Sdílet prostřednictvím

Implementace vzoru pro zabezpečené příchozí přenosy dat sítě

  • Článek

Zabezpečení sítě zapouzdřuje několik vzorů návrhu, včetně vzorů globálního směrování, globálního snižování zátěže a monitorování koncových bodů stavu. Vzorovou implementaci v tomto článku můžete použít jako bránu pro jakoukoli úlohu HTTP nebo HTTPS, která vyžaduje vysokou dostupnost nebo spolehlivost tím, že poskytuje zabezpečené globální směrování do úloh v různých oblastech s převzetím služeb při selhání s nízkou latencí.

Video: Implementace zabezpečeného příchozího přenosu dat v síti

Požadavky na vzor

Tento článek popisuje tři požadavky, které implementace vzoru pro zabezpečení příchozího přenosu dat sítě se zaměřuje na globální směrování, převzetí služeb při selhání s nízkou latencí a zmírnění útoků na hraničních zařízeních.

Globální směrování

Vzor zabezpečení příchozího přenosu dat sítě zapouzdřuje globální model směrování. Implementace může například směrovat požadavky na úlohy v různých oblastech.

Diagram znázorňující požadavek HTTPS směrovaný na dvě úlohy v různých oblastech

Převzetí služeb při selhání s nízkou latencí

Implementace musí být schopná identifikovat úlohy, které jsou v pořádku a nejsou v pořádku, a odpovídajícím způsobem upravit směrování způsobem citlivým na čas. Latence by měla být schopná podporovat úpravu směrování během několika minut.

Diagram znázorňující, že požadavek HTTPS není směrován do úlohy, která není v pořádku

Zmírnění útoků na hraničních zařízeních

Zmírnění útoků na hraničních zařízeních vyžaduje "zabezpečenou síť" část implementace. Úlohy nebo služby PaaS (platforma jako služba) by neměly být přístupné přes internet. Internetový provoz by měl být schopný směrovat pouze přes bránu. Brána by měla mít možnost zmírnit zneužití.

Diagram znázorňující požadavek HTTPS s příkazem SQL v řetězci dotazu požadavku, který se nezastavuje na hraničních zařízeních

Vzory

Toto řešení implementuje následující vzory návrhu:

  • Model směrování brány: Směrujte požadavky na více služeb nebo instancí služeb, které se můžou nacházet v různých oblastech.
  • Model snižování zátěže brány: Funkce snižování zátěže, jako je zmírnění útoků, na proxy bránu.
  • Model monitorování koncových bodů stavu: Zveřejňuje koncové body, které ověřují stav úlohy.

Návrh

Diagram znázorňující požadavek procházející přes Azure Front Door Premium do regionálních kolků

Tato implementace obsahuje následující podrobnosti:

  • Používá účty Azure Blob Storage k simulaci statických webových úloh spuštěných ve dvou oblastech. Tato implementace nezahrnuje žádné úlohy spuštěné za interním nástrojem pro vyrovnávání zatížení (ILB). Diagram znázorňuje interní nástroje pro vyrovnávání zatížení, který ilustruje, že tato implementace bude fungovat pro soukromé úlohy běžící za interním nástrojem pro vyrovnávání zatížení.
  • Jako globální bránu používá úroveň Azure Front Door Premium.
  • Instance Služby Azure Front Door má globální zásady firewallu webových aplikací (WAF) nakonfigurované se spravovanými pravidly, která pomáhají chránit před běžným zneužitím.
  • Účty úložiště nejsou přístupné přes internet.
  • Úroveň Azure Front Door Premium přistupuje k účtům úložiště přes Azure Private Link.
  • Instance Služby Azure Front Door má následující základní konfiguraci:
    • Koncový bod s jednou trasou, která odkazuje na jednu skupinu původu. Skupina původu je kolekce původů nebo back-endů.
    • Skupina původu má zdroj nakonfigurovaný tak, aby odkazoval na každý účet úložiště.
    • Každý zdroj vyžaduje přístup služby Private Link k účtu úložiště.
    • Skupina původu má nakonfigurované sondy stavu pro přístup ke stránce HTML v účtech úložiště. Stránka HTML funguje jako koncový bod stavu pro statické úlohy. Pokud sondy můžou úspěšně získat přístup k počátku ve třech z posledních čtyř pokusů, považuje se původ za v pořádku.

