Akses pengembang dan admin ke VM Azure

Mengamankan akses jarak jauh ke Azure komputer virtual (VM) memungkinkan Anda mengelola beban kerja tanpa mengekspos port manajemen ke internet. Artikel ini membandingkan akses VM Azure Bastion, VPN Point-to-Site, dan Just-in-Time untuk membantu Anda memilih pendekatan yang tepat.

Apa yang dibahas artikel ini

Artikel ini menjelaskan cara mengakses Azure komputer virtual dengan aman untuk administrasi tanpa mengekspos port manajemen ke internet.

Siapa yang membutuhkan artikel ini

Baca artikel ini jika Anda:

  • Perlu menggunakan SSH atau RDP untuk menyambungkan ke VM Azure untuk pengembangan atau administrasi.
  • Ingin menghapus alamat IP publik pada VM sambil mempertahankan akses manajemen.
  • Kelola jaringan hub-and-spoke dan perlukan akses jarak jauh terpusat untuk tim Anda.
  • Perlu mematuhi kebijakan keamanan yang melarang port manajemen langsung yang terhubung ke internet.

Fokus angkat dan geser: Sebarkan Azure Bastion di hub sehingga admin menjangkau VM yang dimigrasikan melalui SSH atau RDP tanpa IP publik, menggantikan alur kerja jump-box lokal.

Modernisasi fokus: Gabungkan Bastion dengan pemisahan langganan dan RBAC sehingga tim platform dan aplikasi mendapatkan akses terlingkup, dan menyebarkan Bastion per wilayah untuk properti aktif-aktif.

Fokus lintas cloud: Berikan akses admin melalui hub aman (Bastion atau VPN titik-ke-situs) dan hindari mengekspos port manajemen pada beban kerja yang dimigrasikan dari cloud lain.

layanan dan fitur Azure

Tabel berikut mencantumkan layanan Azure yang menyediakan akses jarak jauh yang aman ke komputer virtual.

Service Apa yang disediakannya Kapan harus menggunakannya
Azure Bastion (Basic) SSH dan RDP berbasis browser melalui portal Azure. Tidak ada IP publik yang diperlukan pada VM. Dua instans host khusus dengan 40 sesi RDP simultan atau 80 sesi SSH simultan. VM apa pun yang perlu diakses administrator tanpa mengekspos port publik.
Azure Bastion (Standar) Semua yang ada di Basic ditambah dukungan klien asli, transfer file, tautan yang dapat dibagikan, koneksi berbasis IP, port masuk kustom, dan instans host yang dapat diskalakan (2–50). Teams membutuhkan alur kerja admin yang lebih kaya seperti pengunggahan file atau koneksi melalui Azure CLI.
Azure Bastion (Premium) Semua yang ada di Standard ditambah penyebaran khusus privat (tidak ada IP publik pada sumber daya Bastion itu sendiri) dan perekaman sesi. Lingkungan keamanan tinggi di mana bahkan host Bastion tidak boleh memiliki alamat IP publik.
VPN Point-to-Site (P2S) Koneksi VPN klien individual ke jaringan virtual. Menyediakan akses tingkat jaringan penuh ke semua sumber daya VNet, bukan hanya VM. Administrator yang memerlukan akses ke banyak sumber daya di luar RDP dan SSH, seperti database, penyimpanan, atau aplikasi web internal.
Akses VM Just-in-Time (JIT) Membuka port manajemen hanya ketika diminta secara eksplisit, untuk jendela waktu terbatas. Membuat aturan sementara NSG atau Azure Firewall untuk mengizinkan. Mengurangi permukaan serangan untuk VM yang masih mempertahankan alamat IP publik.

Cara memilih

Layanan yang tepat tergantung pada apakah Anda memerlukan akses berbasis browser, konektivitas jaringan penuh, atau pembukaan port sementara.

Cara mengakses VM dengan aman

Gunakan tabel ini untuk memilih pendekatan yang tepat berdasarkan kebutuhan Anda.

