Utilize ligações privadas do Armazenamento do Azure Mover para migrações a partir de origens privadas

O Azure suporta várias formas de se ligar a redes privadas. A melhor abordagem depende dos seus requisitos de latência, largura de banda, segurança, custo e complexidade operacional.

• Azure ExpressRoute - Conectividade privada e dedicada que não atravessa a internet pública.
• Site-to-site IPsec VPN - Túneis encriptados sobre a internet pública (normalmente usando Gateway de VPN do Azure).
• SD-WAN via appliances virtuais de rede (NVAs) - Aparelhos de terceiros fornecem funcionalidades VPN/firewall e podem encerrar túneis em vez de utilizar gateways nativos.

Em geral, o ExpressRoute é preferido pela maior largura de banda e menor latência. Quando o ExpressRoute não estiver disponível, utilize uma VPN site-to-site ou uma arquitetura baseada em SD-WAN/NVA.

Conceitos principais

ExpressRoute: Conectividade privada ao Azure através de um fornecedor de conectividade; normalmente usado para latência previsível e maior rendimento.

Gateway de VPN do Azure SKU: O tamanho/SKU do gateway afeta a contagem de túneis e a largura de banda; escolha com base na largura de banda e resiliência necessárias.

Política IPsec/IKE: Algoritmos e parâmetros criptográficos usados para estabelecer e proteger túneis VPN (por exemplo, famílias AES e SHA, grupos DH/PFS).

BGP (Border Gateway Protocol): Encaminhamento dinâmico que troca prefixos entre redes; É comumente usado para túneis ativos/ativos e failover de rotas.

Appliance virtual de rede (NVA): Um dispositivo de rede virtual de terceiros (como firewall/SD-WAN) implementado no Azure; frequentemente utilizado para inspeção avançada, políticas e roteamento.

UDR (rotas definidas pelo utilizador): Rotas personalizadas em Azure que direcionam o tráfego para um salto seguinte específico (por exemplo, um NVA).

AWS Transit Gateway (TGW) / Virtual Private Gateway (VGW): endpoints de roteamento AWS para VPN/Direct Connect; o TGW é geralmente preferido para topologias de hub-and-spoke e para escalabilidade.

AWS VPC endpoint (VPCE) para Amazon S3: Conectividade privada de uma VPC para S3; muitas vezes emparelhado com DNS privado e políticas de endpoint/bucket.

Política de bucket S3 e política VPCE: Políticas baseadas em recursos que podem permitir/negar o acesso, incluindo restrições a um VPCE específico via aws:SourceVpce.

Azure Private Link Service Direct Connect: A capacidade do Azure de criar conectividades privadas de saída para um IP de destino (por exemplo, um IP VPCE da AWS) para serviços como ligações privadas do Storage Mover.

Aprovação de ligação privada: As ligações privadas podem exigir aprovação explícita antes de poderem ser usadas por cargas de trabalho/tarefas.

Alinhamento regional: Alguns recursos (por exemplo, VPCEs AWS e certos constructos de serviços Azure) têm âmbito regional e devem ser implementados em regiões compatíveis.

Quando usar cada opção

ExpressRoute: Escolha quando precisa de desempenho previsível, conectividade privada e maior débito para conectividade híbrida.

VPN site-to-site: Escolha para uma configuração mais rápida, menor custo ou como caminho de backup; O desempenho depende das condições da internet e do SKU gateway.

SD-WAN/NVAs: Escolha quando precisar de encaminhamento específico do fornecedor, inspeção de segurança ou de um modelo operacional de SD-WAN existente.

Opções de conectividade no Azure

ExpressRoute

Saiba mais:Documentação da ExpressRoute

Roteamento: O BGP é frequentemente usado em circuitos privados para trocar prefixos entre o Azure e a sua rede.

Fornecedores de conectividade: O ExpressRoute é normalmente disponibilizado através de um fornecedor de colocation ou conectividade (por exemplo, Equinix, Megaport).

VPN IPsec de site para site (Gateway de VPN do Azure)

Visão Geral: Utilize o Gateway de VPN do Azure para túneis IPsec site-to-site encriptados na Internet pública. Para maior débito e resiliência, selecione um SKU gateway apropriado (por exemplo, SKUs da Geração 2 e redundantes de zona quando disponíveis).

Saiba mais:Tutorial - Criar uma ligação VPN S2S

Roteamento: Use o BGP para trocar rotas e suportar túneis ativos/ativos em múltiplas ligações.

Para uma explicação detalhada do BGP multi-túnel entre o Gateway de VPN do Azure e a AWS, veja: Tutorial - Configurar uma ligação com BGP entre Azure e AWS.

Dicas de implementação (desempenho da VPN)

Exemplos de definições personalizadas de IPsec/IKE (validadas com a compatibilidade do seu dispositivo): GCMAES256 para encriptação/integridade IPsec, SHA256 para integridade IKE, DHGroup14, PFS2048.

Saiba mais:Configure políticas de ligação personalizadas para IPsec/IKE.

SD-WAN com appliances virtuais de rede (NVAs)

Os NVAs de SD-WAN e firewall podem encerrar túneis VPN, realizar inspeção e aplicar políticas de encaminhamento e segurança centralizadas. Esta abordagem é útil quando precisa de capacidades específicas de cada fornecedor ou já opera uma plataforma SD-WAN em vários sites.

Fortinet: Firewall de Nova Geração FortiGate

Cisco: Catalyst SD-WAN, Meraki SD-WAN

HPE (Redes de Aruba): EdgeConnect SD-WAN

Palo Alto Networks: Prisma SD-WAN

Arista (VMware): VeloCloud SD-WAN Virtual Edge

SD-WAN NVAs são normalmente licenciados como pay-as-you-go (PAYG) ou bring-your-own-license (BYOL). O suporte do fornecedor varia consoante a opção de implementação.

Exemplo de implementação (FortiGate NVA no Azure)

Selecione uma topologia (VM única, ativa/passiva ou ativa/ativa) com base nos requisitos de disponibilidade e rendimento.

