你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
Azure 托管实例 for Apache Cassandra 需要某些网络规则才能正确管理服务。 通过确保公开了适当的规则，可以保护服务的安全并防止操作问题。
警告
对现有群集的防火墙规则应用更改时，请谨慎行事。 例如，如果规则未正确应用，则它们可能不会应用于现有连接，因此防火墙更改似乎没有导致任何问题。 但是，Azure 托管实例 for Apache Cassandra 节点的自动更新后续可能会失败。 监视任何主要防火墙更新一段时间后的连接，以确保没有任何问题。
虚拟网络服务标记
如果使用 虚拟专用网络（VPN），则无需打开任何其他连接。
如果使用Azure 防火墙来限制出站访问，强烈建议使用虚拟网络服务标记。 下表中的标记是适用于 Apache Cassandra 的 Azure SQL 托管实例正常运行所必需的。
| 目标服务标记 | 协议 | 端口 | 使用 |
|---|---|---|---|
Storage |
HTTPS | 443 | 这是节点与 Azure 存储服务之间进行安全通信以及进行控制平面通信和配置所必需的。 |
AzureKeyVault |
HTTPS | 443 | 是节点与 Azure 密钥保管库 之间安全通信所必需的。 证书和密钥用于保护群集内部的通信安全。 |
EventHub |
HTTPS | 443 | 需要将日志转发到Azure。 |
AzureMonitor |
HTTPS | 443 | 需要将指标转发到Azure。 |
AzureActiveDirectory |
HTTPS | 443 | Microsoft Entra 身份验证需要此项。 |
AzureResourceManager |
HTTPS | 443 | 需要用于收集有关 Cassandra 节点的信息并对其进行管理（例如重启节点）。 |
AzureFrontDoor.Firstparty |
HTTPS | 443 | 日志记录操作所必需。 |
GuestAndHybridManagement |
HTTPS | 443 | 需要用于收集有关 Cassandra 节点的信息并对其进行管理（例如重启节点）。 |
ApiManagement |
HTTPS | 443 | 需要用于收集有关 Cassandra 节点的信息并对其进行管理（例如重启节点）。 |
除了标记表，还需要添加以下地址前缀，因为相关服务不存在服务标记：
- 104.40.0.0/13
- 13.104.0.0/14
- 40.64.0.0/10
用户定义路由
如果使用非Microsoft防火墙来限制出站访问，强烈建议为Microsoft地址前缀配置用户定义的路由（UDR），而不是尝试允许通过自己的防火墙进行连接。 若要在 UDR 中添加所需的地址前缀，请参阅 示例 Bash 脚本。
Azure 全球所需网络规则
下表列出了所需的网络规则和 IP 地址依赖项。
| 目标终结点 | 协议 | 端口 | 使用 |
|---|---|---|---|
snovap<region>.blob.core.windows.net:443
或 ServiceTag - Azure 存储 |
HTTPS | 443 | 这是节点与 Azure 存储服务之间进行安全通信以及进行控制平面通信和配置所必需的。 |
*.store.core.windows.net:443
或 ServiceTag - Azure 存储 |
HTTPS | 443 | 这是节点与 Azure 存储服务之间进行安全通信以及进行控制平面通信和配置所必需的。 |
*.blob.core.windows.net:443
或 ServiceTag - Azure 存储 |
HTTPS | 443 | 对于在节点与 Azure 存储之间进行安全通信以存储备份是必需的。 备份功能正在修订中，存储名称的命名模式将在正式发布后公布。 |
vmc-p-<region>.vault.azure.net:443
（仅适用于阿联酋北部： vmc-pame-uaenorth.vault.azure.net:443或 ServiceTag - Azure 密钥保管库 |
HTTPS | 443 | 是节点与 Azure 密钥保管库 之间安全通信所必需的。 证书和密钥用于保护群集内部的通信安全。 |
issuer.pki.azure.com:443- Azure证书管理服务 |
HTTPS | 443 | 证书颁发和续订需要用到它。 确保任何适用的 NSG、防火墙、路由表或代理配置都允许此出站访问。 |
management.azure.com:443
或 ServiceTag - Azure 虚拟机规模集/Azure 管理 API |
HTTPS | 443 | 需要用于收集有关 Cassandra 节点的信息并对其进行管理（例如重启节点）。 |
*.servicebus.windows.net:443
或 ServiceTag - Azure 事件中心 |
HTTPS | 443 | 需要将日志转发到Azure。 |
jarvis-west.dc.ad.msft.net:443
或 ServiceTag - Azure Monitor |
HTTPS | 443 | 需要将指标转发到Azure。 |
login.microsoftonline.com:443
或 ServiceTag - Microsoft Entra ID |
HTTPS | 443 | Microsoft Entra 身份验证需要此项。 |
packages.microsoft.com |
HTTPS | 443 | 需要更新Azure安全扫描程序定义和签名。 |
azure.microsoft.com |
HTTPS | 443 | 获取有关虚拟机规模集的信息所必需的。 |
<region>-dsms.dsms.core.windows.net |
HTTPS | 443 | 用于日志记录的证书。 |
gcs.prod.monitoring.core.windows.net |
HTTPS | 443 | 日志记录所需的日志记录终结点。 |
global.prod.microsoftmetrics.com |
HTTPS | 443 | 指标所必需的。 |
shavsalinuxscanpkg.blob.core.windows.net |
HTTPS | 443 | 需要下载/更新安全扫描程序。 |
crl.microsoft.com |
HTTPS | 443 | 访问 Microsoft 公共证书所必需的。 |
global-dsms.dsms.core.windows.net |
HTTPS | 443 | 访问 Microsoft 公共证书所必需的。 |
*.warm.ingest.monitor.core.windows.net |
HTTPS | 443 | 日内瓦接入网关 — Azure 安全包安全遥测数据上传 |
*.pki.core.windows.net |
HTTPS | 443 | Microsoft PKI CDN — 针对 Microsoft 签发的平台证书进行的 CRL/AIA 撤销检查 |
DNS 访问
系统使用域名系统（DNS）名称访问本文中所述的Azure服务，以便其可以使用负载均衡器。 因此，虚拟网络必须运行可以解析这些地址的 DNS 服务器。 虚拟网络中的虚拟机遵循通过动态主机配置协议进行通信的名称服务器。
在大多数情况下，Azure 会自动为虚拟网络设置一个 DNS 服务器。 如果你的方案中未发生此操作，本文中所述的 DNS 名称是入门的一个很好的指南。
内部端口使用情况
以下端口只能在虚拟网络（或对等互连的虚拟网络/快速路由）中访问。 适用于 Apache Cassandra 的 Azure 托管实例 实例没有公共 IP，不应在 Internet 上访问。
| 端口 | 使用 |
|---|---|
| 8443 | 内部。 |
| 9443 | 内部。 |
| 7001 | 流言协议：Cassandra 节点用来相互通信。 |
| 9042 | Cassandra：客户端用来连接到 Cassandra。 |
| 7199 | 内部。 |
相关内容
本文介绍了正确管理服务的网络规则。 请参阅以下文章详细了解 Azure SQL 托管实例 for Apache Cassandra：