استخدام عوامل تصفية اتصال Azure IoT DPS IP

يعد الأمان جانبا مهما في أي حل لإنترنت الأشياء. في بعض الأحيان تحتاج إلى تحديد عناوين IP التي يمكن للأجهزة الاتصال منها بشكل صريح كجزء من تكوين الأمان الخاص بك. تمكنك ميزة عامل تصفية IP لخدمة توفير الأجهزة (DPS) Azure IoT Hub من تكوين قواعد لرفض نسبة استخدام الشبكة أو قبولها من عناوين IPv4 محددة.

وقت الاستخدام

هناك حالتان محددتان للاستخدام حيث يكون من المفيد حظر الاتصالات بنقطة نهاية DPS من عناوين IP معينة:

• يجب أن يتلقى DPS حركة المرور فقط من نطاق محدد من عناوين IP ويرفض كل شيء آخر. على سبيل المثال، أنت تستخدم DPS مع Azure Express Route لإنشاء اتصالات خاصة بين مثيل DPS وأجهزتك.

• تحتاج إلى رفض حركة المرور من عناوين IP التي تم تحديدها على أنها مشبوهة بواسطة مسؤول DPS.

قيود قواعد عامل تصفية IP

لاحظ القيود التالية إذا تم تمكين تصفية IP:

• قد لا تتمكن من استخدام مدخل Microsoft Azure لإدارة التسجيلات. في حالة حدوث هذا السيناريو، يمكنك إضافة عنوان IP لجهاز واحد أو أكثر إلى مثيل ipFilterRules DPS وإدارة التسجيلات في مثيل DPS من تلك الأجهزة التي تحتوي على Azure CLI أو PowerShell أو واجهات برمجة تطبيقات الخدمة.

  من المرجح أن يحدث هذا السيناريو عندما تريد استخدام تصفية IP للسماح بالوصول إلى عناوين IP المحددة فقط. في هذه الحالة، يمكنك تكوين قواعد لتمكين عناوين أو نطاقات عناوين معينة وقاعدة افتراضية تحظر جميع العناوين الأخرى (0.0.0.0/0). تمنع هذه القاعدة الافتراضية مدخل Microsoft Azure من تنفيذ عمليات مثل إدارة التسجيلات على مثيل DPS. لمزيد من المعلومات، راجع تقييم قاعدة عامل تصفية IP في هذه المقالة.

كيفية تطبيق قواعد التصفية

يتم تطبيق قواعد عامل تصفية IP على مستوى مثيل DPS. لذلك تنطبق قواعد عامل تصفية IP على جميع الاتصالات من الأجهزة والتطبيقات الخلفية التي تستخدم أي بروتوكول مدعوم.

تتلقى أي محاولة اتصال من عنوان IP يطابق قاعدة IP المرفوضة في مثيل DPS رمز ووصف حالة 401 غير مصرح به. لا تذكر رسالة الاستجابة قاعدة IP.

Important

يمكن أن يؤدي رفض عناوين IP إلى منع خدمات Azure الأخرى من التفاعل مع مثيل DPS.

الإعداد الافتراضي

بشكل افتراضي، يتم تعطيل تصفية IP ويتم تعيين الوصول إلى الشبكة العامة إلى جميع الشبكات. يعني هذا الإعداد الافتراضي أن DPS يقبل الاتصالات من أي عنوان IP، أو يتوافق مع قاعدة تقبل نطاق عناوين IP 0.0.0.0/0.

إضافة قاعدة عامل تصفية IP

لإضافة قاعدة عامل تصفية IP:

1. انتقل إلى مدخل Azure.

2. من قائمة البوابة الإلكترونية أو صفحة البوابة الإلكترونية، حدد جميع الموارد.

3. حدد مثيل خدمة توفير الجهاز.

4. في قائمة الخدمة، ضمن Settings، حدد Networking.

5. في جزء العمل، ضمن الوصول إلى الشبكة العامة، حدد نطاقات IP المحددة

6. حدد + إضافة قاعدة عامل تصفية IP.

