Use conexões privadas do Armazenamento do Azure Mover para migrações de fontes privadas

O Azure dá suporte a várias maneiras de se conectar a redes privadas. A melhor abordagem depende de seus requisitos de latência, largura de banda, segurança, custo e complexidade operacional.

• Azure ExpressRoute – Conectividade privada e dedicada que não atravessa a Internet pública.
• Site-to-site IPsec VPN - túneis criptografados pela Internet pública (normalmente usando Gateway de VPN do Azure).
• SD-WAN por meio de NVAs (dispositivos virtuais de rede) – dispositivos de terceiros fornecem recursos de VPN/firewall e podem encerrar túneis em vez de usar gateways nativos.

Em geral, o ExpressRoute é preferencial para a maior largura de banda e a menor latência. Quando o ExpressRoute não estiver disponível, use VPN de site a site ou design baseado em SD-WAN/NVA.

Conceitos principais

ExpressRoute: conectividade privada com o Azure por meio de um provedor de conectividade; normalmente usado para latência previsível e maior taxa de transferência.

Gateway de VPN do Azure SKU: o tamanho/SKU do gateway afeta as contagens de túnel e a taxa de transferência; escolha com base na largura de banda e resiliência necessárias.

Política IPsec/IKE: algoritmos criptográficos e parâmetros usados para estabelecer e proteger túneis VPN (por exemplo, famílias AES e SHA, grupos DH/PFS).

BGP (Border Gateway Protocol): roteamento dinâmico que troca prefixos entre redes; normalmente usado para túneis ativos e alternância de rota.

Solução de virtualização de rede (NVA): um dispositivo de rede virtual de terceiros (como firewall/SD-WAN) implantado no Azure; geralmente usado para inspeção avançada, política e roteamento.

UDR (rotas definidas pelo usuário): rotas personalizadas em Azure que direcionam o tráfego para um próximo salto específico (por exemplo, uma NVA).

AWS Transit Gateway (TGW) / Virtual Private Gateway (VGW): pontos de extremidade de roteamento da AWS para VPN/Direct Connect; o TGW é normalmente preferido para hub-and-spoke e escala.

VPCE (ponto de extremidade VPC) do AWS para Amazon S3: conectividade privada de VPC para S3; frequentemente pareado com DNS privado e políticas de ponto de extremidade/bucket.

Política de bucket S3 e política de VPCE: políticas baseadas em recursos que podem permitir/negar acesso, incluindo restrições a uma VPCE específica por meio de aws:SourceVpce.

Conexão Direta do Serviço de Link Privado do Azure: funcionalidade do Azure para criar conectividade privada de saída com um IP de destino (por exemplo, um IP de VPCE do AWS) para serviços como conexões privadas do Storage Mover.

Aprovação de conexão privada: conexões privadas podem exigir aprovação explícita antes que possam ser usadas por cargas de trabalho/trabalhos.

Alinhamento regional: alguns recursos (por exemplo, VPCEs do AWS e determinados constructos de serviço do Azure) têm escopo de região e devem ser implantados em regiões compatíveis.

Quando usar cada opção

ExpressRoute: escolha quando precisar de desempenho previsível, conectividade privada e maior taxa de transferência para conectividade híbrida.

VPN site a site: escolha por configuração mais rápida, menor custo ou como um caminho de backup; O desempenho depende das condições da Internet e da SKU do gateway.

SD-WAN/NVAs: escolha quando precisar de roteamento específico do fornecedor, inspeção de segurança ou um modelo operacional SD-WAN existente.

Opções de conectividade no Azure

ExpressRoute

Saiba mais:Documentação do ExpressRoute

Roteamento: O BGP geralmente é usado em circuitos privados para trocar prefixos entre o Azure e sua rede.

Provedores de conectividade: O ExpressRoute normalmente é provisionado por meio de um provedor de colocação ou conectividade (por exemplo, Equinix, Megaport).

VPN IPsec de site para site (Gateway de VPN do Azure)

Visão geral: Use o Gateway de VPN do Azure para túneis IPsec site a site criptografados pela Internet pública. Para obter maior rendimento e resiliência, selecione um SKU de gateway apropriado (por exemplo, SKUs de segunda geração e com redundância de zona, quando disponíveis).

Saiba mais:Tutorial – Criar uma conexão VPN S2S

Roteamento: Use o BGP para trocar rotas e dar suporte a túneis ativos/ativos em várias conexões.

Para obter um passo a passo detalhado do BGP de vários túneis entre Gateway de VPN do Azure e a AWS, consulte: Tutorial – Configurar uma conexão habilitada para BGP entre Azure e a AWS.

Dicas de implementação (desempenho de VPN)

Exemplo de configurações personalizadas de IPsec/IKE (validar em relação à compatibilidade do dispositivo): GCMAES256 para criptografia/integridade IPsec, SHA256 para integridade de IKE, DHGroup14PFS2048.

Saiba mais:Configurar políticas de conexão IPsec/IKE personalizadas.

SD-WAN com NVAs (dispositivos virtuais de rede)

SD-WAN e NVAs de firewall podem encerrar túneis VPN, realizar inspeções e aplicar políticas centralizadas de roteamento e segurança. Essa abordagem é útil quando você precisa de recursos específicos do fornecedor ou já opera uma plataforma SD-WAN entre sites.

Fortinet: Firewall de última geração do FortiGate

Cisco: Catalyst SD-WAN, Meraki SD-WAN

HPE (Redes Aruba): EdgeConnect SD-WAN

Palo Alto Networks: Prisma SD-WAN

Arista (VMware): VeloCloud SD-WAN Virtual Edge

Os NVAs SD-WAN são normalmente licenciados como pagamento conforme o uso (PAYG) ou traga sua própria licença (BYOL). O suporte do fornecedor varia de acordo com a opção de implantação.

Implantação de exemplo (NVA do FortiGate no Azure)

Selecione uma topologia (VM única, ativa/passiva ou ativa/ativa) com base nos requisitos de disponibilidade e taxa de transferência.