Escolha um tamanho de VM adequado (frequentemente da série F ou D com maior vCPU) e permita a rede acelerada sempre que suportado.

Design de rede: colocar interfaces em sub-redes WAN/LAN (e protegidas) e configurar regras NSG para portas de gestão e VPN necessárias (por exemplo, UDP 500/4500 para IPsec).

Routing: usar UDRs para direcionar prefixos Azure-para-AWS através do próximo salto NVA.

Documentação do fornecedor: Por exemplo, passos para configurar IPsec entre dispositivos FortiGate, consulte o artigo da Comunidade Fortinet abaixo.

Como configurar VPN site-to-site entre dispositivos FortiGate (Comunidade Fortinet)

Conectividade AWS ao Azure

AWS Direct Connect para Azure ExpressRoute

O AWS Direct Connect pode ser emparelhado com o Azure ExpressRoute através de um colocation/fornecedor para criar um caminho privado e de alto rendimento entre a AWS e o Azure.

Roteamento: BGP sobre circuitos privados

Conectividade: Normalmente através de um fornecedor de colocation/conectividade

O que é o Direct Connect? - AWS Direct Connect

Crie um gateway Direct Connect - AWS Direct Connect

VPN de site-a-site da AWS (BGP)

Para a VPN de AWS para Azure, utilize o encaminhamento dinâmico (BGP) e prefira o AWS Transit Gateway (TGW) para escalar e otimizar o desempenho, sempre que aplicável.

Saiba mais:Tutorial - Configure uma ligação compatível com BGP entre Azure e AWS.

AWS SD-WAN com NVAs

Se operares uma plataforma SD-WAN na AWS (por exemplo, FortiGate no EC2), podes terminar túneis na AWS e ligar-te ao Azure usando o mesmo modelo de política SD-WAN usado on-premises.

1. Lança o NVA a partir do AWS Marketplace e dimensiona a instância para o throughput necessário.
2. Ligue interfaces WAN/LAN, associe um IP Elástico à interface WAN e desative as verificações de origem/destino se for necessário pelo modelo de roteamento do equipamento.
3. Configure grupos de segurança e tabelas de roteamento para permitir prefixos do Azure e direcionar o tráfego através do dispositivo.

Detalhes da implementação do acesso privado do AWS FSx (endpoints VPC)

Configure um endpoint AWS VPC (VPCE) para Amazon FSx

Um endpoint AWS VPC (VPCE) para FSx fornece um endpoint privado para um serviço S3 que permite que a sua VPC alcance FSx de forma privada. Para criar a sua partilha FSx e anexá-la a uma VPC, consulte a documentação da AWS. Certifica-te de que a tua quota está dentro de uma VPC com conectividade AWS e que a segurança do FSx permite tráfego seguro na porta 445 por defeito.

Detalhes de implementação para o acesso privado ao AWS S3 (endpoints VPC)

Configure um endpoint da AWS VPC (VPCE) para o Amazon S3

Um endpoint VPC (VPCE) da AWS para S3 permite que a sua VPC aceda ao S3 de forma privada. Para este design, normalmente ativa-se o DNS privado e depois limita-se o acesso usando VPCE e políticas de bucket.

Etapas de alto nível

1. Verifica se a tua VPC tem suporte para DNS e nomes de host DNS ativados.
2. Crie uma interface VPCE para Amazon S3 na VPC e nas subredes de destino, e ative o DNS privado.
3. Configure as políticas VPCE e bucket para permitir apenas as ações S3 necessárias e (opcionalmente) restringir o acesso ao endpoint específico usando aws:SourceVpce.

Exemplo: política de bucket S3 restrita a um VPCE específico.

Nota: Registar o endereço IP privado do VPCE; é usado como IP de destino para o Azure Private Link Service Direct Connect.

Considerações relativamente a grupos de segurança

Permitir o tráfego necessário dos prefixos de origem do Azure para o VPCE e recursos AWS relacionados (princípio do privilégio mínimo).

Configuração do Azure para Private Link Service Direct Connect

Criar o recurso Direct Connect do Serviço de Ligação Privada

O Private Link Service Direct Connect permite ao Azure criar conectividade privada de saída para um endereço IP de destino (por exemplo, um IP VPCE AWS). Neste cenário, permite que as conexões privadas do Storage Mover alcancem um endpoint S3 privado através do caminho de rede estabelecido entre Azure e AWS.

1. Implemente o recurso PLS Direct Connect na mesma região Azure que o recurso Storage Mover e a rede virtual Azure usada para aceder à AWS.
2. Ative a funcionalidade no portal Azure usando o link de voo fornecido: link de voo do portal Azure (PLS Direct Connect).
3. Garanta que o Azure VNet/subnet selecionado para o NAT de origem tem conectividade ao VPC AWS e ao endereço IP do VPCE.

Etapas de alto nível

1. Crie o recurso Private Link Service (Your Service) para Direct Connect na região correta.
2. Configurar definições de saída:
3. Defina o método de ligação para o endereço IP de destino e introduza o endereço IP do VPCE da AWS.
4. Selecione a rede virtual NAT de origem e a sub-rede que pode encaminhar para a AWS.
5. Configure as definições de endereços IP privados conforme necessário para resiliência (por exemplo, dois ou mais endereços em incrementos suportados).

