Bagikan melalui

Tutorial: Membatasi akses jaringan ke sumber daya PaaS dengan titik akhir layanan jaringan virtual

Titik akhir layanan jaringan virtual memungkinkan Anda membatasi akses jaringan ke beberapa sumber daya layanan Azure ke subnet jaringan virtual. Anda juga dapat menghapus akses internet ke sumber daya. Titik akhir layanan menyediakan koneksi langsung dari jaringan virtual Anda ke layanan Azure yang didukung, sehingga Anda dapat menggunakan ruang alamat privat jaringan virtual untuk mengakses layanan Azure. Lalu lintas yang ditujukan ke sumber daya Azure melalui titik akhir layanan selalu tetap berada di jaringan backbone Microsoft Azure.

Diagram sumber daya Azure yang dibuat dalam tutorial.

Dalam tutorial ini, Anda akan mempelajari cara:

  • Membuat jaringan virtual dengan satu subnet
  • Menambahkan subnet dan mengaktifkan titik akhir layanan
  • Membuat sumber daya Azure dan mengizinkan akses jaringan hanya dari subnet
  • Menyebarkan komputer virtual (VM) ke setiap subnet
  • Mengonfirmasi akses ke sumber daya dari subnet
  • Pastikan akses ke sumber daya dari subnet dan internet telah ditolak

Prasyarat

Mengaktifkan titik akhir layanan

Membuat jaringan virtual dan host Azure Bastion

Prosedur berikut membuat jaringan virtual dengan subnet sumber daya, subnet Azure Bastion, dan host Bastion:

  1. Di portal, cari dan pilih Jaringan virtual.

  2. Pada halaman Jaringan virtual, pilih + Buat.

  3. Pada tab Dasar dariBuat jaringan virtual, masukkan, atau pilih informasi berikut:

    Pengaturan Nilai
    Detail proyek
    Langganan Pilih langganan Anda.
    Grup sumber daya Pilih Buat baru.
    Masukkan test-rg untuk nama tersebut.
    Pilih OK.
    Detil instance
    Nama Masukkan vnet-1.
    Wilayah Pilih East US 2.

    Cuplikan layar tab Dasar untuk membuat jaringan virtual di portal Azure.

  4. Pilih Berikutnya untuk melanjutkan ke tab Keamanan .

  5. Di bagian Azure Bastion , pilih Aktifkan Azure Bastion.

    Bastion menggunakan browser Anda untuk terhubung ke VM di jaringan virtual Anda melalui Secure Shell (SSH) atau Remote Desktop Protocol (RDP) dengan menggunakan alamat IP privat mereka. VM tidak memerlukan alamat IP publik, perangkat lunak klien, atau konfigurasi khusus. Untuk informasi selengkapnya, lihat Apa yang dimaksud dengan Azure Bastion?.

    Catatan

    Harga per jam berlaku sejak Bastion diaktifkan, terlepas dari penggunaan data keluar. Untuk informasi selengkapnya, lihat Harga dan SKU. Jika Anda menyebarkan Bastion sebagai bagian dari tutorial atau pengujian, kami sarankan Anda menghapus sumber daya ini setelah Selesai menggunakannya.

  6. Di Azure Bastion, masukkan atau pilih informasi berikut:

    Pengaturan Nilai
    Nama host Azure Bastion Masukkan bastion.
    Alamat IP publik Azure Bastion Pilih Buat alamat IP publik.
    Masukkan public-ip-bastion di Nama.
    Pilih OK.

    Cuplikan layar opsi untuk mengaktifkan host Azure Bastion sebagai bagian dari pembuatan jaringan virtual di portal Azure.

  7. Pilih Berikutnya untuk melanjutkan ke tab Alamat IP.

  8. Dalam kotak ruang alamat di Subnet, pilih subnet default .

  9. Di Edit subnet, masukkan atau pilih informasi berikut:

    Pengaturan Nilai
    Tujuan subnet Biarkan nilai bawaan Default.
    Nama Masukkan subnet-1.
    IPv4
    Rentang alamat IPv4 Biarkan default 10.0.0.0/16.
    Alamat awal Biarkan defaultnya 10.0.0.0.
    Ukuran Biarkan nilai default /24 (256 alamat).