Escolha um tamanho de VM adequado (geralmente sérieS F ou D com vCPU mais alta) e habilite a rede acelerada quando houver suporte.

Design de rede: coloque interfaces em sub-redes WAN/LAN (e protegidas) e configure regras de NSG para o gerenciamento necessário e portas VPN (por exemplo, UDP 500/4500 para IPsec).

Roteamento: use UDRs para direcionar prefixos do Azure para o AWS através do próximo salto NVA.

Documentação do fornecedor: Por exemplo, etapas para configurar o IPsec entre dispositivos FortiGate, consulte o artigo da Comunidade Fortinet abaixo.

Como configurar vpn site a site entre dispositivos FortiGate (Comunidade Fortinet)

Conectividade do AWS com o Azure

Conexão Direta do AWS ao Azure ExpressRoute

AWS Direct Connect pode ser emparelhado com Azure ExpressRoute por meio de um colocation/provedor para criar um caminho privado de alto desempenho entre AWS e Azure.

Roteamento: BGP em circuitos privados

Conectividade: Normalmente por meio de um provedor de colocação/conectividade

O que é o Direct Connect? – Conexão Direta do AWS

Criar um gateway do Direct Connect – AWS Direct Connect

VPN site-to-site do AWS (BGP)

Para VPN de AWS para Azure, use roteamento dinâmico (BGP) e prefira o AWS Transit Gateway (TGW) para escala e desempenho sempre que aplicável.

Saiba mais:Tutorial – Configurar uma conexão habilitada para BGP entre o Azure e o AWS.

AWS SD-WAN com NVAs

Se você operar uma plataforma SD-WAN no AWS (por exemplo, FortiGate no EC2), poderá encerrar túneis no AWS e se conectar ao Azure usando o mesmo modelo de política de SD-WAN usado localmente.

1. Inicie a NVA do AWS Marketplace e dimensione a instância para a taxa de transferência necessária.
2. Anexe interfaces WAN/LAN, associe um IP elástico à interface WAN e desabilite as verificações de origem/destino, se necessário, pelo modelo de roteamento do dispositivo.
3. Configure grupos de segurança e tabelas de rotas para permitir prefixos do Azure e orientar o tráfego por meio do dispositivo.

Detalhes de implementação para acesso privado do AWS FSx (pontos de extremidade VPC)

Configure um endpoint de VPC da AWS (VPCE) para o Amazon FSx

Um endpoint AWS VPC (VPCE) para FSx fornece um endpoint privado para um serviço S3 que permite que sua VPC alcance o FSx de forma privada. Para criar seu compartilhamento FSx e anexá-lo a uma VPC, veja a documentação da AWS. Certifique-se de que sua participação esteja dentro de uma VPC que tenha conectividade AWS e que a segurança do FSx permita tráfego seguro na porta 445 por padrão.

Detalhes de implementação para acesso privado ao S3 (pontos de extremidade VPC)

Configurar um VPCE (ponto de extremidade VPC) do AWS para o Amazon S3

Um endpoint VPC (VPCE) do AWS para S3 permite que seu VPC acesse o S3 de forma privada. Para esse design, você normalmente habilita o DNS privado e, em seguida, restringe o acesso usando políticas de VPCE e bucket.

Etapas de alto nível

1. Verifique se o VPC tem suporte de DNS e nomes de host DNS habilitados.
2. Crie uma interface VPCE para Amazon S3 no VPC e nas sub-redes de destino e habilite o DNS privado.
3. Configure as políticas de VPCE e bucket para permitir apenas ações S3 necessárias e (opcionalmente) restringir o acesso ao endpoint específico usando aws:SourceVpce.

Exemplo: política de bucket S3 restrita a um VPCE específico.

Nota: Registre o endereço IP privado da VPCE; ele é usado como o IP de destino para o Direct Connect do Serviço de Link Privado do Azure.

Considerações sobre o grupo de segurança

Permitir o tráfego necessário dos prefixos de origem do Azure para o VPCE e os recursos relacionados da AWS (princípio de privilégio mínimo).

configuração de Azure para o Link Privado Service Direct Connect

Criar o recurso Link Privado Service Direct Connect

O Link Privado Service Direct Connect permite que o Azure crie conectividade privada de saída para um endereço IP de destino (por exemplo, um IP de VPCE do AWS). Nesse cenário, ele permite que as conexões privadas do Storage Mover alcancem um ponto de extremidade S3 privado por meio do caminho de rede estabelecido entre o Azure e o AWS.

1. Implante o recurso do PLS Direct Connect na mesma região do Azure que o recurso Storage Mover e a rede virtual do Azure usada para acessar a AWS.
2. Habilite o recurso no portal do Azure usando o link de voo fornecido: link da versão piloto do portal do Azure (PLS Direct Connect).
3. Verifique se a rede virtual/sub-rede do Azure selecionada para NAT de origem tem conectividade com a VPC da AWS e o endereço IP da VPCE.

Etapas de alto nível

1. Crie o recurso Serviço de Link Privado (Seu Serviço) para o Direct Connect na região correta.
2. Definir configurações de saída:
3. Defina o método de conexão para o endereço IP de destino e insira o endereço IP da VPCE do AWS.
4. Selecione a rede virtual source NAT e a sub-rede que pode rotear para a AWS.
5. Defina as configurações de endereço IP privado conforme necessário para resiliência (por exemplo, dois ou mais endereços em incrementos compatíveis).

