Конечные точки с поддержкой двойного стека IPv6 в Реестр контейнеров Azure (предварительная версия)

Реестр контейнеров Azure поддерживает протокол двухстековых конечных точек IPv6, который находится в предварительной версии. Если для протокола конечной точки реестра задано значение IPv4AndIPv6, конечные точки этого реестра доступны как по IPv4, так и по IPv6, поэтому клиенты в сетях только с IPv4, с двойным стеком и с поддержкой IPv6 могут проходить проверку подлинности, отправлять и скачивать данные с одним и тем же реестром.

Important

Конечные точки с двойным стеком IPv6 в настоящее время доступны в предварительной версии. Эта предварительная версия включает IPv6 только для общедоступных конечных точек реестра (сервер входа, выделенные конечные точки данных и региональные конечные точки). IPv6 через частные конечные точки не поддерживается; Трафик частной конечной точки продолжает использовать IPv4. Задачи ACR не поддерживаются в реестре с поддержкой двойного стека IPv6. Задачи не работают, если в качестве протокола конечной точки задано IPv4AndIPv6, включая быстрые сборки (с az acr build) и быстрые запуски задач (с az acr run).

Почему конечные точки с двойным стеком IPv6

Команды используют IPv6 для трафика реестра контейнеров по нескольким причинам:

  • Сети только с IPv6 и с двойным стеком. Клиенты в сетях, которые предпочитают или требуют IPv6, включая новые облачные сетевые развертывания, среды telco и IoT, а также модернизировать корпоративные сети, нуждаются в доступе к реестру контейнеров по протоколу IPv6.
  • Защита от исчерпания IPv4-адресов. Организации, перенесенные на IPv6, снижают зависимость от все более скудного адресного пространства IPv4.
  • Нормативные и организационные мандаты. Некоторые организации работают в соответствии с требованиями к переходу служб и клиентов на IPv6.

Модель двойного стека означает, что вам не нужно выбирать: реестр продолжает обслуживать клиенты IPv4, а также обслуживать клиенты IPv6.

Значения протокола конечной точки

Протокол конечной точки — это параметр уровня реестра с двумя значениями:

Протокол конечной точки Behavior
IPv4 (по умолчанию) Конечные точки реестра доступны только по протоколу IPv4.
IPv4AndIPv6 (предварительная версия) Конечные точки реестра доступны как по протоколу IPv4, так и по протоколу IPv6 (двойной стек).

Нет режима только IPv6. Двойной стек сохраняет совместимость с существующими клиентами IPv4.

Необходимые условия

  • Реестр в PremiumSKU.
  • Выделенные конечные точки данных включены в реестре. Чтобы задать протокол конечной точки как IPv4AndIPv6, требуется, чтобы dataEndpointEnabled было true. Это требование применяется службой.
  • Azure CLI версии 2.87.0 или более поздней версии для az acr update --endpoint-protocol. Запустите az version, чтобы проверить версию, и az upgrade, чтобы обновить.

Включение конечных точек двойного стека в существующем реестре

Включите выделенные конечные точки данных и задайте протокол конечной точки в одном обновлении:

az acr update --name myregistry --data-endpoint-enabled true --endpoint-protocol IPv4AndIPv6

Если выделенные конечные точки данных уже включены в реестре, можно настроить протокол конечной точки самостоятельно:

az acr update --name myregistry --endpoint-protocol IPv4AndIPv6

Проверьте конфигурацию:

az acr show --name myregistry --query "{endpointProtocol:endpointProtocol, dataEndpointEnabled:dataEndpointEnabled}"

Пример выходных данных:

{
  "dataEndpointEnabled": true,
  "endpointProtocol": "IPv4AndIPv6"
}

Возврат к конечным точкам только для IPv4

Чтобы вернуть реестр к использованию только точек подключения IPv4:

az acr update --name myregistry --endpoint-protocol IPv4

Отмена протокола конечной точки не отключает выделенные конечные точки данных. Чтобы отключить и их, запустите az acr update --name myregistry --data-endpoint-enabled false после того, как вернёте протокол конечной точки к IPv4.

Рекомендации по брандмауэру и сети

  • Правила брандмауэра на основе FQDN продолжают работать без изменений. Правила, позволяющие серверу входа реестра (myregistry.azurecr.io), выделенным конечным точкам данных (myregistry.<region>.data.azurecr.io) и региональным конечным точкам (myregistry.<region>.geo.azurecr.ioпри включении) применяться независимо от протокола.
  • Списки разрешений на основе IP-адресов должны учитывать IPv6. Если брандмауэр клиента разрешает доступ к реестру по диапазонам IP-адресов вместо полных доменных имен, трафик клиента IPv6 к реестру требует соответствующих правил IPv6.
  • Выделенные конечные точки для данных являются частью двухстековой модели. Так как для двухстековой конфигурации требуются выделенные конечные точки данных, загрузка больших двоичных объектов слоёв выполняется через myregistry.<region>.data.azurecr.io, а не через *.blob.core.windows.net. Если вы впервые включаете выделенные конечные точки данных в рамках перехода на dual-stack, перед включением ознакомьтесь с разделом Выделенные конечные точки данных, чтобы оценить влияние на клиентский брандмауэр.

Подробная информация приведена в статье Настройка правил для доступа к реестру контейнеров Azure за брандмауэром.

Взаимодействие с другими функциями реестра

Функция Взаимодействие с IPv4AndIPv6
Выделенные конечные точки данных Required. Служба отклоняет IPv4AndIPv6 , если dataEndpointEnabled не существует true.
Артикул Требуется номер SKU уровня "Премиум", так как выделенные конечные точки данных являются функцией "Премиум".
Geo-replication Протокол конечной точки — это параметр уровня реестра. В геореплицированном реестре выделенные конечные точки данных существуют в каждом регионе реплики.
Приватные конечные точки Этот endpointProtocol параметр применяется к общедоступным конечным точкам реестра. IPv6 через частные конечные точки не входит в эту предварительную версию.
Задачи ACR Не поддерживается. Задачи не работают, если для протокола конечной точки указан IPv4AndIPv6, включая быстрые сборки (с az acr build) и быстрые запуски задач (с az acr run).

Дальнейшие действия

  • Last updated on