Configurações de proxy e firewall do Azure File Sync

O Azure File Sync liga os seus servidores on-premises ao Ficheiros do Azure, permitindo sincronização multisite e funcionalidades de cloud tiering. Como tal, um servidor local deve estar conectado à Internet. Um administrador de TI precisa decidir o melhor caminho para o servidor acessar os serviços de nuvem do Azure.

Este artigo fornece informações sobre requisitos específicos e opções disponíveis para conectar com êxito e segurança seu servidor ao Azure File Sync.

Antes de ler este guia prático, consulte as considerações sobre redes do Azure File Sync.

Visão geral da rede Azure File Sync

O Azure File Sync atua como um serviço de orquestração entre seu Windows Server, seu compartilhamento de arquivos do Azure e vários outros serviços do Azure para sincronizar dados conforme descrito em seu grupo de sincronização. Para que o Azure File Sync funcione corretamente, você precisará configurar seus servidores para se comunicar com os seguintes serviços do Azure:

• Armazenamento do Azure
• Azure File Sync
• Azure Resource Manager
• Serviços de autenticação

Portas necessárias para Azure File Sync

O Azure File Sync move dados de arquivo e metadados exclusivamente por HTTPS e requer que a porta 443 seja de saída aberta. Como resultado, todo o tráfego é encriptado.

Redes e conexões especiais com o Azure

O agente do Azure File Sync não tem requisitos em relação a canais especiais como ExpressRoute, etc. para o Azure.

O Azure File Sync funciona por todos os meios disponíveis que permitam aceder ao Azure. Adapta-se automaticamente a características da rede, como largura de banda e latência, e oferece controlo administrativo para ajustes finos.

Definições do proxy do Azure File Sync

A Sincronização de Ficheiros do Azure suporta definições de proxy específicas da aplicação e de toda a máquina.

Definições de proxy específicas da aplicação

As configurações de proxy específicas do aplicativo permitem a configuração de um proxy especificamente para o tráfego do Azure File Sync. As configurações de proxy específicas do aplicativo são suportadas na versão 4.0.1.0 ou mais recente do agente e podem ser configuradas durante a instalação do agente ou usando o Set-StorageSyncProxyConfiguration cmdlet do PowerShell. Utilize o cmdlet para retornar quaisquer configurações de proxy que estejam configuradas no momento. Um resultado em branco indica que não há configurações de proxy configuradas. Para remover a configuração de proxy existente, use o Remove-StorageSyncProxyConfiguration cmdlet.

comandos do PowerShell para configurar definições de proxy específicas da aplicação:

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"
Set-StorageSyncProxyConfiguration -Address <url> -Port <port number> -ProxyCredential <credentials>

Por exemplo, se o servidor proxy precisar de autenticação com um nome de utilizador e palavra-passe, execute os seguintes comandos do PowerShell:

# IP address or name of the proxy server.
$Address="http://127.0.0.1"

# The port to use for the connection to the proxy.
$Port=8080

# The user name for a proxy.
$UserName="user_name"

# Please type or paste a string with a password for the proxy.
$SecurePassword = Read-Host -AsSecureString

$Creds = New-Object System.Management.Automation.PSCredential ($UserName, $SecurePassword)

# Please verify that you have entered the password correctly.
Write-Host $Creds.GetNetworkCredential().Password

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"

Set-StorageSyncProxyConfiguration -Address $Address -Port $Port -ProxyCredential $Creds

Definições de proxy ao nível do computador

As configurações de proxy em toda a máquina são transparentes para o agente do Azure File Sync à medida que todo o tráfego do servidor é roteado pelo proxy.

Para configurar as definições do proxy a nível da máquina, siga estes passos:

1. Definir configurações de proxy para aplicativos .NET

   • Edite estes dois ficheiros:
     C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Config\machine.config
     C:\Windows\Microsoft.NET\Framework\v4.0.30319\Config\machine.config

   • Adicione a <seção system.net> nos arquivos machine.config (abaixo da <seção system.serviceModel> ). Altere 127.0.01:8888 para o endereço IP e a porta do servidor proxy.