Criar e aprovar conexões privadas

Depois de criar o recurso do Direct Connect, crie uma conexão privada no Storage Mover e aprove-o antes do uso.

az storage-mover connection create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --private-link-service-id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --description "Private S3 connection"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.privateEndpointResourceId --output tsv

az network private-endpoint-connection list --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --query "[].{name:name,id:id,privateEndpointId:properties.privateEndpoint.id}" --output table

az network private-endpoint-connection approve --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService/privateEndpointConnections/<private-endpoint-connection-name>" --description "Approved for Azure Storage Mover"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.connectionStatus --output tsv

Usar conexões privadas para migração de nuvem para nuvem

az storage-mover job-definition create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --project-name "my-migration-project" --job-definition-name "my-job-definition" --job-type CloudToCloud --copy-mode Additive --source-name "my-s3-endpoint" --target-name "my-blob-endpoint" --source-subpath "/" --target-subpath "/" --connections "/subscriptions/<subscription-id>/resourceGroups/c2c-migration-rg/providers/Microsoft.StorageMover/storageMovers/myStorageMover/connections/private-connection" --description "Private S3 to Azure Blob Storage"

Architecture

Fluxo de migração privada (rede privada)

O diagrama anterior mostra rede privada para a AWS, mas o mesmo padrão de conexão privada se aplica a outros cenários de código privado suportados.

Fluxo de migração entre nuvens (bucket S3 público para o Blob do Azure)

Resolução de problemas

Conectividade e endereçamento IP

• Verify Destination IP in Azure PLS: Verifique se o Link Privado do Azure Service está apontado especificamente para o IP de destino do AWS VPC Endpoint. Uma incompatibilidade aqui impedirá o handshake inicial.
• Validate Network Path: Confirme se a infraestrutura de rede subjacente (por exemplo, VPN, ExpressRoute ou Cloud Interconnect) está estabelecida e roteando o tráfego corretamente entre o ambiente Azure e o VPC do AWS.
• Verificar configurações de interface: Examine a configuração do ponto de extremidade VPC do AWS para garantir que ele esteja ativo e associado às sub-redes e grupos de segurança corretos.

Configuração da política VPCE

• Permissões de Auditoria de Recursos: Inspecione o elemento Resource em sua política de VPCE. Ele deve incluir explicitamente o ARN do bucket S3 de destino (por exemplo, arn:aws:s3:::your-bucket-name e arn:aws:s3:::your-bucket-name/*).
• Permissões de ação de auditoria: Verifique se o Action elemento na política VPCE permite as operações necessárias. No mínimo, s3:Get* e s3:List* são necessários para ler e navegar dados.
• Lógica de política: Se estiver usando uma política personalizada, verifique se não há instruções "Negar" que substituam inadvertidamente as instruções "Permitir" para o tráfego de origem do Azure.
  

Restrições da política de bucket do S3

• Listagem de permissões de VPCE: Verifique a política do bucket S3 para um bloco Condition. Se o bucket restringir o acesso, ele deverá permitir explicitamente o aws:SourceVpce correspondente ao Ponto de extremidade do VPC que está sendo usado.
• Acesso principal: Verifique se a identidade do IAM ou o acesso anônimo (se aplicável via VPCE) não está bloqueado pelas configurações da ACL (Lista de Controle de Acesso) ou do Bloco de Acesso Público do bucket.

Alinhamento regional

• Validação do escopo da região: Os endpoints VPC da AWS para S3 têm escopo regional. Um VPCE em us-west não pode rotear o tráfego para um bucket S3 localizado em us-east.
• Remediação: Se você identificar uma incompatibilidade regional, migre o bucket S3 para a mesma região do VPCE, ou estabeleça um novo VPCE na região do bucket. Essa abordagem pode exigir roteamento adicional entre regiões.

Limits

• Os clientes podem configurar no máximo 10 Conexões Privadas/região. Isso inclui o estado de conexão privada no estado Aprovado/Pendente/Desconectado.
• PLS direct deve ser configurado na mesma região que o recurso Storage Mover.

Performance

Armazenamento do Azure Mover dá suporte à migração segura de dados em larga escala em ambientes de nuvem, incluindo cenários que exigem isolamento de rede estrito. Ao usar o Link Privado do Azure e os Pontos de Extremidade Privados, as transferências de dados permanecem dentro de limites confiáveis entre a VPC do Google Cloud e a rede virtual do Azure.

Este artigo explica como configurar a conectividade de rede privada entre o GCS (Google Cloud Storage) e o Azure, configurar conexões privadas no Storage Mover e criar um trabalho de migração que mantenha os dados fora da Internet pública.

Pré-requisitos

Pré-requisitos do Azure

• Uma assinatura ativa do Azure com permissões para criar e gerenciar recursos do Armazenamento do Azure Mover.
• Um recurso do Storage Mover implantado na sua assinatura do Azure.
• Um Azure Key Vault para armazenar suas credenciais de HMAC do GCS (Chave de Acesso e Chave Secreta).
• Familiaridade com a hierarquia de recursos Armazenamento do Azure Mover.

Pré-requisitos do Google Cloud

• Uma conta do Google Cloud com acesso ao bucket do GCS que você deseja migrar.
• Chaves HMAC geradas para uma conta de serviço do GCS (ID da chave de acesso + chave secreta).
• Um VPC do Google Cloud com conectividade com Azure (via CLOUD VPN ou Cloud Interconnect).
• Confirme se a conta de serviço do GCS tem funções mínimas de Leitor de Bucket Herdado de Armazenamento e Leitor de Objeto Herdado de Armazenamento no bucket de destino.
• Um ponto de extremidade do Private Service Connect (PSC) para APIs do Google configurado na sua VPC do GCP, fornecendo um IP privado estável para acesso ao Cloud Storage.

Pré-requisitos de rede privada

• Um recurso de Link Privado Service Direct Connect configurado no Azure com o IP do endpoint do GCP PSC como destino.
• Familiaridade com a documentação de rede do Link Privado do Azure.

Opções de conectividade de rede privada

Para migrar dados de um bucket GCS restrito a VPC, primeiro você precisa de um caminho de rede privado entre o VPC do Google Cloud e o Azure. Azure dá suporte a várias opções de conectividade:

Para a maioria dos cenários, a VPN site a site fornece um bom equilíbrio de custo e desempenho. Para obter a maior taxa de transferência, use o ExpressRoute emparelhado com o Google Cloud Interconnect.

Opções de conectividade no Azure

ExpressRoute

Saiba mais:Roteamentoda documentação do ExpressRoute: o BGP geralmente é usado em circuitos privados para trocar prefixos entre Azure e sua rede. Provedores de conectividade: O ExpressRoute normalmente é provisionado por meio de um provedor de colocação ou conectividade (por exemplo, Equinix, Megaport).

