Konfigurieren von Netzwerksicherheitsgruppen mit Tags in Windows Admin Center

Artikel
04/13/2024

Gilt für: Azure Stack HCI, Versionen 23H2 und 22H2

In diesem Artikel wird beschrieben, wie Sie Netzwerksicherheitsgruppen mit Netzwerksicherheitstags in Windows Admin Center konfigurieren.

Mit Netzwerksicherheitstags können Sie benutzerdefinierte Tags erstellen, diese Tags an Ihre VM-Netzwerkschnittstellen anfügen und Netzwerkzugriffsrichtlinien (mit Netzwerksicherheitsgruppen) basierend auf diesen Tags anwenden.

Vereinfachen der Sicherheit mit Netzwerksicherheitstags

Mit Netzwerksicherheitsgruppen können Sie Zugriffsrichtlinien basierend auf Netzwerkkonstrukten wie Netzwerkpräfixen und Subnetzen konfigurieren. Wenn Sie beispielsweise die Kommunikation zwischen Ihren Webserver-VMs und Datenbank-VMs einschränken möchten, müssen Sie die entsprechenden Netzwerksubnetze identifizieren und eine Richtlinie erstellen, um die Kommunikation zwischen diesen Subnetzen zu verweigern. Bei diesem Ansatz gibt es jedoch einige Einschränkungen:

Ihre Sicherheitsrichtlinien sind an Netzwerkkonstrukte gebunden, was bedeutet, dass Sie wissen müssen, welche Anwendungen sich in bestimmten Netzwerksegmenten befinden. Das Verständnis Ihrer Netzwerkinfrastruktur und -architektur wird von entscheidender Bedeutung.
Beim Erstellen von Richtlinien für Anwendungen können Sie diese in verschiedenen Szenarien wiederverwenden. Wenn Ihre Produktionsweb-App beispielsweise nur über Port 80 über das Internet erreicht werden kann und von anderen Apps in der Produktion oder in anderen Umgebungen nicht erreicht werden kann, hätten Sie eine ähnliche Richtlinie für jede neue App. Mit der Netzwerksegmentierung wird jedoch das erneute Erstellen von Richtlinien aufgrund eindeutiger Netzwerkelemente für jede App erforderlich.
Wenn Sie eine alte Anwendung außer Betrieb setzen und eine neue Anwendung innerhalb desselben Netzwerksegments bereitstellen, sind Richtlinienanpassungen erforderlich.

Mit dem Feature "Netzwerksicherheitstags" müssen Sie nicht mehr die Netzwerksegmente nachverfolgen, in denen Ihre Anwendungen gehostet werden. Dies vereinfacht die Richtlinienverwaltung und vermeidet die Komplexität von Netzwerkkonstrukten. Lassen Sie uns das Beispiel mit Webserver und Datenbank-VMs überdenken: Markieren Sie die entsprechenden VMs mit Netzwerksicherheitstags "Web" und "Datenbank", und erstellen Sie dann eine Regel, um die Kommunikation zwischen den Tags "Web" und "Datenbank" einzuschränken.

Erstellen von Netzwerksicherheitstag-basierten Netzwerksicherheitsgruppen

Führen Sie zum Erstellen von Netzwerksicherheitstag-basierten Netzwerksicherheitsgruppen die folgenden Schritte aus:

Erstellen Sie mindestens ein Netzwerksicherheitstag.
Weisen Sie einem virtuellen Computer ein Netzwerksicherheitstag zu.
Erstellen Sie eine Netzwerksicherheitsgruppe.
Erstellen Sie eine Netzwerksicherheitsregel für die Netzwerksicherheitsgruppe.
Wenden Sie die Netzwerksicherheitsgruppe auf einen virtuellen Computer, ein Netzwerksubnetz und ein Netzwerksicherheitstag an.

Erstellen von Netzwerksicherheitstags

Wählen Sie auf dem Windows Admin Center Startbildschirm unter Alle Verbindungen den Cluster aus, für den Sie die Netzwerksicherheitsgruppe erstellen möchten.
Scrollen Sie unter Extras zum Bereich Netzwerk , und wählen Sie Netzwerksicherheitsgruppen aus.
Wählen Sie unter Netzwerksicherheitsgruppen die Registerkarte Netzwerksicherheitstags und dann Neu aus.
Geben Sie im Bereich Netzwerksicherheitstag erstellen im Feld Name einen Namen für das Netzwerksicherheitstag ein.
(Optional) Geben Sie im Feld Typ einen Typ für das Tag ein. Dieses Feld ist nützlich, wenn Sie Tags zur einfachen Verwaltung kategorisieren möchten. Beispielsweise können Sie verschiedene Tags mit dem gleichen Typ "Application" haben, z. B. SQL, Web, IOT, Sensor usw.
Klicken Sie auf Submit (Senden).

