Rete di produzione Azure

Gli utenti della rete di produzione Azure includono sia clienti esterni che accedono alle proprie applicazioni Azure sia personale interno di supporto tecnico di Azure che gestisce la rete di produzione. Questo articolo discute i metodi di accesso alla sicurezza e i meccanismi di protezione per stabilire connessioni alla rete di produzione Azure.

Instradamento Internet e tolleranza ai guasti

Un'infrastruttura Azure Domain Name Service (DNS) interna ed esterna globalmente ridondante, combinata con più cluster di server DNS primari e secondari, fornisce tolleranza ai guasti. Azure applica inoltre la protezione DDoS a livello infrastrutturale e altri controlli di sicurezza di rete per aiutare a difendersi dagli attacchi DDoS comuni a livello di rete e a tutelare l'integrità dei servizi DNS di Azure.

I server DNS di Azure si trovano in più strutture di datacenter. L'implementazione di DNS di Azure incorpora una gerarchia di server DNS secondari e primari per risolvere pubblicamente i nomi di dominio dei clienti Azure. I nomi di dominio solitamente rimandano a un indirizzo cloudapp.net, che incapsula l'indirizzo IP virtuale (VIP) per il servizio del cliente. Una caratteristica peculiare di Azure è che i bilanciatori del carico di Microsoft che gestiscono quel VIP convertono il VIP nell'indirizzo IP interno dedicato (DIP) del tenant.

Microsoft ospita Azure in datacenter Azure distribuiti geograficamente all'interno degli Stati Uniti. Azure utilizza piattaforme di routing all'avanguardia che implementano standard architettonici forti e scalabili. Tra le caratteristiche più notevoli vi sono:

  • Ingegneria del traffico basata su Multiprotocol Label Switching (MPLS), che garantisce un utilizzo efficiente del collegamento e una graduale degradazione del servizio in caso di interruzione.
  • Microsoft realizza reti con architetture di ridondanza di tipo "N più 1" (N+1) o migliore.
  • Esternamente, circuiti di rete dedicati a larghezza di banda elevata servono data center che connettono in modo ridondante le proprietà con oltre 1.200 provider di servizi Internet a livello globale in più punti di peering. Questa connessione fornisce oltre 2.000 gigabyte al secondo (GBps) di capacità edge.

Poiché Microsoft possiede i propri circuiti di rete tra i datacenter, queste caratteristiche aiutano l'offerta Azure a raggiungere il 99,9+ percento di disponibilità di rete senza la necessità di fornitori di servizi internet terzi tradizionali.

Connessione alla rete di produzione e ai firewall associati

La politica di flusso del traffico internet di rete Azure indirizza il traffico verso la rete di produzione Azure situata nel datacenter regionale più vicino negli Stati Uniti. Poiché i datacenter di produzione Azure mantengono un'architettura di rete e hardware coerenti, la descrizione del flusso di traffico che segue si applica in modo coerente a tutti i datacenter.

Dopo che il traffico internet per Azure è stato instradato al datacenter più vicino, il traffico stabilisce una connessione con i router di accesso. Questi router di accesso isolano il traffico tra i nodi Azure e le VM istanziate dal cliente. I dispositivi di infrastruttura di rete nelle posizioni di accesso e edge sono i punti di confine dove si applicano i filtri di ingresso ed uscita. Questi router utilizzano una lista di controllo accessi (ACL) a livelli per filtrare il traffico di rete indesiderato e applicare i limiti di velocità del traffico, se necessario. Le route ACL permettevano il traffico ai Load Balancer. I router di distribuzione consentono solo indirizzi IP approvati da Microsoft, offrono anti-spoofing e stabiliscono connessioni TCP che utilizzano ACL.

Microsoft posiziona dispositivi esterni di bilanciamento del carico dietro i router di accesso per eseguire la traduzione degli indirizzi di rete (NAT) dagli IP instradabili su Internet agli IP interni di Azure. I dispositivi instradano anche i pacchetti verso IP e porte interne di produzione valide. Questi dispositivi agiscono come meccanismo di protezione per limitare l'esposizione dello spazio di indirizzamento della rete interna di produzione.

Di default, Microsoft applica il Protocollo di Trasferimento Ipertesto Secure (HTTPS) per tutto il traffico trasmesso ai browser web dei clienti, inclusi l'accesso e tutto il traffico successivo. TLS v1.2 crea un tunnel sicuro per il traffico. Le ACL sui router di accesso e core assicurano che la fonte del traffico corrisponda a quella attesa.

