Criar e usar conexões híbridas no Serviço de Aplicativo do Azure

Conexões Híbridas é um serviço no Azure e uma funcionalidade no Serviço de Aplicativo do Azure. Como um serviço, ele tem usos e recursos além dos usados no Serviço de Aplicativo. Para saber mais sobre Conexões Híbridas e seu uso fora do Serviço de Aplicativo do Azure, confira Conexões Híbridas da Retransmissão do Azure.

No Serviço de Aplicativo, as Conexões Híbridas podem ser usadas para acessar recursos de aplicativo em qualquer rede que possa fazer chamadas de saída para o Azure pela porta 443. As Conexões Híbridas fornecem acesso do aplicativo a um ponto de extremidade TCP. Ela não proporciona uma nova maneira de acessar seu aplicativo. Conforme usado no Serviço de Aplicativo, cada conexão híbrida se correlaciona com uma única combinação de host e de porta TCP.

Esse recurso permite que seus aplicativos acessem recursos em qualquer sistema operacional, desde que ele seja um ponto de extremidade TCP. O recurso Conexões Híbridas não sabe e nem se importa com o protocolo do aplicativo ou o que você está acessando. Ele apenas fornece acesso à rede.

Como ele funciona

As Conexões Híbridas exigem que um agente de retransmissão seja implantado, onde ele possa alcançar o ponto de extremidade desejado e o Azure. O agente de retransmissão, Gerenciador de Conexões Híbridas (HCM), chama o Retransmissão do Azure pela porta 443. No site do aplicativo Web, a infraestrutura do Serviço de Aplicativo também se conecta Retransmissão do Azure em nome do seu aplicativo. Por meio das conexões unidas, seu aplicativo é capaz de acessar o ponto de extremidade desejado. A conexão usa o protocolo TLS 1.2 para segurança e as chaves de SAS (Assinatura de Acesso Compartilhado) para autenticação e autorização.

Quando seu aplicativo faz uma solicitação DNS que corresponde a um ponto de extremidade de Conexão Híbrida configurado, o tráfego TCP de saída é redirecionado por meio da Conexão Híbrida.

Benefícios da Conexão Híbrida do Serviço de Aplicativo

Há muitos benefícios para a funcionalidade de Conexões Híbridas, incluindo:

• Os aplicativos podem acessar sistemas e serviços locais com segurança.
• O recurso não requer um ponto de extremidade acessível pela Internet.
• É rápido e fácil de configurar. Não precisa de gateways.
• Cada Conexão Híbrida corresponde a uma única combinação de host:porta, que é útil para segurança.
• Geralmente, ele não requer espaços do firewall. As conexões são todas de saídas por meio de portas padrão da Web.
• Como o recurso está no nível da rede, ele é agnóstico em relação à linguagem que seu aplicativo usa e a tecnologia que o ponto de extremidade usa.
• Ele pode ser usado para fornecer acesso em várias redes de um único aplicativo.
• Há suporte para ele na disponibilidade geral de aplicativos do Windows e do Linux. Não há suporte para Conexões Híbridas em contêineres personalizados do Windows.

Coisas que você não pode fazer com as Conexões Híbridas

Você não pode usar as Conexões Híbridas para:

• Monte uma unidade.
• Use UDP.
• Acesse serviços baseados em TCP que usam portas dinâmicas, como o Modo Passivo FTP ou o Modo Passivo Estendido.
• Suporte LDAP, porque pode exigir UDP.
• Dar suporte ao Active Directory, porque você não pode ingressar no domínio de um trabalho do Serviço de Aplicativo.

Adicionar e criar Conexões Híbridas em seu aplicativo

Para criar uma Conexão Híbrida no portal do Azure:

1. No Portal do Azure, selecione seu aplicativo. Selecione Configurações>Rede.

2. Ao lado de Conexões Híbridas, selecione o link Não configurado. Aqui você pode ver as conexões híbridas que são configuradas para seu aplicativo.

   

3. Para adicionar uma nova Conexão Híbrida, clique em Adicionar conexão híbrida. Você verá uma lista das Conexões Híbridas que você já criou. Para adicionar uma ou mais delas ao seu aplicativo, selecione as que você deseja e selecione Adicionar Conexão Híbrida selecionada.