Crie e aprove ligações privadas

Depois de criar o recurso Direct Connect, crie uma ligação privada no Storage Mover e aprove-a antes de a usar.

az storage-mover connection create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --private-link-service-id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --description "Private S3 connection"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.privateEndpointResourceId --output tsv

az network private-endpoint-connection list --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --query "[].{name:name,id:id,privateEndpointId:properties.privateEndpoint.id}" --output table

az network private-endpoint-connection approve --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService/privateEndpointConnections/<private-endpoint-connection-name>" --description "Approved for Azure Storage Mover"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.connectionStatus --output tsv

Use ligações privadas para migração de nuvem para nuvem

az storage-mover job-definition create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --project-name "my-migration-project" --job-definition-name "my-job-definition" --job-type CloudToCloud --copy-mode Additive --source-name "my-s3-endpoint" --target-name "my-blob-endpoint" --source-subpath "/" --target-subpath "/" --connections "/subscriptions/<subscription-id>/resourceGroups/c2c-migration-rg/providers/Microsoft.StorageMover/storageMovers/myStorageMover/connections/private-connection" --description "Private S3 to Azure Blob Storage"

Architecture

Fluxo de migração privada (redes privadas)

O diagrama anterior mostra a rede privada para a AWS, mas o mesmo padrão de ligação privada aplica-se a outros cenários de código privado suportados.

Fluxo de migração nuvem-para-nuvem (bucket S3 público para Azure Blob)

Resolução de problemas

Conectividade e endereçamento IP

• Verificar IP de Destino em Azure PLS: Garantir que o Serviço Azure Private Link está apontado especificamente para o endereço IP do endpoint AWS VPC. Um desajuste aqui impedirá o aperto de mão inicial.
• Validar o Caminho de Rede: Confirme que a infraestrutura de rede subjacente (por exemplo, VPN, ExpressRoute ou Cloud Interconnect) está estabelecida e encaminha corretamente o tráfego entre o ambiente Azure e a VPC AWS.
• Verifique as configurações da interface: Revise a configuração do endpoint AWS VPC para garantir que está ativa e associada às sub-redes e grupos de segurança corretos.

Configuração da política VPCE

• Auditoria de Permissões de Recursos: Inspecione o elemento Resource na sua política VPCE. Deve incluir explicitamente o ARN do bucket S3 alvo (por exemplo, arn:aws:s3:::your-bucket-name e arn:aws:s3:::your-bucket-name/*).
• Permissões de Ação de Auditoria: Garantir que o Action elemento da política VPCE permite as operações necessárias. No mínimo, s3:Get* e s3:List* são obrigatórias para leitura e navegação de dados.
• Lógica da Política: Se estiver a usar uma política personalizada, certifique-se de que não existem instruções "Deny" que inadvertidamente sobreponham as instruções "Allow" para o tráfego proveniente do Azure.
  

Restrições da política de bucket S3

• Listagem de autorização de VPCE: Verifique a política do balde S3 para um Condition bloco. Se o bucket restringir acesso, deve permitir explicitamente o aws:SourceVpce correspondente ao endpoint VPC que está a ser utilizado.
• Acesso Principal: Garanta que a identidade IAM ou o acesso anónimo (se aplicável via VPCE) não está bloqueado pelas definições da Lista de Controlo de Acesso (ACL) ou do Bloco de Acesso Público do bucket.

Alinhamento regional

• Validação do Âmbito da Região: Os endpoints AWS VPC para S3 têm âmbito regional. Um VPCE em us-west não pode encaminhar tráfego para um bucket S3 localizado em us-east.
• Remediação: Se identificar uma incompatibilidade regional, migre o bucket S3 para a mesma região do VPCE, ou estabeleça um novo VPCE na região do bucket. Esta abordagem pode exigir encaminhamento adicional entre regiões.

Limits

• Os clientes podem configurar um máximo de 10 Ligações Privadas por região. Isto inclui o estado de ligação privada em estado Aprovado/Pendente/Desconectado.
• O PLS Direct deve ser configurado na mesma região do Storage Mover Resource.

Performance

O Armazenamento do Azure Mover suporta migração segura e em larga escala de dados em ambientes cloud, incluindo cenários que exigem isolamento rigoroso da rede. Ao utilizar Azure Private Link e Private Endpoints, as transferências de dados mantêm-se dentro de limites de confiança entre a sua Google Cloud VPC e a rede virtual Azure.

Este artigo explica como configurar a conectividade de rede privada entre o Google Cloud Storage (GCS) e o Azure, configurar ligações privadas no Storage Mover e criar um trabalho de migração que mantenha os dados fora da internet pública.

Pré-requisitos

Pré-requisitos do Azure

• Uma subscrição ativa do Azure com permissões para criar e gerir recursos do Armazenamento do Azure Mover.
• Um recurso do Storage Mover implementado na sua subscrição do Azure.
• Um Azure Key Vault para armazenar as suas credenciais HMAC GCS (Chave de Acesso e Chave Secreta).
• Familiaridade com a hierarquia de recursos do Armazenamento do Azure Mover.

Pré-requisitos do Google Cloud

• Uma conta do Google Cloud com acesso ao bucket do GCS que pretende migrar.
• Chaves HMAC geradas para uma conta de serviço GCS (ID da Chave de Acesso + Chave Secreta).
• Um Google Cloud VPC com ligação ao Azure (via VPN na nuvem ou interligação na nuvem).
• Confirme que a conta de serviço do GCS tem, no mínimo, as funções Leitor de bucket legado do Storage e Leitor de objetos legado do Storage no bucket de destino.
• Um endpoint Private Service Connect (PSC) para as APIs da Google configurado no seu VPC GCP, fornecendo um IP privado estável para acesso ao Cloud Storage.

Pré-requisitos para redes privadas

• Um recurso Private Link Service Direct Connect configurado no Azure com o IP do endpoint GCP PSC como destino.
• Familiarização com a documentação de redes do Azure Private Link.

Opções de conectividade de rede privada

Para migrar dados de um bucket GCS restrito a VPC, primeiro precisa de um caminho de rede privada entre o seu Google Cloud VPC e o Azure. O Azure suporta várias opções de conectividade:

Na maioria dos cenários, a VPN site-to-site oferece um bom equilíbrio entre custo e desempenho. Para obter o débito máximo, utilize o ExpressRoute em conjunto com o Google Cloud Interconnect.

Opções de conectividade no Azure

ExpressRoute

Saiba mais:Documentação do ExpressRouteEncaminhamento: O BGP é frequentemente usado em circuitos privados para trocar prefixos entre o Azure e a sua rede. Fornecedores de conectividade: O ExpressRoute é normalmente disponibilizado através de um fornecedor de colocation ou conectividade (por exemplo, Equinix, Megaport).

