Integração de rede robusta do Azure Stack Hub

Este tópico aborda a integração de rede do Azure Stack.

Conectividade de fronteira (uplink)

O planejamento de integração de rede é um pré-requisito importante para a implantação, operação e gerenciamento bem-sucedidos de sistemas integrados do Azure Stack. O planejamento de conectividade de borda começa ao escolher se você deseja usar o roteamento dinâmico com o BGP (Border Gateway Protocol). Isso requer a atribuição de um número de sistema autônomo BGP de 16 bits (público ou privado) ou o uso de roteamento estático, em que uma rota padrão estática é atribuída aos dispositivos de borda.

Os switches top of rack (TOR) exigem uplinks de Camada 3 com IPs ponto a ponto (redes /30) configurados nas interfaces físicas. Não há suporte para uplinks de camada 2 com comutadores TOR que dão suporte a operações do Azure Stack.

Roteamento BGP

O uso de um protocolo de roteamento dinâmico, como o BGP, garante que seu sistema esteja sempre ciente das alterações de rede e facilita a administração. Para segurança aprimorada, uma senha pode ser definida no emparelhamento via protocolo BGP entre o TOR e a Borda.

Conforme mostrado no diagrama a seguir, a publicidade do espaço IP privado na opção TOR é bloqueada usando uma lista de prefixos. A lista de prefixos nega o anúncio da Rede Privada e é aplicada como um mapa de rotas na conexão entre o TOR e a borda.

O SLB (Balanceador de Carga de Software) em execução dentro da solução Azure Stack emparelha os dispositivos TOR para que possa anunciar dinamicamente os endereços VIP.

Para garantir que o tráfego do usuário se recupere imediata e transparentemente da falha, a VPC ou MLAG configurada entre os dispositivos TOR permite o uso de agregação de link de vários chassis para os hosts e HSRP ou VRRP que fornece redundância de rede para as redes IP.

Roteamento estático

O roteamento estático requer configuração adicional para os dispositivos de borda. Requer mais intervenção e gerenciamento manual, bem como uma análise completa antes de qualquer alteração. Problemas causados por um erro de configuração podem levar mais tempo para serem revertidos, dependendo das alterações feitas. Esse método de roteamento não é recomendado, mas tem suporte.

Para integrar o Azure Stack ao seu ambiente de rede usando o roteamento estático, todos os quatro links físicos entre a borda e o dispositivo TOR devem estar conectados. Não é possível garantir alta disponibilidade devido ao funcionamento do roteamento estático.

O dispositivo de borda deve ser configurado com rotas estáticas apontando para cada um dos quatro IPs P2P definidos entre o TOR e a Borda para o tráfego destinado a qualquer rede dentro do Azure Stack, mas somente a rede VIP Externa ou Pública é necessária para a operação. As rotas estáticas para o BMC e as redes externas são necessárias para a implantação inicial. Os operadores podem optar por deixar rotas estáticas na borda para acessar recursos de gerenciamento que residem no BMC e na rede de infraestrutura. Adicionar rotas estáticas às redes de infraestrutura do comutador e gerenciamento do comutador é opcional.

Os dispositivos TOR são configurados com uma rota padrão estática enviando todo o tráfego para os dispositivos de borda. A única exceção de tráfego à regra padrão é para o espaço privado, que é bloqueado usando uma lista de Controle de Acesso aplicada no TOR à conexão de borda.

O roteamento estático aplica-se somente aos uplinks entre o TOR e os comutadores de borda. O roteamento dinâmico BGP é usado dentro do rack porque é uma ferramenta essencial para o SLB e outros componentes e não pode ser desabilitado ou removido.

* A rede BMC é opcional após a implantação.

** A rede de infraestrutura de switch é opcional, pois toda a rede pode ser incluída na rede de gerenciamento de switch.

A rede de gerenciamento de switches é necessária e pode ser adicionada separadamente da rede de infraestrutura de switches.

Proxy transparente

Se o datacenter exigir que todo o tráfego use um proxy, você deverá configurar um proxy transparente para processar todo o tráfego do rack para tratá-lo de acordo com a política, separando o tráfego entre as zonas da rede.

