Azure Stack Hub sağlamlaştırılmış ağ tümleştirmesi

Bu konu, Azure Stack ağ tümleştirmeyi kapsar.

Kenarlık bağlantısı (yukarı bağlantı)

Ağ tümleştirme planlaması başarılı Azure Stack tümleşik sistemleri dağıtımı, işlemi ve yönetimi için önemli bir önkoşuldur. Kenarlık bağlantı planlaması, sınır ağ geçidi protokolü (BGP) ile dinamik yönlendirme kullanmak isteyip istemediğinizi seçerek başlar. Bu, 16 bit BGP otonom sistem numarası (genel veya özel) atamayı veya sınır cihazlarına statik varsayılan yol atandığı statik yönlendirmeyi kullanmayı gerektirir.

Raf üstü (TOR) anahtarları, fiziksel arabirimlerde Yapılandırılmış Noktadan Noktaya IP'ler (/30 ağları) ile Katman 3 yukarı bağlantılarını gerektirir. Azure Stack işlemlerini destekleyen TOR anahtarları ile katman 2 yukarı bağlantıları desteklenmez.

BGP yönlendirme

BGP gibi bir dinamik yönlendirme protokolü kullanmak, sisteminizin ağ değişikliklerini her zaman fark ettiğini ve yönetimi kolaylaştırdığını garanti eder. Gelişmiş güvenlik için, TOR ile Kenarlık arasındaki BGP eşlemesinde bir parola ayarlanabilir.

Aşağıdaki diyagramda gösterildiği gibi, TOR anahtarındaki özel IP alanının reklamları ön ek listesi kullanılarak engellenir. Ön ek listesi Özel Ağın tanıtımını reddeder ve TOR ile kenarlık arasındaki bağlantıda yol haritası olarak uygulanır.

Azure Stack çözümünün içinde çalışan Yazılım Yük Dengeleyici (SLB), VIP adreslerini dinamik olarak tanıtabilmesi için TOR cihazlarıyla eşler.

Kullanıcı trafiğinin hemen ve saydam bir şekilde hatadan kurtarılmasını sağlamak için, TOR cihazları arasında yapılandırılan VPC veya MLAG, ana bilgisayarlara ve IP ağları için ağ yedekliliği sağlayan HSRP veya VRRP'ye çok kasalı bağlantı toplamanın kullanılmasına olanak tanır.

Statik yönlendirme

Statik yönlendirme, sınır cihazlarına ek yapılandırma gerektirir. Herhangi bir değişiklik öncesinde daha fazla el ile müdahale ve yönetimin yanı sıra kapsamlı analiz gerektirir. Yapılandırma hatasının neden olduğu sorunların geri alınması, yapılan değişikliklere bağlı olarak daha fazla zaman alabilir. Bu yönlendirme yöntemi önerilmez, ancak desteklenir.

Azure Stack'i statik yönlendirme kullanarak ağ ortamınızla tümleştirmek için sınır ile TOR cihazı arasındaki dört fiziksel bağlantının da bağlı olması gerekir. Statik yönlendirmenin çalışma şekli nedeniyle yüksek kullanılabilirlik garanti edilemiyor.

Sınır cihazı, Azure Stack içindeki herhangi bir ağa yönelik trafik için TOR ile Sınır arasında ayarlanan dört P2P IP'sinin her birine işaret eden statik yollar ile yapılandırılmalıdır, ancak işlem için yalnızca Dış veya Genel VIP ağı gerekir. İlk dağıtım için BMC ve Dış ağlara statik yollar gerekir. İşleçler, BMC ve Altyapı ağında bulunan yönetim kaynaklarına erişmek için sınırda statik yollar bırakmayı seçebilir. Altyapı ve anahtar yönetimi ağlarına statik yollar eklemek isteğe bağlıdır.

TOR cihazları, tüm trafiği sınır cihazlarına gönderen statik bir varsayılan yol ile yapılandırılır. Varsayılan kuralın tek trafik özel durumu, TOR'da kenarlık bağlantısına uygulanan erişim denetim listesi kullanılarak engellenen özel alan içindir.

Statik yönlendirme yalnızca TOR ve kenarlık anahtarları arasındaki yukarı bağlantılar için geçerlidir. BGP dinamik yönlendirme, SLB ve diğer bileşenler için temel bir araç olduğundan ve devre dışı bırakılamadığından veya kaldırılamadığından raf içinde kullanılır.

* BMC ağı dağıtımdan sonra isteğe bağlıdır.

** Anahtar Altyapısı ağı isteğe bağlıdır, tüm ağ Anahtar Yönetimi ağına dahil edilebilir.

Anahtar Yönetimi ağı gereklidir ve Anahtar Altyapısı ağından ayrı olarak eklenebilir.

