Sincronização de Arquivos do Azure proxy e configurações de firewall

O Sincronização de Arquivos do Azure conecta seus servidores on-premises ao Arquivos do Azure, permitindo sincronização multisite e recursos de tiering em nuvem. Assim, um servidor local deve estar conectado à internet. Um administrador de TI precisa decidir o melhor caminho para o servidor acessar os serviços em nuvem do Azure.

Este artigo oferece uma visão sobre requisitos específicos e opções disponíveis para conectar seu servidor com sucesso e segurança ao Sincronização de Arquivos do Azure.

Antes de ler este guia prático, revise considerações sobre redes do Sincronização de Arquivos do Azure.

Visão geral da rede Sincronização de Arquivos do Azure

O Sincronização de Arquivos do Azure atua como um serviço de orquestração entre seu Windows Server, seu compartilhamento de arquivos do Azure e vários outros serviços do Azure para sincronizar os dados conforme descrito no seu grupo de sincronização. Para que o Sincronização de Arquivos do Azure funcione corretamente, você precisará configurar seus servidores para se comunicarem com os seguintes serviços do Azure:

• Armazenamento do Azure
• Sincronização de Arquivos do Azure
• Azure Resource Manager
• Serviços de autenticação

Portas necessárias para Sincronização de Arquivos do Azure

O Sincronização de Arquivos do Azure move os dados e metadados dos arquivos exclusivamente por HTTPS e exige que a porta 443 esteja aberta para saída. Como resultado, todo o tráfego é criptografado.

Redes e conexões especiais com o Azure

O agente Sincronização de Arquivos do Azure não tem requisitos para canais especiais como ExpressRoute, etc., para o Azure.

O Sincronização de Arquivos do Azure funciona por todos os meios disponíveis que permitam acessar o Azure. Ele se adapta automaticamente às características da rede, como largura de banda e latência, e oferece controle administrativo para ajustes finos.

Configurações do proxy do Sincronização de Arquivos do Azure

A Sincronização de Arquivos do Azure oferece suporte a configurações de proxy específicas do aplicativo e de todo o computador.

Configurações de proxy específicas do aplicativo

Configurações específicas de proxy do app permitem a configuração de um proxy específico para tráfego do Sincronização de Arquivos do Azure. Configurações de proxy específicas do aplicativo são suportadas na versão 4.0.1.0 do agente ou posteriores e podem ser configuradas durante a instalação do agente ou usando o Set-StorageSyncProxyConfiguration cmdlet PowerShell. Use o Get-StorageSyncProxyConfiguration cmdlet para devolver quaisquer configurações de proxy que estejam configuradas no momento. Um resultado em branco indica que não há configurações de proxy configuradas. Para remover a configuração proxy existente, use o Remove-StorageSyncProxyConfiguration cmdlet.

Comandos do PowerShell para definir as configurações de proxy específicas do aplicativo:

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"
Set-StorageSyncProxyConfiguration -Address <url> -Port <port number> -ProxyCredential <credentials>

Por exemplo, se o servidor proxy exigir autenticação com um nome de usuário e senha, execute os seguintes comandos do PowerShell:

# IP address or name of the proxy server.
$Address="http://127.0.0.1"

# The port to use for the connection to the proxy.
$Port=8080

# The user name for a proxy.
$UserName="user_name"

# Please type or paste a string with a password for the proxy.
$SecurePassword = Read-Host -AsSecureString

$Creds = New-Object System.Management.Automation.PSCredential ($UserName, $SecurePassword)

# Please verify that you have entered the password correctly.
Write-Host $Creds.GetNetworkCredential().Password

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"

Set-StorageSyncProxyConfiguration -Address $Address -Port $Port -ProxyCredential $Creds

Configurações de proxy para todo o computador

As configurações de proxy em toda a máquina são transparentes para o agente Sincronização de Arquivos do Azure, já que todo o tráfego do servidor é roteado pelo proxy.