VPN IPsec de site para site (Gateway de VPN do Azure)

Visão geral: Use o Gateway de VPN do Azure para túneis IPsec site a site criptografados pela Internet pública. Para obter maior rendimento e resiliência, selecione um SKU de gateway apropriado (por exemplo, SKUs de segunda geração e com redundância de zona, quando disponíveis). Saiba mais:Tutorial - Criar uma conexão VPN S2SRoteamento: Use o BGP para trocar rotas e dar suporte a túneis ativo/ativo em várias conexões.

Para obter um passo a passo detalhado da VPN de HA entre o Google Cloud e o Azure, consulte Criar conexões VPN de HA entre o Google Cloud e Azure.

Dicas de implementação (desempenho de VPN)

Exemplo de configurações personalizadas de IPsec/IKE (validar em relação à compatibilidade do dispositivo): GCMAES256 para criptografia/integridade IPsec, SHA256 para integridade de IKE, DHGroup14PFS2048.

Saiba mais:Configurar políticas de conexão IPsec/IKE personalizadas.

Configurar VPN site a site entre Azure e o Google Cloud

No lado do Google Cloud:

• Crie um Gateway de VPN de HA em seu VPC. Observe os dois endereços IP externos atribuídos automaticamente.
• Crie um Roteador de Nuvem na mesma região para gerenciar sessões BGP.
• Crie túneis VPN apontados para os endereços IP públicos do Gateway de VPN do Azure.
• Configure sessões BGP no Roteador de Nuvem usando os IPs de par BGP trocados com o Azure.
• Verifique se a sub-rede do ponto de extremidade PSC pode ser acessada a partir do Azure por meio do túnel VPN. O Cloud Router anuncia automaticamente, via BGP, para o Azure, as rotas das sub-redes da sua VPC.

Saiba mais:

• Google Cloud HA VPN

Nota: Nenhuma configuração de criptografia específica é necessária no lado do Google Cloud. A VPN de HA do Google Cloud negocia automaticamente as configurações do IPsec com base no que recebe do Gateway de VPN do Azure.

Configurar o acesso privado ao GCS

O PSC (Private Service Connect) cria um ponto de extremidade privado com um endereço IP RFC 1918 estável dentro do seu VPC do Google Cloud para acessar APIs do Google, incluindo o Armazenamento em Nuvem. Esse endereço IP é o destino configurado no Link Privado do Azure Service Direct Connect.

• No Console do Google Cloud, navegue até Serviços de rede>Private Service Connect.

• Selecione Conectar um endpoint e escolha as APIs do Google como destino.

• Selecione todas as APIs do Google Cloud ou valores VPC-SC no campo Tipo de pacote, dependendo de seus requisitos de segurança.

• Atribua um endereço IP privado de sua sub-rede VPC.

  Registre esse endereço IP privado. Você precisa dele ao configurar o recurso Azure PLS Direct Connect.

Saiba mais

Restringir o acesso ao bucket do GCS (opcional)

Para restringir ainda mais o bucket do GCS ao acesso somente VPC, você pode usar a filtragem de IP do bucket do GCS:

• Restrinja o acesso à sua rede ou intervalos de IP específicos do GCP VPC.

• Limites: máximo de 200 blocos CIDR, 25 redes VPC por bucket.

  Saiba mais

Criar o recurso de conexão direta do serviço Link Privado

Link Privado Service (PLS) Direct Connect cria conectividade privada de saída do Azure para um endereço IP de destino. No GCS, o IP de destino é o IP do endpoint PSC na sua VPC do Google Cloud, acessível pelo seu túnel de VPN ou do Interconnect.

• No portal do Azure, navegue até Home > Fundamentos de rede > Serviços de Link Privado.
• Selecione Criar um serviço de link privado.
• Na guia Noções básicas, selecione a mesma região Azure que o recurso do Storage Mover.
• Na guia "Configurações de saída":
• Método de conexão: selecione Endereço IP de destino
• Endereço IP: insira o endereço IP do ponto de extremidade do GCP Private Service Connect (PSC) que você registrou anteriormente.
• Rede virtual NAT de origem: selecione a VNet que contém seu Gateway de VPN do Azure
• Sub-rede NAT de origem: selecione a sub-rede com conectividade VPN com o GCP
• Configurações de endereço IP privado: definir pelo menos 2 IPs NAT (número par necessário)
• Na guia Segurança do Access: selecione a configuração de visibilidade apropriada (o controle de acesso baseado em função só é mais restritivo)
• Selecione Examinar + criar.

Criar e aprovar conexões privadas

Depois de criar o recurso do PLS Direct Connect, crie uma conexão privada no Storage Mover e aprove-o antes do uso.

Criar uma conexão privada

az storage-mover connection create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --private-link-service-id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --description "Private GCS connection"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.privateEndpointResourceId --output tsv

Aprovar a conexão privada

az network private-endpoint-connection list --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --query "[].{name:name,id:id,privateEndpointId:properties.privateEndpoint.id}" --output table

az network private-endpoint-connection approve --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService/privateEndpointConnections/<private-endpoint-connection-name>" --description "Approved for Azure Storage Mover"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.connectionStatus --output tsv

Criar um trabalho de migração com conexões privadas

az storage-mover job-definition create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --project-name "my-migration-project" --job-definition-name "my-job-definition" --job-type CloudToCloud --copy-mode Additive --source-name "my-gcs-endpoint" --target-name "my-blob-endpoint" --source-subpath "/" --target-subpath "/" --connections "/subscriptions/<subscription-id>/resourceGroups/c2c-migration-rg/providers/Microsoft.StorageMover/storageMovers/myStorageMover/connections/private-connection" --description "Private GCS to Azure Blob Storage"