   

7. املأ الحقول التالية:

   Field	Description
   Name	سلسلة أبجدية رقمية فريدة من نوعها وحساسة لحالة الأحرف يصل طولها إلى 128 حرفا. يتم قبول الأحرف الأبجدية الرقمية ASCII 7 بت plus {'-', ':', '/', '\', '.', '+', '%', '_', '#', '*', '?', '!', '(', ')', ',', '=', '@', ';', '''} فقط.
   نطاق العناوين	عنوان IPv4 واحد أو كتلة من عناوين IP في تدوين توجيه Inter-Domain بلا فئات (CIDR). على سبيل المثال، في CIDR يمثل الترميز 192.168.100.0/22 عناوين IPv4 1024 من 192.168.100.0 إلى 192.168.103.255.
   Action	حدد إما السماح أو الحظر.

   

8. حدد حفظ. من المفترض أن يظهر لك تنبيه يعلمك بأن التحديث قيد التقدم.

   

   Note

   + يتم تعطيل قاعدة إضافة عامل تصفية IP عند الوصول إلى الحد الأقصى البالغ 100 قاعدة عامل تصفية IP.

تحرير قاعدة عامل تصفية IP

لتحرير قاعدة موجودة:

1. حدد بيانات قاعدة عامل تصفية IP التي تريد تغييرها.

   

2. قم بإجراء التغيير.

3. حدد حفظ.

حذف قاعدة عامل تصفية IP

لحذف قاعدة عامل تصفية IP:

1. حدد أيقونة الحذف في صف قاعدة IP التي ترغب في حذفها.

   

2. حدد حفظ.

تقييم قاعدة عامل تصفية IP

يتم تطبيق قواعد عامل تصفية IP بالترتيب. تحدد القاعدة الأولى التي تطابق عنوان IP إجراء القبول أو الرفض.

على سبيل المثال، إذا كنت تريد قبول العناوين في النطاق 192.168.100.0/22 ورفض كل شيء آخر، فيجب أن تقبل القاعدة الأولى في الشبكة نطاق العناوين 192.168.100.0/22. يجب أن ترفض القاعدة التالية جميع العناوين باستخدام النطاق 0.0.0.0/0.

لتغيير ترتيب قواعد عامل تصفية IP:

1. حدد القاعدة التي تريد نقلها.

2. اسحب القاعدة وأفلتها في الموقع المطلوب.

3. حدد حفظ.

تحديث قواعد تصفية IP باستخدام قوالب Azure Resource Manager

هناك طريقتان يمكنك من خلالهما تحديث عامل تصفية DPS IP:

1. استدعاء أسلوب واجهة برمجة تطبيقات REST لمورد IoT Hub. لمعرفة كيفية تحديث قواعد عامل تصفية IP باستخدام REST، راجع IpFilterRule قسم التعريفات في IoT Hub Resource - Update.

2. استخدم قوالب Azure Resource Manager. لمزيد من المعلومات حول كيفية استخدام قوالب Resource Manager، راجع ما هي قوالب ARM؟. توضح لك الأمثلة التالية كيفية إنشاء قواعد تصفية DPS IP وتحريرها وحذفها باستخدام قوالب Azure Resource Manager.

   Note

   لا يدعم Azure CLI وAzure PowerShell حاليا تحديثات قواعد تصفية IP DPS.

إضافة قاعدة عامل تصفية IP

ينشئ مثال القالب التالي قاعدة عامل تصفية IP جديدة باسم "AllowAll" تقبل جميع نسبة استخدام الشبكة.

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#", 
    "contentVersion": "1.0.0.0", 
    "parameters": {
        "iotDpsName": {
            "type": "string",
            "defaultValue": "[resourceGroup().name]",
            "minLength": 3,
            "metadata": {
                "description": "Specifies the name of the IoT DPS service."
            }
        }, 
        "location": {
            "type": "string",
            "defaultValue": "[resourceGroup().location]",
            "metadata": {
                "description": "Location for Iot DPS resource."
            }
        }        
    }, 
    "variables": {
        "iotDpsApiVersion": "2020-01-01"
    }, 
    "resources": [
        {
            "type": "Microsoft.Devices/provisioningServices",
            "apiVersion": "[variables('iotDpsApiVersion')]",
            "name": "[parameters('iotDpsName')]",
            "location": "[parameters('location')]",
            "sku": {
                "name": "S1",
                "tier": "Standard",
                "capacity": 1
            },
            "properties": {
                "IpFilterRules": [
                    {
                        "FilterName": "AllowAll",
                        "Action": "Accept",
                        "ipMask": "0.0.0.0/0"
                    }
                ]
            }            
        }
    ]
}

قم بتحديث سمات قاعدة عامل تصفية IP للقالب بناء على متطلباتك.

