Použití principů nulová důvěra (Zero Trust) pro segmentování síťové komunikace založené na Azure

Tento článek obsahuje pokyny pro použití principů nulová důvěra (Zero Trust) pro segmentování sítí v prostředích Azure. Tady jsou principy Zero Trust.

princip nulová důvěra (Zero Trust)	Definice
Explicitní ověření	Vždy ověřovat a autorizovat na základě všech dostupných datových bodů.
Použití nejméně privilegovaného přístupu	Omezte přístup uživatelů pomocí technologie Just-In-Time a Just-Enough-Access (JIT/JEA), adaptivních zásad založených na rizikech a ochrany dat.
Předpokládat porušení zabezpečení	Omezte rozsah dopadu a segmentaci přístupů. Ověřte komplexní šifrování a využijte analýzy k získání viditelnosti, zjišťování hrozeb a zlepšení ochrany. Můžete minimalizovat poloměr zásahu kybernetického útoku a segmentaci přístupu tím, že provedete segmentaci sítě na různých úrovních infrastruktury Azure.

Tento článek je součástí série článků, které ukazují, jak aplikovat principy nulová důvěra (Zero Trust) na sítě Azure.

S tím, jak organizace rostou z malých firem do velkých podniků, často potřebují přejít z jednoho předplatného Azure do několika předplatných a oddělit prostředky pro každé oddělení. Je důležité pečlivě naplánovat segmentaci sítě a vytvořit logické hranice a izolaci mezi prostředími.

Každé prostředí, které obvykle odráží samostatné oddělení vaší organizace, by mělo mít vlastní přístupová oprávnění a zásady pro konkrétní úlohy. Uživatelé z vašeho interního předplatného pro vývojáře softwaru by například neměli mít přístup ke správě a nasazování síťových prostředků v předplatném připojení. Tato prostředí ale stále potřebují síťové připojení k dosažení požadovaných funkcí pro základní služby, jako je DNS, hybridní připojení a schopnost spojit se s dalšími prostředky v různých virtuálních sítích Azure.

Segmentace infrastruktury Azure poskytuje nejen izolaci, ale může také vytvářet bezpečnostní hranice, které brání útočníkovi v pohybu mezi prostředími a zabraňují mu způsobit další škody (princip „Předpokládat porušení“ v rámci Zero Trust).

Referenční architektura

K ochraně vašich prostředků před neoprávněným přístupem nebo škodlivým útokem můžete použít různé úrovně segmentace v Azure. Tyto úrovně segmentace začínají na úrovni předplatného a procházejí až k aplikacím běžícím na virtuálních počítačích. Segmentace vytvoří hranici, která odděluje jedno prostředí od druhého s vlastními pravidly a zásadami. S předpokladem, že k porušením může dojít, je potřeba segmentovat sítě, aby se zabránilo jejich šíření.

Sítě Azure používají následující úrovně segmentace:

Předplatná

Předplatné Azure je logický kontejner, který se používá ke zřizování prostředků v Azure. Je propojený s účtem Azure v tenantovi Microsoft Entra ID a slouží jako jedna fakturační jednotka pro prostředky Azure přiřazené k předplatnému. Předplatné Azure je také logická hranice pro přístup k prostředkům obsaženým v předplatném. Přístup mezi prostředky v různých předplatných vyžaduje explicitní oprávnění.
Virtuální sítě (VNets)

Virtuální síť Azure je izolovaná privátní síť, která ve výchozím nastavení umožňuje vzájemné komunikaci všech virtuálních počítačů. Ve výchozím nastavení nemůžou virtuální sítě komunikovat s jinými virtuálními sítěmi, pokud mezi nimi nevytváříte připojení prostřednictvím partnerského vztahu, připojení VPN nebo ExpressRoute. Jednotlivé virtuální sítě je možné použít jako hranici důvěryhodnosti, která rozděluje různé aplikace, úlohy, oddělení nebo organizace.