Resolução de problemas

Conectividade e endereçamento IP

• Verifique o IP de destino no Azure PLS: certifique-se de que o PLS Direct Connect aponte para o endereço IP do ponto de extremidade do GCP PSC. A incompatibilidade impede a conectividade.
• Validar caminho de rede: confirme se os túneis da Cloud VPN exibem o status Estabelecido no Console do Google Cloud > Conectividade Híbrida > VPN.
• Verifique o BGP: confirme se as sessões BGP do Roteador de Nuvem estão ativas e se as sub-redes da VPC (incluindo a sub-rede do ponto de extremidade PSC) estão sendo anunciadas no Azure.
• Verifique o ponto de extremidade PSC: confirme se o status do ponto de extremidade PSC está conectado em Console do Google Cloud > Serviços de rede > Private Service Connect.
• Verifique o alinhamento da região: a Conexão Direta do PLS e o Storage Mover devem estar na mesma região do Azure. Autenticação (HMAC)
• Verifique se a chave de acesso HMAC e a chave secreta em Azure Key Vault estão ativas e não expiraram.
• Confirme se a identidade gerenciada do ponto de extremidade de origem tem a função Usuário de Segredos do Key Vault no seu Key Vault.
• Confirme se a conta de serviço do GCS tem funções mínimas de Leitor de Bucket Herdado de Armazenamento e Leitor de Objeto Herdado de Armazenamento no bucket de destino.
• As chaves HMAC funcionam apenas com a API XML do GCS (não com a API JSON).
• Depois de criar uma nova chave HMAC, aguarde até 60 segundos antes que ela se torne ativa. Conexões privadas
• Somente as conexões no estado "Aprovado" são exibidas no assistente de trabalho. Verifique o status em Pontos de extremidade de armazenamento > Conexões privadas (Versão prévia).
• Se o status estiver pendente: selecione a conexão e selecione Aprovar.
• Se o status estiver como Desconectado: o recurso PLS Direct Connect pode ter sido excluído ou modificado. O trabalho de migração de resolução de problemas falhou. Verifique os logs de cópia e do trabalho em busca de mensagens de erro. Causas comuns: credenciais inválidas, conectividade de rede. Erro de autenticação Verifique se as chaves HMAC em Key Vault estão corretas e ativas. Verifique se a função Key Vault Secrets User está atribuída. Erro de permissão no destino Verificar se a identidade gerenciada do ponto de extremidade de destino tem a função Colaborador de Dados do Blob de Armazenamento no contêiner de Blob. A transferência de dados é lenta, verifique a largura de banda da rede. O GCS pode limitar as solicitações de API compatíveis com S3. Adicione mais conexões privadas. Objetos ausentes após a sincronização: os timestamps do GCS têm granularidade de um segundo. Objetos modificados no mesmo segundo que a última sincronização podem não ser detectados até a próxima execução. URL de origem rejeitada. Certifique-se de que a URL use HTTPS, sem parâmetros de consulta nem fragmentos. Use um nome de domínio totalmente qualificado válido.

Limites conhecidos

• Máximo de 10 conexões privadas por assinatura por região (Aprovado + Pendente + Desconectado combinado). Para obter mais informações, consulte Configure Link Privado Service Direct Connect.
• O PLS Direct Connect deve ser configurado na mesma região do recurso Storage Mover.
• O agendamento não está disponível para o tipo de origem GCS. Os trabalhos devem ser executados manualmente.
• Cada trabalho de migração dá suporte à transferência de até 500 milhões de objetos.
• Há suporte apenas para acesso HTTPS à fonte compatível com S3.
• A origem compatível com S3 deve dar suporte à autenticação SigV4 (AWS Signature Version 4).
• No máximo 10 chaves HMAC por conta de serviço do GCS.

Performance

Os parâmetros de comparação a seguir foram medidos usando Gateway de VPN do Azure com vários túneis IPsec combinados com conexões privadas do Storage Mover:

Pré-requisitos

Pré-requisitos do Azure

• Uma assinatura ativa do Azure com permissões para criar e gerenciar recursos do Armazenamento do Azure Mover.
• Um recurso do Storage Mover implantado na sua assinatura do Azure.
• Um Azure Key Vault para armazenar suas Chaves Secretas de Clientes OCI (Chave de Acesso e Chave Secreta).
• Familiaridade com a hierarquia de recursos Armazenamento do Azure Mover.

Pré-requisitos do OCI

• Um locatário do Oracle Cloud Infrastructure (OCI) com acesso ao bucket do Armazenamento de Objetos que você deseja migrar.
• Chaves Secretas do Cliente geradas para um usuário OCI (ID da Chave de Acesso + Chave Secreta).
• Uma Rede Virtual de Nuvem (VCN) OCI com conectividade ao Azure (via VPN Site-to-Site ou FastConnect).
• Uma política IAM que concede ao usuário ou grupo acesso de leitura aos buckets e objetos de destino (por exemplo: Allow group <G> to read buckets in compartment <C> e Allow group <G> to read objects in compartment <C>).
• Um ponto de extremidade privado do Armazenamento de Objetos do OCI (ou Gateway de Serviço) que fornece um IP privado estável para acessar o Armazenamento de Objetos dentro do VCN.

Pré-requisitos de rede privada

• Um recurso Link Privado Service Direct Connect configurado no Azure, tendo como destino o IP do endpoint privado do OCI Object Storage.
• Familiaridade com a documentação de rede do Link Privado do Azure.

Opções de conectividade de rede privada

Para migrar dados de um bucket OCI restrito a VCN, você primeiro precisa de um caminho de rede privado entre seu VCN OCI e o Azure. Azure dá suporte a várias opções de conectividade:

Para a maioria dos cenários, a VPN site a site fornece um bom equilíbrio de custo e desempenho. Para maior throughput, use o ExpressRoute pareado com o OCI FastConnect.

Opções de conectividade no Azure

ExpressRoute

Saiba mais:Documentação do ExpressRoute

Roteamento: O BGP geralmente é usado em circuitos privados para trocar prefixos entre o Azure e sua rede.

Provedores de conectividade: O ExpressRoute normalmente é provisionado por meio de um provedor de colocação ou conectividade (por exemplo, Equinix, Megaport).

