Azure 檔案同步 Proxy 和防火牆設定

Azure 檔案同步會將您的內部部署伺服器連線到 Azure 檔案服務，以啟用多網站同步處理和雲端層功能。 因此，內部部署伺服器必須連線到網際網路。 IT 系統管理員必須決定進入 Azure 雲端服務之伺服器的最佳路徑。

本文提供特定需求的深入解析，以及可以將伺服器成功且安全地連線至 Azure 檔案同步的選項。

閱讀本操作說明指南之前，建議您先閱讀 Azure 檔案同步網路功能考量。

概觀

Azure 檔案同步會作為 Windows Server、Azure 檔案共用和其他數個 Azure 服務之間的協調流程服務，以便如您的同步群組中所述同步處理資料。 為了讓 Azure 檔案同步正常運作，您必須將伺服器設定為與下列 Azure 服務通訊：

• Azure 儲存體
• Azure 檔案同步
• Azure Resource Manager
• 驗證服務

連接埠

Azure 檔案同步會透過 HTTPS 以獨佔方式移動檔案資料和中繼資料，而且要求連接埠 443 開放連出。 如此一來，所有流量都會加密。

網路以及 Azure 的特殊連線

Azure 檔案同步代理程式沒有與 Azure 特殊通道 (例如 ExpressRoute 等) 相關的需求。

Azure 檔案同步會運用任何可用的方法來允許連線至 Azure，自動調整網路特性 (例如頻寬、延遲)，以及提供系統管理控制權以進行微調。

Proxy

Azure 檔案同步支援應用程式特定和整部電腦的 Proxy 設定。

應用程式特定的 Proxy 設定可特別針對 Azure 檔案同步流量允許 Proxy 的組態。 代理程式 4.0.1.0 版或更新版本支援應用程式特定的 Proxy 設定，而且可在代理程式安裝期間進行設定，或使用 Set-StorageSyncProxyConfiguration PowerShell Cmdlet。 Get-StorageSyncProxyConfiguration使用 Cmdlet 傳回目前設定的任何 Proxy 設定。 空白結果表示未設定 Proxy 設定。 若要移除現有的 Proxy 組態，請使用 Remove-StorageSyncProxyConfiguration Cmdlet。

以下 PowerShell 命令可用來設定應用程式特定的 Proxy 設定：

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"
Set-StorageSyncProxyConfiguration -Address <url> -Port <port number> -ProxyCredential <credentials>

例如，如果您的 Proxy 伺服器需要以使用者名稱和密碼進行驗證，請執行下列 PowerShell 命令：

# IP address or name of the proxy server.
$Address="http://127.0.0.1"

# The port to use for the connection to the proxy.
$Port=8080

# The user name for a proxy.
$UserName="user_name"

# Please type or paste a string with a password for the proxy.
$SecurePassword = Read-Host -AsSecureString

$Creds = New-Object System.Management.Automation.PSCredential ($UserName, $SecurePassword)

# Please verify that you have entered the password correctly.
Write-Host $Creds.GetNetworkCredential().Password

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"

Set-StorageSyncProxyConfiguration -Address $Address -Port $Port -ProxyCredential $Creds

整部電腦的 Proxy 設定對於 Azure 檔案同步代理程式而言是透明的，因為伺服器的整個流量都會透過 Proxy 路由傳送。

若要設定整部電腦的 Proxy 設定，請遵循下列步驟：

1. 設定 .NET 應用程式的 Proxy 設定

   • 編輯這兩個檔案：
     C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Config\machine.config
     C:\Windows\Microsoft.NET\Framework\v4.0.30319\Config\machine.config

   • 在 machine.config 檔案中新增 <system.net> 區段 (位於 <system.serviceModel> 區段下方)。 將 127.0.01:8888 變更為 Proxy 伺服器的 IP 位址和連接埠。

     <system.net>
        <defaultProxy enabled="true" useDefaultCredentials="true">
          <proxy autoDetect="false" bypassonlocal="false" proxyaddress="http://127.0.0.1:8888" usesystemdefault="false" />
        </defaultProxy>
     </system.net>
     

2. 設定 WinHTTP Proxy 設定

   注意

   有數種方法 (WPAD、PAC 檔案、netsh 等) 可設定 Windows Server 以使用 Proxy 伺服器。 下列步驟範圍涵蓋如何使用 netsh 設定 Proxy 設定，也支援用於在 Windows 中設定 Proxy 伺服器設定文件中所列的任何方法。