Azure Virtual Network Manager (AVNM) je služba pro správu sítě, která umožňuje jednomu týmu pro správu spravovat virtuální sítě a vynucovat pravidla zabezpečení napříč několika předplatnými globálně. Pomocí AVNM můžete definovat skupiny sítě a určit, které virtuální sítě spolu můžou vzájemně komunikovat. K monitorování změn konfigurace sítě můžete také použít AVNM.
Úlohy v rámci virtuální sítě

Pro úlohy v rámci virtuální sítě , jako jsou virtuální počítače nebo jakékoli služby PaaS, které podporují integraci virtuální sítě, jako je Azure Databricks a App Service, je ve výchozím nastavení povolená komunikace, protože jsou obsaženy ve stejné virtuální síti a musí být dále zabezpečeny pomocí skupin zabezpečení sítě. Mezi nástroje a služby segmentace v rámci virtuální sítě patří:
- Azure Firewall
  
  Azure Firewall je služba nasazená ve virtuální síti pro filtrování provozu mezi cloudovými prostředky, místními prostředky a internetem. Pomocí služby Azure Firewall můžete definovat pravidla a zásady, které povolí nebo zamítnou provoz v síťových a aplikačních vrstvách. Můžete také využít pokročilé funkce ochrany před hrozbami poskytované službou Azure Firewall, jako je detekce vniknutí a systém prevence (IDPS), kontrola protokolu TLS (Transport Layer Security) a filtrování na základě analýzy hrozeb.
- Skupina zabezpečení sítě
  
  Skupina zabezpečení sítě je mechanismus řízení přístupu, který filtruje síťový provoz mezi prostředky Azure, jako jsou virtuální počítače v rámci virtuální sítě. Skupina zabezpečení sítě obsahuje pravidla zabezpečení, která umožňují nebo zamítnou provoz na úrovni podsítě nebo virtuálního počítače ve virtuální síti. Běžným použitím skupin zabezpečení sítě je segmentace sad virtuálních počítačů v různých podsítích.
- Skupina zabezpečení aplikace
  
  Skupina zabezpečení aplikace je rozšíření skupiny zabezpečení sítě, která umožňuje seskupit síťová rozhraní virtuálních počítačů na základě jejich rolí a funkcí. Skupiny zabezpečení aplikace pak můžete použít ve skupině zabezpečení sítě ve velkém měřítku, aniž byste museli definovat IP adresy virtuálních počítačů.
- Azure Front Door
  
  Azure Front Door je moderní cloudová síť CDN (Cloud Content Delivery Network) od Microsoftu, která poskytuje rychlý, spolehlivý a zabezpečený přístup mezi uživateli a statickým a dynamickým webovým obsahem vašich aplikací po celém světě.

Následující diagram znázorňuje referenční architekturu pro úrovně segmentace.

Plné červené čáry v diagramu označují úrovně segmentace mezi:

Předplatná Azure
Virtuální sítě v předplatném
Podsítě ve virtuální síti
Internet a virtuální síť

Diagram také ukazuje sadu virtuálních sítí spravovaných službou AVNM, která může zahrnovat předplatná Azure.

Co je v tomto článku?

nulová důvěra (Zero Trust) principy se použijí napříč referenční architekturou v cloudu Azure. Následující tabulka popisuje doporučení pro segmentování sítí v této architektuře, aby dodržovala zásadu Předpokládat porušení zabezpečení nulová důvěra (Zero Trust).

Krok	Úloha
1	Segmentujte v rámci jednotlivých VNets.
2	Připojte více virtuálních sítí pomocí propojení (peering).
3	Připojení více virtuálních sítí v konfiguraci "hub and spoke".

Krok 1: Segmentace v rámci jednotlivých virtuálních sítí

V rámci jedné virtuální sítě v předplatném Azure použijete podsítě k oddělení a segmentaci prostředků. V rámci virtuální sítě může být například podsíť pro databázové servery, jiná pro webové aplikace a vyhrazená podsíť pro Azure Firewall nebo Azure Application Gateway s Web Application Firewall. Ve výchozím nastavení je ve virtuální síti povolená veškerá komunikace mezi podsítěmi.

Pokud chcete vytvořit izolaci mezi podsítěmi, můžete použít skupiny zabezpečení sítě nebo skupiny zabezpečení aplikace k povolení nebo zamítnutí konkrétního síťového provozu na základě IP adres, portů nebo protokolů. Návrh a údržba skupin zabezpečení sítě a skupin zabezpečení aplikací ale může také vytvářet režijní náklady na správu.

Tento obrázek znázorňuje společnou a doporučenou konfiguraci třívrstvé aplikace s samostatnými podsítěmi pro každou vrstvu a použití skupin zabezpečení sítě a skupin zabezpečení aplikací k vytvoření segmentovaných hranic mezi jednotlivými podsítěmi.

