为高级 Azure Cache for Redis 实例配置虚拟网络 (VNet) 支持

Azure 虚拟网络部署提供增强的安全性和隔离性，并提供子网、访问控制策略以及其他用来进一步限制访问的功能。 当 Azure Cache for Redis 实例配置有虚拟网络时，它不可公开寻址。 相反，只能从虚拟网络中的虚拟机和应用程序访问实例。 本文说明如何为高级层 Azure Cache for Redis 实例配置虚拟网络支持。

VNet 注入的限制

• 创建和维护虚拟网络配置通常容易出错。 故障排除也非常具有挑战性。 不正确的虚拟网络配置可能会导致问题：
  • 缓存实例的阻塞指标传输
  • 副本节点无法从主节点复制数据
  • 可能丢失数据
  • 管理操作（如缩放）失败
  • 间歇性或完全性的 SSL/TLS 故障
  • 未能应用更新，包括重要的安全性和可靠性改进
  • 在最严重的情况下，会失去可用性
• 使用 VNet 注入缓存时，必须使 VNet 保持更新，以允许访问缓存依赖项，例如证书吊销列表、公钥基础结构、Azure 密钥保管库、Azure 存储、Azure Monitor 等。
• VNet 注入的缓存仅适用于高级层 Azure Cache for Redis，不适用于其他层。
• 无法将现有的 Azure Cache for Redis 实例注入虚拟网络。 创建缓存时必须选择此选项。
• Azure 门户不支持在资源创建期间配置 VNET 注入

设置虚拟网络支持

请参阅 az redis create。

Azure Cache for Redis 虚拟网络常见问题解答

以下列表包含有关 Azure Cache for Redis 网络功能的常见问题解答。

• Azure Cache for Redis 和虚拟网络有哪些常见的配置错误问题？
• 如何验证我的缓存在虚拟网络中是否正常工作？
• 尝试连接到虚拟网络中的 Azure Cache for Redis 实例时，为何会收到一个指出远程证书无效的错误？
• 是否可以将虚拟网络与标准或基本缓存一起使用？
• 为什么在某些子网中创建 Azure Cache for Redis 实例会失败，而在其他子网中不会失败？
• 子网地址空间的要求是什么？
• 能否将虚拟网络对等互连到缓存？
• 已启用 Azure Lighthouse 的缓存是否支持 VNet 注入？
• 当缓存承载在虚拟网络中时，是否所有缓存功能都可以使用？
• 已启用 Azure Lighthouse 的缓存是否支持 VNet 注入？

Azure Cache for Redis 和虚拟网络有哪些常见的配置错误问题？

当 Azure Cache for Redis 承载在虚拟网络中时，将使用下述表中的端口。

• 出站端口要求
• 入站端口要求

出站端口要求

Azure Cache for Redis 存在一些网络连接要求，以便与缓存正常运行所需的其他依赖关系服务进行出站连接，甚至在 Redis 子网内部进行节点间通信。

¹ 可以将服务标记 AzureKeyVault 和 AzureMonitor 用于资源管理器网络安全组 (NSG)。

² Microsoft 拥有的这些 IP 地址用于对为 Azure DNS 提供服务的主机 VM 进行寻址。

³ 如果子网不包含自定义 DNS 服务器或不采用忽略自定义 DNS 的较新 Redis 缓存，则不需要此信息。

⁴ 有关详细信息，请参阅其他虚拟网络连接要求。

异地复制对等端口要求

如果在 Azure 虚拟网络中的缓存之间使用异地复制：a) 在入站和出站方向为整个子网取消阻止端口 15000-15999，b) 对两个缓存使用。 使用此配置时，子网中的所有副本组件都可以直接相互通信，即使将来发生异地故障转移。

入站端口要求

入站端口范围有八个要求。 这些范围中的入站请求是从同一虚拟网络中托管的其他服务入站的入站请求。 或者是相对于 Redis 子网通信而言的内部请求。

¹ 可以使用服务标记 AzureLoadBalancer（用于资源管理器）或 AZURE_LOADBALANCER（用于经典部署模型）来创作 NSG 规则。

其他虚拟网络连接要求

Azure Cache for Redis 存在一些网络连接要求，以便与缓存正常运行所需的其他依赖关系服务进行出站连接，甚至在 Redis 子网内部进行节点间通信。

