Proxy- och brandväggsinställningar för Azure File Sync

Azure File Sync kopplar dina lokala servrar till Azure Files, vilket möjliggör multisite-synkronisering och molnnivåindelning. Därför måste en lokal server vara ansluten till Internet. En IT-administratör måste bestämma den bästa vägen för servern att nå till Azure-molntjänster.

Den här artikeln ger insikter om specifika krav och alternativ som är tillgängliga för att ansluta servern till Azure File Sync på ett säkert sätt.

Innan du läser denna instruktionsguide, granska Azure File Sync-nätverksöverväganden.

Nätverksöversikt för Azure File Sync

Azure File Sync fungerar som en orkestreringstjänst mellan din Windows Server, din Azure-filresurs och flera andra Azure-tjänster för att synkronisera data enligt beskrivningen i synkroniseringsgruppen. För att Azure File Sync ska fungera korrekt måste du konfigurera servrarna så att de kommunicerar med följande Azure-tjänster:

• Azure Storage
• Azure File Sync
• Azure Resource Manager
• Autentiseringstjänster

Nödvändiga portar för Azure File Sync

Azure File Sync flyttar endast fildata och metadata via HTTPS och kräver att port 443 är öppen utgående. Som ett resultat krypteras all trafik.

Nätverk och särskilda anslutningar till Azure

Azure File Sync-agenten har inga krav på särskilda kanaler som ExpressRoute osv. till Azure.

Azure File Sync fungerar på alla tillgängliga sätt som möjliggör åtkomst till Azure. Den anpassar sig automatiskt till nätverksegenskaper som bandbredd och latens, och erbjuder administratörskontroll för finjustering.

Azure File Sync proxyinställningar

Azure File Sync stöder appspecifika och datoromfattande proxyinställningar.

Appspecifika proxyinställningar

Appspecifika proxyinställningar tillåter konfiguration av en proxy specifikt för Azure File Sync-trafik. Appspecifika proxyinställningar stöds på agentversion 4.0.1.0 eller senare och kan konfigureras under agentinstallationen eller med hjälp av PowerShell-cmdleten Set-StorageSyncProxyConfiguration . Använd cmdleten Get-StorageSyncProxyConfiguration för att returnera proxyinställningar som för närvarande är konfigurerade. Ett tomt resultat anger att inga proxyinställningar har konfigurerats. Om du vill ta bort den befintliga proxykonfigurationen använder du cmdleten Remove-StorageSyncProxyConfiguration .

PowerShell-kommandon för att konfigurera appspecifika proxyinställningar:

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"
Set-StorageSyncProxyConfiguration -Address <url> -Port <port number> -ProxyCredential <credentials>

Om proxyservern till exempel kräver autentisering med användarnamn och lösenord kör du följande PowerShell-kommandon:

# IP address or name of the proxy server.
$Address="http://127.0.0.1"

# The port to use for the connection to the proxy.
$Port=8080

# The user name for a proxy.
$UserName="user_name"

# Please type or paste a string with a password for the proxy.
$SecurePassword = Read-Host -AsSecureString

$Creds = New-Object System.Management.Automation.PSCredential ($UserName, $SecurePassword)

# Please verify that you have entered the password correctly.
Write-Host $Creds.GetNetworkCredential().Password

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"

Set-StorageSyncProxyConfiguration -Address $Address -Port $Port -ProxyCredential $Creds

Datorövergripande proxyinställningar

Datoromfattande proxyinställningar är transparenta för Azure File Sync-agenten eftersom hela trafiken på servern dirigeras via proxyn.

För att konfigurera proxyinställningar för hela maskinen, följ dessa steg:

1. Konfigurera proxyinställningar för .NET-program

   • Redigera dessa två filer:
     C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Config\machine.config
     C:\Windows\Microsoft.NET\Framework\v4.0.30319\Config\machine.config

   • Lägg till avsnittet <system.net> i machine.config-filerna (under <avsnittet system.serviceModel> ). Ändra 127.0.01:8888 till IP-adressen och porten för proxyservern.

     <system.net>
        <defaultProxy enabled="true" useDefaultCredentials="true">
          <proxy autoDetect="false" bypassonlocal="false" proxyaddress="http://127.0.0.1:8888" usesystemdefault="false" />
        </defaultProxy>
     </system.net>
     

2. Ange WinHTTP-proxyinställningarna

   Anmärkning

   För att konfigurera en Windows Server att använda en proxyserver kan du använda flera metoder, inklusive WPAD, PAC file, netsh och andra. Stegen i denna artikel förklarar hur man konfigurerar proxyinställningarna genom att använda netsh. Du kan dock använda vilken metod som helst som anges i inställningarna för att konfigurera proxyserver i Windows-dokumentationen.

   • Kör följande kommando från en upphöjd kommandotolk eller PowerShell för att se den befintliga proxyinställningen:

     netsh winhttp show proxy

   • Kör följande kommando från en upphöjd kommandotolk eller PowerShell för att ange proxyinställningen (ändra 127.0.01:8888 till IP-adressen och porten för proxyservern):

     netsh winhttp set proxy 127.0.0.1:8888

3. Starta om tjänsten Storage Sync Agent genom att köra följande kommando från en upphöjd kommandotolk eller PowerShell:

   net stop filesyncsvc

   Anmärkning

   Storage Sync Agent (filesyncsvc)-tjänsten startar automatiskt efter att den har slutat.