Segmentaci prostředků můžete také dosáhnout směrováním provozu mezi podsítě pomocí tras definovaných uživatelem(UDR) směřujících na bránu Azure Firewall nebo síťového virtuálního zařízení (NVA) třetí strany. Azure Firewall a virtuální síťové spotřebiče (NVA) mají také možnost povolit nebo odepřít provoz pomocí ovládacích prvků od vrstvy 3 po vrstvu 7. Většina těchto služeb poskytuje pokročilé možnosti filtrování.

Další informace najdete v pokynech v modelu 1: Jedna virtuální síť.

Krok 2: Připojení více virtuálních sítí pomocí peeringu

Ve výchozím nastavení neexistuje žádná povolená komunikace mezi virtuálními sítěmi s jedním předplatným Azure nebo mezi několika předplatnými. Více virtuálních sítí, z nichž každá patří různým entitám, má vlastní řízení přístupu. Můžou se připojit k sobě nebo k centralizované hub VNet pomocí VNet peering, kde Azure Firewall nebo síťové virtuální zařízení třetí strany kontroluje veškerý provoz.

Tento obrázek znázorňuje partnerské připojení VNets mezi dvěma virtuálními sítěmi a použití služby Azure Firewall na každém konci připojení.

VNet centra obvykle obsahuje sdílené komponenty, jako jsou brány firewall, poskytovatelé identity a komponenty hybridního připojení. Správa UDR se zjednodušuje, protože přidání konkrétních UDR pro mikrosegmentaci by bylo nutné pouze v případě, že je potřeba provoz uvnitř virtuální sítě. Vzhledem k tomu, že má virtuální síť vlastní hranice, jsou už zavedené kontrolní mechanismy zabezpečení.

Další informace najdete v následujících doprovodných materiálech:

Krok 3: Propojení více virtuálních sítí v konfiguraci hub a spoke

U více virtuálních sítí v konfiguraci centra a paprsku je potřeba zvážit, jak segmentovat síťový provoz pro tyto hranice:

Hranice internetu
Hranice místní sítě
Hranice globálních služeb Azure

Hranice internetu

Zabezpečení internetového provozu je zásadní prioritou zabezpečení sítě, která zahrnuje správu příchozího přenosu dat z internetu (nedůvěryhodného) a odchozího provozu směrovaného do internetu (důvěryhodné) z vašich úloh Azure.

Microsoft doporučuje, aby příchozí provoz z internetu byl jediným vstupním bodem. Microsoft důrazně doporučuje, aby příchozí provoz procházel přes prostředek Azure PaaS, jako je Azure Firewall, Azure Front Door nebo Azure Application Gateway. Tyto prostředky PaaS nabízejí více možností než virtuální počítač s veřejnou IP adresou.

Azure Firewall

Tento obrázek ukazuje, jak Azure Firewall ve své vlastní podsíti funguje jako centrální vstupní bod a segmentační hranice pro provoz mezi internetem a třívrstvé úlohy ve virtuální síti Azure.

Další informace najdete v tématu Azure Firewall v architektuře Microsoft Azure Well-Architected Framework.

Azure Front Door

Azure Front Door může fungovat jako hranice mezi internetem a službami hostovanými v Azure. Azure Front Door podporuje připojení služby Private Link k prostředkům, jako je interní vyrovnávání zatížení (ILB) pro přístup k virtuální síti, účty úložiště pro statické weby a úložiště objektů blob a služby Aplikace Azure. Azure Front Door se obvykle používá pro nasazení ve velkém měřítku.

Azure Front Door je více než služba vyrovnávání zatížení. Infrastruktura služby Azure Front Door má integrovanou ochranu před útoky DDoS. Pokud je ukládání do mezipaměti povolené, obsah se dá načíst z umístění pop (point of presence) místo neustálého přístupu k back-endovým serverům. Po vypršení platnosti mezipaměti Azure Front Door načte vyžádaný prostředek a aktualizuje mezipaměť. Místo toho, aby koncoví uživatelé přistupovali ke svým serverům, azure Front Door používá pro dvě samostatná připojení rozdělený protokol TCP. Tím se nejen zlepší uživatelské prostředí koncového uživatele, ale zabráníte tomu, aby aktéři se zlými úmysly přistupovali přímo k prostředkům.