A solução Azure Stack não dá suporte a proxies Web normais

Um proxy transparente (também conhecido como proxy interceptador, embutido ou forçado) intercepta a comunicação normal na camada de rede sem exigir nenhuma configuração especial do cliente. Os clientes não precisam estar cientes da existência do proxy.

A interceptação de tráfego SSL não é suportada e pode levar a falhas de serviço ao acessar endpoints. O tempo limite máximo suportado para se comunicar com pontos de extremidade necessários para a identidade é de 60 segundos com 3 tentativas de repetição.

Sistema de Nomes de Domínio (DNS)

Esta seção aborda a configuração do Sistema de Nomes de Domínio (DNS).

Configurar o encaminhamento DNS condicional

Isso só se aplica a uma implantação do AD FS.

Para habilitar a resolução de nomes com a infraestrutura DNS existente, configure o encaminhamento condicional.

Para adicionar um encaminhador condicional, você deve usar o ponto de extremidade privilegiado.

Para este procedimento, use um computador em sua rede de datacenter que possa se comunicar com o ponto de extremidade privilegiado no Azure Stack.

1. Abra uma sessão com privilégios elevados do PowerShell no Windows (execute como administrador) e conecte-se ao endereço IP do ponto de extremidade privilegiado. Use as credenciais para autenticação CloudAdmin.

   \$cred=Get-Credential Enter-PSSession -ComputerName \<IP Address of ERCS\> -ConfigurationName PrivilegedEndpoint -Credential \$cred 
   

2. Depois de se conectar ao ponto de extremidade privilegiado, execute o comando do PowerShell a seguir. Substitua os valores de exemplo fornecidos pelo nome de domínio e endereços IP dos servidores DNS que você deseja usar.

   Register-CustomDnsServer -CustomDomainName "contoso.com" -CustomDnsIPAddresses "192.168.1.1","192.168.1.2" 
   

Resolvendo nomes DNS do Azure Stack de fora do Azure Stack

Os servidores autoritativos são aqueles que têm as informações de zonas DNS externas e as zonas criadas pelo usuário. Integre-se a esses servidores para habilitar a delegação de zona ou o encaminhamento condicional para resolver nomes DNS do Azure Stack de fora do Azure Stack.

Obter informações do ponto de extremidade externo do servidor DNS

Para integrar sua implantação do Azure Stack à sua infraestrutura DNS, você precisa das seguintes informações:

• FQDNs do servidor DNS

• Endereços IP do servidor DNS

Os FQDNs para os servidores DNS do Azure Stack têm o seguinte formato:

<NAMINGPREFIX-ns01>.<REGIÃO.><NOME DE DOMÍNIO EXTERNO>

<NAMINGPREFIX-ns02>.<REGIÃO.><NOME DE DOMÍNIO EXTERNO>

Usando os valores de exemplo, os FQDNs dos servidores DNS serão:

azs-ns01.east.cloud.fabrikam.com

azs-ns02.east.cloud.fabrikam.com

Essas informações estão disponíveis no portal de administração, mas também são criadas no final de todas as implantações do Azure Stack em um arquivo chamado AzureStackStampInformation.json. Esse arquivo está localizado na pasta C:\CloudDeployment\logs da máquina virtual de implantação. Se você não tiver certeza de quais valores foram usados para a implantação do Azure Stack, poderá obter os valores aqui.

Se a máquina virtual de implantação não estiver mais disponível ou estiver inacessível, você poderá obter os valores conectando-se ao ponto de extremidade privilegiado e executando o cmdlet Get-AzureStackStampInformation do PowerShell. Para obter mais informações, consulte ponto de extremidade privilegiado.

Configurando o encaminhamento condicional para o Azure Stack

A maneira mais simples e segura de integrar o Azure Stack à sua infraestrutura DNS é fazer o encaminhamento condicional da zona do servidor que hospeda a zona pai. Essa abordagem é recomendada se você tiver controle direto sobre os servidores DNS que hospedam a zona pai para o namespace DNS externo do Azure Stack.

