Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
✔️ Aplica-se a: Todas as partilhas de ficheiros Azure
As partilhas de ficheiros do Azure têm endpoints públicos e podem ter um ou mais endpoints privados. Os caminhos de rede disponíveis para os clientes dependem do protocolo e das regras de rede. Este artigo aborda tanto as partilhas de ficheiros clássicas (Microsoft.Storage) como as partilhas de ficheiros criadas com o Microsoft.FileShares. O Azure File Sync oferece uma opção de cache para partilhas de ficheiros SMB clássicas. Para saber mais, consulte Introdução ao Azure File Sync.
Para considerações mais amplas de implementação, consulte Planear uma implementação no Ficheiros do Azure. Para os passos de configuração, veja Configurar endpoints de rede para partilhas de ficheiros Azure.
Duas diferenças de protocolo afetam o design da rede:
O SMB utiliza a porta TCP 445, que algumas organizações e fornecedores de serviços de internet bloqueiam para tráfego de saída. A conectividade privada através de VPN ou ExpressRoute oferece um caminho alternativo.
O NFS utiliza autenticação baseada em rede. Os clientes ligam-se através de endpoints privados ou através de endpoints de serviço a partir de sub-redes de rede virtual permitidas.
As partilhas de ficheiros clássicas suportam SMB e NFS. Microsoft.FileShares suporta atualmente NFS. Ambos os fornecedores de recursos suportam endpoints públicos e privados. Para diferenças na propriedade e gestão de recursos, consulte conceitos de gestão do Ficheiros do Azure.
Este vídeo demonstra a configuração de rede para partilhas de ficheiros clássicas. As secções abaixo também descrevem a Microsoft. FileShares quando aplicável. O Azure Active Directory é agora Microsoft Entra ID. Para mais informações, consulte Novo nome para Azure AD.
Encriptação em trânsito
A encriptação em trânsito protege a confidencialidade e integridade dos dados entre os clientes e o Ficheiros do Azure, incluindo proteção contra interceção ou modificação por um atacante man-in-the-middle. Esta proteção aplica-se tanto a extremidades públicas como privadas. As regras de encriptação e de acesso à rede têm propósitos separados: a encriptação protege a ligação, enquanto as regras de rede determinam quais os clientes que podem aceder ao serviço.
Encriptação em trânsito para SMB
O SMB 3.x protege os dados através da encriptação do canal SMB. O Ficheiros do Azure suporta AES-128-CCM com SMB 3.0 e AES-128-GCM e AES-256-GCM com SMB 3.1.1. O algoritmo de encriptação depende das capacidades do cliente e dos algoritmos permitidos pelo serviço. O SMB 2.1 não suporta encriptação de canais.
Restringir os algoritmos permitidos pode afetar a compatibilidade dos clientes. Por exemplo, clientes Windows mais antigos não suportam AES-256-GCM. A encriptação de canais protege os dados dos ficheiros na ligação; A encriptação dos bilhetes Kerberos protege os tickets de autenticação. São controlos separados. Para suporte de cliente e configuração, consulte as definições de segurança SMB.
Encriptação em trânsito para NFS
Partilhas de ficheiros NFS com qualquer um dos dois fornecedores de recursos suportam encriptação através de tunelamento TLS. O ajudante de montagem AZNFS utiliza o stunnel para transportar tráfego NFS através de uma ligação encriptada entre o cliente e o Ficheiros do Azure. O AZNFS suporta TLS 1.2 e TLS 1.3 e valida o certificado do servidor. As aplicações continuam a usar o protocolo NFS sem implementar o TLS elas próprias.
O TLS protege os dados em trânsito, mas não adiciona autenticação baseada no utilizador ao NFS. As regras de acesso à rede e as permissões dos ficheiros continuam a governar o acesso. Para instruções para montagem encriptada, consulte Encriptar dados em trânsito para partilhas NFS.
Encriptação em trânsito para o FileREST
O FileREST protege os dados em trânsito através de HTTPS. O Ficheiros do Azure suporta TLS 1.2 e TLS 1.3 para ligações HTTPS. Exigir HTTPS rejeita pedidos HTTP não encriptados; um requisito mínimo de versão TLS controla quais as versões TLS que os clientes podem usar.
O acesso a dados FileREST está disponível para partilhas de ficheiros clássicas. Microsoft.FileShares atualmente não suporta acesso a dados FileREST.
Guias de configuração da encriptação
Os requisitos e predefinições de encriptação dependem do fornecedor de recursos e do protocolo. Os guias seguintes descrevem como visualizá-los e alterá-los:
- Microsoft.FileShares: Requisitos de encriptação ao criar uma partilha de ficheiros e atualização das propriedades da partilha de ficheiros com o PowerShell ou a CLI do Azure.
- Partilhas de ficheiros clássicas: encriptação SMB, encriptação NFS e requisitos HTTPS para FileREST.
Ponto final público
Um endpoint público tem um endereço IP público. Um endereço público não implica acesso irrestrito: os requisitos do protocolo, regras de rede e autorização determinam se um pedido é permitido.