   

Se desejar criar uma nova Conexão Híbrida, clique em Criar nova conexão híbrida. Especifique os seguintes valores:

• Nome da Conexão híbrida.
• Nome do host do ponto de extremidade.
• Porta do ponto de extremidade.
• O namespace do Barramento de Serviço que você deseja usar.

Toda Conexão Híbrida é vinculada a um namespace do Barramento de Serviço. Todo namespace do Barramento de Serviço está em uma região do Azure. Para evitar a latência de rede induzida, use um namespace do Barramento de Serviço na mesma região do seu aplicativo.

Se você desejar remover sua Conexão Híbrida do seu aplicativo, clique com o botão direito do mouse nele e selecione Desconectar.

Depois que uma Conexão Híbrida é adicionada ao seu aplicativo, basta clicar nela para ver seus detalhes.

Criar uma conexão híbrida no ARM/Bicep

Para criar uma Conexão Híbrida usando um modelo ARM/Bicep, adicione o recurso a seguir ao modelo existente. Você deve incluir o userMetadata para ter uma Conexão Híbrida válida. Se você não incluir o userMetadata, a Conexão Híbrida não funcionará. Se você criar a Conexão Híbrida no portal do Azure, essa propriedade será preenchida automaticamente para você.

A userMetadata propriedade deve ser uma representação de cadeia de caracteres de uma matriz JSON no formato [{/"key/": /"endpoint/", /"value/" : /"<HOST>:<PORT>/"}]. Para obter mais informações, consulte namespaces Microsoft.Relay/hybridConnections.

resource hybridConnection 'Microsoft.Relay/namespaces/hybridConnections@2024-01-01' = {
  parent: relayNamespace
  name: hybridConnectionName
  properties: {
    requiresClientAuthorization: true
    userMetadata: '[{/"key/": /"endpoint/", /"value/" : /"<HOST>:<PORT>/"}]'
  }
}

Criar uma Conexão Híbrida no portal da Retransmissão do Azure

Além da experiência do portal de dentro do seu aplicativo, você também pode criar Conexões Híbridas no portal da Retransmissão do Azure. Para uma Conexão Híbrida ser usada pelo Serviço de Aplicativo, ele deverá:

• Exigir autorização do cliente.
• Ter um item de metadados e um ponto de extremidade denominado que contém a combinação de host:porta como o valor.

Conexões Híbridas e Planos do Serviço de Aplicativo

As conexões híbridas do serviço de aplicativos estão disponíveis apenas nos SKUs de preços Básico, Padrão, Premium e Isolado. Conexões Híbridas não estão disponíveis para aplicativos de funções em planos de consumo. Há limites vinculados ao plano de preços.

A UI do plano de serviço do aplicativo mostra quantas conexões híbridas estão sendo usadas e por quais aplicativos.

Para ver os detalhes, selecione a Conexão Híbrida. Você pode ver todas as informações exibidas no modo de exibição do aplicativo. Você também pode ver quantos outros aplicativos no mesmo plano estão usando essa Conexão Híbrida.

Há um limite no número de pontos de extremidade da Conexão Híbrida que podem ser usados em um Plano do Serviço de Aplicativo. Toda Conexão Híbrida pode ser usada em qualquer quantidade de aplicativos no plano. Por exemplo, uma única Conexão Híbrida usada em cinco aplicativos separados em um Plano do Serviço de Aplicativo conta como uma Conexão Híbrida.

Preços

Além do requisito de SKU do plano do Serviço de Aplicativo, há um custo extra para usar as Conexões Híbridas. Há um preço para cada ouvinte usado que uma Conexão Híbrida usa. O ouvinte é o Gerenciador de Conexão híbrida. Se você tiver cinco Conexões Híbridas suportadas por dois Gerenciadores de Conexão Híbrida, haverá 10 ouvintes. Para obter mais informações, consulte Preços de Barramento de Serviço.

Gerenciador de Conexões Híbridas

O recurso Conexões Híbridas exige um agente de retransmissão na rede que hospeda o seu ponto de extremidade de Conexão Híbrida. Esse agente de retransmissão é chamado de HCM (Gerenciador de Conexão Híbrida). Para baixar o Gerenciador de Conexões Híbridas, siga as instruções do cliente.