VPN IPsec de site para site (Gateway de VPN do Azure)

Visão geral: Use o Gateway de VPN do Azure para túneis IPsec site a site criptografados pela Internet pública. Para obter maior rendimento e resiliência, selecione um SKU de gateway apropriado (por exemplo, SKUs de segunda geração e com redundância de zona, quando disponíveis).

Saiba mais:Tutorial – Criar uma conexão VPN S2S

Roteamento: Use o BGP para trocar rotas e dar suporte a túneis ativos/ativos em várias conexões.

Dicas de implementação (desempenho de VPN)

Exemplo de configurações personalizadas de IPsec/IKE (validar em relação à compatibilidade do dispositivo): GCMAES256 para criptografia/integridade IPsec, SHA256 para integridade de IKE, DHGroup14PFS2048.

Saiba mais:Configurar políticas de conexão IPsec/IKE personalizadas.

Configure VPN site-to-site entre Azure e OCI

Do lado do OCI:

• Crie um Gateway de Roteamento Dinâmico (DRG) e conecte-o ao seu VCN.
• Crie um objeto Customer-Premises Equipment (CPE) para cada Gateway de VPN do Azure endereço IP público.
• Crie uma conexão IPSec (VPN site a site) com túneis para os endereços IP públicos do Gateway de VPN do Azure.
• Configure o BGP (ou roteamento estático) no DRG usando os IPs de pares BGP trocados com o Azure.
• Garanta que a sub-rede privada do Object Storage seja acessível pelo Azure pelo túnel VPN; anuncie suas sub-redes VCN para o Azure via BGP.

Saiba mais:VPN Site-to-Site OCI

Configurar acesso privado ao Armazenamento de Objetos OCI

Um endpoint privado de Object Storage OCI (ou Service Gateway) fornece um endereço IP privado estável dentro do seu VCN para acessar o Object Storage. Esse endereço IP é o destino configurado no Link Privado do Azure Service Direct Connect.

• No Console do OCI, navegue até Rede> e crie um endpoint privado do Object Storage na sua VCN.
• Atribua um endereço IP privado a partir da sua sub-rede VCN.
• Registre esse endereço IP privado. Você precisa dele ao configurar o recurso Azure PLS Direct Connect.

Restringir o acesso ao bucket OCI (opcional)

• Use políticas OCI IAM para conceder acesso de leitura com privilégio mínimo e defina a visibilidade do bucket para privada.
• Opcionalmente, restrinja o acesso à sua VCN usando o endpoint privado do Object Storage e as regras de segurança de rede.

Criar o recurso de conexão direta do serviço Link Privado

Link Privado Service (PLS) Direct Connect cria conectividade privada de saída do Azure para um endereço IP de destino. Para OCI, o IP de destino é o IP privado do endpoint OCI Object Storage no seu VCN, acessível via VPN ou túnel FastConnect.

• No portal do Azure, navegue até Início>Fundação de rede>Serviços de Link Privado.
• Selecione Criar um serviço de link privado.
• Na aba Basics, selecione a mesma região do Azure que seu recurso do Storage Mover.
• Na aba de configurações de saída :
  • Método de conexão: selecione Endereço IP de destino.
  • Endereço IP: insira o endereço IP do endpoint privado OCI Object Storage que você registrou anteriormente.
  • Rede virtual NAT de origem: selecione o VNet que contém seu Gateway de VPN do Azure.
  • Sub-rede NAT de origem: selecione a sub-rede com conectividade VPN ao OCI.
  • Configurações de endereço IP privado: configure pelo menos 2 IPs NAT (número par necessário).
• Na aba de segurança de acesso : selecione a configuração de visibilidade apropriada (apenas controle de acesso baseado em função é o mais restritivo).
• Selecione Revisar + criar.

Criar e aprovar conexões privadas

Depois de criar o recurso do PLS Direct Connect, crie uma conexão privada no Storage Mover e aprove-o antes do uso.

Criar uma conexão privada

1. Navegue até o recurso do Storage Mover no portal do Azure.
2. Em Gerenciamento de recursos, selecione Endpoints de armazenamento.
3. Selecione a aba Conexões Privadas (Prévia ).
4. Selecione Adicionar conexões privadas.
5. Insira um nome para a conexão privada.
6. Selecione o recurso Link Privado Service Direct Connect que você criou.
7. Selecione Criar. O provisionamento leva de 20 a 30 segundos. Atualize para visualizar a conexão na grade.

Aprovar a conexão privada

1. Marque a caixa de seleção ao lado de sua conexão privada recém-criada.
2. Selecione Aprovar.
3. Aguarde até que o status da conexão do serviço de link privado mude para Aprovado.

Criar um trabalho de migração com conexões privadas

Aba Básico

• Endpoint de origem: selecione um endpoint de origem compatível com OCI S3 existente, ou selecione Adicionar endpoint de origem para criar um.
• Endpoint de destino: selecione um endpoint de destino existente do Armazenamento de Blobs do Azure, ou selecione Adicionar endpoint de destino.
• Na seção Conexões privadas (Prévia), selecione Adicionar para associar conexões privadas aprovadas a este trabalho. Você pode associar várias conexões privadas ao balanceamento de carga.
• As etapas restantes da tarefa são as mesmas de uma migração pública de OCI para Blob.

Resolução de problemas

Conectividade e endereçamento IP

• Verifique o IP de destino no Azure PLS: certifique-se de que o PLS Direct Connect aponte para o endereço IP do endpoint privado do OCI Object Storage. Um descompasso impede a conectividade.
• Validar o caminho de rede: confirme que os túneis de VPN Site-to-Site da OCI (ou o circuito virtual do FastConnect) estejam com o status Up no Console da OCI.
• Verifique o roteamento: confirme que as sessões BGP do DRG estão estabelecidas e que suas sub-redes VCN (incluindo a sub-rede privada do endpoint) estão anunciadas no Azure.
• Verifique o ponto de extremidade privado: confirme que o ponto de extremidade privado do Armazenamento de Objetos do OCI está ativo e resolve para o endereço IP privado esperado.
• Verifique o alinhamento da região: O PLS Direct Connect e o Storage Mover devem estar na mesma região Azure.