   • 從提高權限的命令提示字元或 PowerShell 中執行下列命令，以查看現有的 Proxy 設定：

     netsh winhttp show proxy

   • 從提高權限的命令提示字元或 PowerShell 中執行下列命令 (將 127.0.01:8888 變更為 Proxy 伺服器的 IP 位址和連接埠)：

     netsh winhttp set proxy 127.0.0.1:8888

3. 從提高權限的命令提示字元或 PowerShell 中執行下列命令，以重新啟動儲存體同步代理程式服務：

   net stop filesyncsvc

   注意：儲存體同步代理程式 (filesyncsvc) 服務會在停止後自動啟動。

防火牆

如前一節所述，連接埠 443 必須開放連出。 根據您資料中心、分公司或區域的原則，可能會想要或需要進一步限制透過此連接埠送至特定網域的流量。

下表描述通訊所需的網域：

如果 *.afs.azure.net 或 *.one.microsoft.com 太廣泛，您可以僅允許對 Azure 檔案同步服務的明確區域執行個體進行通訊，藉以限制伺服器的通訊。 要選擇哪個執行個體，取決於您將伺服器部署及註冊到哪個儲存體同步服務區域。 在下表中，該區域稱為「主要端點 URL」。

基於商務持續性和災害復原 (BCDR) 的原因，您可能已在針對異地備援儲存體 (GRS) 而設定的儲存體帳戶中建立了 Azure 檔案共用。 若是如此，在發生持久的區域中斷時，Azure 檔案共用會容錯移轉至配對的區域。 Azure 檔案同步會使用相同的區域配對作為儲存體。 因此，如果您使用 GRS 儲存體帳戶，則需要啟用其他 URL，以供伺服器向 Azure 檔案同步的配對區域聯繫。下表將此稱為「配對的區域」。 此外，也必須啟用流量管理員設定檔 URL。 這可確保在發生容錯移轉時，網路流量會順暢地重新路由傳送至配對的區域，這個行為在下表中稱為「探索 URL」。

• 如果您使用針對本地備援儲存體 (LRS) 或區域備援儲存體 (ZRS) 而設定的儲存體帳戶，您只需啟用 [主要端點 URL] 底下列出的 URL 即可。

• 如果您使用針對 GRS 而設定的儲存體帳戶，請啟用三個 URL。

範例：您在 "West US" 部署儲存體同步服務，並向其註冊伺服器。 在此案例中，要允許伺服器與之通訊的 URL 是：

• https://westus01.afs.azure.net (主要端點：美國西部)
• https://eastus01.afs.azure.net (配對的容錯移轉區域：美國東部)
• https://tm-westus01.afs.azure.net (主要區域的探索 URL)

Azure 檔案同步 IP 位址的允許清單

Azure 檔案同步支援使用服務標籤，這些標籤代表給定 Azure 服務的一組 IP 位址前置詞。 您可以使用服務標籤來建立防火牆規則，以啟用與 Azure 檔案同步服務間的通訊。 Azure 檔案同步的服務標籤為 StorageSyncService。

如果在 Azure 中使用 Azure 檔案同步，您可以直接在網路安全性群組中使用服務標籤的名稱來允許流量。 若要深入了解如何執行此操作，請參閱網路安全性群組。

如果您是使用 Azure 檔案同步內部部署，就可利用服務標籤 API 取得您防火牆允許清單的特定 IP 位址範圍。 有兩種方法可以取得此資訊：

• 所有支援服務標籤之 Azure 服務的目前 IP 位址範圍清單，都會以 JSON 文件的形式，每週在 Microsoft 下載中心發佈。 每個 Azure 雲端都有自己的 JSON 文件，其中包含與該雲端相關的 IP 位址範圍：
  • Azure 公用
  • Azure US Gov
  • 由 21Vianet 營運的 Microsoft Azure
  • Azure Germany
• 服務標籤探索 API 可讓您以程式設計方式擷取目前的服務標籤清單。 您可以根據您的自動化喜好設定來使用 API 介面：
  • REST API
  • Azure PowerShell
  • Azure CLI

由於服務標籤探索 API 可能不會像發佈至 Microsoft 下載中心的 JSON 文件一樣頻繁更新，建議您使用 JSON 文件更新內部部署防火牆的允許清單。 以下步驟可以達到此目的：

# The specific region to get the IP address ranges for. Replace westus2 with the desired region code 
# from Get-AzLocation.
$region = "westus2"

# The service tag for Azure File Sync. Don't change unless you're adapting this
# script for another service.
$serviceTag = "StorageSyncService"

# Download date is the string matching the JSON document on the Download Center. 
$possibleDownloadDates = 0..7 | `
    ForEach-Object { [System.DateTime]::Now.AddDays($_ * -1).ToString("yyyyMMdd") }