Essa ferramenta é executada no Windows e no Linux. O Gerenciador de Conexões Híbridas é executado como um serviço e se conecta ao Azure Relay na porta 443. No Windows, a versão atual requer o Windows Server 2012 ou posterior, mas só dá suporte à interface da CLI no Windows Server 2012 (a GUI requer o Windows Server 2016 ou posterior). Uma versão herdada que dá suporte à GUI no Windows Server 2012 está disponível, mas não é recomendada - consulte a nota na seção de solução de problemas para obter detalhes.

Instruções de instalação

sudo apt update
sudo apt install tar gzip build-essential
sudo wget "https://download.microsoft.com/download/HybridConnectionManager-Linux.tar.gz"
sudo tar -xf HybridConnectionManager-Linux.tar.gz
cd HybridConnectionManager/
sudo chmod 755 setup.sh
sudo ./setup.sh

Para dar suporte às Conexões Híbridas com as quais ele está configurado, o Gerenciador de Conexões Híbridas requer:

• Acesso TCP ao Azure pela porta 443.
• Acesso TCP ao ponto de extremidade da Conexão Híbrida.
• Os clientes windows usam as portas 4999-5001 por padrão. Essas portas podem ser modificadas, se necessário.
• Os clientes Linux usam a porta 5001 por padrão. Essa porta pode ser modificada, se necessário.
• A capacidade de fazer pesquisas de DNS no host do ponto de extremidade e no namespace do Barramento de Serviço. Em outras palavras, o nome do host na conexão de retransmissão do Azure deve ser resolvido no computador que hospeda o Gerenciador de Conexões Híbridas.

Introdução à GUI do Gerenciador de Conexões Híbrida

Introdução à CLI do Gerenciador de Conexões Híbrida

Para usar o modo interativo com a CLI do Gerenciador de Conexões Híbridas, que permite exibir a assinatura do Azure e os detalhes da Conexão Híbrida, você precisa instalar e entrar na CLI do Azure. Para obter instruções de instalação, consulte Como instalar a CLI do Azure e selecione a opção apropriada para seu cliente. Depois de instalado, execute az login e siga as instruções para finalizar seu login.

Ao iniciar a CLI do Gerenciador de Conexões Híbridas, você pode executar hcm list para ver as Conexões Híbridas que já foram adicionadas.

Para adicionar conexões híbridas à CLI do Gerenciador de Conexões Híbridas:

1. Inicie a CLI do Gerenciador de Conexões Híbrida.

2. Execute hcm add e aguarde a conclusão da autenticação no Azure. Se você não tiver instalado e conectado à CLI do Azure, precisará concluir essa etapa primeiro para usar o modo interativo. Se você não quiser instalar a CLI do Azure, siga as instruções para adicionar manualmente uma Conexão Híbrida à CLI.

   

3. Escolha uma assinatura. O Gerenciador de Conexão Híbrida recupera todas as Conexões Híbridas nessa assinatura. Esta etapa pode levar até um minuto para ser concluída.

4. Selecione a Conexão Híbrida que você deseja que o Gerenciador de Conexões Híbridas retransmiti.

Execute hcm list para ver as Conexões Híbridas que você adicionou.

Você também pode mostrar os detalhes de uma Conexão Híbrida específica com o hcm show comando.

Configurar portas personalizadas

Por padrão, o Gerenciador de Conexões Híbridas usa as portas 4999-5001 no Windows e na porta 5001 no Linux. Você pode configurar portas personalizadas se as portas padrão não estiverem disponíveis ou se o ambiente exigir atribuições de porta diferentes.

Definir configurações do servidor proxy

Se você precisar definir as configurações do servidor proxy para o Gerenciador de Conexões Híbridas, edite a ProxySettings seção no appsettings.json arquivo localizado em:

• Windows: C:\ProgramData\HybridConnectionManager\
• Linux: /usr/share/HybridConnectionManager/

Depois de editar o arquivo de configuração, reinicie o serviço gerenciador de conexões híbridas para aplicar as novas configurações de proxy:

• Windows: Reinicie o serviço por meio dos Serviços no Menu Iniciar.
• Linux: Executar systemctl restart hybridconnectionmanager.service.