     <system.net>
        <defaultProxy enabled="true" useDefaultCredentials="true">
          <proxy autoDetect="false" bypassonlocal="false" proxyaddress="http://127.0.0.1:8888" usesystemdefault="false" />
        </defaultProxy>
     </system.net>
     

2. Configurar as definições de proxy WinHTTP

   Observação

   Para configurar um Windows Server para usar um servidor proxy, pode usar vários métodos, incluindo WPAD, ficheiro PAC, netsh e outros. Os passos deste artigo explicam como configurar as definições do proxy usando netsh. No entanto, pode usar qualquer método listado nas definições Configurar servidor proxy na documentação do Windows.

   • Execute o seguinte comando a partir de um prompt de comando elevado ou PowerShell para ver a configuração de proxy existente:

     netsh winhttp show proxy

   • Execute o seguinte comando a partir de um prompt de comando elevado ou PowerShell para definir a configuração de proxy (altere 127.0.01:8888 para o endereço IP e a porta do servidor proxy):

     netsh winhttp set proxy 127.0.0.1:8888

3. Reinicie o serviço Storage Sync Agent executando o seguinte comando a partir de um prompt de comando elevado ou PowerShell:

   net stop filesyncsvc

   Observação

   O serviço Storage Sync Agent (filesyncsvc) inicia-se automaticamente depois de terminar.

Definições do firewall do Azure File Sync

Como mencionado numa secção anterior, é necessário abrir a porta 443 de saída. Com base nas políticas do seu centro de dados, filial ou região, poderá ser necessário restringir ainda mais o tráfego nesta porta a domínios específicos.

A tabela a seguir descreve os domínios necessários para comunicação:

A tabela seguinte descreve para que cada ponto final é utilizado:

Se *.afs.azure.net ou *.one.microsoft.com for muito amplo, você poderá limitar a comunicação do servidor permitindo a comunicação apenas a instâncias regionais explícitas do serviço de Sincronização de Arquivos do Azure. A(s) instância(s) escolher(em) depende da região do serviço de sincronização de armazenamento em que você implantou e registrou o servidor. Essa região é chamada de "URL do ponto de extremidade primário" na tabela abaixo.

Por razões de continuidade do negócio e recuperação de desastres (BCDR), pode criar as suas partilhas de ficheiros Azure numa conta de armazenamento configurada para armazenamento geo-redundante (GRS). Se escolher esta opção, as suas partilhas de ficheiros Azure passam para a região emparelhada em caso de uma interrupção regional permanente. O Azure File Sync utiliza os mesmos emparelhamentos regionais que o armazenamento. Portanto, se usares contas de armazenamento GRS, precisas de ativar URLs adicionais para permitir que o teu servidor fale com a região emparelhada para o Azure File Sync. A tabela seguinte chama a isto "região emparelhada". Além disso, há um URL de perfil do gestor de tráfego que também tens de ativar. Este URL garante que o tráfego de rede pode ser redirecionado de forma fluida para a região emparelhada em caso de failover e é chamado de "Discovery URL" na tabela.

Nuvem pública

• Se você usar uma conta de armazenamento configurada para LRS (armazenamento com redundância local) ou ZRS (armazenamento com redundância de zona), só precisará habilitar a URL listada em "URL do ponto de extremidade principal".
• Se usar uma conta de armazenamento configurada para GRS, ative três URLs: o URL do endpoint primário para a sua região, o URL do endpoint primário para a região emparelhada e o URL de descoberta para a sua região.