Attribute	Description
FilterName	أدخل اسما لقاعدة عامل تصفية IP. يجب أن تكون هذه القيمة سلسلة أبجدية رقمية فريدة وحساسة لحالة الأحرف يصل طولها إلى 128 حرفا. يتم قبول الأحرف الأبجدية الرقمية ASCII 7 بت plus {'-', ':', '/', '\', '.', '+', '%', '_', '#', '*', '?', '!', '(', ')', ',', '=', '@', ';', '''} فقط.
Action	القيم المقبولة هي قبول أو رفض كإجراء لقاعدة عامل تصفية IP.
ipMask	قم بتوفير عنوان IPv4 واحد أو كتلة من عناوين IP في تدوين CIDR. على سبيل المثال، في CIDR يمثل الترميز 192.168.100.0/22 عناوين IPv4 1024 من 192.168.100.0 إلى 192.168.103.255.

تحديث قاعدة عامل تصفية IP

يقوم مثال القالب التالي بتحديث قاعدة عامل تصفية IP المسماة "AllowAll"، الموضحة سابقا، لرفض جميع نسبة استخدام الشبكة.

{ 
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",  
    "contentVersion": "1.0.0.0",  
    "parameters": { 
        "iotDpsName": { 
            "type": "string", 
            "defaultValue": "[resourceGroup().name]", 
            "minLength": 3, 
            "metadata": { 
                "description": "Specifies the name of the IoT DPS service." 
            } 
        },  
        "location": { 
            "type": "string", 
            "defaultValue": "[resourceGroup().location]", 
            "metadata": { 
                "description": "Location for Iot DPS resource." 
            } 
        }        
    },  
    "variables": { 
        "iotDpsApiVersion": "2020-01-01" 
    },  
    "resources": [ 
        { 
            "type": "Microsoft.Devices/provisioningServices", 
            "apiVersion": "[variables('iotDpsApiVersion')]", 
            "name": "[parameters('iotDpsName')]", 
            "location": "[parameters('location')]", 
            "sku": { 
                "name": "S1", 
                "tier": "Standard", 
                "capacity": 1 
            }, 
            "properties": { 
                "IpFilterRules": [ 
                    { 
                        "FilterName": "AllowAll", 
                        "Action": "Reject", 
                        "ipMask": "0.0.0.0/0" 
                    } 
                ] 
            }             
        } 
    ] 
}

حذف قاعدة عامل تصفية IP

يحذف مثال القالب التالي جميع قواعد تصفية IP لمثيل DPS.

{ 
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",  
    "contentVersion": "1.0.0.0",  
    "parameters": { 
        "iotDpsName": { 
            "type": "string", 
            "defaultValue": "[resourceGroup().name]", 
            "minLength": 3, 
            "metadata": { 
                "description": "Specifies the name of the IoT DPS service." 
            } 
        },  
        "location": { 
            "type": "string", 
            "defaultValue": "[resourceGroup().location]", 
            "metadata": { 
                "description": "Location for Iot DPS resource." 
            } 
        }        
    },  
    "variables": { 
        "iotDpsApiVersion": "2020-01-01" 
    },  
    "resources": [ 
        { 
            "type": "Microsoft.Devices/provisioningServices", 
            "apiVersion": "[variables('iotDpsApiVersion')]", 
            "name": "[parameters('iotDpsName')]", 
            "location": "[parameters('location')]", 
            "sku": { 
                "name": "S1", 
                "tier": "Standard", 
                "capacity": 1 
            }, 
            "properties": { 
            }             
        } 
    ] 
}

الخطوات التالية

لمزيد من الاستكشاف لإدارة DPS، راجع:

• عناوين IP لخدمة توفير الأجهزة
• التشغيل السريع: إعداد خدمة توفير جهاز IoT Hub باستخدام Azure CLI
• التحكم في الوصول إلى خدمة توفير الأجهزة Azure IoT Hub (DPS) باستخدام توقيعات الوصول المشتركة والرموز المميزة للأمان