Brandväggsinställningar för Azure File Sync

Som nämnts i ett tidigare avsnitt måste du öppna port 443 utåt. Baserat på policys i ditt datacenter, din gren eller region kan du behöva begränsa trafiken över denna port ytterligare till specifika domäner.

I följande tabell beskrivs de domäner som krävs för kommunikation:

Följande tabell beskriver vad varje slutpunkt används till:

Om *.afs.azure.net eller *.one.microsoft.com är för bred kan du begränsa serverns kommunikation genom att endast tillåta kommunikation till explicita regionala instanser av Azure File Sync-tjänsten. Vilka instanser som ska väljas beror på regionen för den lagringssynkroniseringstjänst som du har distribuerat och registrerat servern till. Den regionen kallas "Primär slutpunkts-URL" i tabellen nedan.

För affärskontinuitet och katastrofåterställning (BCDR) kan du skapa dina Azure-fildelningar i ett lagringskonto som är konfigurerat för geo-redundant lagring (GRS). Om du väljer detta alternativ går dina Azure-fildelningar över till den parade regionen vid ett bestående regionalt avbrott. Azure File Sync använder samma regionala parkopplingar som vid lagring. Så om du använder GRS-lagringskonton behöver du aktivera ytterligare URL:er för att din server ska kunna kommunicera med den parade regionen för Azure File Sync. Följande tabell kallar detta "Parat område". Dessutom finns det en URL för trafikhanterarprofilen som du också måste aktivera. Denna URL säkerställer att nätverkstrafik sömlöst kan omdirigeras till den parade regionen vid en failover och kallas "Discovery URL" i tabellen.

Offentligt moln

• Om du använder ett lagringskonto som konfigurerats för lokalt redundant lagring (LRS) eller zonredundant lagring (ZRS) behöver du bara aktivera URL:en som anges under "Primär slutpunkts-URL".
• Om du använder ett lagringskonto konfigurerat för GRS, aktivera tre URL:er: Primär endpoint-URL för din region, Primär endpoint-URL för den parade regionen och Discovery-URL:en för din region.

Exempel: Du distribuerar en lagringssynkroniseringstjänst i "West US" och registrerar servern med den. Url:erna som servern kan kommunicera med i det här fallet är:

• https://westus01.afs.azure.net (primär slutpunkt: USA, västra)
• https://eastus01.afs.azure.net (länkad redundansregion: USA, östra)
• https://tm-westus01.afs.azure.net (upptäckts-URL för den primära regionen)

Följande tabell listar endpoints för Azure File Sync i Azure public cloud-regioner.

Azure Government

Följande tabell listar slutpunkter för Azure File Sync i Azure Government-regioner.

Microsoft Azure drivs av 21Vianet

Följande tabell listar slutpunkter för Azure File Sync i Microsoft Azure som drivs av 21Vianet-regioner.

Tillåt lista över Azure File Sync IP-adresser

Azure File Sync stöder användning av tjänsttaggar, som representerar en grupp med IP-adressprefix för en viss Azure-tjänst. Du kan använda tjänsttaggar för att skapa brandväggsregler som möjliggör kommunikation med Azure File Sync-tjänsten. Tjänsttaggen för Azure File Sync är StorageSyncService.

Om du använder Azure File Sync i Azure kan du använda namnet på tjänsttaggen direkt i nätverkssäkerhetsgruppen för att tillåta trafik. Mer information om hur du gör detta finns i Nätverkssäkerhetsgrupper.

Om du använder Azure File Sync lokalt kan du använda api:et för tjänsttaggar för att hämta specifika IP-adressintervall för din brandväggs tillåtna lista. Det finns två metoder för att hämta den här informationen:

• Den aktuella listan över IP-adressintervall för alla Azure-tjänster som stöder tjänsttaggar publiceras varje vecka i Microsoft Download Center i form av ett JSON-dokument. Varje Azure-moln har ett eget JSON-dokument med DE IP-adressintervall som är relevanta för molnet:
  • Azure, offentlig molntjänst
  • Azure US Government
  • Microsoft Azure drivs av 21Vianet
  • Azure Tyskland
• Api:et för identifiering av tjänsttaggar tillåter programmatisk hämtning av den aktuella listan över tjänsttaggar. Du kan använda API-ytan baserat på din automatiseringsinställning:
  • REST API
  • Azure PowerShell
  • Azure CLI

Eftersom api:et för identifiering av tjänsttaggar kanske inte uppdateras lika ofta som JSON-dokumenten som publicerats till Microsoft Download Center rekommenderar vi att du använder JSON-dokumentet för att uppdatera listan över tillåtna för den lokala brandväggen. Detta kan göras på följande sätt:

# The specific region to get the IP address ranges for. Replace westus2 with the desired region code 
# from Get-AzLocation.
$region = "westus2"