Exemplo: Você implanta um serviço de sincronização de armazenamento e "West US" registra seu servidor com ele. URLs com as quais o servidor pode comunicar-se neste caso são:

• https://westus01.afs.azure.net (objetivo primário: Oeste dos EUA)
• https://eastus01.afs.azure.net (região de failover emparelhada: Leste dos EUA)
• https://tm-westus01.afs.azure.net (URL de descoberta da região primária)

A tabela seguinte lista os pontos finais para o Azure File Sync em regiões de cloud pública do Azure.

Azure Government

A tabela seguinte lista os endpoints para Azure File Sync nas regiões do Azure Government.

Microsoft Azure operado pela 21Vianet

A tabela seguinte lista os endpoints do Azure File Sync no Microsoft Azure nas regiões operadas pela 21Vianet.

Lista de permissões para endereços IP do Azure File Sync

O Azure File Sync suporta a utilização de etiquetas de serviço, que representam um grupo de prefixos de endereço IP para um determinado serviço do Azure. Pode utilizar etiquetas de serviço para criar regras de firewall que permitem a comunicação com o serviço Azure File Sync. A marca de serviço para o Azure File Sync é StorageSyncService.

Se estiver a utilizar a Sincronização de Ficheiros do Azure no Azure, pode utilizar o nome da etiqueta de serviço diretamente no seu grupo de segurança de rede para permitir o tráfego. Para saber mais sobre como fazer isso, consulte Grupos de segurança de rede.

Se estiver a utilizar o Azure File Sync no local, pode utilizar a API da etiqueta de serviço para obter intervalos de endereços IP específicos para a lista de permissões da firewall. Existem dois métodos para obter estas informações:

• A lista atual de intervalos de endereços IP para todos os serviços do Azure que suportam etiquetas de serviço é publicada semanalmente no Centro de Transferências da Microsoft, sob a forma de um documento JSON. Cada nuvem do Azure tem seu próprio documento JSON com os intervalos de endereços IP relevantes para essa nuvem:
  • Azure Público
  • Azure para o Governo dos EUA
  • Microsoft Azure operado pela 21Vianet
  • Azure Alemanha
• A API de descoberta de tags de serviço permite a recuperação programática da lista atual de tags de serviço. Você pode usar a superfície da API com base em sua preferência de automação:
  • API REST
  • Azure PowerShell
  • CLI do Azure

Como a API de descoberta de marca de serviço pode não ser atualizada com tanta frequência quanto os documentos JSON publicados no Centro de Download da Microsoft, recomendamos usar o documento JSON para atualizar a lista de permissões do firewall local. Tal pode ser feito da seguinte forma:

# The specific region to get the IP address ranges for. Replace westus2 with the desired region code 
# from Get-AzLocation.
$region = "westus2"

# The service tag for Azure File Sync. Don't change unless you're adapting this
# script for another service.
$serviceTag = "StorageSyncService"

# Download date is the string matching the JSON document on the Download Center. 
$possibleDownloadDates = 0..7 | `
    ForEach-Object { [System.DateTime]::Now.AddDays($_ * -1).ToString("yyyyMMdd") }

# Verify the provided region
$validRegions = Get-AzLocation | `
    Where-Object { $_.Providers -contains "Microsoft.StorageSync" } | `
    Select-Object -ExpandProperty Location

if ($validRegions -notcontains $region) {
    Write-Error `
            -Message "The specified region $region isn't available. Either Azure File Sync isn't deployed there or the region doesn't exist." `
            -ErrorAction Stop
}

# Get the Azure cloud. This should automatically based on the context of 
# your Az PowerShell login, however if you manually need to populate, you can find
# the correct values using Get-AzEnvironment.
$azureCloud = Get-AzContext | `
    Select-Object -ExpandProperty Environment | `
    Select-Object -ExpandProperty Name

# Build the download URI
$downloadUris = @()
switch($azureCloud) {
    "AzureCloud" { 
        $downloadUris = $possibleDownloadDates | ForEach-Object {  
            "https://download.microsoft.com/download/7/1/D/71D86715-5596-4529-9B13-DA13A5DE5B63/ServiceTags_Public_$_.json"
        }
    }