    Cuplikan layar detail konfigurasi untuk subnet.

  10. Pilih Simpan.

  11. Pilih Tinjau + buat di bagian bawah jendela. Saat melalui validasi, pilih Buat.

Titik akhir layanan diaktifkan per layanan, per subnet.

  1. Di kotak pencarian di bagian atas halaman portal, cari Jaringan virtual. Pilih Jaringan Virtual di hasil pencarian.

  2. Di Jaringan virtual, pilih vnet-1.

  3. Di bagian Pengaturan dari vnet-1, pilih Subnets.

  4. Pilih + Subnet.

  5. Pada halaman Tambahkan subnet , masukkan, atau pilih informasi berikut ini:

    Pengaturan Nilai
    Nama subnet-privat
    Rentang alamat subnet Biarkan default 10.0.2.0/24.
    TITIK AKHIR LAYANAN
    Layanan Pilih Microsoft.Storage

  6. Pilih Simpan.

Perhatian

Sebelum mengaktifkan titik akhir layanan untuk subnet yang sudah ada yang berisi sumber daya, lihat Mengubah pengaturan subnet.

Membatasi akses jaringan untuk subnet

Secara default, semua instans komputer virtual dalam subnet dapat berkomunikasi dengan semua sumber daya. Anda dapat membatasi komunikasi ke dan dari semua sumber daya dalam subnet dengan membuat grup keamanan jaringan, dan mengaitkannya ke subnet.

  1. Di kotak pencarian di bagian atas halaman portal, cari Grup keamanan jaringan. Pilih Grup keamanan jaringan di hasil penelusuran.

  2. Di Grup keamanan jaringan, pilih + Buat.

  3. Di tab Dasar-dasar dari Buat grup keamanan jaringan, masukkan, atau pilih informasi berikut:

    Pengaturan Nilai
    Detail proyek
    Langganan Pilih langganan Anda.
    Grup sumber daya Pilih test-rg.
    Detil instance
    Nama Masukkan nsg-storage.
    Wilayah Pilih East US 2.

  4. Pilih Tinjau + buat, lalu pilih Buat.

Membuat aturan keluar Kelompok Keamanan Jaringan (NSG)

  1. Di kotak pencarian di bagian atas halaman portal, cari Grup keamanan jaringan. Pilih Grup keamanan jaringan di hasil penelusuran.

  2. Pilih nsg-storage.

  3. Pilih Aturan keamanan keluar di Setelan.

  4. Pilih + Tambah.

  5. Buat aturan yang memungkinkan komunikasi keluar ke layanan Azure Storage. Masukkan atau pilih informasi berikut di Tambahkan aturan keamanan keluar:

    Pengaturan Nilai
    Sumber Pilih Service Tag.
    Tag layanan sumber Pilih VirtualNetwork.
    Rentang port sumber Biarkan tetap default *.
    Tujuan Pilih Service Tag.
    Tag layanan tujuan Pilih Penyimpanan.
    Layanan Biarkan sebagai default Kustom.
    Rentang port tujuan Masukkan 445.
    Protokol Pilih Apa pun.
    Perbuatan Pilih Izinkan.
    Prioritas Biarkan nilai default 100.
    Nama Masukkan allow-storage-all.

  6. Pilih + Tambah.

  7. Buat aturan keamanan keluar baru yang menolak komunikasi dengan internet. Aturan ini mengesampingkan aturan default di semua grup keamanan jaringan yang memungkinkan komunikasi internet keluar. Selesaikan langkah-langkah sebelumnya dengan nilai berikut di Tambahkan aturan keamanan keluar:

    Pengaturan Nilai
    Sumber Pilih Service Tag.
    Tag layanan sumber Pilih VirtualNetwork.
    Rentang port sumber Biarkan tetap default *.
    Tujuan Pilih Service Tag.
    Tag layanan tujuan Pilih Internet.
    Layanan Biarkan sebagai default Kustom.
    Rentang port tujuan Masukkan *.
    Protokol Pilih Apa pun.
    Perbuatan Pilih Tolak.
    Prioritas Biarkan default 110.
    Nama Masukkan deny-internet-all.