Os protocolos têm regras diferentes para o acesso a endpoints públicos. SMB e FileREST aplicam-se a partilhas de ficheiros clássicas. O NFS aplica-se a ambos os fornecedores de recursos:
SMB: As ligações SMB 3.x encriptadas podem originar-se dentro ou fora do Azure, sujeitas às regras de rede e à autorização. As ligações SMB não encriptadas estão limitadas a clientes na mesma região do Azure e requerem uma configuração que permita acesso não encriptado.
NFS: Os clientes só podem aceder ao endpoint público através de um endpoint de serviço a partir de uma sub-rede permitida. O NFS não suporta acesso direto a partir de clientes de internet.
FileREST: Os clientes acedem aos dados dos ficheiros através de pedidos REST. O HTTPS protege estes pedidos em trânsito. As regras de rede e a autorização aplicam-se independentemente da necessidade de HTTPS.
Acesso de entrada à rede
As regras de rede controlam o acesso de entrada ao endpoint público. Ambos os fornecedores de recursos suportam o acesso a partir de sub-redes virtuais selecionadas. O acesso clássico SMB e FileREST também pode usar regras de endereço IP. O acesso ao NFS requer endpoints de serviço e sub-redes permitidas.
Um endpoint de serviço transporta tráfego de uma sub-rede virtual para o Ficheiros do Azure através da backbone do Azure. O tráfego continua a usar o endereço IP do endpoint público. A camada de rede identifica a sub-rede de origem para que o serviço possa compará-la com as redes permitidas.
Desativar o acesso à rede pública também impede o acesso do cliente através dos endpoints de serviço. O acesso a endpoints privados é independente desta configuração. Para partilhas de ficheiros clássicas, as exceções de serviço de confiança existentes podem permanecer em vigor.
Para os passos de configuração de ambos os fornecedores de recursos, veja Restringir o acesso ao endpoint público.
Restrinja o acesso de saída para o exterior com políticas de ponto final de serviço
As regras de rede para uma partilha de ficheiros controlam o acesso de entrada. Eles não restringem os destinos de saída dos clientes. Por exemplo, um cliente que consiga ler uma partilha de ficheiros poderia copiar dados para outro recurso para o qual tem permissão de escrita.
Para partilhas de ficheiros clássicas, pode opcionalmente usar uma política de endpoint de serviço para limitar a que contas de armazenamento os clientes numa sub-rede podem aceder através dos endpoints de serviço. A política aplica-se a todos os clientes nessa sub-rede. As regras de rede e os requisitos de autorização do destino continuam a aplicar-se.
As políticas de endpoint de serviço funcionam em conjunto com outros controlos de rede:
- As rotas dos endpoints de serviço sobrepõem rotas definidas pelo utilizador (UDRs) para os prefixos correspondentes de endereços de serviço. O tráfego encaminhado através de um endpoint de serviço não passa pelo Azure Firewall nem por um appliance virtual de rede (NVA), por isso estes dispositivos não podem inspecioná-lo ou logar. Para mais informações, consulte Virtual network service endpoints.
- As regras do grupo de segurança de rede (NSG) podem usar tags de serviço, como
Storage.WestUSpara restringir o tráfego de saída para uma região. As etiquetas de serviço não podem restringir o tráfego a uma conta de armazenamento específica.
A lista de permissões da política pode conter contas de armazenamento individuais, grupos de recursos ou subscrições. A política impede os clientes da sub-rede associada de aceder a outras contas de armazenamento através dos endpoints de serviço. Não restringe outros caminhos de saída da sub-rede.
Importante
As políticas de endpoint de serviço não são atualmente suportadas para as partilhas de ficheiros Microsoft.FileShares. Não pode adicionar estas partilhas de ficheiros a uma política. Uma política na sub-rede do cliente bloqueia o acesso aos mesmos através dos pontos finais de serviço, mesmo que permita a respetiva subscrição ou grupo de recursos. Os clientes nessa sub-rede têm de usar um endpoint privado para aceder às partilhas de ficheiros Microsoft.FileShares.
As políticas de endpoint de serviço não se aplicam ao tráfego de endpoint privado.
Para configurar uma política de endpoint de serviço, veja Restringir o acesso de saída a contas de armazenamento específicas.
Acesso ao portal do Azure
Abrir um recurso no portal do Azure e aceder aos seus dados de ficheiros são operações separadas. Para partilhas de ficheiros clássicas, a navegação dos dados envia pedidos FileREST do navegador para o endpoint do serviço de ficheiros. Esses pedidos estão sujeitos às regras de rede da conta de armazenamento. O acesso ao portal por si só não concede acesso de rede aos dados dos ficheiros.
Microsoft.FileShares atualmente não suporta o acesso a dados FileREST. Para requisitos clássicos de navegação de partilha de ficheiros e resolução de problemas, consulte Autorizar acesso a dados de ficheiros no portal Azure.