Configurar um servidor proxy roteia solicitações do Gerenciador de Conexões Híbridas por meio do servidor proxy selecionado antes de chegar ao destino. Verifique se o servidor proxy dá suporte ao tráfego HTTP/HTTPS e WebSocket pela porta 443 para que o Gerenciador de Conexões Híbridas possa se comunicar com a Retransmissão do Azure. Se o seu proxy for compatível com lista de permissões de DNS, permita *.servicebus.windows.net. Se você não puder usar um curinga, permita o nome de host do namespace de retransmissão específico e os nomes de host do gateway para esse namespace.

Redundância

Cada Gerenciador de Conexões Híbridas pode dar suporte a várias Conexões Híbridas. Vários Gerenciadores de Conexões Híbridas podem dar suporte a qualquer Conexão Híbrida. O comportamento padrão é rotear o tráfego entre os Gerenciadors de Conexões Híbridas configurados para qualquer ponto de extremidade determinado. Se você quiser alta disponibilidade em suas Conexões Híbridas de sua rede, execute vários Gerenciadores de Conexões Híbridas em computadores separados. O algoritmo de distribuição de carga usado pelo serviço de Retransmissão para distribuir o tráfego para os Gerenciadores de Conexões Híbridas é uma atribuição aleatória.

Adicionar uma Conexão Híbrida manualmente

Para permitir que alguém fora da sua assinatura hospede uma instância do Gerenciador de Conexões Híbridas para uma determinada Conexão Híbrida, compartilhe a cadeia de conexão de gateway para a Conexão Híbrida. Você pode ver a cadeia de conexão do gateway nas propriedades de Conexão Híbrida do Serviço de Aplicativo no portal do Azure. A cadeia de conexão do gateway está no formato Endpoint=sb://[NAMESPACE].servicebus.windows.net/;SharedAccessKeyName=defaultListener;SharedAccessKey=[KEY];EntityPath=[HYBRID-CONNECTION-NAME].

Para usar essa cadeia de caracteres na GUI do Gerenciador de Conexões Híbrida, selecione + Novo e Use Cadeia de Conexão e cole na cadeia de conexão do gateway.

Para usar essa cadeia de caracteres na CLI do Gerenciador de Conexões Híbrida, execute hcm add com a cadeia de conexão ou os detalhes do recurso conexão híbrida.

Atualizar

Adicionar uma Conexão Híbrida ao seu aplicativo programaticamente

Há suporte para a CLI do Azure nas Conexões Híbridas. Os comandos fornecidos operam no nível do aplicativo e do plano do Serviço de Aplicativo. Os comandos no nível do aplicativo são:

az webapp hybrid-connection

Group
    az webapp hybrid-connection : Methods that list, add and remove hybrid-connections from webapps.
        This command group is in preview. It may be changed/removed in a future release.
Commands:
    add    : Add a hybrid-connection to a webapp.
    list   : List the hybrid-connections on a webapp.
    remove : Remove a hybrid-connection from a webapp.

Os comandos do Plano do Serviço de Aplicativo permitem que você defina qual chave uma determinada conexão híbrida usará. Há duas chaves definidas em cada conexão híbrida, uma primária e uma secundária. Você pode optar por usar a chave primária ou secundária com os comandos a seguir. Essa opção permite que você alterne as chaves para quando quiser regenerar as chaves periodicamente.

az appservice hybrid-connection --help

Group
    az appservice hybrid-connection : A method that sets the key a hybrid-connection uses.
        This command group is in preview. It may be changed/removed in a future release.
Commands:
    set-key : Set the key that all apps in an appservice plan use to connect to the hybrid-
                connections in that appservice plan.

Proteja suas conexões híbridas

Qualquer usuário que tenha permissões suficientes na Retransmissão do Barramento de Serviço do Microsoft Azure pode adicionar uma Conexão Híbrida dessa retransmissão a outros Aplicativos Web do Serviço de Aplicativo. Para impedir que outras pessoas reutilizem essa mesma Conexão Híbrida, bloqueie o acesso à Retransmissão do Barramento de Serviço do Azure. Essa situação pode acontecer quando o recurso de destino é um serviço que não tem nenhuma outra medida de segurança em vigor para impedir o acesso não autorizado.

