مرجع تكوين الشبكة الظاهرية: APIM

ينطبق على: المطور | قسط

يوفر هذا المرجع إعدادات تكوين الشبكة التفصيلية لمثيل APIM المنشور (المحقون) في شبكة Azure الظاهرية في الوضع الخارجي أو الداخلي .

للحصول على خيارات اتصال VNet ومتطلباته واعتباراته، راجع استخدام شبكة افتراضية مع إدارة APIM.

المنافذ المطلوبة

التحكم في نسبة استخدام الشبكة الواردة والصادرة في الشبكة الفرعية التي يوزع فيها APIM باستخدام قواعد مجموعة أمان الشبكة. في حالة عدم توفر منافذ معينة، فقد لا تعمل APIM بشكل صحيح وقد يتعذر الوصول إليها.

عند استضافة مثيل خدمة APIM في شبكة ظاهرية، تُستخدم المنافذ الواردة في الجدول الآتي. تختلف بعض المتطلبات وفقاً للإصدار (stv2أوstv1) من النظام الأساسي للحوسبة الذي يستضيف مثيل APIM.

علامات الخدمة الإقليمية

قد تستخدم قواعد مجموعة أمان الشبكة التي تسمح بالاتصال الخارجي من أجل التخزين، ولغة الاستعلامات المركبة، وعلامات خدمة مراكز الأحداث الإصدارات الإقليمية لتلك العلامات المقابلة للمنطقة التي تحتوي على مثيل إدارة واجهة برمجة التطبيقات (على سبيل المثال، Storage.WestUS لمثيل APIM في منطقة غرب الولايات المتحدة). في عمليات النشر متعددة المناطق، يجب أن تسمح مجموعة أمان الشبكة في كل منطقة بالمرور إلى علامات الخدمة لتلك المنطقة والمنطقة الأساسية.

وظائف بروتوكول أمان طبقة النقل

لتمكين إنشاء سلسلة شهادات TLS/SSL والتحقق من صحتها، تحتاج خدمة APIM إلى اتصال الشبكة الصادرة على المنافذ 80 و و oneocsp.msocsp.comcrl.microsoft.com443mscrl.microsoft.comcacerts.digicert.comocsp.msocsp.comcrl3.digicert.com و.csp.digicert.com

الوصول إلى نظام أسماء المجالات

يُطلب الوصول إلى الصادر على المنفذ 53 للاتصال بخوادم DNS. في حالة وجود خادم نظام أسماء المجالات مخصص على الطرف الآخر من بوابة شبكة ظاهرية خاصة، يجب أن يكون خادم نظام أسماء المجالات قابلاً للوصول من الشبكة الفرعية التي تستضيف إدارة واجهة برمجة التطبيقات.

تكامل Microsoft Entra

للعمل بشكل صحيح، تحتاج خدمة APIM إلى اتصال صادر على المنفذ 443 بنقاط النهاية التالية المقترنة بمعرف Microsoft Entra: <region>.login.microsoft.com و login.microsoftonline.com.

المقاييس والمراقبة الصحية

يُمثل اتصال الشبكة الصادرة بنقاط نهاية مراقبة Azure التي تُحل أسفل المجالات الآتية أسفل علامة خدمة AzureMonitor للاستخدام مع مجموعات أمان الشبكة.

بوابة المطور CAPTCHA

السماح باتصال الشبكة الصادرة ل CAPTCHA الخاص بمدخل المطور، والذي يحل تحت المضيفين client.hip.live.com و partner.hip.live.com.

نشر مدخل المطور

تمكين نشر بوابة المطورين لمثيل APIM في شبكة ظاهرية بالسماح للاتصال الصادر بتخزين كائن ثنائي كبير الحجم في منطقة غرب الولايات المتحدة. على سبيل المثال، استخدم علامة خدمة Storage.WestUS في قاعدة NSG. حالياً، يلزم الاتصال بتخزين blob في منطقة غرب الولايات المتحدة لنشر بوابة المطور لأي مثيل إدارة واجهة برمجة التطبيقات.