  8. Pilih Tambahkan.

  9. Di kotak pencarian di bagian atas halaman portal, cari Grup keamanan jaringan. Pilih Grup keamanan jaringan di hasil penelusuran.

  10. Pilih nsg-storage.

  11. Pilih Subnet di Pengaturan.

  12. Pilih + Asosiasikan.

  13. Di Hubungkan subnet, pilih vnet-1 di Jaringan virtual. Pilih subnet-privat di Subnet.

  14. Pilih OK.

Membatasi akses jaringan ke sumber daya

Langkah-langkah yang diperlukan untuk membatasi akses jaringan ke sumber daya yang dibuat melalui layanan Azure, yang diaktifkan untuk titik akhir layanan bervariasi di seluruh layanan. Lihat dokumentasi untuk layanan individual untuk langkah-langkah spesifik untuk setiap layanan. Bagian lainnya dari tutorial ini mencakup langkah-langkah untuk membatasi akses jaringan untuk akun Microsoft Azure Storage, sebagai contoh.

Buat akun penyimpanan

Buat akun Azure Storage untuk langkah-langkah dalam artikel ini. Jika Anda sudah memiliki akun penyimpanan, Anda dapat menggunakannya sebagai gantinya.

  1. Di kotak pencarian di bagian atas portal, masukkan Akun penyimpanan. Pilih Akun penyimpanan di hasil pencarian.

  2. Pilih + Buat.

  3. Pada tab Dasar-Dasarbuat akun penyimpanan, masukkan atau pilih informasi berikut ini:

    Pengaturan Nilai
    Detail Proyek
    Langganan Pilih langganan Azure Anda.
    Grup Sumber Daya Pilih test-rg.
    Detil instance
    Nama akun penyimpanan Masukkan storage1. Jika nama tidak tersedia, masukkan nama unik.
    Lokasi Pilih (US) East US 2.
    Kinerja Biarkan Standar sebagai default.
    Redundansi Pilih Penyimpanan redundan secara lokal (LRS).

  4. Pilih Tinjau.

  5. Pilih Buat.

Penting

Microsoft menyarankan agar Anda menggunakan alur autentikasi paling aman yang tersedia. Alur autentikasi yang dijelaskan dalam prosedur ini membutuhkan tingkat kepercayaan yang sangat tinggi pada aplikasi, dan membawa risiko yang tidak ada dalam alur lain. Anda hanya boleh menggunakan alur ini ketika alur lain yang lebih aman, seperti identitas terkelola, tidak layak.

Untuk informasi selengkapnya tentang menyambungkan ke akun penyimpanan menggunakan identitas terkelola, lihat Menggunakan identitas terkelola untuk mengakses Azure Storage.

Membuat berbagi file di akun penyimpanan

  1. Di kotak pencarian di bagian atas portal, masukkan Akun penyimpanan. Pilih Akun penyimpanan di hasil pencarian.

  2. Di Akun penyimpanan, pilih akun penyimpanan yang Anda buat di langkah sebelumnya.

  3. Di Penyimpanan data, pilih Berbagi file.

  4. Pilih + Berbagi file.

  5. Masukkan atau pilih informasi berikut di Berbagi file baru:

    Pengaturan Nilai
    Nama Masukkan berkas berbagi.
    Tingkat Biarkan Transaksi dioptimalkan sebagai default.