Qualquer pessoa com acesso de Reader à Retransmissão poderá ver a Conexão Híbrida se tentar adicioná-la ao aplicativo Web no portal do Azure. Ela não pode adicioná-la porque não têm permissões para recuperar a cadeia de conexão usada para estabelecer a conexão de retransmissão. Para adicionar a Conexão Híbrida, ela deve ter a permissão de listKeys (Microsoft.Relay/namespaces/hybridConnections/authorizationRules/listKeys/action). A função Contributor ou qualquer outra que inclua essa permissão na Retransmissão permitirá que os usuários usem a Conexão Híbrida para adicioná-la em seus Aplicativos Web.

Gerenciar suas Conexões Híbridas

Se precisar alterar o host ou a porta de um ponto de extremidade de uma Conexão Híbrida, siga estas etapas:

1. No Gerenciador de Conexões Híbridas, selecione a conexão para ver a janela de detalhes. Em seguida, selecione Remover.
2. No Portal do Azure, selecione seu aplicativo. Selecione Configurações>Rede.
3. Ao lado de Conexões híbridas, selecione o link Configurado.
4. Em Conexões híbridas, clique com o botão direito do mouse na conexão e selecione Desconectar.
5. Navegue até a Retransmissão do ponto de extremidade que você precisa atualizar. No menu de navegação, em Entidades, selecione Conexões híbridas em Entidades.
6. Selecione a Conexão Híbrida. No menu de navegação, em Configurações, selecione Propriedades.
7. Faça as alterações e selecione Salvar alterações.
8. Retorne às configurações de Conexões Híbridas do Serviço de Aplicativo e adicione a Conexão Híbrida novamente. Verifique se o ponto de extremidade está atualizado conforme o esperado. Se você não encontrar a Conexão Híbrida na lista, atualize-a em um intervalo de cinco a dez minutos.
9. Retorne ao Gerenciador de Conexões Híbridas no computador local e adicione a conexão novamente.

Solução de problemas

O status do Connected significa que pelo menos um Gerenciador de Conexões Híbridas está configurado com essa Conexão Híbrida e é capaz de alcançar o Azure. Se o status da Conexão Híbrida não disser Conectado, sua Conexão Híbrida não será configurada em nenhum Gerenciador de Conexões Híbridas que tenha acesso ao Azure. Quando o Gerenciador de Conexões Híbridas mostra Não Conectado, há algumas coisas para verificar:

• O seu host tem acesso de saída ao Azure na porta 443? Você pode testar no host do Gerenciador de Conexões Híbridas usando o comando Test-NetConnection Destination -P Portdo PowerShell.

• O Gerenciador de Conexões Híbridas está potencialmente em um estado ruim? Tente reiniciar o serviço local Serviço de Gerenciador de Conexões Híbridas do Azure.

• Você tem um software conflitante instalado? O Gerenciador de Conexões Híbridas não pode coexistir com o Gerenciador de Conexões Híbridas do Biztalk ou o Barramento de Serviço do Windows Server. Ao instalar o Gerenciador de Conexões Híbridas, você deve remover as versões desses pacotes primeiro.

• Você tem um firewall entre o host do Hybrid Connection Manager e o Azure? Nesse caso, permita o tráfego HTTPS e WebSocket de saída pela porta 443. Se o firewall der suporte à lista de permissões DNS, permita *.servicebus.windows.net, que é a configuração preferencial. Se você não puder usar um curinga, permita o nome do host do namespace de retransmissão e os nomes de host do gateway para esse namespace. Listas de permissões de IP não são recomendadas porque os endereços IP do gateway de retransmissão podem ser alterados.

  • Você pode encontrar a URL do endpoint do Service Bus na GUI do Gerenciador de Conexões Híbridas.

    

  • Você também pode encontrar a URL do ponto de extremidade do Barramento de Serviço na CLI do Gerenciador de Conexões Híbridas.