Para configurar configurações de proxy em toda a máquina, siga estes passos:

1. Configurar configurações de proxy para aplicações .NET

   • Edite estes dois arquivos:
     C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Config\machine.config
     C:\Windows\Microsoft.NET\Framework\v4.0.30319\Config\machine.config

   • Adicione a seção <system.net> aos arquivos machine.config (abaixo da seção <system.serviceModel>). Altere 127.0.01: 8888 para o endereço IP e porta para o servidor proxy.

     <system.net>
        <defaultProxy enabled="true" useDefaultCredentials="true">
          <proxy autoDetect="false" bypassonlocal="false" proxyaddress="http://127.0.0.1:8888" usesystemdefault="false" />
        </defaultProxy>
     </system.net>
     

2. Definir as configurações de proxy do WinHTTP

   Note

   Para configurar um Windows Server para usar um servidor proxy, você pode usar vários métodos, incluindo WPAD, arquivo PAC, netsh e outros. Os passos deste artigo explicam como configurar as configurações do proxy usando netsh. No entanto, você pode usar qualquer método listado nas configurações de Configurar servidor proxy na documentação do Windows.

   • Execute o seguinte comando de um prompt de comando elevado ou PowerShell para ver a configuração do proxy existente:

     netsh winhttp show proxy

   • Execute o seguinte comando em um Prompt de Comando elevado ou no PowerShell para definir a configuração de proxy (altere 127.0.01:8888 para o endereço IP e a porta do servidor proxy):

     netsh winhttp set proxy 127.0.0.1:8888

3. Reinicie o serviço Storage Sync Agent executando o seguinte comando a partir de um prompt de comando elevado ou PowerShell:

   net stop filesyncsvc

   Note

   O serviço Storage Sync Agent (filesyncsvc) inicia automaticamente após parar.

Configurações de firewall do Sincronização de Arquivos do Azure

Como mencionado em uma seção anterior, você precisa abrir a porta 443 de saída. Com base nas políticas do seu datacenter, branch ou região, talvez seja necessário restringir ainda mais o tráfego dessa porta a domínios específicos.

A tabela a seguir descreve os domínios necessários para comunicação:

A tabela a seguir descreve para que cada ponto final é usado:

Se o *.afs.azure.net ou *.one.microsoft.com for muito amplo, será possível limitar a comunicação do servidor ao permitir a comunicação apenas com instâncias regionais explícitas do serviço Sincronização de Arquivos do Azure. Qual instância escolher depende da região do serviço de sincronização de armazenamento em que o servidor está implantado e registrado. Essa região é chamada de "URL do ponto de extremidade primário" na tabela abaixo.

Por razões de continuidade de negócios e recuperação de desastres (BCDR), você pode criar seus compartilhamentos de arquivos Azure em uma conta de armazenamento configurada para armazenamento geo-redundante (GRS). Se você escolher essa opção, seus compartilhamentos de arquivos do Azure passam para a região pareada em caso de uma queda regional prolongada. A Sincronização de Arquivos do Azure usa os mesmos emparelhamentos regionais do armazenamento. Então, se você usa contas de armazenamento GRS, precisa habilitar URLs adicionais para permitir que seu servidor se comunique com a região pareada para o Sincronização de Arquivos do Azure. A tabela a seguir chama isso de "Região pareada". Além disso, há uma URL de perfil do gerenciador de tráfego que você precisa ativar também. Essa URL garante que o tráfego de rede possa ser redirecionado de forma fluida para a região pareada em caso de failover e é chamada de "URL de descoberta" na tabela.

Nuvem pública

• Se você usar uma conta de armazenamento configurada para armazenamento redundante local (LRS) ou armazenamento redundante em zona (ZRS), basta habilitar a URL listada em "URL do endpoint principal".
• Se você usar uma conta de armazenamento configurada para GRS, ative três URLs: a URL do endpoint primário para sua região, a URL do endpoint primário para a região pareada e a URL de descoberta para sua região.