Komponenty

Webový požadavek

  • Firewall webových aplikací Azure: Úroveň Premium firewall webových aplikací podporuje pravidla spravovaná Microsoftem, která pomáhají chránit před běžným zneužitím.
  • Azure Private Link: Privátní koncové body ve službě Azure Private Link zpřístupňují službu Azure PaaS na privátní IP adresu ve virtuální síti. Tato expozice umožňuje komunikaci protékat přes páteřní síť Microsoftu a ne přes veřejný internet.
  • Úroveň Azure Front Door Premium: Azure Front Door poskytuje globální vyrovnávání zatížení vrstvy 7. Azure Front Door má integraci se službou Firewall webových aplikací. Úroveň Premium podporuje:
    • Azure Private Link: Podpora služby Private Link umožňuje službě Azure Front Door komunikovat se službami PaaS nebo úlohami běžícími v privátní virtuální síti přes páteřní síť Microsoftu.
    • Sady pravidel spravovaných Microsoftem: Úroveň Premium služby Azure Front Door podporuje úroveň Premium brány Firewall webových aplikací, která podporuje spravovanou sadu pravidel v WAF.
  • Azure Storage: Tato implementace používá účty Blob Storage k reprezentaci statického webu nebo úlohy.
  • Interní nástroj pro vyrovnávání zatížení: Tato implementace nepoužívá interní nástroj pro vyrovnávání zatížení. Je znázorněno, že představuje privátní úlohu běžící za tímto nástrojem pro vyrovnávání zatížení. Směrování do účtu úložiště je stejné jako u nástrojů pro vyrovnávání zatížení.

Operace

Zabezpečení prostředků z hlediska sítě pomáhá chránit před zneužitím, ale také izoluje prostředky od procesů nebo správců, kteří mohou potřebovat přístup k těmto prostředkům. Například agent sestavení v kanálu DevOps může potřebovat přístup k účtu úložiště, aby mohl nasadit aktualizaci do webové aplikace. Správce také může potřebovat přístup k prostředku pro účely řešení potíží.

Pro ilustraci poskytnutí přístupu k zabezpečenému přístupu k síti pro provozní účely tato implementace nasadí virtuální počítač ve virtuální síti, která má přístup k účtům úložiště private Link. Tato implementace nasadí Službu Azure Bastion, kterou může správce použít k připojení k virtuálnímu počítači. V případě scénáře nasazení je možné do virtuální sítě nasadit privátního agenta sestavení, podobně jako byl virtuální počítač.

Tady jsou podrobnosti o komponentách pro operace:

  • Azure Virtual Network: Tato implementace používá virtuální síť k tomu, aby obsahovala komponenty potřebné pro správce k zabezpečené komunikaci s účtem úložiště přes privátní páteřní síť Microsoftu.
  • Azure Virtual Machines: Tato implementace používá virtuální počítač jako jumpbox, ke kterému se můžou správci připojit. Virtuální počítač je nasazený v privátní virtuální síti.
  • Azure Bastion: Azure Bastion umožňuje správci zabezpečené připojení k virtuálnímu počítači jumpbox přes Secure Shell (SSH), aniž by musel mít virtuální počítač veřejnou IP adresu.
  • Koncový bod služby Private Link: Privátní koncový bod má přiřazenou privátní IP adresu z virtuální sítě a připojuje se ke službě PaaS účtu úložiště. Toto připojení umožňuje prostředkům v privátní virtuální síti komunikovat s účtem úložiště přes privátní IP adresu.
  • Privátní zóna Azure DNS: Privátní zóna Azure DNS je služba DNS, která se používá k překladu názvu hostitele private linku účtu úložiště Azure na privátní IP adresu privátního koncového bodu.

Tok webových požadavků

Diagram znázorňující tok webové žádosti

  1. Uživatel vydá požadavek HTTP nebo HTTPS na koncový bod služby Azure Front Door.

  2. Vyhodnocují se pravidla WAF. Pravidla, která odpovídají, se vždy protokolují. Pokud je režim zásad WAF služby Azure Front Door nastavený na prevenci a odpovídající pravidlo má nastavenou akci pro blokování anomálií, požadavek se zablokuje. V opačném případě požadavek pokračuje nebo je přesměrován nebo se vyhodnotí následná pravidla.

