Considerações sobre redes do Ficheiros do Azure

✔️ Aplica-se a: Todas as partilhas de ficheiros Azure

Pode aceder às suas partilhas de ficheiros Azure através do endpoint público acessível à internet, através de um ou mais endpoints privados na sua(s) rede(s), ou armazenando em cache a sua partilha de ficheiros Azure local com o Azure File Sync (apenas partilhas de ficheiros SMB). Este artigo foca-se em como configurar o Ficheiros do Azure para acesso direto a endpoints públicos e/ou privados. Para aprender a armazenar em cache a sua partilha de ficheiros Azure local com Azure File Sync, veja Introdução ao Azure File Sync.

Leia Planeamento para uma implementação do Ficheiros do Azure antes de ler este guia.

Aceder diretamente a uma partilha de ficheiros do Azure requer frequentemente uma reflexão adicional relativamente à rede:

• Os compartilhamentos de arquivos SMB se comunicam pela porta 445, que muitas organizações e provedores de serviços de Internet (ISPs) bloqueiam para tráfego de saída (internet). Esta prática tem origem em orientações de segurança herdadas sobre versões obsoletas e não seguras para a Internet do protocolo SMB. Embora o SMB 3.x seja um protocolo seguro para a Internet, as políticas organizacionais ou ISP podem não ser possíveis de alterar. Por isso, montar uma partilha de ficheiros SMB requer frequentemente uma configuração adicional de rede para usar fora do Azure.

• As partilhas de ficheiros NFS dependem da autenticação ao nível da rede e, por conseguinte, só são acessíveis através de redes restritas. Usar um compartilhamento de arquivos NFS sempre requer algum nível de configuração de rede.

Configuras endpoints públicos e privados para o Ficheiros do Azure no objeto de gestão de topo do Ficheiros do Azure: a conta de armazenamento do Azure. Uma conta de armazenamento é uma construção de gestão que representa um pool partilhado de armazenamento no qual pode implementar múltiplas partilhas de ficheiros Azure, bem como os recursos de armazenamento para outros serviços de armazenamento Azure, como contentores de blob ou filas.

Transferência segura

Por defeito, as contas de armazenamento Azure requerem transferência segura, independentemente de os dados serem acedidos através do endpoint público ou privado. Para o Ficheiros do Azure, a encriptação em trânsito é controlada ao nível do protocolo:

Encriptação em Trânsito para PME

A definição Exigir Encriptação em Trânsito para SMB determina se a encriptação é necessária para o acesso SMB. Para novas contas de armazenamento criadas através do portal Azure, esta definição está ativada por defeito. Contas de armazenamento criadas usando Azure PowerShell, CLI do Azure ou a API FileREST definem este valor como Não selecionado para garantir compatibilidade retroativa. Para contas de armazenamento existentes, a definição Transferência Segura Necessária continua a governar o comportamento da encriptação SMB até que configure explicitamente a definição SMB por protocolo. Quando é necessária encriptação SMB em trânsito, todas as partilhas de ficheiros SMB nessa conta de armazenamento requerem o protocolo SMB 3.x com algoritmos de encriptação AES-128-CCM, AES-128-GCM ou AES-256-GCM. Pode alternar quais os algoritmos permitidos através das definições de segurança do SMB. Desativar esta configuração permite montagens SMB 2.1 e SMB 3.x sem encriptação.

Encriptação em Trânsito para NFS

A definição Exigir Encriptação em Trânsito para o NFS controla se a encriptação é necessária para o acesso ao NFS. As partilhas de ficheiros do NFS Azure utilizam o pacote utilitário AZNFS para simplificar montagens encriptadas, instalando e configurando o Stunnel (um wrapper TLS open-source) no cliente. Veja Encriptação em trânsito para partilhas de ficheiros NFS Azure. Para novas contas de armazenamento criadas através do portal Azure, esta definição está ativada por defeito. Contas de armazenamento criadas usando Azure PowerShell, CLI do Azure ou a API FileREST definem este valor como Não selecionado para garantir compatibilidade retroativa. Para contas de armazenamento existentes, a definição Transferência Segura necessária continua a governar o comportamento da encriptação NFS até que configure explicitamente a definição NFS por protocolo.

Encriptação em Trânsito para FileREST

A definição de transferência segura requerida aplica-se ao tráfego REST/HTTPS. Quando ativado, o protocolo FileREST só pode ser usado com HTTPS.

Ponto final público

O endpoint público para as partilhas de ficheiros do Azure dentro de uma conta de armazenamento é um endpoint exposto à internet. O ponto de extremidade público é o ponto de extremidade padrão para uma conta de armazenamento, no entanto, ele pode ser desativado se desejado.