Tento obrázek ukazuje, jak Azure Front Door poskytuje segmentaci mezi uživateli internetu a prostředky Azure, které můžou být v účtech úložiště.

Další informace najdete v tématu Azure Front Door v architektuře Azure Well-Architected Framework.

Azure Application Gateway

Internetový vstupní bod může být také kombinací příchozích bodů. Například provoz HTTP/HTTPS může procházet přes Application Gateway chráněné firewallem webových aplikací nebo přes Azure Front Door. Přenosy mimo HTTP/HTTPS, jako je RDP/SSH, může procházet přes Azure Firewall nebo NVA. Tyto dva prvky můžete použít společně pro hlubší inspekci a řízení toku provozu pomocí UDRs.

Tento obrázek znázorňuje provoz příchozího přenosu dat internetu a použití služby Application Gateway s firewallem webových aplikací pro provoz HTTP/HTTPS a bránou Azure Firewall pro všechny ostatní přenosy.

Mezi dva běžně doporučené scénáře patří:

Umístěte Azure Firewall nebo síťové virtuální zařízení paralelně s Application Gateway.
Před dosažením cíle umístěte za službu Application Gateway bránu Azure Firewall nebo NVA pro další kontrolu provozu.

Další informace najdete v tématu Azure Application Gateway v Microsoft Azure Well-Architected Framework.

Tady jsou další běžné vzory pro toky internetového provozu.

Příchozí přenos dat pomocí více rozhraní

Jedním z přístupů je použití více síťových rozhraní na virtuálních počítačích při používání síťových virtuálních zařízení: jedno rozhraní je určeno pro nedůvěryhodný provoz (zaměřené na vnější síť) a druhé pro důvěryhodný provoz (zaměřené na vnitřní síť). Z hlediska provozu musíte směrovat příchozí provoz z místního prostředí do NVA pomocí UDR. Příchozí provoz z internetu přijatý síťovým virtuálním zařízením (NVA) musí být směrován do cílové úlohy v příslušné virtuální síti nebo podsíti pomocí kombinace statických tras v hostovaném OS zařízení a uživatelsky definovaných tras (UDRs).

Odchozí síťový provoz a trasy definované uživatelem

Pro provoz odcházející z vaší virtuální sítě na internet můžete použít UDR pomocí směrovací tabulky s vybraným síťovým virtuálním zařízením jako další přeskok. Pokud chcete snížit složitost, můžete nasadit bránu Azure Firewall nebo síťové virtuální zařízení v centru Azure Virtual WAN a zapnout zabezpečení internetu pomocí záměru směrování. Tím se zajistí, že se zkontroluje provoz na sever –jih (přicházející do oboru sítě i mimo rozsah sítě) i provoz na východ –západ (mezi zařízeními v rámci oboru sítě) určený pro virtuální IP adresy mimo Azure.

Odchozí provoz a výchozí trasa

Některé metody zahrnují správu výchozí trasy (0.0.0.0/0) s různými metodami. Obecně se doporučuje, aby odchozí provoz pocházející z Azure využíval výstupní body a kontrolu prostřednictvím Azure Firewall nebo síťových virtuálních zařízení kvůli velké propustnosti a odolnosti, které infrastruktura Azure může nabídnout, což je ve většině případů výrazně větší. V takovém případě může konfigurace výchozí trasy v trasách definovaných uživatelem podsítí úloh vynutit provoz do těchto výstupních bodů. Jako výstupní bod můžete také upřednostňovat směrování odchozího provozu z místního prostředí do Azure. V tomto případě využijte Azure Route Server v kombinaci s NVA k inzerci výchozí trasy do místního prostředí pomocí protokolu BGP (Border Gateway Protocol).

Existují zvláštní případy, kdy potřebujete směrovat veškerý odchozí provoz zpět do místního prostředí tím, že inzerujete výchozí trasu přes protokol BGP. To vynutí, aby provoz opouštějící virtuální síť byl tunelován přes vaši místní síť do brány firewall kvůli kontrole. Tento poslední přístup je nejméně žádoucí z důvodu zvýšené latence a nedostatku bezpečnostních prvků poskytovaných Azure. Tato praxe je široce přijímaná vládními a bankovními sektory, které mají specifické požadavky na kontrolu provozu v rámci místního prostředí.

