Oktatóanyag: Hálózati forgalom szűrése hálózati biztonsági csoporttal az Azure Portal használatával

  • Cikk

A hálózati biztonsági csoportokkal szűrheti az Azure-beli virtuális hálózatok Azure-erőforrásaiba irányuló és onnan kimenő bejövő és kimenő hálózati forgalmat.

A hálózati biztonsági csoportok biztonsági szabályokat tartalmaznak, amelyek IP-cím, port és protokoll szerint szűrik a hálózati forgalmat. Ha egy hálózati biztonsági csoport alhálózathoz van társítva, a rendszer biztonsági szabályokat alkalmaz az adott alhálózatban üzembe helyezett erőforrásokra.

Diagram of resources created during tutorial.

Ebben az oktatóanyagban az alábbiakkal fog megismerkedni:

  • Hálózati biztonsági csoport és biztonsági szabályok létrehozása
  • Alkalmazásbiztonsági csoportok létrehozása
  • Virtuális hálózat létrehozása és hálózati biztonsági csoport hozzárendelése egy alhálózathoz
  • Virtuális gépek üzembe helyezése és hálózati adapterek társítása az alkalmazásbiztonsági csoportokhoz

Előfeltételek

  • Egy Azure-fiók, aktív előfizetéssel. Ingyenesen létrehozhat fiókot.

Bejelentkezés az Azure-ba

Jelentkezzen be az Azure Portalra.

Virtuális hálózat létrehozása

Az alábbi eljárás létrehoz egy virtuális hálózatot egy erőforrás-alhálózattal.

  1. A portálon keresse meg és válassza ki a virtuális hálózatokat.

  2. A Virtuális hálózatok lapon válassza a + Létrehozás lehetőséget.

  3. A Virtuális hálózat létrehozása alapismeretek lapján adja meg vagy válassza ki a következő információkat:

    Beállítás Érték
    Projekt részletei
    Előfizetés Válassza ki előfizetését.
    Erőforráscsoport Válassza az Új létrehozása lehetőséget.
    Adja meg a test-rg nevet.
    Válassza az OK gombot.
    Példány részletei
    Név Adja meg a vnet-1 értéket.
    Régió Válassza az USA 2. keleti régiója lehetőséget.

    Screenshot of Basics tab of Create virtual network in the Azure portal.

  4. A Tovább gombra kattintva lépjen a Biztonság lapra.

  5. A Tovább gombra kattintva lépjen az IP-címek lapra.

  6. Az Alhálózatok címtartományában válassza ki az alapértelmezett alhálózatot.

  7. Az Alhálózat szerkesztése területen adja meg vagy válassza ki a következő adatokat:

    Beállítás Érték
    Alhálózat részletei
    Alhálózati sablon Hagyja meg az alapértelmezett alapértelmezett értéket.
    Név Adja meg az 1. alhálózatot.
    Kezdőcím Hagyja meg a 10.0.0.0 alapértelmezett értékét.
    Alhálózat mérete Hagyja meg a /24(256-címek) alapértelmezett értékét.

    Screenshot of default subnet rename and configuration.

  8. Válassza a Mentés lehetőséget.

  9. Válassza a Véleményezés + létrehozás lehetőséget a képernyő alján, és amikor az ellenőrzés sikeres, válassza a Létrehozás lehetőséget.

Alkalmazásbiztonsági csoportok létrehozása

Az alkalmazásbiztonsági csoportok (ASG-k) lehetővé teszik, hogy hasonló függvényekkel, például webkiszolgálókkal csoportosítsa a kiszolgálókat.

  1. A portál tetején található keresőmezőbe írja be az Alkalmazás biztonsági csoportját. Válassza ki az alkalmazásbiztonsági csoportokat a keresési eredmények között.

  2. Válassza a +Létrehozás lehetőséget.

  3. Az Alkalmazásbiztonsági csoport létrehozása alapismeretek lapján adja meg vagy válassza ki az alábbi adatokat:

    Beállítás Érték
    Projekt részletei
    Előfizetés Válassza ki előfizetését.
    Erőforráscsoport Válassza a test-rg lehetőséget.
    Példány részletei
    Név Adja meg az asg-web parancsot.
    Régió Válassza az USA 2. keleti régiója lehetőséget.

  4. Válassza az Áttekintés + létrehozás lehetőséget.

  5. Válassza a +Létrehozás lehetőséget.

  6. Ismételje meg az előző lépéseket, és adja meg a következő értékeket:

    Beállítás Érték
    Projekt részletei
    Előfizetés Válassza ki előfizetését.
    Erőforráscsoport Válassza a test-rg lehetőséget.
    Példány részletei
    Név Adja meg az asg-mgmt értéket.
    Régió Válassza az USA 2. keleti régiója lehetőséget.