  6. Pilih Berikutnya: Pencadangan.

  7. Hapus centang Aktifkan pencadangan.

  8. Pilih Tinjau + buat, lalu pilih Buat.

Membatasi akses jaringan ke subnet

Secara default, akun penyimpanan menerima koneksi jaringan dari klien di jaringan apa pun, termasuk internet. Anda dapat membatasi akses jaringan dari internet, dan semua subnet lainnya di semua jaringan virtual (kecuali subnet privat di jaringan virtual vnet-1).

Untuk membatasi akses jaringan ke subnet:

  1. Di kotak pencarian di bagian atas portal, masukkan Akun penyimpanan. Pilih Akun penyimpanan di hasil pencarian.

  2. Pilih akun penyimpanan Anda.

  3. Di Keamanan + jaringan, pilih Jaringan.

  4. Di tab Firewall dan jaringan virtual, pilih Diaktifkan dari jaringan virtual dan alamat IP yang dipilih di Akses jaringan publik.

  5. Di Jaringan virtual, pilih + Tambahkan jaringan virtual yang ada.

  6. Di Tambahkan jaringan, masukkan atau pilih informasi berikut:

    Pengaturan Nilai
    Langganan Pilih langganan Anda.
    Jaringan virtual Pilih vnet-1.
    Subnet Pilih subnet-privat.

    Cuplikan layar pembatasan akun penyimpanan ke subnet dan jaringan virtual yang dibuat sebelumnya.

  7. Pilih Tambahkan.

  8. Pilih Simpan untuk menyimpan konfigurasi jaringan virtual.

Menyebarkan komputer virtual ke subnet

Untuk menguji akses jaringan ke akun penyimpanan, sebarkan komputer virtual ke setiap subnet.

Membuat komputer virtual pengujian

Prosedur berikut membuat mesin virtual pengujian (VM) bernama vm-1 di jaringan virtual.

  1. Di portal, cari dan pilih Mesin virtual.

  2. Di Mesin virtual, pilih + Buat, lalu mesin virtual Azure.

  3. Di tab Dasar dari Buat mesin virtual, masukkan atau pilih informasi berikut ini:

    Pengaturan Nilai
    Detail proyek
    Langganan Pilih langganan Anda.
    Grup sumber daya Pilih test-rg.
    Detil instance
    Nama komputer virtual Masukkan vm-1.
    Wilayah Pilih East US 2.
    Opsi ketersediaan Pilih Tidak diperlukan redundansi infrastruktur.
    Jenis keamanan Biarkan opsi default Standar.
    Gambar Pilih Windows Server 2022 Datacenter - x64 Gen2.
    Arsitektur Mesin virtual Biarkan tetap default x64.
    Ukuran Pilih ukuran.
    Akun administrator
    Jenis autentikasi Pilih Kata sandi.
    Nama Pengguna Masukkan azureuser.
    Kata sandi Masukkan kata sandi.
    Mengonfirmasikan kata sandi Masukkan kembali sandi.
    Aturan port masuk
    Port masuk publik Pilih Tidak ada.

  4. Pilih tab Jaringan di bagian atas halaman.

  5. Masukkan atau pilih informasi berikut di tab Jaringan:

    Pengaturan Nilai
    Antarmuka jaringan
    Jaringan virtual Pilih vnet-1.
    Subnet Pilih subnet-1 (10.0.0.0/24).
    IP Publik Pilih Tidak ada.
    kelompok keamanan jaringan NIC Pilih Tingkat Lanjut.
    Mengonfigurasi grup keamanan jaringan Pilih Buat baru.
    Masukkan nsg-1 untuk nama tersebut.
    Biarkan sisanya di default dan pilih OK.

  6. Biarkan pengaturan lainnya di default dan pilih Tinjau + buat.

  7. Tinjau pengaturan akhir, dan pilih Buat.

Catatan

Komputer virtual di jaringan virtual dengan host bastion tidak memerlukan alamat IP publik. Bastion menyediakan IP publik, dan VM menggunakan IP privat untuk berkomunikasi dalam jaringan. Anda dapat menghapus IP publik dari VM apa pun di jaringan virtual yang dihosting bastion. Untuk informasi selengkapnya, lihat Memisahkan alamat IP publik dari Azure VM.