Saydam proxy

Veri merkeziniz tüm trafiğin ara sunucu kullanmasını gerektiriyorsa, ağınızdaki bölgeler arasındaki trafiği ayırarak raftan gelen tüm trafiği ilkeye göre işleyecek şekilde saydam bir ara sunucu yapılandırmanız gerekir.

Azure Stack çözümü normal web proxy'lerini desteklemiyor

Saydam ara sunucu (kesme, satır içi veya zorlamalı ara sunucu olarak da bilinir), özel bir istemci yapılandırması gerektirmeden ağ katmanında normal iletişimi durdurur. İstemcilerin proxy'nin varlığından haberdar olması gerekmez.

SSL trafiğinin kesilmesi desteklenmez ve uç noktalara erişirken hizmet hatalarına yol açabilir. Kimlik için gereken uç noktalarla iletişim kurmak için desteklenen en fazla zaman aşımı, 3 yeniden deneme denemesi ile 60'tır.

Alan Adı Sistemi (DNS)

Bu bölüm, Etki Alanı Adı Sistemi (DNS) yapılandırmasını kapsar.

Koşullu DNS iletmeyi yapılandırma

Bu yalnızca AD FS dağıtımı için geçerlidir.

Mevcut DNS altyapınızla ad çözümlemeyi etkinleştirmek için koşullu iletmeyi yapılandırın.

Koşullu iletici eklemek için ayrıcalıklı uç noktayı kullanmanız gerekir.

Bu yordam için, veri merkezi ağınızda Azure Stack'teki ayrıcalıklı uç noktayla iletişim kurabilen bir bilgisayar kullanın.

1. Yükseltilmiş bir Windows PowerShell oturumu açın (yönetici olarak çalıştırın) ve ayrıcalıklı uç noktanın IP adresine bağlanın. CloudAdmin kimlik doğrulaması için kimlik bilgilerini kullanın.

   \$cred=Get-Credential Enter-PSSession -ComputerName \<IP Address of ERCS\> -ConfigurationName PrivilegedEndpoint -Credential \$cred 
   

2. Ayrıcalıklı uç noktaya bağlandıktan sonra aşağıdaki PowerShell komutunu çalıştırın. Sağlanan örnek değerleri, kullanmak istediğiniz DNS sunucularının etki alanı adınız ve IP adresleriyle değiştirin.

   Register-CustomDnsServer -CustomDomainName "contoso.com" -CustomDnsIPAddresses "192.168.1.1","192.168.1.2" 
   

Azure Stack'in dışından Azure Stack DNS adlarını çözümleme

Yetkili sunucular, dış DNS bölgesi bilgilerini ve kullanıcı tarafından oluşturulan bölgeleri tutan sunuculardır. Azure Stack'in dışındaki Azure Stack DNS adlarını çözümlemek üzere bölge temsilcisi seçmeyi veya koşullu iletmeyi etkinleştirmek için bu sunucularla tümleştirin.

DNS Sunucusu dış uç nokta bilgilerini alma

Azure Stack dağıtımınızı DNS altyapınızla tümleştirmek için aşağıdaki bilgilere ihtiyacınız vardır:

• DNS sunucusu FQDN'leri

• DNS sunucusu IP adresleri

Azure Stack DNS sunucuları için FQDN'ler aşağıdaki biçime sahiptir:

<NAMINGPREFIX-ns01>.<BÖLGE>.<EXTERNALDOMAINNAME>

<NAMINGPREFIX-ns02>.<BÖLGE>.<EXTERNALDOMAINNAME>

Örnek değerleri kullanarak DNS sunucularının FQDN'leri şunlardır:

azs-ns01.east.cloud.fabrikam.com

azs-ns02.east.cloud.fabrikam.com

Bu bilgiler yönetici portalında bulunur ancak tüm Azure Stack dağıtımlarının sonunda AzureStackStampInformation.json adlı bir dosyada da oluşturulur. Bu dosya, Dağıtım sanal makinesinin C:\CloudDeployment\logs klasöründe bulunur. Azure Stack dağıtımınız için hangi değerlerin kullanıldığından emin değilseniz, değerleri buradan alabilirsiniz.

Dağıtım sanal makinesi artık kullanılamıyorsa veya erişilemiyorsa, ayrıcalıklı uç noktaya bağlanıp Get-AzureStackStampInformation PowerShell cmdlet'ini çalıştırarak değerleri alabilirsiniz. Daha fazla bilgi için bkz. ayrıcalıklı uç nokta.

Azure Stack'e koşullu iletme ayarlama

Azure Stack'i DNS altyapınızla tümleştirmenin en basit ve en güvenli yolu, üst bölgeyi barındıran sunucudan bölgenin koşullu iletmesini yapmaktır. Bu yaklaşım, Azure Stack dış DNS ad alanınızın üst bölgesini barındıran DNS sunucuları üzerinde doğrudan denetiminiz varsa önerilir.