Roteamento de rede de ponto de extremidade público
A preferência de roteamento está disponível apenas para partilhas clássicas de ficheiros HDD que utilizam o modelo de faturação pay-as-you-go em contas de armazenamento StorageV2. Não é suportado para partilhas de ficheiros provisionadas em FileStorage contas de armazenamento nem para Microsoft.FileShares.
Para estas contas pay-as-you-go, a preferência de roteamento determina como o tráfego da internet chega ao endpoint público:
- Roteamento Microsoft (predefinido): O tráfego entre o cliente e a conta de armazenamento viaja pela espinha dorsal global da Microsoft durante o máximo de tempo possível antes de sair para a internet. Esta opção suporta cenários de junção de domínio Active Directory (AD) e Azure File Sync.
- Encaminhamento da Internet: O tráfego é encaminhado pela internet pública o mais cedo possível. Esta opção não suporta cenários de junção de domínio no Active Directory (AD) nem no Azure File Sync.
Para os passos de configuração, consulte Configurar preferência de encaminhamento de rede.
Terminais privados
Um endpoint privado fornece um endereço IP privado na sua rede virtual para acesso a uma partilha de ficheiros.
Cada endpoint privado está associado a uma sub-rede de uma rede virtual. Múltiplos endpoints privados podem fornecer acesso à mesma partilha de ficheiros a partir de diferentes redes virtuais.
Os clientes podem aceder a um endpoint privado a partir da sua rede virtual, redes virtuais peered ou redes on-premises ligadas.
Os endpoints privados e públicos podem coexistir. Criar um endpoint privado não desativa o acesso público nem restringe outros caminhos de saída dos clientes.
Para criar um endpoint privado, consulte Configuring private endpoints for Ficheiros do Azure.
Conectividade privada nas instalações locais
VPN e ExpressRoute fornecem conectividade entre clientes on-premises e endpoints privados numa rede virtual Azure. Esta abordagem aplica-se tanto a PME como a NFS.
As opções de ligação diferem em âmbito e transporte:
VPN de ponto a site
Uma VPN point-to-site liga um cliente individual a uma rede virtual do Azure. Suporta utilizadores e dispositivos remotos que não estão ligados através da rede do site da organização. Para protocolos suportados e guias de configuração, consulte Sobre a VPN ponto a site.
VPN de site para site
Uma VPN site-to-site liga a rede de uma organização a uma rede virtual Azure através de um gateway VPN. Os clientes na rede conectada partilham essa ligação. Para os guias de arquitetura e configuração, consulte Site-to-site VPN.
ExpressRoute
O peering privado ExpressRoute liga uma rede local a redes virtuais Azure sem atravessar a internet pública. Oferece uma opção de conectividade privada para cargas de trabalho com requisitos de desempenho da rede ou organizacionais. A encriptação ao nível da aplicação continua a ser uma consideração separada. Para opções de conectividade e guias de configuração, consulte a visão geral do ExpressRoute.
Resolução de DNS
O DNS determina se o nome de host de uma partilha de ficheiros resolve para um endereço IP público ou privado. Os clientes usam o mesmo nome de host para qualquer um dos dois caminhos. Dentro de uma rede que utiliza DNS privado para a partilha, o nome resolve para o endereço IP do endpoint privado. Os clientes que usam DNS público resolvem-no para o endpoint público em vez disso.
As partilhas de ficheiros clássicas utilizam o nome do host do serviço de ficheiros da conta de armazenamento. Microsoft. FileShares atribui um nome de host gerado a cada partilha de ficheiros. Esse nome gerado é diferente do nome do recurso da partilha de ficheiros.
Na cloud pública do Azure, ambos os fornecedores de recursos utilizam a zona privatelink.file.core.windows.netDNS privada . Os clientes on-premises precisam de acesso aos registos DNS privados, bem como a uma rota de rede para o endpoint privado. Uma ligação VPN ou ExpressRoute por si só não fornece resolução DNS privada. O encaminhamento DNS ou o DNS do Azure Private Resolver podem fornecer essa resolução.
Para configuração e verificação, veja:
- Crie um endpoint privado com integração DNS e verifique a conectividade, para ambos os fornecedores de recursos.
- Integração DNS com endpoint privado Azure, para designs DNS on-premises.
- Configure o encaminhamento DNS para partilhas de ficheiros clássicas, para exemplos específicos do Ficheiros do Azure.
SMB sobre QUIC
O SMB sobre QUIC transporta tráfego SMB pela porta UDP 443, oferecendo uma alternativa quando a porta TCP 445 não está disponível. Um servidor de ficheiros Windows Server compatível fornece o endpoint QUIC, e os clientes precisam de suporte SMB over QUIC.
Atualmente, o Ficheiros do Azure não suporta SMB diretamente sobre QUIC. Pode aceder a uma cache do Windows Server de uma partilha clássica de ficheiros SMB através do Azure File Sync, como mostrado no diagrama seguinte. Esta opção não se aplica ao NFS ou a Microsoft.FileShares. Pode implementar caches do Azure File Sync localmente ou em datacenters Azure. Para saber mais, consulte a documentação do Windows Server. Para detalhes específicos de rede do Azure File Sync, veja SMB sobre QUIC.