VPN IPsec de site para site (Gateway de VPN do Azure)

Visão Geral: Utilize o Gateway de VPN do Azure para túneis IPsec site-to-site encriptados na Internet pública. Para maior débito e resiliência, selecione um SKU gateway apropriado (por exemplo, SKUs da Geração 2 e redundantes de zona quando disponíveis). Saiba mais:Tutorial - Criar uma ligação VPN S2SRoteamento: Use o BGP para trocar rotas e suportar túneis ativos/ativos entre múltiplas ligações.

Para um guia detalhado do HA VPN entre Google Cloud e Azure, veja Criar ligações HA VPN entre Google Cloud e Azure.

Dicas de implementação (desempenho da VPN)

Exemplos de definições personalizadas de IPsec/IKE (validadas com a compatibilidade do seu dispositivo): GCMAES256 para encriptação/integridade IPsec, SHA256 para integridade IKE, DHGroup14, PFS2048.

Saiba mais:Configure políticas de ligação personalizadas para IPsec/IKE.

Configurar VPN site-to-site entre Azure e Google Cloud

Do lado do Google Cloud:

• Crie um HA Gateway de VPN na sua VPC. Note os dois endereços IP externos atribuídos automaticamente.
• Crie um Router Cloud na mesma região para gerir sessões BGP.
• Crie túneis VPN que apontem para os endereços IP públicos do Gateway de VPN do Azure.
• Configure as sessões BGP no Cloud Router utilizando os endereços IP dos pares BGP partilhados com o Azure.
• Garanta que a sub-rede do endpoint PSC é acessível a partir do Azure através do túnel VPN. O Cloud Router anuncia rotas para as suas subredes VPC para o Azure automaticamente via BGP.

Saiba mais:

• Google Cloud HA VPN

Nota: Não é necessária uma configuração específica de cifra do lado do Google Cloud. O Google Cloud HA VPN negocia automaticamente as definições de IPsec com base no que recebe do Gateway de VPN do Azure.

Configurar o acesso privado ao GCS

O Private Service Connect (PSC) cria um endpoint privado com um endereço IP RFC 1918 estável dentro do seu Google Cloud VPC para aceder às APIs Google, incluindo o Cloud Storage. Este endereço IP é o destino que configura no Azure Private Link Service Direct Connect.

• Na Google Cloud Console, aceda a Serviços de rede>Private Service Connect.

• Selecione Ligar um endpoint e escolha as APIs do Google como destino.

• Selecione todas as APIs do Google Cloud ou valores VPC-SC no campo do tipo Bundle , dependendo das suas necessidades de segurança.

• Atribui um endereço IP privado a partir da sub-rede da tua VPC.

  Regista este endereço IP privado. Precisas dele ao configurar o recurso Azure PLS Direct Connect.

Mais informações

Restringir o acesso ao bucket GCS (opcional)

Para restringir ainda mais o seu bucket GCS ao acesso apenas por VPC, pode usar filtragem IP de bucket GCS:

• Restreina o acesso à tua rede VPC GCP específica ou aos intervalos de IP.

• Limites: máximo 200 blocos CIDR, 25 redes VPC por bucket.

  Mais informações

Crie o recurso de ligação direta do serviço Private Link

Private Link Service (PLS) O Direct Connect cria conectividade privada de saída do Azure para um endereço IP de destino. Para GCS, o IP de destino é o IP do endpoint PSC na sua Google Cloud VPC, acessível através da sua VPN ou túnel de Interligação.

• No portal Azure, navegue até aos serviços Private Link da fundação > Home > Network.
• Selecione Criar um serviço de links privado.
• No separador Básicos, selecione a mesma região do Azure que o seu recurso Storage Mover.
• No separador Configurações de saída:
• Método de ligação: selecione Endereço IP de destino
• Endereço IP: introduza o endereço IP do endpoint GCP Private Service Connect (PSC) que registou anteriormente.
• Source NAT Rede virtual: selecione o VNet que contém o seu Gateway de VPN do Azure
• Sub-rede NAT de origem: selecione a subrede com conectividade VPN ao GCP
• Definições de endereço IP privado: configurar pelo menos 2 IPs NAT (número par necessário)
• No separador de Segurança de Acesso: Selecione a definição de visibilidade apropriada (o controlo de acesso baseado apenas em função é o mais restritivo)
• Selecione Verificar + criar.

Crie e aprove ligações privadas

Depois de criar o recurso PLS Direct Connect, crie uma ligação privada no Storage Mover e aprove-a antes de a usar.

Criar uma ligação privada

az storage-mover connection create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --private-link-service-id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --description "Private GCS connection"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.privateEndpointResourceId --output tsv

Aprovar a ligação privada

az network private-endpoint-connection list --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --query "[].{name:name,id:id,privateEndpointId:properties.privateEndpoint.id}" --output table

az network private-endpoint-connection approve --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService/privateEndpointConnections/<private-endpoint-connection-name>" --description "Approved for Azure Storage Mover"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.connectionStatus --output tsv

Crie uma tarefa de migração com ligações privadas

az storage-mover job-definition create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --project-name "my-migration-project" --job-definition-name "my-job-definition" --job-type CloudToCloud --copy-mode Additive --source-name "my-gcs-endpoint" --target-name "my-blob-endpoint" --source-subpath "/" --target-subpath "/" --connections "/subscriptions/<subscription-id>/resourceGroups/c2c-migration-rg/providers/Microsoft.StorageMover/storageMovers/myStorageMover/connections/private-connection" --description "Private GCS to Azure Blob Storage"