DNS ile koşullu iletmenin nasıl yapıldığını bilmiyorsanız şu TechNet makalesine bakın: Etki Alanı Adı için Koşullu İletici Atama veya DNS çözümünüzle ilgili belgeler.

Dış Azure Stack DNS Bölgenizi şirket etki alanı adınızın alt etki alanı gibi görünecek şekilde belirttiğiniz senaryolarda koşullu iletme kullanılamaz. DNS temsilcisinin yapılandırılması gerekir.

Örnek:

• Kurumsal DNS Etki Alanı Adı: contoso.com

• Azure Stack Dış DNS Etki Alanı Adı: azurestack.contoso.com

DNS İleticisi IP'lerini düzenleme

DNS İleticisi IP'leri, Azure Stack dağıtımı sırasında ayarlanır. Ancak, İletici IP'lerinin herhangi bir nedenle güncelleştirilmesi gerekiyorsa, ayrıcalıklı uç noktaya bağlanıp Get-AzSDnsForwarder ve Set-AzSDnsForwarder [[-IPAddress] <IPAddress[]>] PowerShell cmdlet'lerini çalıştırarak değerleri düzenleyebilirsiniz. Daha fazla bilgi için bkz. ayrıcalıklı uç nokta.

Azure Stack'e dış DNS bölgesi için temsilci seçme

DNS adlarının Azure Stack dağıtımı dışından çözümlenebilmek için DNS temsilcisini ayarlamanız gerekir.

Her kayıt şirketi, bir etki alanının ad sunucusu kayıtlarını değiştirmek için kendi DNS yönetim araçlarına sahiptir. Kayıt şirketinin DNS yönetimi sayfasında NS kayıtlarını düzenleyin ve bölgenin NS kayıtlarını Azure Stack'teki kayıtlarla değiştirin.

Çoğu DNS kayıtçısı, temsilci seçme işlemini tamamlamak için en az iki DNS sunucusu sağlamanızı gerektirir.

Güvenlik Duvarı

Azure Stack, altyapı rolleri için sanal IP adresleri (VIP' ler) ayarlar. Bu VIP'ler genel IP adresi havuzundan ayrılır. Her VIP, yazılım tanımlı ağ katmanında bir erişim denetim listesi (ACL) ile güvenli hale getirilir. ACL'ler, çözümü daha da sağlamlaştırmak için fiziksel anahtarlar (TOR'lar ve BMC) arasında da kullanılır. Dağıtım zamanında belirtilen dış DNS bölgesindeki her uç nokta için bir DNS girişi oluşturulur. Örneğin, kullanıcı portalına portalın DNS ana bilgisayar girişi atanır.<bölge.><fqdn>.

Aşağıdaki mimari diyagramda farklı ağ katmanları ve ACL'ler gösterilmektedir:

Bağlantı noktaları ve URL'ler

Azure Stack hizmetlerini (portallar, Azure Resource Manager, DNS vb.) dış ağlarda kullanılabilir hale getirmek için belirli URL'ler, bağlantı noktaları ve protokoller için bu uç noktalara gelen trafiğe izin vermelisiniz.

Saydam ara sunucunun geleneksel bir ara sunucuya veya güvenlik duvarının çözümü koruduğu bir dağıtımda, hem gelen hem de giden iletişim için belirli bağlantı noktalarına ve URL'lere izin vermelisiniz. Bunlar arasında kimlik, market, düzeltme eki ve güncelleştirme, kayıt ve kullanım verileri için bağlantı noktaları ve URL'ler bulunur.

Giden iletişim

Azure Stack yalnızca saydam proxy sunucularını destekler. Geleneksel ara sunucuya saydam ara sunucu yukarı bağlantısı olan bir dağıtımda, bağlı modda dağıtım yaparken giden iletişim için aşağıdaki tabloda yer alan bağlantı noktalarına ve URL'lere izin vermelisiniz.

SSL trafiğinin kesilmesi desteklenmez ve uç noktalara erişirken hizmet hatalarına yol açabilir. Kimlik için gereken uç noktalarla iletişim kurmak için desteklenen en fazla zaman aşımı 60'tır.

Gelen iletişim

Azure Stack uç noktalarını dış ağlara yayımlamak için bir altyapı VIP'leri kümesi gerekir. Uç Nokta (VIP) tablosu her uç noktayı, gerekli bağlantı noktasını ve protokolü gösterir. SQL kaynak sağlayıcısı gibi ek kaynak sağlayıcıları gerektiren uç noktalar için belirli kaynak sağlayıcısı dağıtım belgelerine bakın.

İç altyapı VIP'leri, Azure Stack'i yayımlamak için gerekli olmadığından listelenmez. Kullanıcı VIP'leri dinamik olup kullanıcılar tarafından tanımlanır ve Azure Stack işleci tarafından hiçbir denetim yapılmaz