Z hlediska škálování:

Pro jednu virtuální síť můžete použít skupiny zabezpečení sítě, které striktně dodržují sémantiku vrstvy 4, nebo můžete použít Azure Firewall, který dodržuje sémantiku vrstvy 4 i vrstvy 7.
Pro více virtuálních sítí lze použít jednu bránu Azure Firewall, pokud je dostupná, nebo můžete nasadit bránu Azure Firewall v každé virtuální síti a směrovat provoz pomocí uživatelsky definované trasy.

U velkých podnikových distribuovaných sítí můžete dál používat hvězdicový model a směrovat provoz s využitím UDR (trasy definované uživatelem). To ale může vést k režijním nákladům na správu a limitům partnerských vztahů virtuálních sítí. Pro zjednodušení použití může Azure Virtual WAN tohoto dosáhnout, pokud ve virtuálním centru nasadíte Azure Firewall a aktivujete směrovací záměr pro zabezpečení internetu. Tím se vloží výchozí trasy napříč všemi hvězdicovými uzly a pobočkovými sítěmi a provoz směřující na internet se pošle do služby Azure Firewall ke kontrole. Privátní provoz směřující do bloků adres RFC 1918 se odesílá do služby Azure Firewall nebo síťového virtuálního zařízení (NVA) jako určený další segment směrování v uzlu Azure Virtual WAN.

Hranice místní sítě

Mezi hlavní metody pro navázání připojení k místním sítím patří tunely IPsec (Internet Protocol), tunely ExpressRoute nebo softwarově definované tunely WAN (SD-WAN). Obvykle používáte připojení VPN typu Site-to-Site (S2S) Azure pro menší úlohy, které vyžadují menší šířku pásma. Pro úlohy, které vyžadují vyhrazenou cestu služby a vyšší požadavky na propustnost, microsoft doporučuje ExpressRoute.

Tento obrázek znázorňuje různé typy metod připojení mezi prostředím Azure a místní sítí.

I když připojení VPN Azure podporují více tunelů, ExpressRoute se často konfiguruje pro větší podnikové sítě, které vyžadují větší šířku pásma a privátní připojení prostřednictvím partnera pro připojení. Pro ExpressRoute je možné připojit stejnou virtuální síť k více okruhům, ale z důvodu segmentace to často není ideální, protože to umožňuje komunikaci mezi virtuálními sítěmi, které nejsou přímo propojené jinak.

Jednou z metod segmentace je nepoužívat vzdálenou bránu na spoke virtuálních sítích nebo zakázat šíření tras protokolu BGP, pokud jsou použity směrovací tabulky. Stále můžete segmentovat uzly připojené k ExpressRoute pomocí virtuálních síťových zařízení a firewallů. U paprsků, které jsou spárované s rozbočovači, se můžete rozhodnout, že ve vlastnostech spárování VNet nebudete používat vzdálenou bránu. Takto se uzly dozví jenom o svých přímo připojených centrálních uzlech a ne o žádných lokálních trasách.

Dalším vznikajícím přístupem k segmentování provozu do a z místního prostředí je použití technologií SD-WAN. Svou pobočkovou síť můžete rozšířit do Azure SD-WAN použitím síťových virtuálních appliance třetích stran v Azure, abyste vytvářeli segmentaci na základě tunelů SD-WAN z různých poboček v NVA. Azure Route Server můžete použít k vložení předpon adres pro tunely SD-WAN do platformy Azure pro topologie typu hub a paprsek.

U topologie virtuální sítě WAN můžete mít přímou integraci síťového virtuálního zařízení SD-WAN třetích stran uvnitř virtuálního uzlu. Pomocí koncových bodů protokolu BGP můžete také povolit použití řešení SD-WAN a vytvářet tunely z integrovaného síťového virtuálního zařízení (NVA) v rámci virtuálního rozbočovače.

V obou modelech můžete pomocí ExpressRoute segmentovat základní privátní nebo veřejné připojení pomocí soukromého peeringu nebo peeringu Microsoftu. Pro zabezpečení je běžným postupem inzerovat výchozí trasu přes ExpressRoute. To vynutí, aby se veškerý provoz opouštějící virtuální síť tuneloval do vaší místní sítě kvůli kontrole. Provoz přicházející přes síť VPN i ExpressRoute se dá podobně odeslat do síťového virtuálního zařízení pro další kontrolu. To platí také pro odchozí provoz z Azure. Tyto metody jsou jednoduché, pokud je prostředí menší, například jedna nebo dvě oblasti.