# The service tag for Azure File Sync. Don't change unless you're adapting this
# script for another service.
$serviceTag = "StorageSyncService"

# Download date is the string matching the JSON document on the Download Center. 
$possibleDownloadDates = 0..7 | `
    ForEach-Object { [System.DateTime]::Now.AddDays($_ * -1).ToString("yyyyMMdd") }

# Verify the provided region
$validRegions = Get-AzLocation | `
    Where-Object { $_.Providers -contains "Microsoft.StorageSync" } | `
    Select-Object -ExpandProperty Location

if ($validRegions -notcontains $region) {
    Write-Error `
            -Message "The specified region $region isn't available. Either Azure File Sync isn't deployed there or the region doesn't exist." `
            -ErrorAction Stop
}

# Get the Azure cloud. This should automatically based on the context of 
# your Az PowerShell login, however if you manually need to populate, you can find
# the correct values using Get-AzEnvironment.
$azureCloud = Get-AzContext | `
    Select-Object -ExpandProperty Environment | `
    Select-Object -ExpandProperty Name

# Build the download URI
$downloadUris = @()
switch($azureCloud) {
    "AzureCloud" { 
        $downloadUris = $possibleDownloadDates | ForEach-Object {  
            "https://download.microsoft.com/download/7/1/D/71D86715-5596-4529-9B13-DA13A5DE5B63/ServiceTags_Public_$_.json"
        }
    }

    "AzureUSGovernment" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/6/4/D/64DB03BF-895B-4173-A8B1-BA4AD5D4DF22/ServiceTags_AzureGovernment_$_.json"
        }
    }

    "AzureChinaCloud" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/9/D/0/9D03B7E2-4B80-4BF3-9B91-DA8C7D3EE9F9/ServiceTags_China_$_.json"
        }
    }

    "AzureGermanCloud" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/0/7/6/076274AB-4B0B-4246-A422-4BAF1E03F974/ServiceTags_AzureGermany_$_.json"
        }
    }

    default {
        Write-Error -Message "Unrecognized Azure Cloud: $_" -ErrorAction Stop
    }
}

# Find most recent file
$found = $false 
foreach($downloadUri in $downloadUris) {
    try { $response = Invoke-WebRequest -Uri $downloadUri -UseBasicParsing } catch { }
    if ($response.StatusCode -eq 200) {
        $found = $true
        break
    }
}

if ($found) {
    # Get the raw JSON 
    $content = [System.Text.Encoding]::UTF8.GetString($response.Content)

    # Parse the JSON
    $serviceTags = ConvertFrom-Json -InputObject $content -Depth 100

    # Get the specific $ipAddressRanges
    $ipAddressRanges = $serviceTags | `
        Select-Object -ExpandProperty values | `
        Where-Object { $_.id -eq "$serviceTag.$region" } | `
        Select-Object -ExpandProperty properties | `
        Select-Object -ExpandProperty addressPrefixes
} else {
    # If the file cannot be found, that means there hasn't been an update in
    # more than a week. Please verify the download URIs are still accurate
    # by checking https://learn.microsoft.com/azure/virtual-network/service-tags-overview
    Write-Verbose -Message "JSON service tag file not found."
    return
}

Du kan sedan använda IP-adressintervallen i $ipAddressRanges för att uppdatera brandväggen. Kontrollera brandväggens/nätverksinstallationens webbplats för information om hur du uppdaterar brandväggen.

Testa nätverksanslutningen till tjänstslutpunkter

När en server har registrerats med Azure File Sync-tjänsten kan cmdleten Test-StorageSyncNetworkConnectivity och ServerRegistration.exe användas för att testa kommunikationen med alla slutpunkter (URL:er) som är specifika för den här servern. Den här cmdleten kan hjälpa dig att felsöka när ofullständig kommunikation hindrar servern från att fungera fullt ut med Azure File Sync och kan användas för att finjustera proxy- och brandväggskonfigurationer.

Kör följande PowerShell-kommandon för att köra nätverksanslutningstestet:

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"
Test-StorageSyncNetworkConnectivity

Om testet misslyckas samlar du in WinHTTP-felsökningsspårningar för att felsöka: netsh trace start scenario=InternetClient_dbg capture=yes overwrite=yes maxsize=1024

Kör nätverksanslutningstestet igen och sluta sedan samla in spårningar: netsh trace stop

Placera den genererade NetTrace.etl filen i ett ZIP-arkiv, öppna ett supportärende och dela filen med stöd.

Sammanfattning av brandväggs- och proxykrav

Listorna tidigare i detta dokument innehåller de URL:er som Azure File Sync kommunicerar med. Brandväggar måste tillåta utgående trafik till dessa domäner. Microsoft strävar efter att hålla den här listan uppdaterad.

Att konfigurera domänbegränsning av brandväggsregler kan vara ett mått för att förbättra säkerheten. Om dessa brandväggskonfigurationer används bör du tänka på att URL:er läggs till och till och med kan ändras med tiden. Kontrollera den här artikeln med jämna mellanrum.

Nästa steg

• Planera för distribution av Azure File Sync
• Distribuera Azure File Sync
• Övervaka Azure File Sync