Zuweisen des Netzwerksicherheitstags zu einem virtuellen Computer

Sie können einem virtuellen Computer entweder beim Erstellen eines neuen virtuellen Computers oder später beim Ändern der Eigenschaften einer vorhandenen VM ein Netzwerksicherheitstag zuweisen.

Zuweisen des Netzwerksicherheitstags während der VM-Erstellung

Eine schrittweise Anleitung zum Erstellen eines neuen virtuellen Computers finden Sie unter Erstellen einer neuen VM.

So weisen Sie beim Erstellen eines neuen virtuellen Computers ein Netzwerksicherheitstag zu:

Wählen Sie auf der Startseite von Windows Admin Center unter Alle Verbindungen den Server oder Cluster aus, auf oder in dem Sie die VM erstellen möchten.
Scrollen Sie unter Tools nach unten, und wählen Sie Virtuelle Computer aus.
Wählen Sie unter Virtuelle Computer die Registerkarte Bestand aus, wählen Sie Hinzufügen und dann Neu aus.
Geben Sie in das Feld Neuer virtueller Computer einen Namen für Ihre VM ein.
Geben Sie andere Eigenschaften für den virtuellen Computer ein.
Wählen Sie unter Netzwerk das Zuvor erstellte Netzwerksicherheitstag unter Netzwerksicherheitstag erstellen aus.
Klicken Sie auf Erstellen.

Zuweisen des Netzwerksicherheitstags zu einer vorhandenen VM

Sie können einem vorhandenen virtuellen Computer ein Netzwerksicherheitstag zuweisen, indem Sie dessen Einstellungen ändern. Ausführliche Anweisungen zum Ändern von VM-Einstellungen finden Sie unter Ändern von VM-Einstellungen.

Scrollen Sie unter Tools zum Bereich Netzwerk, und wählen Sie die Option Virtuelle Computer aus.
Wählen Sie die Registerkarte Bestand, eine VM und dann die Option Einstellungen aus.
Klicken Sie auf der Seite Einstellungen auf Netzwerke.
Wählen Sie im Abschnitt Netzwerksicherheitstag die Option Netzwerksicherheitstag hinzufügen aus, und wählen Sie unter Netzwerksicherheitstag erstellen das zuvor erstellte Netzwerksicherheitstag aus.
Wählen Sie Netzwerkeinstellungen speichern aus.

Erstellen einer Netzwerksicherheitsgruppe

Wählen Sie auf dem Windows Admin Center Startbildschirm unter Alle Verbindungen den Cluster aus, für den Sie die Netzwerksicherheitsgruppe erstellen möchten.
Scrollen Sie unter Extras zum Bereich Netzwerk , und wählen Sie Netzwerksicherheitsgruppen aus.
Wählen Sie unter Netzwerksicherheitsgruppen die Registerkarte Bestand und dann Neu aus.
Geben Sie im Bereich Netzwerksicherheitsgruppen einen Namen für die Netzwerksicherheitsgruppe ein, und wählen Sie dann Übermitteln aus.
Überprüfen Sie unter Netzwerksicherheitsgruppen, ob der Bereitstellungsstatus der neuen Netzwerksicherheitsgruppe Erfolgreich ist.

Erstellen einer Netzwerksicherheitsgruppen-Regel

Nachdem Sie eine Netzwerksicherheitsgruppe erstellt haben, können Sie Netzwerksicherheitsgruppenregeln erstellen. Wenn Sie Netzwerksicherheitsgruppenregeln sowohl auf eingehenden als auch auf ausgehenden Datenverkehr anwenden möchten, müssen Sie zwei Regeln erstellen.

Wählen Sie auf dem Windows Admin Center Startbildschirm unter Alle Verbindungen den Cluster aus, für den Sie die Netzwerksicherheitsgruppe erstellen möchten.
Scrollen Sie unter Extras zum Bereich Netzwerk , und wählen Sie Netzwerksicherheitsgruppen aus.
Wählen Sie unter Netzwerksicherheitsgruppen die Registerkarte Bestand und dann die Zuvor erstellte Netzwerksicherheitsgruppe unter Erstellen einer Netzwerksicherheitsgruppe aus.
Wählen Sie unter Netzwerksicherheitsregeldie Option Neu aus.