在虚拟网络中使用时，Azure Cache for Redis 需要以下所有出站连接项才能正常运行：

• 虚拟网络的 DNS 配置必须能够解析前面表项所提到的所有终结点和域。 确保已针对虚拟网络配置并维护有效的 DNS 基础结构即可符合这些 DNS 要求。

如何验证我的缓存在虚拟网络中是否可以正常使用？

根据上一部分所述配置端口要求后，在大多数情况下需要重新启动以确保更改正确反映。 否则，可能会遇到一些连接问题。 可以按照以下步骤验证缓存是否正常工作：

• 重新启动所有缓存节点。 如果无法访问所有所需的缓存依赖项（如入站端口需求和出站端口需求中所述），缓存将无法成功重启。
• 重启缓存节点后（由 Azure 门户中的缓存状态报告），可执行以下测试：

  • 使用 tcping，从缓存所在的虚拟网络中的某台计算机对缓存终结点发出 ping 命令（使用端口 6380）。 例如：

    tcping.exe contosocache.redis.cache.chinacloudapi.cn 6380

    如果 tcping 工具报告端口已打开，则可从虚拟网络中的客户端连接缓存。

  • 进行测试的另一种方法：创建测试缓存客户端，使其连接到缓存，以便添加和检索缓存的某些项。 测试缓存客户端可以是使用 StackExchange.Redis 的控制台应用程序。 将示例客户端应用程序安装到缓存所在虚拟网络中的一个 VM 上。 然后运行它来验证与缓存的连接。

尝试连接到虚拟网络中的 Azure Cache for Redis 实例时，为何会收到一个指出远程证书无效的错误？

尝试连接到虚拟网络中的 Azure Cache for Redis 实例时，你会看到类似于以下内容的证书验证错误：

{"No connection is available to service this operation: SET mykey; The remote certificate is invalid according to the validation procedure.; …"}

这可能是因为你在通过 IP 地址来连接主机。 建议使用主机名。 换而言之，请使用以下字符串：

[mycachename].redis.cache.chinacloudapi.cn:6380,password=xxxxxxxxxxxxxxxxxxxx,ssl=True,abortConnect=False

避免使用类似于以下连接字符串的 IP 地址：

10.128.2.84:6380,password=xxxxxxxxxxxxxxxxxxxx,ssl=True,abortConnect=False

如果无法解析 DNS 名称，则可使用某些客户端库包括的 sslHost（由 StackExchange.Redis 客户端提供）之类的配置选项。 此选项允许你替代用于证书验证的主机名。 例如：

10.128.2.84:6380,password=xxxxxxxxxxxxxxxxxxxx,ssl=True,abortConnect=False;sslHost=[mycachename].redis.cache.chinacloudapi.cn

此外，如果托管 Azure Cache for Redis 的子网阻止通过端口 80 进行 TCP 出站连接以支持 SSL/TLS 功能，则客户端可能会遇到间歇性 TLS 证书验证错误。

是否可以将虚拟网络与标准或基本缓存一起使用？

虚拟网络只能与高级层缓存一起使用。

为什么在某些子网中创建 Azure Cache for Redis 实例会失败，而在其他子网中不会失败？

如果要将 Azure Cache for Redis 实例部署到虚拟网络，则缓存必须位于不包含其他资源类型的专用子网中。 如果尝试将 Azure Cache for Redis 实例部署到包含其他资源（例如 Azure 应用程序网关实例和出站 NAT）的资源管理器虚拟网络子网，则部署通常会失败。 先删除其他类型的现有资源，然后再创建新的 Azure Cache for Redis 实例。