    

  • Os gateways do Service Bus são os recursos que aceitam o pedido na Ligação Híbrida e passam-no pela Retransmissão do Azure. Os nomes de host do gateway estão no formato G#-prod-[stamp]-sb.servicebus.windows.net e GV#-prod-[stamp]-sb.servicebus.windows.net. O sinal de número, #, é um número entre 0 e 127, e stamp é o nome da instância no datacenter do Azure onde o seu ponto de extremidade do Service Bus existe.

  • Se o firewall ou proxy der suporte à lista de permissões DNS, permita *.servicebus.windows.net. Essa abordagem é mais simples de manter e evita depender da alteração de endereços IP.

  • Se o seu firewall ou proxy não for compatível com regras de DNS curinga, permita o nome de host do namespace mostrado no Gerenciador de Conexões Híbridas e todos os nomes de host de gateway para esse namespace. Use nomes de host, não endereços IP.

    Você pode descobrir o selo usando nslookup na URL do ponto de extremidade do Barramento de Serviço.

    

    Neste exemplo, o selo é sn3-010. Se você precisar de regras DNS específicas do namespace em vez de *.servicebus.windows.net, permita o nome do host do namespace e os seguintes nomes de host do gateway:

    G0-prod-sn3-010-sb.servicebus.windows.net
    G1-prod-sn3-010-sb.servicebus.windows.net
    G2-prod-sn3-010-sb.servicebus.windows.net
    G3-prod-sn3-010-sb.servicebus.windows.net
    ...
    G126-prod-sn3-010-sb.servicebus.windows.net
    G127-prod-sn3-010-sb.servicebus.windows.net
    GV0-prod-sn3-010-sb.servicebus.windows.net
    GV1-prod-sn3-010-sb.servicebus.windows.net
    GV2-prod-sn3-010-sb.servicebus.windows.net
    GV3-prod-sn3-010-sb.servicebus.windows.net
    ...
    GV126-prod-sn3-010-sb.servicebus.windows.net
    GV127-prod-sn3-010-sb.servicebus.windows.net
    

Se seu status for Conectado, mas seu aplicativo não consegue alcançar o ponto de extremidade, então:

• Verifique se você está usando um nome DNS em sua Conexão Híbrida. Se você usar um endereço IP, a pesquisa de DNS de cliente necessária pode não acontecer. Se o cliente em execução em seu aplicativo Web não fizer uma pesquisa de DNS, a Conexão Híbrida não funcionará.
• Verifique se o nome DNS usado em sua Conexão Híbrida pode ser resolvido no host do Gerenciador de Conexões Híbridas. Verifique a resolução usando nslookup EndpointDNSname em que EndpointDNSname é uma combinação exata com o que é usado em sua definição de Conexão Híbrida.
• Teste o acesso do host do Gerenciador de Conexões Híbridas ao ponto de extremidade usando o comando Test-NetConnection EndpointDNSname -P Port do PowerShell. Se você não conseguir acessar o ponto de extremidade do host do Gerenciador de Conexões Híbridas, verifique os firewalls entre os dois hosts, incluindo firewalls baseados em host no host de destino.
• Se estiver usando o Serviço de Aplicativo no Linux, verifique se você não está usando localhost como seu host do ponto de extremidade. Em vez disso, use o nome do computador se você estiver tentando criar uma conexão com um recurso em seu computador local.

No Serviço de Aplicativo, a ferramenta de linha de comando tcpping pode ser invocada do console Ferramentas Avançadas (Kudu). Essa ferramenta pode informar se você tem acesso a um ponto de extremidade TCP, mas não diz se você tem acesso a um ponto de extremidade de Conexão Híbrida. Usar a ferramenta no console em relação a um ponto de extremidade de Conexão Híbrida apenas confirma que ele usa uma combinação host:porta.

Se você tiver um cliente de linha de comando para seu ponto de extremidade, poderá testar a conectividade no console do aplicativo. Por exemplo, você pode testar o acesso aos pontos de extremidade do servidor Web usando curl.

Para perguntas e suporte específicos para Conexões Híbridas do Serviço de Aplicativo e o Gerenciador de Conexões Híbridas do Serviço de Aplicativo, entre em contato hcmsupport@service.microsoft.com.