    "AzureUSGovernment" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/6/4/D/64DB03BF-895B-4173-A8B1-BA4AD5D4DF22/ServiceTags_AzureGovernment_$_.json"
        }
    }

    "AzureChinaCloud" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/9/D/0/9D03B7E2-4B80-4BF3-9B91-DA8C7D3EE9F9/ServiceTags_China_$_.json"
        }
    }

    "AzureGermanCloud" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/0/7/6/076274AB-4B0B-4246-A422-4BAF1E03F974/ServiceTags_AzureGermany_$_.json"
        }
    }

    default {
        Write-Error -Message "Unrecognized Azure Cloud: $_" -ErrorAction Stop
    }
}

# Find most recent file
$found = $false 
foreach($downloadUri in $downloadUris) {
    try { $response = Invoke-WebRequest -Uri $downloadUri -UseBasicParsing } catch { }
    if ($response.StatusCode -eq 200) {
        $found = $true
        break
    }
}

if ($found) {
    # Get the raw JSON 
    $content = [System.Text.Encoding]::UTF8.GetString($response.Content)

    # Parse the JSON
    $serviceTags = ConvertFrom-Json -InputObject $content -Depth 100

    # Get the specific $ipAddressRanges
    $ipAddressRanges = $serviceTags | `
        Select-Object -ExpandProperty values | `
        Where-Object { $_.id -eq "$serviceTag.$region" } | `
        Select-Object -ExpandProperty properties | `
        Select-Object -ExpandProperty addressPrefixes
} else {
    # If the file cannot be found, that means there hasn't been an update in
    # more than a week. Please verify the download URIs are still accurate
    # by checking https://learn.microsoft.com/azure/virtual-network/service-tags-overview
    Write-Verbose -Message "JSON service tag file not found."
    return
}

Em seguida, pode usar os intervalos de endereços IP em $ipAddressRanges para atualizar o seu firewall. Veja o site da firewall/aplicação de rede para obter informações sobre como atualizar a firewall.

Testar a conectividade de rede aos pontos finais de serviço

Depois que um servidor é registrado no serviço de Sincronização de Arquivos do Azure, o cmdlet e a Test-StorageSyncNetworkConnectivity ServerRegistration.exe podem ser usados para testar as comunicações com todos os pontos de extremidade (URLs) específicos desse servidor. Esse cmdlet pode ajudar a solucionar problemas quando a comunicação incompleta impede que o servidor funcione totalmente com o Azure File Sync e pode ser usado para ajustar as configurações de proxy e firewall.

Para executar o teste de conectividade de rede, execute os seguintes comandos do PowerShell:

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"
Test-StorageSyncNetworkConnectivity

Se o teste falhar, colete rastreamentos de depuração WinHTTP para solucionar problemas: netsh trace start scenario=InternetClient_dbg capture=yes overwrite=yes maxsize=1024

Execute o teste de conectividade de rede novamente e pare de coletar rastreamentos: netsh trace stop

Coloque o arquivo gerado NetTrace.etl em um arquivo ZIP, abra um caso de suporte e compartilhe o arquivo com o suporte.

Resumo dos requisitos de firewall e proxy

As listas anteriores neste documento contêm as URLs com que o Azure File Sync comunica. Os firewalls devem permitir o tráfego de saída para estes domínios. A Microsoft esforça-se por manter esta lista atualizada.

Configurar regras de firewall restritivas de domínio pode ser uma medida para melhorar a segurança. Se essas configurações de firewall forem usadas, lembre-se de que as URLs serão adicionadas e podem até mudar ao longo do tempo. Consulte este artigo periodicamente.

Próximos passos

• Planear uma implementação do Azure File Sync
• Implementar o Azure File Sync
• Monitorizar o Azure File Sync