子网中还必须有足够的可用 IP 地址。

子网地址空间的要求是什么？

Azure 会保留每个子网中的某些 IP 地址，不可以使用这些地址。 子网的第一个和最后一个 IP 地址仅为协议一致性而保留，其他三个地址用于 Azure 服务。 有关详细信息，请参阅使用这些子网中的 IP 地址是否有任何限制？

除了 Azure 虚拟网络基础结构使用的 IP 地址外，子网中的每个 Azure Redis 缓存实例每个群集分片使用两个 IP 地址，如果有更多副本，还将使用额外的 IP 地址。 为负载均衡器使用另外一个 IP 地址。 非群集缓存被视为包含一个分片。

能否将虚拟网络对等互连到缓存？

如果虚拟网络位于同一区域，则可以使用虚拟网络对等互连或 VPN 网关 VNET 到 VNET 连接来连接虚拟网络。

如果对等互连的 Azure 虚拟网络位于不同的区域：由于基本负载均衡器的约束，区域 1 中的客户端 VM 无法通过其负载均衡的 IP 地址访问区域 2 中的缓存。 也就是说，除非它是具有标准负载均衡器的缓存（当前仅使用可用性区域创建的缓存）。

有关虚拟网络对等互连约束的详细信息，请参阅“虚拟网络 - 对等互连 - 要求和约束”。 一种解决方案是使用 VPN 网关 VNET 到 VNET 连接，而不是虚拟网络对等互连。

当缓存承载在虚拟网络中时，是否所有缓存功能都可以使用？

如果缓存是虚拟网络的一部分，则只有虚拟网络中的客户端可以访问缓存。 因此，以下缓存管理功能目前无法使用。

• Redis 控制台：由于 Redis 控制台在本地浏览器中运行（通常在未连接到虚拟网络的开发人员计算机上），因此它无法连接到缓存。

已启用 Azure Lighthouse 的缓存是否支持 VNet 注入？

否，如果你的订阅已启用 Azure Lighthouse，则无法在 Azure Cache for Redis 实例上使用 VNet 注入。 请改用专用链接。

将 ExpressRoute 与 Azure Redis 缓存配合使用

客户可以将 Azure ExpressRoute 线路连接到其虚拟网络基础结构。 通过这种方式，可以将本地网络扩展到 Azure。

默认情况下，新创建的 ExpressRoute 线路不会在虚拟网络上使用强制隧道（播发一个默认的路由，即 0.0.0.0/0）。 因此，可以直接从虚拟网络建立出站 Internet 连接。 客户端应用程序可以连接到包括 Azure Cache for Redis 实例在内的其他 Azure 终结点。

常见的客户配置是使用强制隧道（播发默认路由），以强制出站 Internet 流量改为流向本地。 如果接下来出站流量在本地遭到阻止，此通信流会断开与 Azure Cache for Redis 的连接，这样 Azure Cache for Redis 实例就无法与其依赖项通信。

解决方法是在包含 Azure Cache for Redis 实例的子网上定义一个或多个用户定义的路由 (UDR)。 UDR 定义的路由是特定于子网的，优先于默认路由。

如果可以，请使用以下配置：

• ExpressRoute 配置会播发 0.0.0.0/0 并默认使用强制隧道将所有出站流量发送到本地。
• 应用于包含 Azure Cache for Redis 实例的子网的 UDR 使用公共 Internet 的 TCP/IP 流量工作路由来定义 0.0.0.0/0。 例如，它可以将下一跃点类型设置为“internet”。

这些步骤的组合效应是子网级 UDR 优先于 ExpressRoute 强制隧道，并可确保从 Azure Cache for Redis 实例进行出站 Internet 访问。

由于性能方面的原因，使用 ExpressRoute 从本地应用程序连接到 Azure Cache for Redis 实例不是典型的使用方案。 为获得最佳性能，应将 Azure Cache for Redis 客户端与 Azure Cache for Redis 实例置于同一区域中。

虚拟网络流量路由中提供了有关 UDR 的背景信息。

有关 ExpressRoute 的详细信息，请参阅 ExpressRoute 技术概述。

相关内容

了解有关 Azure Cache for Redis 功能的详细信息。

• Azure Cache for Redis 高级服务层