  7. Válassza az Áttekintés + létrehozás lehetőséget.

  8. Válassza a Létrehozás lehetőséget.

Hálózati biztonsági csoport létrehozása

Egy hálózati biztonsági csoport (NSG) biztosítja a virtuális hálózat hálózati forgalmát.

  1. A portál tetején található keresőmezőbe írja be a Hálózati biztonsági csoportot. Válassza ki a hálózati biztonsági csoportokat a keresési eredmények között.

    Feljegyzés

    A hálózati biztonsági csoportok keresési eredményei között megjelenhetnek a hálózati biztonsági csoportok (klasszikus) is. Válassza ki a hálózati biztonsági csoportokat.

  2. Válassza a +Létrehozás lehetőséget.

  3. A Hálózati biztonsági csoport létrehozása alapismeretek lapján adja meg vagy válassza ki az alábbi adatokat:

    Beállítás Érték
    Projekt részletei
    Előfizetés Válassza ki előfizetését.
    Erőforráscsoport Válassza a test-rg lehetőséget.
    Példány részletei
    Név Adja meg az nsg-1 értéket.
    Hely Válassza az USA 2. keleti régiója lehetőséget.

  4. Válassza az Áttekintés + létrehozás lehetőséget.

  5. Válassza a Létrehozás lehetőséget.

Hálózati biztonsági csoport társítása alhálózathoz

Ebben a szakaszban a hálózati biztonsági csoportot a korábban létrehozott virtuális hálózat alhálózatához társítja.

  1. A portál tetején található keresőmezőbe írja be a Hálózati biztonsági csoportot. Válassza ki a hálózati biztonsági csoportokat a keresési eredmények között.

  2. Válassza az nsg-1 lehetőséget.

  3. Válassza ki az alhálózatokat az nsg-1 Gépház szakaszából.

  4. Az Alhálózatok lapon válassza a + Társítás lehetőséget:

    Screenshot of Associate a network security group to a subnet.

  5. Az Alhálózat társítása területen válassza a virtuális hálózathoz tartozó vnet-1 (test-rg) elemet.

  6. Válassza az alhálózat 1. alhálózatát, majd kattintson az OK gombra.

Biztonsági szabályok létrehozása

  1. Válassza ki a bejövő biztonsági szabályokat az nsg-1 Gépház szakaszából.

  2. A Bejövő biztonsági szabályok lapon válassza a + Hozzáadás lehetőséget.

  3. Hozzon létre egy biztonsági szabályt, amely engedélyezi a 80-as és a 443-as portot az asg-webalkalmazás biztonsági csoportjának. A Bejövő biztonsági szabály hozzáadása lapon adja meg vagy válassza ki a következő adatokat:

    Beállítás Érték
    Forrás Hagyja meg az Any alapértelmezett értékét.
    Forrásporttartományok Hagyja meg a (*) alapértelmezett értékét.
    Cél Válassza az Alkalmazás biztonsági csoportját.
    Célalkalmazás biztonsági csoportjai Válassza az asg-web lehetőséget.
    Szolgáltatás Hagyja meg az Egyéni beállítás alapértelmezett értékét.
    Célporttartományok Adja meg a 80 443 értéket.
    Protokoll Válassza a TCP lehetőséget.
    Művelet Hagyja meg az Engedélyezés alapértelmezett értékét.
    Prioritás Hagyja meg a 100 alapértelmezett értéket.
    Név Adja meg az allow-web-all parancsot.

  4. Válassza a Hozzáadás lehetőséget.

  5. Hajtsa végre az előző lépéseket a következő információkkal:

    Beállítás Érték
    Forrás Hagyja meg az Any alapértelmezett értékét.
    Forrásporttartományok Hagyja meg a (*) alapértelmezett értékét.
    Cél Válassza az Alkalmazás biztonsági csoportját.
    Célalkalmazás biztonsági csoportja Válassza az asg-mgmt lehetőséget.
    Szolgáltatás Válassza az RDP lehetőséget.
    Művelet Hagyja meg az Engedélyezés alapértelmezett értékét.
    Prioritás Hagyja meg a 110 alapértelmezett értéket.
    Név Adja meg az allow-rdp-all parancsot.

  6. Válassza a Hozzáadás lehetőséget.

    Figyelemfelhívás

    Ebben a cikkben az RDP (3389-as port) az asg-mgmt alkalmazásbiztonsági csoporthoz hozzárendelt virtuális gép internetére kerül.

