Az Azure Stack Hub tűzfal-integrációja
Javasoljuk, hogy az Azure Stack Hub biztonságossá tételéhez használjon tűzfaleszközt. A tűzfalak segíthetnek megvédeni az olyan dolgok ellen, mint az elosztott szolgáltatásmegtagadásos (DDOS-) támadások, a behatolásészlelés és a tartalomvizsgálat. Azonban az Azure Storage-szolgáltatások, például blobok, táblák és üzenetsorok átviteli sebességének szűk keresztmetszetévé is válhatnak.
Ha leválasztott üzembe helyezési módot használ, közzé kell tennie az AD FS-végpontot. További információkért lásd az adatközpont-integrációs identitásról szóló cikket.
Az Azure Resource Manager (rendszergazda), a rendszergazdai portál és a Key Vault (rendszergazdai) végpontok nem feltétlenül igényelnek külső közzétételt. Szolgáltatóként például korlátozhatja a támadási felületet úgy, hogy csak az Azure Stack Hubot felügyeli a hálózaton belülről, nem pedig az internetről.
Vállalati szervezetek esetén a külső hálózat lehet a meglévő vállalati hálózat. Ebben a forgatókönyvben közzé kell tennie a végpontokat az Azure Stack Hub vállalati hálózatról történő üzemeltetéséhez.
Hálózati címfordítás
A hálózati címfordítás (NAT) az ajánlott módszer, amely lehetővé teszi, hogy az üzembehelyezési virtuális gép (DVM) hozzáférjen a külső erőforrásokhoz és az internethez az üzembe helyezés során, valamint a vészhelyreállítási konzol (ERCS) virtuális gépeihez vagy kiemelt végpontjaihoz (PEP) a regisztráció és a hibaelhárítás során.
A NAT a külső hálózaton vagy a nyilvános IP-címeken található nyilvános IP-címek alternatívát is jelenthet. Ez azonban nem ajánlott, mert korlátozza a bérlő felhasználói élményét, és növeli a bonyolultságot. Az egyik lehetőség az egy-az-egy NAT, amely továbbra is egy nyilvános IP-címet igényel felhasználónkénti IP-cím a készletben. Egy másik lehetőség egy több–egy NAT, amely felhasználónkénti VIRTUÁLIS IP-címenkénti NAT-szabályt igényel minden olyan porthoz, amelyet a felhasználó használhat.
A NAT nyilvános VIP-hez való használatának néhány hátránya a következő:
- A NAT többletterhelést jelent a tűzfalszabályok kezelésekor, mivel a felhasználók a saját végpontjaikat és saját közzétételi szabályaikat szabályozzák a szoftveralapú hálózatkezelési (SDN-) veremben. A felhasználóknak kapcsolatba kell lépniük az Azure Stack Hub-operátorral a VIRTUÁLIS IP-címek közzétételéhez és a portlista frissítéséhez.
- Bár a NAT-használat korlátozza a felhasználói élményt, teljes körű vezérlést biztosít az operátornak a közzétételi kérések felett.
- Az Azure-ral kapcsolatos hibrid felhős forgatókönyvek esetében vegye figyelembe, hogy az Azure nem támogatja a VPN-alagút végpontra történő beállítását NAT használatával.
SSL-elfogás
Jelenleg ajánlott letiltani minden SSL-elfogást (például visszafejtési kiszervezést) az összes Azure Stack Hub-forgalomon. Ha a jövőbeli frissítések támogatják, útmutatást kap arról, hogyan engedélyezheti az SSL-elfogást az Azure Stack Hubhoz.
Edge tűzfalforgatókönyv
Peremhálózati üzembe helyezés esetén az Azure Stack Hub közvetlenül a peremhálózati útválasztó vagy a tűzfal mögött van üzembe helyezve. Ezekben a forgatókönyvekben támogatott, hogy a tűzfal a határ felett legyen (1. forgatókönyv), ahol az aktív-aktív és az aktív-passzív tűzfalkonfigurációkat is támogatja, vagy szegélyeszközként (2. forgatókönyv), ahol csak az aktív-aktív tűzfalkonfigurációt támogatja, amely egyenlő költségű többútvonalos (ECMP) BGP-vel vagy statikus útválasztással működik a feladatátvételhez.
A nyilvánosan irányítható IP-címek a külső hálózatról származó nyilvános VIRTUÁLIS IP-címkészlethez vannak megadva az üzembe helyezés időpontjában. Peremhálózati forgatókönyvekben nem ajánlott nyilvános, irányítható IP-címeket használni más hálózatokon biztonsági okokból. Ez a forgatókönyv lehetővé teszi, hogy a felhasználó a teljes önvezérelt felhőélményt megtapasztalja, mint egy nyilvános felhőben, például az Azure-ban.
Vállalati intranetes vagy szegélyhálózati tűzfalforgatókönyv
Vállalati intranetes vagy peremhálózati környezetben az Azure Stack Hub többzónás tűzfalon vagy a peremhálózati tűzfal és a belső vállalati hálózati tűzfal között van üzembe helyezve. A forgalom ezután el van osztva a biztonságos, szegélyhálózat (vagy DMZ) és a nem biztonságos zónák között az alábbiak szerint:
- Biztonságos zóna: Ez az a belső hálózat, amely belső vagy vállalati irányítható IP-címeket használ. A biztonságos hálózat felosztható, a tűzfal nat-on keresztüli internetes kimenő hozzáférése van, és általában az adatközponton belülről, a belső hálózaton keresztül érhető el. Minden Azure Stack Hub-hálózatnak a biztonsági zónában kell lennie, kivéve a külső hálózat nyilvános VIP-készletét.
- Szegélyhálózat. A szegélyhálózaton általában külső vagy internetes alkalmazások, például webkiszolgálók vannak üzembe helyezve. Általában egy tűzfal figyeli, hogy elkerülje az olyan támadásokat, mint a DDoS és a behatolás (hackelés), miközben továbbra is engedélyezi a megadott bejövő forgalmat az internetről. Csak az Azure Stack Hub külső hálózati nyilvános VIP-készlete legyen a DMZ-zónában.
- Nem biztonságos zóna. Ez a külső hálózat, az internet. Nem ajánlott az Azure Stack Hub üzembe helyezése a nem biztonságos zónában.
Tudjon meg többet
További információ az Azure Stack Hub-végpontok által használt portokról és protokollokról.