Pro velké distribuované sítě můžete také použít Azure Virtual WAN aktivováním kontroly soukromého provozu pomocí záměru směrování. Tím se veškerý provoz směruje na privátní IP adresu síťového virtuálního zařízení pro kontrolu. Stejně jako u výše uvedených metod je mnohem jednodušší spravovat, když vaše prostředí pokrývá více oblastí.

Druhým přístupem se službou Azure Virtual WAN je použití vlastních směrovacích tabulek pro hranice izolace. Můžete vytvořit vlastní trasy a přidružit a rozšířit pouze ty virtuální sítě, které chcete, do těchto konkrétních směrovacích tabulek. Tuto funkci ale dnes nejde kombinovat se záměrem směrování. Chcete-li izolovat větve, můžete přiřadit štítky a spojit větve s těmito štítky. Šíření na výchozí popisek můžete také zakázat pro jednotlivé uzly. V současné době nemůžete izolovat jednotlivé větve v Azure samostatně v jednom centru. SD-WAN například nemůžete izolovat od ExpressRoute. Na celém hubu ale můžete zakázat šíření na výchozí popisek.

Hranice globálních služeb Azure

Většina služeb v Azure je ve výchozím nastavení přístupná prostřednictvím globální sítě WAN Azure. To platí také pro veřejný přístup ke službám Azure PaaS. Azure Storage má například integrovanou bránu firewall, která může omezit přístup k virtuálním sítím a blokovat veřejný přístup. Často je ale potřeba podrobnější kontrolu. Typickou předvolbou je privátní připojení k virtuálním IP adresám Azure místo použití výchozích veřejných IP adres.

Nejběžnější metodou omezení přístupu k prostředkům PaaS je služba Azure Private Link. Když vytvoříte privátní koncový bod, vloží se do vaší virtuální sítě. Azure používá tuto privátní IP adresu k tunelování k příslušnému prostředku PaaS. Azure mapuje záznam DNS A na privátní koncový bod pomocí zón Azure Privátní DNS a mapuje záznam CNAME na prostředek PaaS privátního propojení.

Koncové body služby nabízejí alternativní metodu připojení k virtuálním IP adresám PaaS. Můžete vybrat značky služeb, které umožní připojení ke všem prostředkům PaaS v rámci této značky a poskytnout privátní připojení k prostředku PaaS.

Další rozšířená metoda zahrnuje použití Microsoft Peering pro ExpressRoute. Pokud se chcete připojit k VIP adresám PaaS z místního prostředí, můžete nastavit Microsoft Peering. Můžete zvolit komunitu protokolu BGP pro VIP, které mají být používány, a ty jsou inzerovány prostřednictvím partnerského vztahu s Microsoftem.

Další informace najdete v následujících doprovodných materiálech:

Souhrn segmentace

Tato tabulka shrnuje různé úrovně segmentace a metod zabezpečení.

Mezi	Výchozí chování	Komunikace umožněna...	Metody zabezpečení segmentace
Předplatná	Žádná komunikace	- Propojení VNet – Brány VPN	Azure Firewall
Virtuální sítě (VNets)	Žádná komunikace	VNet propojení – Brány VPN	Azure Firewall
Úlohy v podsítích v rámci virtuální sítě	Otevřená komunikace	Nenalezeno	– Skupiny zabezpečení sítě – Skupiny zabezpečení aplikací
Internet a virtuální síť	Žádná komunikace	– Vyrovnávač zatížení – Veřejná IP adresa – Application Gateway – Azure Front Door	– Azure Application Gateway s Web Application Firewallem – Azure Firewall – Azure Front Door s firewallem webových aplikací
Internet a místní sítě	Žádná komunikace	– Azure S2S VPN – Tunel IPSec – Tunel ExpressRoute - Tunel SD-WAN	Azure Firewall
Internet a virtuální počítače ve virtuální síti	Žádná komunikace, pokud mají virtuální počítače jenom privátní IP adresy	Přiřazení veřejné IP adresy virtuálního počítače	Firewall lokálního virtuálního počítače

Doporučené školení

Další kroky

Další informace o použití nulová důvěra (Zero Trust) v sítích Azure najdete tady:

Reference

V těchto odkazech se dozvíte o různých službách a technologiích uvedených v tomto článku.

Váš názor

Byla tato stránka užitečná?

Last updated on 2026-03-27