Os protocolos SMB, NFS e FileREST podem usar o ponto de extremidade público. No entanto, cada um tem regras de acesso ligeiramente diferentes:

• As partilhas de ficheiros SMB podem ser acedidas a partir de qualquer lugar do mundo através do terminal público da conta de armazenamento com SMB 3.x com encriptação. Isto significa que pedidos autenticados, como os pedidos autorizados pela identidade de login de um utilizador, podem originar-se de forma segura dentro ou fora da região do Azure. Se SMB 2.1 ou SMB 3.x sem criptografia for desejado, duas condições devem ser atendidas:

  1. A definição Exigir Encriptação em Trânsito para SMB deve estar desativada (ou, para contas existentes onde esta definição não foi explicitamente configurada, a definição de Transferência Segura Necessária deve estar desativada).
  2. O pedido deve ter origem dentro da região Azure. Como mencionado anteriormente, pedidos SMB encriptados são permitidos a partir de qualquer lugar, dentro ou fora da região Azure.

• Os compartilhamentos de arquivos NFS são acessíveis a partir do ponto de extremidade público da conta de armazenamento se e somente se o ponto de extremidade público da conta de armazenamento estiver restrito a redes virtuais específicas usando pontos de extremidade de serviço. Consulte Configurações de firewall de ponto de extremidade público para obter informações adicionais sobre pontos de extremidade de serviço.

• FileREST é acessível através do endpoint público. Se a transferência segura for necessária, apenas solicitações HTTPS serão aceitas. Se a transferência segura estiver desativada, as solicitações HTTP serão aceitas pelo ponto de extremidade público, independentemente da origem.

Configurações de firewall de ponto de extremidade público

O firewall da conta de armazenamento restringe o acesso ao ponto de extremidade público de uma conta de armazenamento. Pode restringir o acesso a certos endereços IP ou intervalos de endereços IP, a redes virtuais específicas, ou desativar completamente o endpoint público.

Quando restringe o endpoint público a uma ou mais redes, está a usar uma capacidade da rede virtual chamada endpoints de serviço. Os pedidos dirigidos ao endpoint de serviço do Ficheiros do Azure continuam a ir para o endereço IP público da conta de armazenamento. No entanto, a camada de rede realiza uma verificação extra do pedido para validar que vem de uma rede virtual autorizada. Os protocolos SMB, NFS e FileREST suportam pontos de extremidade de serviço. No entanto, ao contrário do SMB e do FileREST, as partilhas de ficheiros NFS só podem ser acedidas usando o endpoint público através de um endpoint de serviço.

Acesso ao portal Azure e o firewall da conta de armazenamento

Quando acede a partilhas de ficheiros Azure através do portal Azure, ocorrem dois pedidos separados:

1. Uma solicitação do seu navegador para a interface do portal Azure (https://portal.azure.com).
2. Um pedido do seu navegador diretamente para o endpoint do plano de dados Ficheiros do Azure (por exemplo, https://<storage-account-name>.file.core.windows.net), normalmente usando um token SAS emitido para a experiência do portal.

O firewall da conta de armazenamento avalia apenas o pedido direto para o endpoint do plano de dados Ficheiros do Azure, não o pedido para portal.azure.com. Portanto, mesmo que consiga aceder ao portal Azure sem problemas, pode receber um erro 403 (Proibido) ao navegar pelos dados de partilha de ficheiros se o endereço IP público de saída no pedido de browser-para-armazenamento não for permitido pelo firewall. Esta restrição aplica-se apenas ao tráfego FileREST/HTTPS, não a SMB ou NFS. Para mais informações, consulte Autorizar acesso a dados de ficheiros no portal Azure.

Roteamento de rede de ponto de extremidade público

O Ficheiros do Azure suporta duas opções de encaminhamento de rede:

• Roteamento Microsoft (predefinido): O tráfego entre o cliente e a conta de armazenamento viaja pela espinha dorsal global da Microsoft durante o máximo de tempo possível antes de sair para a internet. Esta opção funciona com todas as configurações do Ficheiros do Azure, incluindo cenários de junção de domínio Active Directory (AD) e Azure File Sync.
• Encaminhamento da Internet: O tráfego é encaminhado pela internet pública o mais cedo possível. Esta opção não suporta cenários de junção de domínio no Active Directory (AD) nem no Azure File Sync.

Terminais privados

Para além do endpoint público predefinido para uma conta de armazenamento, o Ficheiros do Azure oferece a opção de ter um ou mais endpoints privados. Um endpoint privado é um endpoint acessível apenas dentro de uma rede virtual Azure. Quando você cria um ponto de extremidade privado para sua conta de armazenamento, sua conta de armazenamento obtém um endereço IP privado de dentro do espaço de endereço de sua rede virtual, de forma muito semelhante a como um servidor de arquivos local ou dispositivo NAS recebe um endereço IP dentro do espaço de endereço dedicado de sua rede local.