Resolução de problemas

Conectividade e endereçamento IP

• Verifique o IP de Destino no Azure PLS: certifique-se de que o PLS Direct Connect aponta para o endereço IP do endpoint GCP PSC. A incompatibilidade impede a conectividade.
• Validar o caminho de rede: confirmar que os túneis Cloud VPN apresentam o estado Estabelecido na Consola do Google Cloud > Hybrid Connectivity > VPN.
• Verifique o BGP: confirme que as sessões BGP do Cloud Router estão ativas e as suas sub-redes VPC (incluindo a sub-rede do endpoint PSC) estão anunciadas no Azure.
• Verifique o endpoint PSC: confirme que o estado do endpoint PSC é Connected no Google Cloud Console > Serviços de rede > Private Service Connect.
• Verifique o alinhamento da região: O PLS Direct Connect e o Storage Mover devem estar na mesma região Azure. Autenticação (HMAC)
• Verifique se a Chave de Acesso HMAC e a Chave Secreta no Azure Key Vault estão ativas e não expiradas.
• Confirme que a identidade gerida pelo endpoint de origem tem o papel de utilizador do Key Vault Secrets no seu Key Vault.
• Confirme que a conta de serviço do GCS tem, no mínimo, as funções Leitor de bucket legado do Storage e Leitor de objetos legado do Storage no bucket de destino.
• As chaves HMAC funcionam apenas com a API XML do GCS (não com a API JSON).
• Depois de criar uma nova chave HMAC, espere até 60 segundos antes de se tornar ativa. Ligações privadas
• Apenas as ligações no estado «Aprovado» aparecem no assistente de tarefas. Verifique o estado em Pontos finais de armazenamento > Ligações privadas (Pré-visualização).
• Se o estado for Pendente: selecione a ligação e selecione Aprovar.
• Se o estado estiver Desligado: o recurso PLS Direct Connect pode ter sido eliminado ou modificado. Resolução do problema A tarefa de migração falhou. Verifique os registos de Cópia e da tarefa para ver as mensagens de erro. Causas comuns: credenciais inválidas, conectividade de rede. Erro de autenticação Verifique se as chaves HMAC no Key Vault estão corretas e ativas. Verifique se a função Key Vault Secrets User está atribuída. Erro de permissão no destino. Verifique se a identidade gerida do ponto final de destino tem a função de Contribuidor de Dados de Blob de Armazenamento no contentor de blobs. A transferência de dados é lenta Verifique largura de banda da rede. O GCS pode limitar a taxa de pedidos de API compatíveis com S3. Adicionar mais ligações privadas. Objetos em falta após a sincronização: as marcas temporais do GCS têm granularidade ao nível dos segundos. Objetos modificados no mesmo segundo da última sincronização podem não ser detetados até à próxima execução. URL de origem rejeitada Garantir que a URL usa HTTPS, sem parâmetros de consulta ou fragmentos. Use um nome de domínio válido e totalmente qualificado.

Limites conhecidos

• Máximo de 10 ligações privadas por subscrição, por região (Aprovadas + Pendentes + Desligadas, no total). Para mais informações, consulte Configure Private Link Service Direct Connect.
• O PLS Direct Connect deve ser configurado na mesma região do recurso do Storage Mover.
• O agendamento não está disponível para o tipo de fonte GCS. Os trabalhos têm de ser executados manualmente.
• Cada trabalho de migração suporta a transferência de até 500 milhões de objetos.
• Apenas o acesso HTTPS à fonte compatível com S3 é suportado.
• A fonte compatível com S3 deve suportar autenticação AWS Signature Version 4 (SigV4).
• No máximo, 10 chaves HMAC por conta de serviço do GCS.

Performance

Os seguintes benchmarks foram medidos usando o Gateway de VPN do Azure com múltiplos túneis IPsec combinados com ligações privadas do Storage Mover:

Pré-requisitos

Pré-requisitos do Azure

• Uma subscrição ativa do Azure com permissões para criar e gerir recursos do Armazenamento do Azure Mover.
• Um recurso do Storage Mover implementado na sua subscrição do Azure.
• Um Azure Key Vault para armazenar as suas Chaves Secretas de Cliente OCI (Chave de Acesso e Chave Secreta).
• Familiaridade com a hierarquia de recursos do Armazenamento do Azure Mover.

Pré-requisitos do OCI

• Uma tenancy do Oracle Cloud Infrastructure (OCI) com acesso ao bucket do Object Storage que pretende migrar.
• Chaves Secretas do Cliente geradas para um utilizador OCI (ID da Chave de Acesso + Chave Secreta).
• Uma Rede Virtual Cloud (VCN) OCI com ligação ao Azure (via VPN Site-to-Site ou FastConnect).
• Uma política IAM que concede ao utilizador ou grupo acesso de leitura aos buckets e objetos de destino (por exemplo: Allow group <G> to read buckets in compartment <C> e Allow group <G> to read objects in compartment <C>).
• Um endpoint privado OCI Object Storage (ou Service Gateway) que fornece um IP privado estável para acesso ao Object Storage dentro do seu VCN.

Pré-requisitos para redes privadas

• Um recurso Private Link Service Direct Connect configurado no Azure, com o IP do endpoint privado do OCI Object Storage como destino.
• Familiarização com a documentação de redes do Azure Private Link.

Opções de conectividade de rede privada

Para migrar dados de um bucket OCI restrito por VCN, precisa primeiro de um caminho de rede privado entre o seu VCN OCI e o Azure. O Azure suporta várias opções de conectividade:

Na maioria dos cenários, a VPN site-to-site oferece um bom equilíbrio entre custo e desempenho. Para obter a taxa de transferência mais elevada, utilize o ExpressRoute em conjunto com o OCI FastConnect.

Opções de conectividade no Azure

ExpressRoute

Saiba mais:Documentação da ExpressRoute

Roteamento: O BGP é frequentemente usado em circuitos privados para trocar prefixos entre o Azure e a sua rede.

Fornecedores de conectividade: O ExpressRoute é normalmente disponibilizado através de um fornecedor de colocation ou conectividade (por exemplo, Equinix, Megaport).

