure-naar-AWS-voorvoegsels te sturen via de volgende NVA-hop.

Documentatie voor leveranciers: Zie het artikel fortinet Community hieronder voor de stappen voor het configureren van IPsec tussen FortiGate-apparaten.

Site-to-site VPN configureren tussen FortiGate-apparaten (Fortinet Community)

Overwegingen voor beveiligingsgroepen

Laat vereist verkeer toe van on-premise bronprefixen naar het Azure virtuele netwerk (VNet) volgens het principe van het minste privilege.

Azure-configuratie voor Private Link Service Direct Connect

De Private Link Service Direct Connect-resource maken

Private Link Service Direct Connect stelt Azure in staat om uitgaande privé-connectiviteit naar een bestemmings-IP-adres te creëren. In dit scenario maakt het mogelijk dat privéverbindingen van Storage Mover een on-premises-eindpunt bereiken via uw bestaande Azure VNet-route.

1. Deploy de PLS Direct Connect-resource in dezelfde Azure-regio als de Storage Mover-resource en het virtuele Azure-netwerk dat wordt gebruikt om je on-premises data te bereiken.
2. Schakel de functie in in het Azure-portaal in door gebruik te maken van de meegeleverde vluchtlink: Azure-portaalvluchtlink (PLS Direct Connect).
3. Zorg ervoor dat de Azure VNet en het subnet dat als bron-NAT zijn geselecteerd, connectiviteit hebben met het bron-doeladres.

Stappen op hoog niveau

1. Maak de resource Private Link Service (Your Service) voor Direct Connect in de juiste regio.
2. Uitgaande instellingen configureren:
3. Stel de verbindingsmethode in op het bestemmings-IP-adres en voer het bron-doeladres in.
4. Selecteer het bron-NAT virtuele netwerk en subnet dat naar je bestandsdeling kan worden geleid.
5. Configureer privé-IP-adresinstellingen waar nodig voor veerkracht, zoals twee of meer adressen in ondersteunde incrementen.

Privéverbindingen maken en goedkeuren

Nadat u de Direct Connect-resource hebt gemaakt, maakt u een privéverbinding in Storage Mover en keurt u deze goed voordat u deze gebruikt.

1. Open opslageindpunten in Storage Mover en vervolgens het tabblad Privéverbindingen.
2. Maak een privéverbinding aan die verwijst naar de Direct Connect private link-service, en keur deze vervolgens goed zodat deze aan taken gekoppeld kan worden.
3. Gebruik de voorgaande private verbinding als onderdeel van de taak aanmaken voor je KMB-migratiewerklast.
4. Selecteer het migratietype en de brontypewaarden die overeenkomen met agentless SMB-mount in je tenant.
5. Configureer het SMB-bronpunt (host/share en Key Vault-inloggegevens) en koppel de goedgekeurde privéverbinding toe.
6. Controleer of de privéverbinding wordt vermeld en de status Goedgekeurd heeft.
7. Voltooi de resterende taakconfiguratie en voer stappen uit zoals gedocumenteerd voor SMB-naar-Azure doelmigraties.

Troubleshooting

Connectiviteit en IP-adressering

• Controleer het doel-IP in Azure PLS: Zorg ervoor dat het doel-IP-adres voor Azure Private Link Service Direct is gericht op de juiste, bereikbare on-premises-server. Een verschil hier verhindert de eerste handshake.
• Valideer het netwerkpad: Bevestig dat de onderliggende netwerkinfrastructuur (bijv. VPN, ExpressRoute of Cloud Interconnect) is opgezet en het verkeer correct wordt geleid tussen de Azure-omgeving en het on-premises netwerk.
• Controleer de configuraties van het Virtual Network: Bekijk het virtual network en, indien van toepassing, de configuratie van de netwerkgateway om te zorgen dat deze actief is en gekoppeld aan de juiste subnetten en beveiligingsgroepen.

On-Premises netwerkconfiguratie

Toestaan netwerkverkeer over vereiste poorten: Controleer of firewallinstellingen het inkomende netwerkverkeer over vereiste poorten (poort 445 voor SMB en poort 443 voor S3- en HTTPS-verkeer) vanuit Azure Virtual Network toestaan.

Limits

• Klanten kunnen tot 10 Private Connections per regio configureren. Dit omvat de private verbindingsstatus in Goedgekeurde, Afwachtende en Ontkoppelde staten.
• Je zou PLS direct moeten configureren in dezelfde regio als de Storage Mover Resource.

Performance

• Bekijk de ExpressRoute-concepten en planning in de ExpressRoute-documentatie.
• Maak een site-naar-site-VPN-verbinding in Azure: Tutorial - Een S2S VPN-verbinding maken.
• Voor BGP tussen Azure en AWS volgt u: Tutorial - Een BGP-verbinding configureren tussen Azure en AWS.

• Aan de slag met de migratie van een GCS S3-compatibele bron
• HA VPN maken voor Azure
• Private Service Connect

We hebben enkele "next step"-links nodig voor Oracle-migratie.

• Migreer gegevens van on-premises SMB naar Azure Files met Azure Storage Mover (Preview)
• Gegevens migreren via privéverbindingen in Azure Storage Mover
• Azure Storage Mover netwerkvereisten