Um endpoint privado individual está associado a uma sub-rede virtual específica do Azure. Uma conta de armazenamento pode ter pontos de extremidade privados em mais de uma rede virtual.

Usar endpoints privados com o Ficheiros do Azure permite-te:

• Ligue-se de forma segura às suas partilhas de ficheiros Azure a partir de redes locais usando uma ligação VPN ou ExpressRoute com peering privado.
• Proteja as suas partilhas de ficheiros no Azure configurando o firewall da conta de armazenamento para bloquear todas as ligações no endpoint público. Por padrão, a criação de um ponto de extremidade privado não bloqueia conexões com o ponto de extremidade público.
• Aumente a segurança da rede virtual ao permitir bloquear a exfiltração de dados da rede virtual e das fronteiras de peering.

Para criar um endpoint privado, consulte Configuring private endpoints for Ficheiros do Azure.

Túnel de tráfego sobre uma rede privada virtual ou ExpressRoute

Para usar endpoints privados para aceder a partilhas de ficheiros SMB ou NFS a partir do local, deve estabelecer um túnel de rede entre a sua rede local e o Azure. Uma rede virtual é semelhante a uma rede tradicional local. Tal como uma conta de armazenamento Azure ou uma VM Azure, uma rede virtual é um recurso Azure que implementas num grupo de recursos.

O Ficheiros do Azure suporta os seguintes mecanismos para tunelizar o tráfego entre as suas estações de trabalho e servidores locais e partilhas de ficheiros SMB/NFS do Azure:

VPN de ponto a site

O Gateway de VPN do Azure suporta ligações VPN ponto para site, que são ligações VPN entre o Azure e um cliente individual. Essa solução é útil principalmente para dispositivos que não fazem parte da rede local da sua organização. Um caso de uso comum é para teletrabalhadores que querem poder montar a sua partilha de ficheiros no Azure a partir de casa, de um café ou de hotel enquanto estão na estrada. Para usar uma ligação VPN ponto a local com o Ficheiros do Azure, é necessário configurar uma ligação VPN Point-to-Site para cada cliente que queira ligar. Veja Configurar uma VPN Point-to-Site no Windows para uso com Ficheiros do Azure e Configurar uma VPN Point-to-Site no Linux para uso com Ficheiros do Azure.

VPN de site para site

O Gateway de VPN do Azure também suporta ligações VPN site-to-site, que são ligações VPN entre o Azure e a rede da sua organização. Uma ligação VPN site-to-site permite-lhe configurar uma ligação VPN uma vez para um servidor ou dispositivo VPN alojado na rede da sua organização, em vez de configurar uma ligação para cada dispositivo cliente que precisa de aceder à sua partilha de ficheiros Azure. Consulte Configurar uma VPN Site-to-Site para utilização com Ficheiros do Azure.

ExpressRoute

O ExpressRoute permite-lhe criar uma rota definida entre o Azure e a sua rede local que não atravessa a internet. Como o ExpressRoute fornece um caminho dedicado entre o seu datacenter local e o Azure, o ExpressRoute pode ser útil quando o desempenho da rede é uma consideração. O ExpressRoute também é uma boa opção quando os requisitos regulatórios ou de política da sua organização exigem um caminho determinístico para seus recursos na nuvem.

Configuração do DNS

Quando cria um endpoint privado, o Azure também cria ou atualiza uma zona DNS privada correspondente ao privatelink subdomínio. Estritamente falando, a criação de uma zona DNS privada não é necessária para usar um endpoint privado na conta de armazenamento. No entanto, é altamente recomendado e é explicitamente obrigatório ao montar a partilha de ficheiros do Azure com um utilizador principal do Active Directory ou ao aceder a ele a partir da API FileREST.

Na sua zona DNS privada, o Azure cria um registo A para storageaccount.privatelink.file.core.windows.net e um registo CNAME para o nome regular da conta de armazenamento, que segue o padrão storageaccount.file.core.windows.net. Como a sua Azure zona DNS privada está ligada à rede virtual que contém o endpoint privado, pode observar a configuração DNS chamando o cmdlet Resolve-DnsName do PowerShell numa VM Azure (alternativamente nslookup no Windows e Linux):

Resolve-DnsName -Name "storageaccount.file.core.windows.net"

Neste exemplo, a conta de armazenamento storageaccount.file.core.windows.net é traduzida para o endereço IP privado do ponto de extremidade privado, que por acaso é 192.168.0.4.