VPN IPsec de site para site (Gateway de VPN do Azure)

Visão Geral: Utilize o Gateway de VPN do Azure para túneis IPsec site-to-site encriptados na Internet pública. Para maior débito e resiliência, selecione um SKU gateway apropriado (por exemplo, SKUs da Geração 2 e redundantes de zona quando disponíveis).

Saiba mais:Tutorial - Criar uma ligação VPN S2S

Roteamento: Use o BGP para trocar rotas e suportar túneis ativos/ativos em múltiplas ligações.

Dicas de implementação (desempenho da VPN)

Exemplos de definições personalizadas de IPsec/IKE (validadas com a compatibilidade do seu dispositivo): GCMAES256 para encriptação/integridade IPsec, SHA256 para integridade IKE, DHGroup14, PFS2048.

Saiba mais:Configure políticas de ligação personalizadas para IPsec/IKE.

Configurar VPN site-to-site entre Azure e OCI

Do lado do OCI:

• Crie um Gateway de Roteamento Dinâmico (DRG) e ligue-o ao seu VCN.
• Crie um objeto Customer-Premises Equipment (CPE) para cada Gateway de VPN do Azure endereço IP público.
• Crie uma ligação IPSec (Site-to-Site VPN) com túneis para os endereços IP públicos do Gateway de VPN do Azure.
• Configure BGP (ou roteamento estático) no DRG usando os IPs de pares BGP trocados com o Azure.
• Garanta que a sub-rede privada do endpoint do Object Storage é acessível a partir do Azure através do túnel VPN; anuncie as suas subredes VCN ao Azure via BGP.

Saiba mais:VPN Site-to-Site OCI

Configurar acesso privado ao Armazenamento de Objetos OCI

Um endpoint privado OCI Object Storage (ou Service Gateway) fornece um endereço IP privado estável dentro do seu VCN para aceder ao Object Storage. Este endereço IP é o destino que configura no Azure Private Link Service Direct Connect.

• Na Consola OCI, navegue até Rede> e crie um endpoint privado do Armazenamento de Objetos na sua VCN.
• Atribui um endereço IP privado a partir da tua sub-rede VCN.
• Regista este endereço IP privado. Precisas dele ao configurar o recurso Azure PLS Direct Connect.

Restringir o acesso ao bucket OCI (opcional)

• Use as políticas OCI IAM para conceder acesso de leitura com privilégio mínimo e defina a visibilidade do bucket para privada.
• Opcionalmente, restringa o acesso ao seu VCN usando as regras de endpoint privado e segurança de rede do Object Storage.

Crie o recurso de ligação direta do serviço Private Link

Private Link Service (PLS) O Direct Connect cria conectividade privada de saída do Azure para um endereço IP de destino. Para OCI, o IP de destino é o IP privado do endpoint OCI Object Storage no seu VCN, acessível via VPN ou túnel FastConnect.

• No portal do Azure, navegue até Início>Base de rede>Serviços Private Link.
• Selecione Criar um serviço de links privado.
• No separador Básicos, selecione a mesma região do Azure que o seu recurso Storage Mover.
• No separador Definições de saída:
  • Método de ligação: selecione Endereço IP de destino.
  • Endereço IP: introduza o endereço IP do endpoint privado OCI Object Storage que registou anteriormente.
  • Source NAT Rede virtual: selecione o VNet que contém o seu Gateway de VPN do Azure.
  • Sub-rede NAT de origem: selecione a sub-rede com conectividade VPN ao OCI.
  • Definições de endereço IP privado: configurar pelo menos 2 IPs NAT (número par necessário).
• No separador de Segurança de Acesso : selecione a definição de visibilidade apropriada (o controlo de acesso baseado apenas em funções é o mais restritivo).
• Selecione Verificar + criar.

Crie e aprove ligações privadas

Depois de criar o recurso PLS Direct Connect, crie uma ligação privada no Storage Mover e aprove-a antes de a usar.

Criar uma ligação privada

1. Navegue até ao seu recurso Storage Mover no portal Azure.
2. Em Gestão de Recursos, selecione Pontos finais de armazenamento.
3. Selecione o separador de ligações privadas (Pré-visualização ).
4. Selecionar Adicionar ligações privadas.
5. Introduza um nome para a ligação privada.
6. Selecione o recurso Private Link Service Direct Connect que criou.
7. Selecione Criar. O abastecimento demora 20-30 segundos. Atualize para ver a ligação na grelha.

Aprovar a ligação privada

1. Selecione a caixa de seleção ao lado da sua nova ligação privada.
2. Selecione Aprovar.
3. Aguarde que o estado da ligação ao serviço de ligação privada mude para Aprovado.

Crie uma tarefa de migração com ligações privadas

Aba Básico

• Endpoint de origem: selecione um endpoint de origem compatível com OCI S3 existente, ou selecione Adicionar endpoint de origem para criar um.
• Endpoint Target: selecione um endpoint de destino existente no Armazenamento de Blobs do Azure, ou selecione Adicionar endpoint de destino.
• Na secção Ligações privadas (Pré-visualização), selecione Adicionar para associar ligações privadas aprovadas a esta tarefa. Podes associar várias ligações privadas para balanceamento de carga.
• As restantes etapas da tarefa são as mesmas que as de uma migração pública de OCI para Blob.

Resolução de problemas

Conectividade e endereçamento IP

• Verifique o IP de Destino no Azure PLS: certifique-se de que o PLS Direct Connect aponta para o endereço IP do seu endpoint privado OCI Object Storage. Uma incompatibilidade impede a conectividade.
• Validar o caminho de rede: confirme que os túneis de VPN Site-to-Site da OCI (ou o circuito virtual FastConnect) apresentam o estado Up na Consola OCI.
• Verifique o encaminhamento: confirme que as sessões BGP do DRG estão estabelecidas e que as suas subredes VCN (incluindo a sub-rede privada do endpoint) estão anunciadas no Azure.
• Verificar o endpoint privado: confirme que o endpoint privado do OCI Object Storage está ativo e é resolvido para o endereço IP privado esperado.
• Verifique o alinhamento da região: O PLS Direct Connect e o Storage Mover devem estar na mesma região do Azure.