    Éles környezetekben ahelyett, hogy a 3389-ös portot az internetre tárja fel, ajánlott olyan Azure-erőforrásokhoz csatlakozni, amelyeket VPN, privát hálózati kapcsolat vagy Azure Bastion használatával szeretne kezelni.

    Az Azure Bastionról további információt a Mi az Azure Bastion?

Virtuális gépek létrehozása

Hozzon létre két virtuális gépet (virtuális gépet) a virtuális hálózaton.

  1. A portálon keresse meg és válassza ki a virtuális gépeket.

  2. A virtuális gépeken válassza a + Létrehozás, majd az Azure virtuális gép lehetőséget.

  3. A Virtuális gép létrehozása lapon adja meg vagy válassza ki ezeket az információkat az Alapszintű beállítások lapon:

    Beállítás Érték
    Projekt részletei
    Előfizetés Válassza ki előfizetését.
    Erőforráscsoport Válassza a test-rg lehetőséget.
    Példány részletei
    Virtuális gép neve Adja meg a vm-1 értéket.
    Régió Válassza az USA 2. keleti régióját.
    Rendelkezésre állási beállítások Hagyja meg a Nincs szükség infrastruktúra-redundanciára vonatkozó alapértelmezett beállítást.
    Biztonsági típus Válassza a Standard lehetőséget.
    Kép Válassza a Windows Server 2022 Datacenter – x64 Gen2 lehetőséget.
    Azure Spot-példány Hagyja bejelöletlenül az alapértelmezett értéket.
    Méret Válasszon ki egy méretet.
    Rendszergazda istrator-fiók
    Felhasználónév Adjon meg egy felhasználónevet.
    Jelszó Adjon meg egy jelszót.
    Jelszó megerősítése Jelszó újraküldése.
    Bejövő portszabályok
    Bejövő portok kiválasztása Válassza a Nincs lehetőséget.

  4. Válassza a Következő: Lemezek , majd a Következő: Hálózatkezelés lehetőséget.

  5. A Hálózatkezelés lapon adja meg vagy válassza ki a következő adatokat:

    Beállítás Érték
    Hálózati adapter
    Virtuális hálózat Válassza a vnet-1 lehetőséget.
    Alhálózat Válassza az 1. alhálózatot (10.0.0.0/24).
    Nyilvános IP-cím Hagyja meg az új nyilvános IP-cím alapértelmezett értékét.
    Hálózati hálózati biztonsági csoport Válassza a Nincs lehetőséget.

  6. Válassza a Véleményezés + létrehozás lapot, vagy válassza a kék Véleményezés + létrehozás gombot az oldal alján.

  7. Válassza a Létrehozás lehetőséget. A virtuális gép üzembe helyezése eltarthat néhány percig.

  8. Ismételje meg az előző lépéseket egy vm-2 nevű második virtuális gép létrehozásához.

Hálózati adapterek társítása ASG-hez

A virtuális gépek létrehozásakor az Azure létrehozott egy hálózati adaptert minden egyes virtuális géphez, és csatlakoztatta a virtuális géphez.

Adja hozzá az egyes virtuális gépek hálózati adapterét a korábban létrehozott alkalmazásbiztonsági csoportok egyikéhez:

  1. A portál tetején található keresőmezőbe írja be a virtuális gépet. Válassza ki a virtuális gépeket a keresési eredmények között.

  2. Válassza ki a vm-1 elemet.

  3. Válassza a Hálózatkezelés lehetőséget a vm-1 Gépház szakaszában.

  4. Válassza az Alkalmazásbiztonsági csoportok lapot, majd az alkalmazásbiztonsági csoportok konfigurálása lehetőséget.

    Screenshot of Configure application security groups.

  5. Az alkalmazásbiztonsági csoportok konfigurálása területen válassza az Asg-web lehetőséget az Alkalmazásbiztonsági csoportok legördülő menüben, majd válassza a Mentés lehetőséget.

  6. Ismételje meg a vm-2 előző lépéseit, és válassza az asg-mgmt elemet az Alkalmazásbiztonsági csoportok legördülő menüben.

Forgalomszűrők tesztelése

  1. A portál tetején található keresőmezőbe írja be a virtuális gépet. Válassza ki a virtuális gépeket a keresési eredmények között.

  2. Válassza ki a vm-2 elemet.

  3. Az Áttekintés lapon válassza a Csatlakozás gombot, majd válassza a Natív RDP lehetőséget.

  4. Válassza az RDP-fájl letöltése lehetőséget.

  5. Nyissa meg a letöltött RDP-fájlt, és válassza a Csatlakozás lehetőséget. Adja meg a virtuális gép létrehozásakor megadott felhasználónevet és jelszót.