Name                              Type   TTL   Section    NameHost
----                              ----   ---   -------    --------
storageaccount.file.core.windows. CNAME  29    Answer     storageaccount.privatelink.file.core.windows.net
net

Name       : storageaccount.privatelink.file.core.windows.net
QueryType  : A
TTL        : 1769
Section    : Answer
IP4Address : 192.168.0.4


Name                   : privatelink.file.core.windows.net
QueryType              : SOA
TTL                    : 269
Section                : Authority
NameAdministrator      : azureprivatedns-host.microsoft.com
SerialNumber           : 1
TimeToZoneRefresh      : 3600
TimeToZoneFailureRetry : 300
TimeToExpiration       : 2419200
DefaultTTL             : 300

Se executar o mesmo comando a partir de instalações locais, verá que o mesmo nome de conta de armazenamento é resolvido para o endereço IP público da conta de armazenamento, ao invés disso. Por exemplo, storageaccount.file.core.windows.net é um registo CNAME para storageaccount.privatelink.file.core.windows.net, que por sua vez é um registo CNAME para o cluster de armazenamento Azure que aloja a conta de armazenamento:

Name                              Type   TTL   Section    NameHost
----                              ----   ---   -------    --------
storageaccount.file.core.windows. CNAME  60    Answer     storageaccount.privatelink.file.core.windows.net
net
storageaccount.privatelink.file.c CNAME  60    Answer     file.par20prdstr01a.store.core.windows.net
ore.windows.net

Name       : file.par20prdstr01a.store.core.windows.net
QueryType  : A
TTL        : 60
Section    : Answer
IP4Address : 52.239.194.40

Esta configuração reflete que a conta de armazenamento pode expor tanto o endpoint público como um ou mais endpoints privados. Para garantir que o nome da conta de armazenamento seja resolvido para o endereço IP privado do ponto de extremidade privado, você deve alterar a configuração em seus servidores DNS locais. Você pode fazer isso de várias maneiras:

• Modificar o ficheiro hosts nos seus clientes para resolver storageaccount.file.core.windows.net para o endereço IP privado do ponto de extremidade privado desejado. Isto é fortemente desaconselhado em ambientes de produção, porque terá de fazer estas alterações a todos os clientes que queiram montar as suas partilhas de ficheiros no Azure, e as alterações à conta de armazenamento ou endpoint privado não serão tratadas automaticamente.
• Criando um registro A para storageaccount.file.core.windows.net em seus servidores DNS locais. Isso tem a vantagem de que os clientes em seu ambiente local poderão resolver automaticamente a conta de armazenamento sem a necessidade de configurar cada cliente. No entanto, essa solução é igualmente frágil para modificar o arquivo hosts porque as alterações não são refletidas. Embora esta solução seja frágil, pode ser a melhor escolha para alguns ambientes.
• Encaminha a zona core.windows.net dos teus servidores DNS locais para a tua zona DNS privada Azure. O Azure host DNS privado pode ser acedido através de um endereço IP especial (168.63.129.16) que só é acessível dentro de redes virtuais ligadas à Azure zona DNS privada. Para contornar esta limitação, pode executar servidores DNS adicionais dentro da sua rede virtual que encaminham core.windows.net para a zona DNS privada do Azure. Para simplificar esta configuração, a Microsoft disponibiliza comandos PowerShell que implementam automaticamente os servidores DNS na sua rede virtual Azure e configuram-nos conforme desejado. Para aprender a configurar o encaminhamento DNS, veja Configurar DNS com Ficheiros do Azure.

SMB sobre QUIC

Windows Server 2022 Azure Edition suporta um protocolo de transporte chamado QUIC para o servidor SMB fornecido pelo papel de Servidor de Ficheiros. O QUIC é um substituto do TCP construído sobre o UDP, oferecendo inúmeras vantagens em relação ao TCP enquanto continua a proporcionar um mecanismo de transporte fiável. Uma das principais vantagens do protocolo SMB é que, em vez de usar a porta 445, todo o transporte é feito pela porta 443, que é de saída amplamente aberta para suportar HTTPS. Esta configuração significa, na prática, que o SMB sobre QUIC oferece uma "VPN SMB" para partilha de ficheiros através da internet pública. O Windows 11 vem com um cliente capaz de utilizar SMB sobre QUIC.

Atualmente, o Ficheiros do Azure não suporta SMB sobre QUIC. No entanto, pode aceder a partilhas de ficheiros do Azure através do Azure File Sync a correr no Windows Server, como no diagrama seguinte. Esta configuração também lhe dá a opção de ter caches do Azure File Sync tanto on-premises como em diferentes datacenters Azure para fornecer caches locais para uma força de trabalho distribuída. Para saber mais sobre esta opção, consulte a documentação do Windows Server. Para detalhes específicos de rede do Azure File Sync, veja SMB sobre QUIC.

Ver também

• Ficheiros do Azure visão geral
• Plano para uma implantação Ficheiros do Azure