# Verify the provided region
$validRegions = Get-AzLocation | `
    Where-Object { $_.Providers -contains "Microsoft.StorageSync" } | `
    Select-Object -ExpandProperty Location

if ($validRegions -notcontains $region) {
    Write-Error `
            -Message "The specified region $region isn't available. Either Azure File Sync isn't deployed there or the region doesn't exist." `
            -ErrorAction Stop
}

# Get the Azure cloud. This should automatically based on the context of 
# your Az PowerShell login, however if you manually need to populate, you can find
# the correct values using Get-AzEnvironment.
$azureCloud = Get-AzContext | `
    Select-Object -ExpandProperty Environment | `
    Select-Object -ExpandProperty Name

# Build the download URI
$downloadUris = @()
switch($azureCloud) {
    "AzureCloud" { 
        $downloadUris = $possibleDownloadDates | ForEach-Object {  
            "https://download.microsoft.com/download/7/1/D/71D86715-5596-4529-9B13-DA13A5DE5B63/ServiceTags_Public_$_.json"
        }
    }

    "AzureUSGovernment" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/6/4/D/64DB03BF-895B-4173-A8B1-BA4AD5D4DF22/ServiceTags_AzureGovernment_$_.json"
        }
    }

    "AzureChinaCloud" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/9/D/0/9D03B7E2-4B80-4BF3-9B91-DA8C7D3EE9F9/ServiceTags_China_$_.json"
        }
    }

    "AzureGermanCloud" {
        $downloadUris = $possibleDownloadDates | ForEach-Object { 
            "https://download.microsoft.com/download/0/7/6/076274AB-4B0B-4246-A422-4BAF1E03F974/ServiceTags_AzureGermany_$_.json"
        }
    }

    default {
        Write-Error -Message "Unrecognized Azure Cloud: $_" -ErrorAction Stop
    }
}

# Find most recent file
$found = $false 
foreach($downloadUri in $downloadUris) {
    try { $response = Invoke-WebRequest -Uri $downloadUri -UseBasicParsing } catch { }
    if ($response.StatusCode -eq 200) {
        $found = $true
        break
    }
}

if ($found) {
    # Get the raw JSON 
    $content = [System.Text.Encoding]::UTF8.GetString($response.Content)

    # Parse the JSON
    $serviceTags = ConvertFrom-Json -InputObject $content -Depth 100

    # Get the specific $ipAddressRanges
    $ipAddressRanges = $serviceTags | `
        Select-Object -ExpandProperty values | `
        Where-Object { $_.id -eq "$serviceTag.$region" } | `
        Select-Object -ExpandProperty properties | `
        Select-Object -ExpandProperty addressPrefixes
} else {
    # If the file cannot be found, that means there hasn't been an update in
    # more than a week. Please verify the download URIs are still accurate
    # by checking https://zcusa.951200.xyz/azure/virtual-network/service-tags-overview
    Write-Verbose -Message "JSON service tag file not found."
    return
}

然後，您可以使用 $ipAddressRanges 中的 IP 位址範圍來更新您的防火牆。 請查看防火牆/網路設備的網站，以取得如何更新防火牆的相關資訊。

測試服務端點的網路連線

向 Azure 檔案同步服務註冊伺服器之後，就可以使用 Test-StorageSyncNetworkConnectivity Cmdlet 和 ServerRegistration.exe 測試與此伺服器特有的所有端點 (URL) 間的通訊。 當未完成的通訊防止伺服器與 Azure 檔案同步完全合作時，此 Cmdlet 有助於疑難排解，而且還可以用來微調 Proxy 和防火牆設定。

若要執行網路連線能力測試，請執行下列 PowerShell 命令：

Import-Module "C:\Program Files\Azure\StorageSyncAgent\StorageSync.Management.ServerCmdlets.dll"
Test-StorageSyncNetworkConnectivity

如果測試失敗，請收集 WinHTTP 偵錯追蹤以進行疑難解答： netsh trace start scenario=InternetClient_dbg capture=yes overwrite=yes maxsize=1024

再次執行網路連線測試，然後停止收集追蹤： netsh trace stop

將產生的 NetTrace.etl 檔案放入 ZIP 封存中、開啟支援案例，並與支援共用檔案。

摘要和風險限制

本文件中稍早的清單包含 Azure 檔案同步目前與其通訊的 URL。 防火牆必須能夠允許輸出至這些網域的流量。 Microsoft 致力於讓這份清單保持最新狀態。

設定網域限制防火牆規則可以提高安全性。 如果使用這些防火牆組態，請記得 URL 會新增，甚至可能隨著時間而改變。 請定期查看此文章。

下一步

• 規劃 Azure 檔案同步部署
• 部署 Azure 檔案同步
• 監視 Azure 檔案同步