Persyaratan Layanan yang direkomendasikan Mengapa
RDP atau SSH berbasis browser tanpa perangkat lunak klien untuk diinstal Azure Bastion (Dasar atau Standar) Bastion menyediakan akses berbasis portal langsung dari browser. Tidak ada klien VPN atau IP publik yang diperlukan pada VM.
Akses khusus privat dengan nol alamat IP publik, termasuk pada sumber daya Bastion Azure Bastion (Premium) Premium mendukung penerapan privat saja, yang menghilangkan IP publik pada Bastion itu sendiri.
Akses jaringan virtual penuh untuk tim admin, bukan hanya RDP dan SSH VPN point-to-site VPN P2S memberi klien alamat IP di VNet sehingga semua sumber daya jaringan dapat dijangkau.
Mengurangi permukaan serangan untuk VM yang masih memiliki IP publik Akses VM Just-in-Time JIT membuat port manajemen tetap tertutup secara default dan membukanya hanya untuk pengguna yang disetujui selama jendela waktu terbatas.

Pola akses admin

Diagram yang menunjukkan pola akses admin dengan Azure Bastion di hub VNet yang menjangkau VM di spoke VNet, dan klien VPN Point-to-Site yang terhubung melalui VPN Gateway.

Perbandingan SKU Bastion

Feature Dasar Standard Premium
SSH dan RDP berbasis browser ✅ ✅ ✅
Dukungan untuk peering VNet (hub-spoke) ✅ ✅ ✅
Klien asli (Azure CLI) ❌ ✅ ✅
Unggahan dan pengunduhan file ❌ ✅ ✅
Tautan yang dapat dibagikan ❌ ✅ ✅
Koneksi berbasis IP ❌ ✅ ✅
Port masuk kustom ❌ ✅ ✅
Instans host yang dapat diskalakan (2–50) ❌ ✅ ✅
Penyebaran hanya privat (tanpa IP publik) ❌ ❌ ✅
Perekaman sesi ❌ ❌ ✅

Tip

Perbedaan biaya antara Standar dan Premium adalah marginal. Gunakan Bastion Premium untuk beban kerja produksi.

Protokol VPN titik-ke-situs

P2S VPN mendukung tiga protokol terowongan:

  • Openvpn: Berbasis TLS, berfungsi pada Windows, macOS, Linux, iOS, dan Android. Mendukung autentikasi Microsoft Entra ID dan autentikasi multifaktor (MFA).
  • IKEv2: IPsec berbasis standar, berfungsi pada Windows dan macOS.
  • SSTP (Protokol Penerowongan Soket Aman): Berbasis TLS eksklusif, hanya Windows.

Important

SSTP sedang dihentikan secara bertahap. Mulai 31 Maret 2026, Anda tidak dapat lagi mengaktifkan SSTP di gateway VPN. Gateway yang didukung SSTP yang ada berhenti menerima koneksi pada 31 Maret 2027. Gunakan OpenVPN atau IKEv2 untuk semua penyebaran baru. autentikasi Microsoft Entra ID dan MFA hanya didukung dengan jenis terowongan OpenVPN.

Pertimbangan Desain

Fokus pada desain akses admin lift-and-shift

  • Sebarkan Azure Bastion di VNet hub sehingga setiap spoke yang di-peering dapat menjangkau VM-nya melalui SSH atau RDP tanpa alamat IP publik, menggantikan alur kerja jump-box lokal.
  • Hapus IP publik dari VM yang dimigrasikan setelah Bastion berada di tempat untuk menyusutkan permukaan serangan.
  • Gunakan VPN titik-ke-situs ketika admin perlu menjangkau banyak sumber daya di luar masing-masing VM.
  • Jaga agar pola akses admin tetap konsisten di seluruh beban kerja yang dimigrasikan untuk menyederhanakan operasi.

Memodernisasi fokus desain akses admin

  • Padukan Bastion dengan pemisahan langganan dan RBAC agar tim platform mengelola hub dan konektivitas, sementara tim aplikasi mendapatkan akses terbatas ke spoke masing-masing.
  • Terapkan Bastion di setiap wilayah dalam desain aktif-aktif agar admin dapat mengakses sumber daya di wilayah primer dan cadangan.
  • Gunakan SKU Bastion yang sesuai dengan kebutuhan Anda, seperti penyebaran khusus privat atau dukungan klien asli.
  • Integrasikan autentikasi Microsoft Entra ID dan MFA untuk VPN titik-ke-situs tempat Anda menggunakannya (jenis terowongan OpenVPN).