Catatan

Azure menyediakan IP akses keluar default untuk VM yang tidak diberi alamat IP publik atau berada di pool backend dari Azure load balancer dasar yang bersifat internal. Mekanisme IP akses keluar default menyediakan alamat IP keluar yang tidak dapat dikonfigurasi.

IP akses keluar default dinonaktifkan saat salah satu peristiwa berikut terjadi:

  • Alamat IP publik ditetapkan ke VM.
  • VM ditempatkan di kumpulan backend penyeimbang beban standar, dengan atau tanpa aturan outbound.
  • Sumber Azure NAT Gateway diatur ke dalam subnet VM.

VM yang Anda buat dengan menggunakan kumpulan skala mesin virtual dalam mode orkestrasi fleksibel tidak memiliki akses keluar default.

Untuk informasi selengkapnya tentang koneksi keluar di Azure, lihat Akses keluar default di Azure dan Menggunakan Terjemahan Alamat Jaringan Sumber (SNAT) untuk koneksi keluar.

Membuat komputer virtual kedua

  1. Buat komputer virtual kedua yang mengulangi langkah-langkah di bagian sebelumnya. Ganti nilai berikut di Membuat komputer virtual:

    Pengaturan Nilai
    Nama komputer virtual Masukkan vm-private.
    Subnet Pilih subnet-privat.
    IP Publik Pilih Tidak ada.
    kelompok keamanan jaringan NIC Pilih Tidak ada.

    Peringatan

    Jangan lanjutkan ke langkah berikutnya sampai penyebaran selesai.

Mengonfirmasi akses ke akun penyimpanan

Komputer virtual yang Anda buat sebelumnya yang ditetapkan ke subnet-private digunakan untuk mengonfirmasi akses ke akun penyimpanan. Komputer virtual yang Anda buat di bagian sebelumnya dan ditetapkan ke subnet-1 digunakan untuk memastikan bahwa akses ke akun penyimpanan diblokir.

Mendapatkan kunci akses akun penyimpanan

  1. Di kotak pencarian di bagian atas portal, masukkan Akun penyimpanan. Pilih Akun penyimpanan di hasil pencarian.

  2. Di Akun penyimpanan, pilih akun penyimpanan Anda.

  3. Di Keamanan + jaringan, pilih Kunci akses.

  4. Salin nilai key1. Anda mungkin perlu memilih tombol Tampilkan untuk menampilkan kunci.

    Cuplikan layar kunci akses akun penyimpanan.

  5. Di kotak pencarian di bagian atas portal, masukkan Jaringan virtual. Pilih Jaringan Virtual dalam hasil pencarian.

  6. Pilih vm-private.

  7. Pilih Bastion dalam Operasi.

  8. Masukkan nama pengguna dan kata sandi yang Anda tentukan saat membuat komputer virtual. Pilih Sambungkan.

  9. Buka Windows PowerShell. Gunakan skrip berikut untuk memetakan berbagi file Azure ke drive Z.

    • Ganti <storage-account-key> dengan kunci yang Anda salin di langkah sebelumnya.

    • Ganti <storage-account-name> dengan nama akun penyimpanan Anda. Dalam contoh ini, ini adalah storage8675.

     $key = @{
     String = "<storage-account-key>"
 }
 $acctKey = ConvertTo-SecureString @key -AsPlainText -Force

 $cred = @{
     ArgumentList = "Azure\<storage-account-name>", $acctKey
 }
 $credential = New-Object System.Management.Automation.PSCredential @cred

 $map = @{
     Name = "Z"
     PSProvider = "FileSystem"
     Root = "\\<storage-account-name>.file.core.windows.net\file-share"
     Credential = $credential
 }
 New-PSDrive @map

    PowerShell mengembalikan output yang mirip dengan contoh output berikut:

    Name        Used (GB)     Free (GB) Provider      Root
----        ---------     --------- --------      ----
Z                                      FileSystem    \\storage8675.file.core.windows.net\f...