  6. Kattintson az OK gombra.

  7. A kapcsolati folyamat során tanúsítványriasztást kaphat. Ha a figyelmeztetést kapja, válassza az Igen vagy a Folytatás lehetőséget a kapcsolat folytatásához.

    A kapcsolat sikeres, mert az internetről az asg-mgmt alkalmazás biztonsági csoportjába irányuló bejövő forgalom a 3389-as porton keresztül engedélyezett.

    A vm-2 hálózati adaptere az asg-mgmt alkalmazás biztonsági csoporthoz van társítva, és engedélyezi a kapcsolatot.

  8. Nyisson meg egy PowerShell-munkamenetet a vm-2-en. Csatlakozás vm-1-hez az alábbiak használatával:

    mstsc /v:vm-1

    A vm-2és a vm-1 közötti RDP-kapcsolat sikeres, mert az ugyanazon a hálózaton lévő virtuális gépek alapértelmezés szerint bármilyen porton keresztül kommunikálhatnak egymással.

    Az internetről nem hozhat létre RDP-kapcsolatot a vm-1 virtuális géppel. Az asg-web biztonsági szabálya megakadályozza az internetről bejövő 3389-as port kapcsolatait. Az internetről érkező bejövő forgalom alapértelmezés szerint minden erőforrásra le lesz tagadva.

  9. A Microsoft IIS vm-1 virtuális gépre való telepítéséhez írja be a következő parancsot egy PowerShell-munkamenetből a vm-1 virtuális gépen:

    Install-WindowsFeature -name Web-Server -IncludeManagementTools

  10. Az IIS telepítése után bontsa le a kapcsolatot a vm-1 virtuális gépről, amely a vm-2 virtuális gép távoli asztali kapcsolatában marad.

  11. Válassza le a vm-2 virtuális gépet.

  12. Keressen rá az 1. virtuális gépre a portál keresőmezőjében.

  13. Az 1. virtuális gép Áttekintés lapján jegyezze fel a virtuális gép nyilvános IP-címét. A következő példában látható cím a 20.230.55.178, a címe eltérő:

    Screenshot of Public IP address of a virtual machine in the Overview page.

  14. Annak ellenőrzéséhez, hogy hozzáfér-e a vm-1 webkiszolgálóhoz az internetről, nyisson meg egy webböngészőt a számítógépen, és keresse meg a következőt http://<public-ip-address-from-previous-step>: .

Az IIS alapértelmezett lapja jelenik meg, mivel az internetről az asg-webalkalmazás biztonsági csoportjába irányuló bejövő forgalom a 80-as porton keresztül engedélyezett.

A vm-1-hez csatolt hálózati adapter az asg-webalkalmazás biztonsági csoporthoz van társítva, és engedélyezi a kapcsolatot.

Az erőforrások eltávolítása

Ha befejezte a létrehozott erőforrások használatát, törölheti az erőforráscsoportot és annak összes erőforrását:

  1. Az Azure Portalon keresse meg és válassza ki az erőforráscsoportokat.

  2. Az Erőforráscsoportok lapon válassza ki a test-rg erőforráscsoportot.

  3. A test-rg lapon válassza az Erőforráscsoport törlése lehetőséget.

  4. A törlés megerősítéséhez írja be a test-rg értéket az Erőforráscsoport neve mezőbe, majd válassza a Törlés lehetőséget.

Következő lépések

Az oktatóanyag során az alábbi lépéseket fogja végrehajtani:

  • Létrehozott egy hálózati biztonsági csoportot, és hozzárendelte egy virtuális hálózati alhálózathoz.
  • Alkalmazásbiztonsági csoportokat hozott létre webes és felügyeleti célokra.
  • Két virtuális gépet hozott létre, és a hálózati adaptereket az alkalmazásbiztonsági csoportokkal társította.
  • Tesztelte az alkalmazásbiztonsági csoport hálózati szűrését.

A hálózati biztonsági csoportokkal kapcsolatos további információ: Hálózati biztonsági csoportok áttekintése és Hálózati biztonsági csoportok kezelése.

Az Azure alapértelmezés szerint irányítja a forgalmat az alhálózatok között. Ehelyett lehetősége van arra, hogy egy virtuális gépen keresztül irányítsa a forgalmat az alhálózatok között, amely így például tűzfalként is szolgálhat.

Ha meg szeretné ismerni, hogyan hozhat létre útválasztási táblázatot, folytassa a következő oktatóanyaggal.

Útválasztási táblázat létrehozása