Autenticação

• Verifique se a Chave de Acesso e a Chave Secreta (OCI Customer Secret Keys) no Azure Key Vault estão ativas e corretas.
• Confirme se a identidade gerenciada do ponto de extremidade de origem tem a função Usuário de Segredos do Key Vault no Key Vault.
• Confirme que o usuário ou grupo do OCI possui uma política IAM que concede acesso de leitura aos objetos e buckets de destino.
• Se a inicialização do cliente S3 falhar, use URLs no estilo path para buckets cujos nomes contenham _ ou ..

Limites conhecidos

• Máximo de 10 conexões privadas por assinatura por região (Aprovado + Pendente + Desconectado combinado).
• O PLS Direct Connect deve ser configurado na mesma região do recurso Storage Mover.
• O agendamento não está disponível para o tipo de fonte OCI. Os trabalhos devem ser executados manualmente.
• Cada trabalho de migração dá suporte à transferência de até 500 milhões de objetos.
• Há suporte apenas para acesso HTTPS à fonte compatível com S3.
• A origem compatível com S3 deve dar suporte à autenticação SigV4 (AWS Signature Version 4).
• Os buckets com nomes incompatíveis com o DNS (_, .) devem usar as URLs no estilo de caminho.
• Chaves Secretas do Cliente por usuário OCI estão sujeitas a limites de serviço OCI (padrão é baixo; solicite um aumento se necessário). Verifique o limite atual no Console OCI.

Performance

Os seguintes benchmarks foram medidos usando o Gateway de VPN do Azure com múltiplos túneis IPsec combinados com conexões privadas do Storage Mover. A taxa de transferência real depende dos limites do seu VCN, VPN/FastConnect e Object Storage.

O Azure dá suporte a várias maneiras de se conectar a redes privadas. A melhor abordagem depende de seus requisitos de latência, largura de banda, segurança, custo e complexidade operacional.

• Azure ExpressRoute – Conectividade privada e dedicada que não atravessa a Internet pública.
• Site-to-site IPsec VPN - túneis criptografados pela Internet pública (normalmente usando Gateway de VPN do Azure).
• SD-WAN via dispositivos virtuais de rede (NVAs) – Dispositivos de terceiros fornecem recursos de VPN e firewall e podem terminar túneis em vez de usar gateways nativos.

Em geral, o ExpressRoute é preferencial para a maior largura de banda e a menor latência. Quando o ExpressRoute não estiver disponível, use VPN de site a site ou design baseado em SD-WAN/NVA.

Conceitos principais

ExpressRoute: Conectividade privada ao Azure por meio de um provedor de conectividade. Geralmente usado para latência previsível e maior taxa de transferência.

Gateway de VPN do Azure SKU: O tamanho/SKU do gateway afeta a contagem de túneis e a taxa de transferência. Escolha com base na largura de banda e resiliência necessárias.

Política IPsec/IKE: Algoritmos e parâmetros criptográficos usados para estabelecer e proteger túneis VPN, como famílias AES e SHA, grupos DH e PFS.

BGP (Protocolo de Gateway de Fronteira): Roteamento dinâmico que troca prefixos entre redes. Comumente usado para túneis ativos/ativos e failover de rota.

Appliance virtual de rede (NVA): Um dispositivo de rede virtual de terceiros, como um firewall ou SD-WAN implantado em Azure. Frequentemente usado para inspeção avançada, políticas e roteamento.

UDR (rotas definidas pelo usuário): Rotas personalizadas no Azure que direcionam o tráfego para um próximo salto específico, como um NVA.

Link Privado do Azure Service Direct Connect: Capacidade do Azure para criar conectividade privada de saída para um IP de destino, como um IP VPCE AWS, para serviços como conexões privadas do Storage Mover.

Aprovação de conexão privada: Conexões privadas podem exigir aprovação explícita antes que cargas de trabalho ou trabalhos possam usá-las.

Quando usar cada opção

ExpressRoute: escolha quando precisar de desempenho previsível, conectividade privada e maior taxa de transferência para conectividade híbrida.

VPN site-to-site: Escolha para uma configuração mais rápida, menor custo ou como caminho de backup. O desempenho depende das condições da internet e do SKU do gateway.

SD-WAN/NVAs: escolha quando precisar de roteamento específico do fornecedor, inspeção de segurança ou um modelo operacional SD-WAN existente.

Opções de conectividade no Azure

ExpressRoute

Saiba mais:Documentação do ExpressRoute

Roteamento: O BGP geralmente é usado em circuitos privados para trocar prefixos entre o Azure e sua rede.

Provedores de conectividade: Normalmente, você faz provisionamento do ExpressRoute por meio de um provedor de colocation ou conectividade, como Equinix ou Megaport.

VPN IPsec de site para site (Gateway de VPN do Azure)

Visão geral: Use o Gateway de VPN do Azure para túneis IPsec site a site criptografados pela Internet pública. Para obter maior rendimento e resiliência, selecione um SKU de gateway apropriado, como SKUs de segunda geração e com redundância de zona, quando disponíveis.

Saiba mais:Tutorial – Criar uma conexão VPN S2S

Roteamento: Use o BGP para trocar rotas e dar suporte a túneis ativos/ativos em várias conexões.

Dicas de implementação (desempenho de VPN)

Exemplos de configurações personalizadas de IPsec/IKE (validadas contra a compatibilidade do seu dispositivo): GCMAES256 para criptografia e integridade IPsec, SHA256 para integridade IKE, DHGroup14, PFS2048.

Saiba mais:Configurar políticas de conexão IPsec/IKE personalizadas.

SD-WAN com NVAs (dispositivos virtuais de rede)

SD-WAN e NVAs de firewall podem encerrar túneis VPN, realizar inspeções e aplicar políticas centralizadas de roteamento e segurança. Essa abordagem é útil quando você precisa de recursos específicos do fornecedor ou já opera uma plataforma SD-WAN entre sites.