Exemplo: Você implanta um serviço "West US" de sincronização de armazenamento e registra seu servidor com ele. Os URLs com os quais se deve permitir que o servidor se comunique neste caso são:

• https://westus01.afs.azure.net (ponto de extremidade primário: Oeste dos EUA)
• https://eastus01.afs.azure.net (região de failover emparelhada: Leste dos EUA)
• https://tm-westus01.afs.azure.net (URL de descoberta da região primária)

A tabela a seguir lista os pontos finais para Sincronização de Arquivos do Azure em regiões de nuvem pública do Azure.

Azure Governamental

A tabela a seguir lista os endpoints para Sincronização de Arquivos do Azure em regiões do Azure Governamental.

Microsoft Azure operado pela 21Vianet

A tabela a seguir lista os pontos de extremidade da Sincronização de Arquivos do Azure no Microsoft Azure operados por regiões 21Vianet.

Lista de permissões para endereços IP de Sincronização de Arquivos do Azure

A Sincronização de Arquivos do Azure dá suporte ao uso de marcas de serviço, que representam um grupo de prefixos de endereço IP para um determinado serviço do Azure. É possível usar marcas de serviço para criar regras de firewall que permitem a comunicação com o serviço de Sincronização de Arquivos do Azure. A tag de serviço para Sincronização de Arquivos do Azure é StorageSyncService.

Se você estiver usando o Sincronização de Arquivos do Azure dentro do Azure, pode usar a tag de nome do serviço diretamente no seu grupo de segurança de rede para permitir o tráfego. Para saber mais sobre como fazer isso, veja Grupos de Segurança de Rede.

Se você estiver usando o Sincronização de Arquivos do Azure localmente, pode usar a API de etiquetas de serviço para obter intervalos específicos de endereços IP para a lista de permissão do seu firewall. Há dois métodos para obter essas informações:

• A lista atual de intervalos de endereços IP para todos os serviços do Azure compatíveis com marcas de serviço é publicada semanalmente no centro de download da Microsoft na forma de um documento JSON. Cada nuvem do Azure tem o próprio documento JSON com os intervalos de endereços IP relevantes para essa nuvem:
  • Azure Público
  • Azure para o Governo dos EUA
  • Microsoft Azure operado pela 21Vianet
  • Azure Alemanha
• A API de descoberta de etiquetas de serviço permite a recuperação programática da lista atual de tags de serviço. Você pode usar a superfície da API conforme sua preferência de automação:
  • REST API
  • Azure PowerShell
  • CLI do Azure

Como a API de descoberta de tag de serviço pode não ser atualizada com a mesma frequência que os documentos JSON publicados no Centro de Download da Microsoft, recomendamos o uso do documento JSON para atualizar a lista de permisos do seu firewall local. Isso pode ser feito da seguinte maneira:

# The specific region to get the IP address ranges for. Replace westus2 with the desired region code 
# from Get-AzLocation.
$region = "westus2"

# The service tag for Azure File Sync. Don't change unless you're adapting this
# script for another service.
$serviceTag = "StorageSyncService"

# Download date is the string matching the JSON document on the Download Center. 
$possibleDownloadDates = 0..7 | `
    ForEach-Object { [System.DateTime]::Now.AddDays($_ * -1).ToString("yyyyMMdd") }

# Verify the provided region
$validRegions = Get-AzLocation | `
    Where-Object { $_.Providers -contains "Microsoft.StorageSync" } | `
    Select-Object -ExpandProperty Location

if ($validRegions -notcontains $region) {
    Write-Error `
            -Message "The specified region $region isn't available. Either Azure File Sync isn't deployed there or the region doesn't exist." `
            -ErrorAction Stop
}

# Get the Azure cloud. This should automatically based on the context of 
# your Az PowerShell login, however if you manually need to populate, you can find
# the correct values using Get-AzEnvironment.
$azureCloud = Get-AzContext | `
    Select-Object -ExpandProperty Environment | `
    Select-Object -ExpandProperty Name