Autenticação

• Verifique se a Chave de Acesso e a Chave Secreta (OCI Customer Secret Keys) no Azure Key Vault estão ativas e corretas.
• Confirme que a identidade gerida do ponto final de origem tem a função Key Vault Secrets User no seu Key Vault.
• Confirme que o utilizador ou grupo OCI tem uma política IAM que conceda acesso de leitura aos buckets e objetos de destino.
• Se a inicialização do cliente S3 falhar, use URLs em estilo path para buckets cujos nomes contenham _ ou ..

Limites conhecidos

• Máximo de 10 ligações privadas por subscrição, por região (Aprovadas + Pendentes + Desligadas, no total).
• O PLS Direct Connect deve ser configurado na mesma região do recurso do Storage Mover.
• O agendamento não está disponível para o tipo de fonte OCI. Os trabalhos têm de ser executados manualmente.
• Cada trabalho de migração suporta a transferência de até 500 milhões de objetos.
• Apenas o acesso HTTPS à fonte compatível com S3 é suportado.
• A fonte compatível com S3 deve suportar autenticação AWS Signature Version 4 (SigV4).
• Buckets com nomes incompatíveis com DNS (_, .) devem usar URLs do estilo caminho.
• As Chaves Secretas do Cliente por utilizador OCI estão sujeitas a limites de serviço OCI (o padrão é baixo; solicite um aumento se necessário). Verifique o limite atual na Consola OCI.

Performance

Os seguintes benchmarks foram medidos usando o Gateway de VPN do Azure com múltiplos túneis IPsec combinados com ligações privadas do Storage Mover. A taxa de transferência real depende dos limites do seu VCN, VPN/FastConnect e Object Storage.

O Azure suporta várias formas de se ligar a redes privadas. A melhor abordagem depende dos seus requisitos de latência, largura de banda, segurança, custo e complexidade operacional.

• Azure ExpressRoute - Conectividade privada e dedicada que não atravessa a internet pública.
• Site-to-site IPsec VPN - Túneis encriptados sobre a internet pública (normalmente usando Gateway de VPN do Azure).
• SD-WAN através de appliances virtuais de rede (NVAs) - Appliances de terceiros fornecem funcionalidades de VPN e firewall, podendo terminar túneis em vez de usar gateways nativos.

Em geral, o ExpressRoute é preferido pela maior largura de banda e menor latência. Quando o ExpressRoute não estiver disponível, utilize uma VPN site-to-site ou uma arquitetura baseada em SD-WAN/NVA.

Conceitos principais

ExpressRoute: Conectividade privada ao Azure através de um fornecedor de conectividade. Normalmente usado para latência previsível e maior rendimento.

Gateway de VPN do Azure SKU: O tamanho/SKU do gateway afeta o número de túneis e o débito. Escolha com base na largura de banda e resiliência necessárias.

Política IPsec/IKE: Algoritmos e parâmetros criptográficos usados para estabelecer e proteger túneis VPN, como famílias AES e SHA, grupos DH e PFS.

BGP (Border Gateway Protocol): Encaminhamento dinâmico que troca prefixos entre redes. Utilizado frequentemente para túneis ativos/ativos e comutação por falha de rotas.

Dispositivo virtual de rede (NVA): Um dispositivo de rede virtual de terceiros, como um firewall ou SD-WAN implantado em Azure. Frequentemente usado para inspeção avançada, políticas e roteamento.

UDR (rotas definidas pelo utilizador): Rotas personalizadas no Azure que direcionam o tráfego para um próximo salto específico, como um NVA.

Azure Private Link Service Direct Connect: Capacidade do Azure para criar conectividade privada de saída para um IP de destino, como um IP VPCE AWS, para serviços como ligações privadas do Storage Mover.

Aprovação de ligação privada: As ligações privadas podem exigir aprovação explícita antes de as cargas de trabalho ou trabalhos poderem utilizá-las.

Quando usar cada opção

ExpressRoute: Escolha quando precisa de desempenho previsível, conectividade privada e maior débito para conectividade híbrida.

VPN site-to-site: Escolha para uma configuração mais rápida, menor custo ou como caminho de backup. O desempenho depende das condições da ligação à Internet e do SKU do gateway.

SD-WAN/NVAs: Escolha quando precisar de encaminhamento específico do fornecedor, inspeção de segurança ou de um modelo operacional de SD-WAN existente.

Opções de conectividade no Azure

ExpressRoute

Saiba mais:Documentação da ExpressRoute

Roteamento: O BGP é frequentemente usado em circuitos privados para trocar prefixos entre o Azure e a sua rede.

Fornecedores de conectividade: Normalmente, fornece-se o ExpressRoute através de um fornecedor de colocation ou conectividade, como a Equinix ou a Megaport.

VPN IPsec de site para site (Gateway de VPN do Azure)

Visão Geral: Utilize o Gateway de VPN do Azure para túneis IPsec site-to-site encriptados na Internet pública. Para maior capacidade de débito e resiliência, selecione um SKU de gateway adequado, como Generation2 e SKUs com redundância entre zonas, quando disponíveis.

Saiba mais:Tutorial - Criar uma ligação VPN S2S

Roteamento: Use o BGP para trocar rotas e suportar túneis ativos/ativos em múltiplas ligações.

Dicas de implementação (desempenho da VPN)

Exemplos de definições personalizadas de IPsec/IKE (validadas com a compatibilidade do seu dispositivo): GCMAES256 para encriptação e integridade IPsec, SHA256 para integridade IKE, DHGroup14, PFS2048.

Saiba mais:Configure políticas de ligação personalizadas para IPsec/IKE.

SD-WAN com appliances virtuais de rede (NVAs)

Os NVAs de SD-WAN e firewall podem encerrar túneis VPN, realizar inspeção e aplicar políticas de encaminhamento e segurança centralizadas. Esta abordagem é útil quando precisa de capacidades específicas de cada fornecedor ou já opera uma plataforma SD-WAN em vários sites.