    Berbagi file Azure berhasil dipetakan ke drive Z.

  10. Tutup koneksi Bastion ke vm-private.

Dikonfirmasi bahwa akses ditolak ke akun penyimpanan

Dari vm-1

  1. Di kotak pencarian di bagian atas portal, masukkan Jaringan virtual. Pilih Jaringan Virtual dalam hasil pencarian.

  2. Pilih vm-1.

  3. Pilih Bastion dalam Operasi.

  4. Masukkan nama pengguna dan kata sandi yang Anda tentukan saat membuat komputer virtual. Pilih Sambungkan.

  5. Ulangi perintah sebelumnya untuk mencoba memetakan drive ke berbagi file di akun penyimpanan. Anda mungkin perlu menyalin kunci akses akun penyimpanan lagi untuk prosedur ini:

    $key = @{
    String = "<storage-account-key>"
}
$acctKey = ConvertTo-SecureString @key -AsPlainText -Force

$cred = @{
    ArgumentList = "Azure\<storage-account-name>", $acctKey
}
$credential = New-Object System.Management.Automation.PSCredential @cred

$map = @{
    Name = "Z"
    PSProvider = "FileSystem"
    Root = "\\<storage-account-name>.file.core.windows.net\file-share"
    Credential = $credential
}
New-PSDrive @map

  6. Anda akan menerima pesan kesalahan berikut:

    New-PSDrive : Access is denied
At line:1 char:5
+     New-PSDrive @map
+     ~~~~~~~~~~~~~~~~
    + CategoryInfo          : InvalidOperation: (Z:PSDriveInfo) [New-PSDrive], Win32Exception
    + FullyQualifiedErrorId : CouldNotMapNetworkDrive,Microsoft.PowerShell.Commands.NewPSDriveCommand

  7. Tutup koneksi Bastion ke vm-1.

Dari komputer lokal

  1. Di kotak pencarian di bagian atas portal, masukkan Akun penyimpanan. Pilih Akun penyimpanan di hasil pencarian.

  2. Di Akun penyimpanan, pilih akun penyimpanan Anda.

  3. Di Penyimpanan data, pilih Berbagi file.

  4. Pilih file-share.

  5. Pilih Telusuri di menu sebelah kiri.

  6. Anda akan menerima pesan kesalahan berikut:

    Cuplikan layar pesan kesalahan akses ditolak.

Catatan

Akses ditolak karena komputer Anda tidak berada di subnet-private subnet dari jaringan virtual vnet-1.

Setelah selesai menggunakan sumber daya yang Anda buat, Anda dapat menghapus grup sumber daya dan semua sumber dayanya.

  1. Di portal Microsoft Azure, cari dan pilih Grup sumber daya.

  2. Pada halaman Grup sumber daya, pilih grup sumber daya test-rg .

  3. Pada halaman test-rg , pilih Hapus grup sumber daya.

  4. Masukkan test-rg di Masukkan nama grup sumber daya untuk mengonfirmasi penghapusan, lalu pilih Hapus.

Langkah berikutnya

Dalam tutorial ini:

  • Anda mengaktifkan titik akhir layanan untuk subnet jaringan virtual.

  • Anda belajar bahwa Anda dapat mengaktifkan titik akhir layanan untuk sumber daya yang didistribusikan dari beberapa layanan Azure.

  • Anda membuat akun Azure Storage dan membatasi akses jaringan ke akun penyimpanan hanya untuk sumber daya dalam subnet jaringan virtual.

Untuk mempelajari selengkapnya tentang titik akhir layanan, lihat Ringkasan titik akhir layanan dan Mengelola subnet.

Jika Anda memiliki beberapa jaringan virtual di akun Anda, Anda mungkin ingin membangun konektivitas di antara mereka sehingga sumber daya dapat berkomunikasi satu sama lain. Untuk mempelajari cara menghubungkan jaringan virtual, lanjutkan ke tutorial berikutnya.

Menyambungkan jaringan virtual

  • Last updated on