# Build the download URI
$downloadUris = @()
switch($azureCloud) {
    "AzureCloud" { 
        $downloadUris = $possibleDownloadDates | ForEach-Object {  
            "https://download.microsoft.com/download/7/1/D/71D86715-5596-4529-9B13-DA13A5DE5B63/ServiceTags_Public_$_.json"
        }
    }

    "AzureUSGovernment" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/6/4/D/64DB03BF-895B-4173-A8B1-BA4AD5D4DF22/ServiceTags_AzureGovernment_$_.json"
        }
    }

    "AzureChinaCloud" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/9/D/0/9D03B7E2-4B80-4BF3-9B91-DA8C7D3EE9F9/ServiceTags_China_$_.json"
        }
    }

    "AzureGermanCloud" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/0/7/6/076274AB-4B0B-4246-A422-4BAF1E03F974/ServiceTags_AzureGermany_$_.json"
        }
    }

    default {
        Write-Error -Message "Unrecognized Azure Cloud: $_" -ErrorAction Stop
    }
}

# Find most recent file
$found = $false 
foreach($downloadUri in $downloadUris) {
    try { $response = Invoke-WebRequest -Uri $downloadUri -UseBasicParsing } catch { }
    if ($response.StatusCode -eq 200) {
        $found = $true
        break
    }
}

if ($found) {
    # Get the raw JSON 
    $content = [System.Text.Encoding]::UTF8.GetString($response.Content)

    # Parse the JSON
    $serviceTags = ConvertFrom-Json -InputObject $content -Depth 100

    # Get the specific $ipAddressRanges
    $ipAddressRanges = $serviceTags | `
        Select-Object -ExpandProperty values | `
        Where-Object { $_.id -eq "$serviceTag.$region" } | `
        Select-Object -ExpandProperty properties | `
        Select-Object -ExpandProperty addressPrefixes
} else {
    # If the file cannot be found, that means there hasn't been an update in
    # more than a week. Please verify the download URIs are still accurate
    # by checking https://learn.microsoft.com/azure/virtual-network/service-tags-overview
    Write-Verbose -Message "JSON service tag file not found."
    return
}

Você pode então usar os intervalos de endereços IP em $ipAddressRanges para atualizar seu firewall. Verifique o site do seu firewall/dispositivo de rede para obter informações sobre como atualizar o firewall.

Testar a conectividade de rede com endpoints de serviço

Uma vez que um servidor está registrado no serviço Sincronização de Arquivos do Azure, o Test-StorageSyncNetworkConnectivity cmdlet e ServerRegistration.exe podem ser usados para testar comunicações com todos os endpoints (URLs) específicos desse servidor. Esse cmdlet pode ajudar a solucionar problemas quando comunicação incompleta impede o servidor de funcionar totalmente com o Sincronização de Arquivos do Azure e pode ser usado para ajustar configurações de proxy e firewall.

Para executar o teste de conectividade de rede, execute os seguintes comandos do PowerShell:

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"
Test-StorageSyncNetworkConnectivity

Se o teste falhar, colete rastreamentos de depuração do WinHTTP para solucionar problemas: netsh trace start scenario=InternetClient_dbg capture=yes overwrite=yes maxsize=1024

Execute novamente o teste de conectividade de rede e pare de coletar traços: netsh trace stop

Coloque o arquivo gerado NetTrace.etl em um arquivo ZIP, abra um caso de suporte e compartilhe o arquivo com o suporte.

Resumo dos requisitos de firewall e proxy

As listas anteriores neste documento contêm as URLs com as quais o Sincronização de Arquivos do Azure se comunica. Firewalls devem permitir o tráfego de saída para esses domínios. A Microsoft se esforça para manter essa lista atualizada.

Configurar regras de firewall que restringam domínios pode ser uma medida para melhorar a segurança. Se essas configurações de firewall forem usadas, lembre-se de que URLs serão adicionadas e podem até mudar com o tempo. Confira este artigo periodicamente.

Próximas Etapas 

• Planificação para uma implantação de Sincronização de Arquivos do Azure
• Implantar a Sincronização de Arquivos do Azure
• Monitorar a Sincronização de Arquivos do Azure