Fortinet: Firewall de Nova Geração FortiGate

Cisco: Catalyst SD-WAN, Meraki SD-WAN

HPE (Redes de Aruba): EdgeConnect SD-WAN

Palo Alto Networks: Prisma SD-WAN

Arista (VMware): VeloCloud SD-WAN Virtual Edge

SD-WAN NVAs são normalmente licenciados como pay-as-you-go (PAYG) ou bring-your-own-license (BYOL). O suporte do fornecedor varia consoante a opção de implementação.

Exemplo de implementação (FortiGate NVA no Azure)

Selecione uma topologia (VM única, ativa/passiva ou ativa/ativa) com base nos requisitos de disponibilidade e rendimento.

Escolha um tamanho de VM adequado (frequentemente da série F ou D com maior vCPU) e permita a rede acelerada sempre que suportado.

Design de rede: colocar interfaces em sub-redes WAN/LAN (e protegidas) e configurar regras NSG para portas de gestão e VPN necessárias (por exemplo, UDP 500/4500 para IPsec).

Routing: usar UDRs para direcionar prefixos Azure-para-AWS através do próximo salto NVA.

Documentação do fornecedor: Por exemplo, passos para configurar IPsec entre dispositivos FortiGate, consulte o artigo da Comunidade Fortinet abaixo.

Como configurar VPN site-to-site entre dispositivos FortiGate (Comunidade Fortinet)

Considerações relativamente a grupos de segurança

Permitir o tráfego necessário dos prefixos de origem locais para a rede virtual do Azure (VNet), de acordo com o princípio do privilégio mínimo.

Configuração do Azure para Private Link Service Direct Connect

Criar o recurso Direct Connect do Serviço de Ligação Privada

O Private Link Service Direct Connect permite ao Azure criar conectividade privada de saída para um endereço IP de destino. Neste cenário, isto permite que as ligações privadas do Storage Mover alcancem um ponto final no local através da rota da Azure VNet já estabelecida.

1. Implemente o recurso PLS Direct Connect na mesma região Azure que o recurso Storage Mover e a rede virtual Azure usada para aceder aos seus dados locais.
2. Ative a funcionalidade no portal Azure usando o link de voo fornecido: link de voo do portal Azure (PLS Direct Connect).
3. Assegure que o VNet do Azure e a sub-rede selecionada para o NAT de origem têm conectividade ao endereço de origem alvo.

Etapas de alto nível

1. Crie o recurso Private Link Service (Your Service) para Direct Connect na região correta.
2. Configurar definições de saída:
3. Defina o método de conexão para Endereço IP de destino e introduza o endereço de destino de origem.
4. Selecione a rede virtual NAT de origem e a sub-rede que possam encaminhar para a sua partilha de ficheiros.
5. Configure as definições de endereços IP privados conforme necessário para resiliência, como dois ou mais endereços em incrementos suportados.

Crie e aprove ligações privadas

Depois de criar o recurso Direct Connect, crie uma ligação privada no Storage Mover e aprove-a antes de a usar.

1. Em Storage Mover, abra Storage Endpoints e depois o separador Conexões Privadas.
2. Crie uma ligação privada que faça referência ao serviço de ligação privada Direct Connect e depois aprove-a para que possa ser associada a trabalhos.
3. Use a ligação privada anterior como parte da operação de criação de empregos para a sua carga de trabalho de migração para PME.
4. Selecione os valores do tipo de migração e do tipo de origem correspondentes à montagem SMB sem agente no seu tenant.
5. Configure o endpoint de origem SMB (host/share e credenciais do Key Vault) e associe a ligação privada aprovada.
6. Verifique se a ligação privada está listada e no estado Aprovado .
7. Complete a configuração restante do trabalho e execute os passos conforme documentado para migrações de alvos SMB para Azure.

Resolução de problemas

Conectividade e endereçamento IP

• Verifique o IP de destino no Azure PLS: Certifique-se de que o IP de destino das ligações diretas do Azure Private Link Service está apontado para o servidor correto e acessível nas instalações locais. Um desajuste aqui impedirá o aperto de mão inicial.
• Validar o Caminho da Rede: Confirme que a infraestrutura de rede subjacente (por exemplo, VPN, ExpressRoute ou Cloud Interconnect) está estabelecida e a encaminhar o tráfego corretamente entre o ambiente Azure e a rede local.
• Verifique as Configurações da Rede Virtual: Revise a virtual network e, quando aplicável, a configuração do gateway de rede para garantir que está ativa e associada às sub-redes e grupos de segurança corretos.

Configuração de rede no local

Permitir tráfego de rede nas portas necessárias: Verifique se as definições do firewall permitem o tráfego de rede de entrada nas portas necessárias (Porta 445 para SMB e Porta 443 para tráfego S3 e HTTPS) proveniente da rede virtual do Azure.

Limits

• Os clientes podem configurar até 10 Ligações Privadas por região. Isto inclui o estado de ligação privada nos estados Aprovado, Pendente e Desconectado.
• Deves configurar o PLS diretamente na mesma região do Storage Mover Resource.

Performance

• Consulte os conceitos e o planeamento do ExpressRoute na documentação do ExpressRoute.
• Crie uma ligação VPN site-to-site em Azure: Tutorial - Crie uma ligação VPN S2S.
• Para BGP entre Azure e AWS, siga: Tutorial - Configure uma ligação compatível com BGP entre Azure e AWS.

• Comece com a migração de código-fonte compatível com GCS S3
• Criar VPN HA para Azure
• Private Service Connect

Precisamos de alguns links de "próximo passo" para a migração da Oracle.

• Migrar dados de SMB no local para o Ficheiros do Azure com o Armazenamento do Azure Mover (Pré-visualização)
• Migrar dados com ligações privadas no Armazenamento do Azure Mover
• Requisitos de rede do Armazenamento do Azure Mover