Fortinet: Firewall de última geração do FortiGate

Cisco: Catalyst SD-WAN, Meraki SD-WAN

HPE (Redes Aruba): EdgeConnect SD-WAN

Palo Alto Networks: Prisma SD-WAN

Arista (VMware): VeloCloud SD-WAN Virtual Edge

Os NVAs SD-WAN são normalmente licenciados como pagamento conforme o uso (PAYG) ou traga sua própria licença (BYOL). O suporte do fornecedor varia de acordo com a opção de implantação.

Implantação de exemplo (NVA do FortiGate no Azure)

Selecione uma topologia (VM única, ativa/passiva ou ativa/ativa) com base nos requisitos de disponibilidade e taxa de transferência.

Escolha um tamanho de VM adequado (geralmente sérieS F ou D com vCPU mais alta) e habilite a rede acelerada quando houver suporte.

Design de rede: coloque interfaces em sub-redes WAN/LAN (e protegidas) e configure regras de NSG para o gerenciamento necessário e portas VPN (por exemplo, UDP 500/4500 para IPsec).

Roteamento: use UDRs para direcionar prefixos do Azure para o AWS através do próximo salto NVA.

Documentação do fornecedor: Por exemplo, etapas para configurar o IPsec entre dispositivos FortiGate, consulte o artigo da Comunidade Fortinet abaixo.

Como configurar vpn site a site entre dispositivos FortiGate (Comunidade Fortinet)

Considerações sobre o grupo de segurança

Permita o tráfego necessário dos prefixos de origem locais para a rede virtual do Azure (VNet), usando o princípio do privilégio mínimo.

configuração de Azure para o Link Privado Service Direct Connect

Criar o recurso Link Privado Service Direct Connect

Link Privado Service Direct Connect permite que o Azure crie conectividade privada de saída para um endereço IP de destino. Nesse cenário, ele permite que conexões privadas do Storage Mover alcancem um endpoint on-premises pelo caminho estabelecido do Azure VNet.

1. Implante o recurso PLS Direct Connect na mesma região do Azure que o recurso do Storage Mover e a rede virtual do Azure usada para acessar seus dados locais.
2. Ative o recurso no portal Azure usando o link de voo fornecido: link de voo do portal Azure (PLS Direct Connect).
3. Garanta que o VNet do Azure e a sub-rede selecionada para o NAT de origem tenham conectividade ao endereço de destino.

Etapas de alto nível

1. Crie o recurso Serviço de Link Privado (Seu Serviço) para o Direct Connect na região correta.
2. Definir configurações de saída:
3. Defina o método de conexão como Endereço IP de destino e insira o endereço de origem de destino.
4. Selecione a sub-rede e a rede virtual NAT de origem que podem rotear para o compartilhamento de arquivos.
5. Configure as configurações de endereços IP privados conforme necessário para garantir resiliência, como dois ou mais endereços em intervalos suportados.

Criar e aprovar conexões privadas

Depois de criar o recurso do Direct Connect, crie uma conexão privada no Storage Mover e aprove-o antes do uso.

1. Em Storage Mover, abra Pontos de Extremidade de Armazenamento e, em seguida, a guia Conexões Privadas.
2. Crie uma conexão privada que faça referência ao serviço de link privado do Direct Connect e, em seguida, aprove-a para que ela possa ser associada a tarefas.
3. Use a conexão privada anterior como parte da operação de criação de trabalho para a sua carga de trabalho de migração de PME.
4. Selecione os valores do tipo de migração e do tipo de origem correspondentes à montagem SMB sem agente no locatário.
5. Configure o endpoint de origem SMB (credenciais host/share e Key Vault) e associe a conexão privada aprovada.
6. Verifique se a conexão privada está listada e no estado Aprovado .
7. Complete a configuração restante do trabalho e execute as etapas conforme documentado para migrações de alvos de SMB para Azure.

Resolução de problemas

Conectividade e endereçamento IP

• Verifique o IP de destino no Azure PLS: certifique-se de que o IP de destino das conexões diretas do Link Privado do Azure Service esteja apontando para o servidor local correto e acessível. Uma incompatibilidade aqui impedirá o handshake inicial.
• Validar o Caminho da Rede: Confirme que a infraestrutura de rede subjacente (por exemplo, VPN, ExpressRoute ou Cloud Interconnect) está estabelecida e roteando o tráfego corretamente entre o ambiente Azure e a rede local.
• Verifique as Configurações da Rede Virtual: Revise a virtual network e, conforme aplicável, a configuração do gateway de rede para garantir que ela esteja ativa e associada às sub-redes e grupos de segurança corretos.

Configuração da rede local

Permitir tráfego de rede sobre portas obrigatórias: Verifique as configurações do firewall que permitem o tráfego de entrada de rede sobre portas necessárias (Porta 445 para SMB e Porta 443 para tráfego S3 e HTTPS) a partir da rede virtual Azure.

Limits

• Os clientes podem configurar até 10 Conexões Privadas por região. Isso inclui estados de conexões privadas como Aprovado, Pendente e Desconectado.
• Você deve configurar o PLS diretamente na mesma região do Recurso do Storage Mover.

Performance

• Examine os conceitos e o planejamento do ExpressRoute na documentação do ExpressRoute.
• Criar uma conexão VPN site a site no Azure: Tutorial – Criar uma conexão VPN S2S.
• Para BGP entre Azure e AWS, siga: Tutorial – Configurar uma conexão habilitada para BGP entre Azure e AWS.

• Introdução à migração de origem compatível com o GCS S3
• Criar VPN de HA para Azure
• Conexão de serviço privado

Precisamos de alguns links de "próximo passo" para migração do Oracle.

• Migrar dados de on-premises SMB para Arquivos do Azure com Armazenamento do Azure Mover (Preview)
• Migrar dados usando conexões privadas em Armazenamento do Azure Mover
• Requisitos de rede do Armazenamento do Azure Mover