Geben Sie im Bereich Netzwerksicherheitsregel auf der rechten Seite die folgenden Informationen an:

Feld	BESCHREIBUNG
Name	Name der Regel.
Priority	Priorität der Regel. Zulässige Werte sind 101 bis 65000. Ein niedrigerer Wert gibt eine höhere Priorität an.
Typen	Der Typ der Regel. Dies kann ein- oder ausgehend sein.
Protokoll	Protokoll, um entweder ein eingehendes oder ausgehendes Paket zu entsprechen. Zulässige Werte sind Alle, TCP und UDP.
Quelle	Wählen Sie Netzwerksicherheitstag aus. Hinweis: Sie können entweder ein Adresspräfix oder ein Netzwerksicherheitstag auswählen, aber nicht beides.
Quellsicherheitstagtyp	(Optional) Wählen Sie einen Typ für das Tag aus.
Quellsicherheitstag	Wählen Sie unter Netzwerksicherheitstag erstellen ein zuvor erstelltes Netzwerksicherheitstag aus.
Quellportbereich	Geben Sie den Quellportbereich an, der entweder mit einem eingehenden oder ausgehenden Paket übereinstimmt. Sie können eingeben `*` , um alle Quellports anzugeben.
Ziel	Wählen Sie Netzwerksicherheitstag aus. Hinweis: Sie können entweder ein Adresspräfix oder ein Netzwerksicherheitstag auswählen, aber nicht beides. Quelle und Ziel können unterschiedlich sein.
Zielsicherheitstagtyp	(Optional) Wählen Sie einen Typ für das Tag aus.
Zielsicherheitstag	Wählen Sie unter Netzwerksicherheitstag erstellen ein zuvor erstelltes Netzwerksicherheitstag aus.
Zielportbereich	Geben Sie den Zielportbereich an, der entweder mit einem eingehenden oder ausgehenden Paket übereinstimmt. Sie können eingeben `*` , um alle Zielports anzugeben.
Aktionen	Wenn die oben genannten Bedingungen übereinstimmen, geben Sie entweder an, um das Paket zuzulassen oder zu blockieren. Zulässige Werte sind Zulassen und Verweigern.
Logging	Geben Sie entweder an, um die Protokollierung für die Regel zu aktivieren oder zu deaktivieren. Wenn die Protokollierung aktiviert ist, wird sämtlicher Datenverkehr, der dieser Regel entspricht, auf den Hostcomputern protokolliert.

Klicken Sie auf Senden.

Anwenden einer Netzwerksicherheitsgruppe

Sie können eine Netzwerksicherheitsgruppe auf Folgendes anwenden:

Anwenden einer Netzwerksicherheitsgruppe auf ein Netzwerksicherheitstag

Wenn Sie eine Netzwerksicherheitsgruppe auf ein Netzwerksicherheitstag anwenden, gelten die Netzwerksicherheitsgruppenregeln für alle VM-Netzwerkschnittstellen, die diesem Netzwerksicherheitstag zugeordnet sind.

Führen Sie die folgenden Schritte aus, um eine Netzwerksicherheitsgruppe über Windows Admin Center auf ein Netzwerksicherheitstag anzuwenden:

Wählen Sie auf dem Windows Admin Center Startbildschirm unter Alle Verbindungen den Cluster aus, auf den Sie die Netzwerksicherheitsgruppe anwenden möchten.
Scrollen Sie unter Extras zum Bereich Netzwerk , und wählen Sie Netzwerksicherheitsgruppen aus.
Wählen Sie unter Netzwerksicherheitsgruppen die Registerkarte Netzwerksicherheitstags aus.
Wählen Sie das Netzwerksicherheitstag aus, das Sie bearbeiten möchten, und wählen Sie dann Einstellungen aus.
Wählen Sie im Bereich Netzwerksicherheitstag bearbeiten für das ausgewählte Tag die Netzwerksicherheitsgruppe aus, die Sie auf das Netzwerksicherheitstag anwenden möchten.
Klicken Sie auf Submit (Senden).

Nächste Schritte

Verwandte Informationen finden Sie außerdem unter:

Freigeben über