Se você não estiver familiarizado com como fazer o encaminhamento condicional com DNS, consulte o seguinte artigo do TechNet: Atribuir um encaminhador condicional para um nome de domínio ou a documentação específica para sua solução DNS.

Em cenários em que você especificou sua zona DNS externa do Azure Stack para se parecer com um domínio filho do nome de domínio corporativo, o encaminhamento condicional não pode ser usado. A delegação de DNS deve ser configurada.

Exemplo:

• Nome de domínio DNS corporativo: contoso.com

• Nome de domínio DNS externo do Azure Stack: azurestack.contoso.com

Editando IPs de encaminhador de DNS

Os IPs do Encaminhador DNS são definidos durante a implantação do Azure Stack. No entanto, se os IPs do encaminhador precisarem ser atualizados por qualquer motivo, você poderá editar os valores conectando-se ao ponto de extremidade privilegiado e executando os cmdlets Get-AzSDnsForwarder e Set-AzSDnsForwarder [[-IPAddress] <IPAddress[]>] do PowerShell. Para obter mais informações, consulte ponto de extremidade privilegiado.

Delegando a zona DNS externa para o Azure Stack

Para que os nomes DNS possam ser resolvidos de fora de uma implantação do Azure Stack, você precisa configurar a delegação DNS.

Cada registrador tem suas próprias ferramentas de gerenciamento de DNS para alterar os registros de servidor de nomes para um domínio. Na página de gerenciamento de DNS do registrador, edite os registros NS e substitua os registros NS da zona pelos do Azure Stack.

A maioria dos registradores DNS exige que você forneça um mínimo de dois servidores DNS para concluir a delegação.

Firewall (barreira de segurança)

O Azure Stack configura VIPs (endereços IP virtuais) para suas funções de infraestrutura. Esses VIPs são alocados do pool de endereços IP públicos. Cada VIP é protegido com uma lista de controle de acesso (ACL) na camada de rede definida pelo software. As ACLs também são usadas nos switches físicos (TORs e BMC) para fortalecer ainda mais a solução. Uma entrada DNS é criada para cada ponto de extremidade na zona DNS externa especificada no momento da implantação. Por exemplo, o portal do usuário recebe a entrada de host DNS do portal.<região>.<fqdn>.

O diagrama de arquitetura a seguir mostra as diferentes camadas de rede e ACLs:

Portas e URLs

Para disponibilizar os serviços do Azure Stack (como os portais, o Azure Resource Manager, o DNS e assim por diante) para redes externas, você deve permitir o tráfego de entrada para esses pontos de extremidade para URLs, portas e protocolos específicos.

Em uma implantação em que um proxy transparente faz uplinks para um servidor proxy tradicional ou um firewall está protegendo a solução, você deve permitir portas e URLs específicas para comunicação de entrada e saída. Isso inclui portas e URLs para identidade, marketplace, patch e atualização, registro e dados de uso.

Comunicação de saída

O Azure Stack dá suporte apenas a servidores proxy transparentes. Em uma implantação com um uplink de proxy transparente para um servidor proxy tradicional, você deve permitir as portas e URLs na tabela a seguir para comunicação de saída ao implantar no modo conectado.

A interceptação de tráfego SSL não é suportada e pode levar a falhas de serviço ao acessar endpoints. O tempo limite máximo suportado para se comunicar com pontos de extremidade necessários para identidade é de 60s.

Comunicação de entrada

Um conjunto de VIPs de infraestrutura é necessário para publicar pontos de extremidade do Azure Stack em redes externas. A tabela VIP (Ponto de extremidade) mostra cada ponto de extremidade, a porta necessária e o protocolo. Consulte a documentação de implantação do provedor de recursos específico para pontos de extremidade que exigem provedores de recursos adicionais, como o provedor de recursos SQL.

Os VIPs de infraestrutura interna não são listados porque não são necessários para publicar o Azure Stack. Os VIPs de usuário são dinâmicos e definidos pelos próprios usuários, sem controle do operador do Azure Stack