Fokus desain akses admin lintas cloud

  • Pusatkan akses admin di hub Virtual WAN yang aman sehingga operator dapat mengakses beban kerja Azure yang dimigrasikan dari cloud lain tanpa titik akhir publik untuk setiap beban kerja.
  • Jangan melampirkan IP manajemen publik ke komputer virtual; rutekan SSH atau RDP melalui Bastion di hub.
  • Jika tim mengelola sumber daya di berbagai cloud, standarkan penggunaan VPN point-to-site atau Bastion agar metode akses tetap konsisten.
  • Rutekan lalu lintas admin melalui firewall hub yang diperiksa sehingga mengikuti kebijakan keamanan lintas cloud yang sama dengan lalu lintas beban kerja Anda.

Prasyarat

Sebelum Menyiapkan akses jarak jauh yang aman, pastikan Anda memiliki:

  • Jaringan virtual tempat VM Anda diterapkan (lihat Jaringan virtual dan subnet)
  • Untuk Azure Bastion: Subnet bernama AzureBastionSubnet dengan ukuran minimum /26 (64 alamat). Subnet ini tidak dapat menghosting sumber daya lain.
  • Untuk VPN P2S: Subnet gateway dan sumber daya gateway VPN (lihat konektivitas VPN dan ExpressRoute untuk perencanaan gateway)
  • Untuk akses VM JIT: Microsoft Defender untuk Server Paket 2 diaktifkan pada langganan

Pertimbangan keamanan

Perhatian

Jangan pernah membuat aturan NSG yang memungkinkan RDP (TCP 3389) atau SSH (TCP 22) masuk dari 0.0.0.0/0 (sumber apa pun di internet). Konfigurasi ini mengekspos VM untuk serangan brute-force dan merupakan penyebab umum insiden keamanan.

Ikuti praktik keamanan ini untuk akses VM jarak jauh:

  • Gunakan VPN Bastion atau P2S alih-alih IP publik. Kedua pendekatan menjaga lalu lintas manajemen agar tetap terpisah dari internet publik. Hapus alamat IP publik dari VM saat Anda tidak lagi membutuhkannya.
  • Sebarkan Bastion di VNet hub. Satu instans Bastion di jaringan virtual hub dapat menjangkau VM di semua VNet spoke yang terhubung melalui peering. Anda tidak memerlukan penerapan Bastion di setiap spoke. Gunakan SKU Standar atau Premium untuk topologi hub-spoke.
  • Aktifkan MFA untuk P2S VPN. Konfigurasikan autentikasi Microsoft Entra ID dengan Akses Bersyarat Microsoft Entra untuk memerlukan autentikasi multifaktor. MFA memerlukan jenis terowongan OpenVPN dan aplikasi Klien VPN Azure.
  • Atur jangka waktu JIT menjadi singkat. Saat Anda menggunakan akses Just-in-Time, batasi durasi hingga waktu minimum yang diperlukan. Setelah periode tersebut berakhir, aturan NSG kembali ke status penolakan sebelumnya. Koneksi yang ada tidak terganggu, tetapi sistem memblokir koneksi baru.
  • Terapkan aturan NSG ke AzureBastionSubnet. Ikuti panduan tentang mengamankan Bastion untuk aturan masuk dan keluar yang diperlukan pada subnet Bastion.

Note

Akses VM JIT membuat aturan izinkan NSG sementara secara default. JIT juga dapat bekerja dengan Azure Firewall, tetapi hanya ketika firewall menggunakan aturan klasik. Firewall yang dikelola melalui Azure Firewall Manager (Kebijakan firewall) tidak mendukung integrasi JIT.

Selengkapnya

Langkah berikutnya

Tip

Menjelajahi sendiri? Kembali ke navigator gambaran umum untuk menemukan artikel Anda berikutnya berdasarkan kemampuan.

Berikutnya dalam perjalanan lift-and-shift Anda:

Merencanakan DNS untuk resolusi nama warisan: Mempertahankan perilaku penamaan DNS warisan selama migrasi menggunakan zona Azure Private DNS dan catatan alias.

Selanjutnya dalam perjalanan modernisasi Anda:

Siapkan konektivitas privat ke layanan PaaS: Buat subnet Private Link di setiap spoke untuk konektivitas layanan PaaS Anda.

Selanjutnya dalam perjalanan lintas cloud Anda:

Rencanakan pengalihan DNS dan resolusi nama: Petakan catatan DNS, turunkan TTL, dan konfigurasikan resolusi nama lintas cloud sebelum pengalihan migrasi.

  • Last updated on