تشخيصات مدخل Azure

عند استخدام ملحق تشخيص APIM من داخل شبكة ظاهرية، يُطلب الوصول إلى الصادر dc.services.visualstudio.com على المنفذ 443 لتمكين تدفق سجلات التشخيص من مدخل Microsoft Azure. مما يساعد في استكشاف الأخطاء وإصلاحها التي قد تواجهها عند استخدام الملحق.

موازنة تحميل Azure

لست مطالباً بسماح الطلبات الواردة من علامة الخدمة AzureLoadBalancer لوحدة حفظ مخزون المطور، نظراً إلى توزيع وحدة حساب واحدة فقط خلفها. ومع ذلك، فإن الاتصال الداخلي من AzureLoadBalancer يصبح حرجاً عند التحجيم إلى وحدة حفظ مخزون أعلى، مثل المتميز لأن فشل فحص الحماية من موازن التحميل في هذه الحالة يحظر كل الوصول الوارد إلى وحدتي التحكم والبيانات.

Application Insights

في حال تمكينك لمراقبة Azure Application Insights في APIM، اسمح بالاتصال الخارجي بنقطة نهاية بيانات تتبع الاستخدام من الشبكة الظاهرية.

نقطة نهاية خدمات الإدارة الرئيسية

عند إضافة أجهزة افتراضية تعمل بنظام Windows إلى شبكة ظاهرية، اسمح بالاتصال الصادر على المنفذ 1688 بـ نقطة نهاية KMS في سحابتك. يقوم هذا التكوين بتوجيه ناقل الجهاز الظاهري لـ Windows إلى الخادم الخاص بخدمات إدارة Azure الرئيسية لإكمال تنشيط Windows.

البنية التحتية الداخلية والتشخيصات

الإعدادات التالية وFQDNs مطلوبة للحفاظ على البنية الأساسية للحوسبة الداخلية لإدارة واجهة برمجة التطبيقات وتشخيصها.

• السماح بالوصول إلى UDP الصادر على المنفذ 123 ل NTP.
• السماح بالوصول إلى TCP الصادر على المنفذ 12000 للتشخيص.
• السماح بالوصول الصادر على المنفذ 443 إلى نقاط النهاية التالية للتشخيصات الداخلية: azurewatsonanalysis-prod.core.windows.net، *.data.microsoft.com، azureprofiler.trafficmanager.net، shavamanifestazurecdnprod1.azureedge.net، shavamanifestcdnprod1.azureedge.net.
• السماح بالوصول الصادر على المنفذ 443 إلى نقطة النهاية التالية ل PKI الداخلي: issuer.pki.azure.com.
• السماح بالوصول الصادر على المنافذ 80 وإلى 443 نقاط النهاية التالية ل Windows Update: *.update.microsoft.com، ، *.ctldl.windowsupdate.com، ctldl.windowsupdate.com. download.windowsupdate.com
• السماح بالوصول الصادر على المنافذ 80 وإلى 443 نقطة go.microsoft.comالنهاية .
• السماح بالوصول الصادر على المنفذ 443 إلى نقاط النهاية التالية ل Windows Defender: wdcp.microsoft.com، . wdcpalt.microsoft.com

عناوين بروتوكول الإنترنت لمستوى التحكم

المحتوى ذو الصلة

تعلم المزيد عن:

• تعيين الشبكة الظاهرية للخلفية باستخدام بوابة VPN
• تعيين الشبكة الظاهرية من نماذج توزيع مختلفة
• الأسئلة المتداولة حول الشبكة الظاهرية
• علامات الخدمة

لمزيد من الإرشادات حول مشكلات التكوين، راجع:

• إدارة واجهة برمجة التطبيقات - الأسئلة المتداولة حول الشبكات (سلسلة إزالة الغموض I)
• إدارة واجهة برمجة التطبيقات - الأسئلة المتداولة حول الشبكات (إزالة الغموض عن السلسلة الثانية)