  3. Trasa nakonfigurovaná ve službě Azure Front Door se shoduje a vybere se správná skupina původu. V tomto příkladu byla cesta ke statickému obsahu na webu.

  4. Zdroj je vybrán ze skupiny původu.

    a. V tomto příkladu se sondy stavu považují za web, které nejsou v pořádku, takže se eliminují z možných původů.
    b. Tento web je vybraný.

  5. Požadavek se přes páteřní síť Microsoftu směruje do účtu úložiště Azure prostřednictvím služby Private Link.

Další informace o architektuře směrování služby Azure Front Door najdete v tématu Přehled architektury směrování.

Provozní tok

Diagram znázorňující tok, který by správce použil k připojení k chráněnému prostředku

  1. Správce se připojí k instanci služby Azure Bastion nasazené ve virtuální síti.

  2. Azure Bastion poskytuje připojení SSH k virtuálnímu počítači jumpboxu.

  3. Správce jumpboxu se pokusí získat přístup k účtu úložiště přes Azure CLI. Jumpbox se dotazuje DNS pro veřejný koncový bod účtu služby Azure Blob Storage: storageaccountname.blob.core.windows.net.

    Privátní DNS se nakonec přeloží na storageaccountname.privatelink.blob.core.windows.net. Vrátí privátní IP adresu koncového bodu Private Linku, což je v tomto příkladu 10.0.2.5.

  4. Privátní připojení k účtu úložiště se vytvoří prostřednictvím koncového bodu Private Link.

Důležité informace

Při použití tohoto řešení mějte na paměti následující body.

Spolehlivost

Spolehlivost zajišťuje, aby vaše aplikace splňovala závazky, které jste udělali pro své zákazníky. Další informace najdete v tématu Přehled pilíře spolehlivosti.

Tento scénář řeší následující klíčové body týkající se spolehlivosti:

Zabezpečení

Zabezpečení poskytuje záruky proti záměrným útokům a zneužití cenných dat a systémů. Další informace najdete v tématu Přehled pilíře zabezpečení.

Tento scénář řeší následující klíčové body týkající se zabezpečení:

Optimalizace nákladů

Optimalizace nákladů se zabývá způsoby, jak snížit zbytečné výdaje a zlepšit efektivitu provozu. Další informace najdete v tématu Přehled pilíře optimalizace nákladů.

I když Azure Front Door Premium i Firewall webových aplikací Premium poskytují pokročilé funkce zabezpečení na úrovni Standard, jsou k dispozici další náklady na obojí. Další informace o cenách služby Azure Front Door a Firewall webových aplikací najdete v následujících zdrojích informací:

Provozní dokonalost

Efektivita provozu zahrnuje provozní procesy, které nasazují aplikaci a udržují ji spuštěnou v produkčním prostředí. Další informace najdete v tématu Přehled pilíře efektivity provozu.

Implementace hranic zabezpečení sítě zvyšuje složitost operací a nasazení. Mějte na paměti tyto body:

  • Rozsahy IP adres pro agenty hostované Microsoftem se v průběhu času liší. Zvažte implementaci agentů v místním prostředí ve vaší virtuální síti.
  • Implementujte Azure Bastion pro scénáře, ve kterých provozní týmy potřebují přístup k síťovým zabezpečeným prostředkům.
  • Použití firewallu webových aplikací ve službě Azure Front Door k zajištění centralizované ochrany požadavků HTTP a HTTPS je příkladem vzoru přesměrování načítání brány. Odpovědnost za zkoumání žádostí o zneužití se přesměruje do firewallu webových aplikací ve službě Azure Front Door. Výhodou z hlediska efektivity provozu je, že potřebujete spravovat pravidla pouze na jednom místě.

Důležité

Ukázka zabezpečeného přenosu dat sítě umožňuje nasadit všechny prostředky potřebné pro připojení k jumpboxu přes Azure Bastion a připojit se k síťovému zabezpečenému virtuálnímu počítači.

Efektivita výkonu

Efektivita výkonu je schopnost vaší úlohy škálovat tak, aby splňovala požadavky, které na ni uživatelé umístí. Další informace najdete v tématu Přehled pilíře efektivity výkonu.

Globální směrování umožňuje horizontální škálování prostřednictvím nasazení více prostředků ve stejné oblasti nebo v různých oblastech.

Další kroky