Una distinzione importante in questa architettura, rispetto all'architettura di sicurezza tradizionale, è che Azure non dispone di firewall hardware dedicati, dispositivi specializzati di rilevamento o prevenzione di intrusioni, né altri dispositivi di sicurezza normalmente attesi prima delle connessioni all'ambiente di produzione Azure. I clienti di solito si aspettano questi dispositivi firewall hardware nella rete Azure. Tuttavia, Azure non utilizza questi dispositivi. Quasi esclusivamente, queste funzionalità di sicurezza sono integrate nel software che gestisce l'ambiente Azure per fornire meccanismi di sicurezza forti e multilivello, incluse le capacità di firewall. Inoltre, il software che esegue Azure rende più facile gestire e inventariare la portata del confine e la relativa espansione dei dispositivi di sicurezza critici.

Funzionalità principali di sicurezza e firewall

Azure implementa forti funzionalità di sicurezza software e firewall a vari livelli per far rispettare le caratteristiche di sicurezza che i clienti solitamente si aspettano in un ambiente tradizionale per proteggere il confine di autorizzazione di sicurezza centrale.

Funzionalità di sicurezza di Azure

Azure implementa firewall software basati su host all'interno della rete di produzione. Diverse funzionalità fondamentali di sicurezza e firewall risiedono all'interno dell'ambiente Azure principale. Queste caratteristiche di sicurezza riflettono una strategia di difesa approfondita all'interno dell'ambiente Azure. I seguenti firewall proteggono i dati dei clienti in Azure:

Firewall dell'hypervisor (filtro pacchetti): L'hypervisor implementa questo firewall, e l'agente del fabric controller (FC) lo configura. Questo firewall protegge il tenant che gira all'interno della VM da accessi non autorizzati. Di default, quando viene creata una VM, Azure blocca tutto il traffico, e poi l'agente FC aggiunge regole ed eccezioni nel filtro per consentire il traffico autorizzato.

Azure programma due categorie di regole:

  • Regole di configurazione o infrastruttura della macchina: di default, Azure blocca tutte le comunicazioni. Le eccezioni permettono a una VM di inviare e ricevere comunicazioni e informazioni DNS del Dynamic Host Configuration Protocol (DHCP) e di inviare traffico verso internet "pubblico" in uscita verso altre VM all'interno del cluster FC e del server di attivazione del sistema operativo. Poiché la lista consentita delle destinazioni in uscita delle VM non include le subreti dei router Azure e altre proprietà Microsoft, le regole fungono da livello di difesa per esse.
  • Regole del file di configurazione dei ruoli: Queste regole definiscono le ACL in entrata in base al modello di servizio dei tenant. Ad esempio, se un tenant ha un front-end web sulla porta 80 di una determinata VM, la porta 80 viene aperta a tutti gli indirizzi IP. Se la VM ha un ruolo worker in esecuzione, il ruolo worker è aperto solo alla VM all'interno dello stesso tenant.

Firewall host nativo: Azure Service Fabric e Archiviazione di Azure girano su un sistema operativo nativo, che non ha hypervisor e, di conseguenza, i due precedenti set di regole configurano Windows Firewall.

Firewall host: Il firewall host protegge la partizione host, che gestisce l'hypervisor. Le regole permettono solo alla FC e alle jump box di comunicare con la partizione host su una porta specifica. Le altre eccezioni servono a consentire le risposte DHCP e le risposte del DNS. Azure utilizza un file di configurazione macchina, che contiene un template di regole firewall per la partizione host. Esiste anche un'eccezione firewall host che permette alle VM di comunicare con componenti host, wire server e server metadata, tramite protocolli e porte specifiche.

Firewall guest: il componente Windows Firewall del sistema operativo guest, che i clienti possono configurare nelle macchine virtuali e nelle risorse di archiviazione del cliente.

Altre funzionalità di sicurezza integrate nelle funzionalità di Azure includono:

  • Azure assegna gli indirizzi IP dai DIP ai componenti dell'infrastruttura. Un attaccante su internet non può indirizzare il traffico a quegli indirizzi perché non raggiungerebbe Microsoft. I router gateway Internet filtrano i pacchetti indirizzati esclusivamente a indirizzi interni, così non entreranno nella rete di produzione. Gli unici componenti che accettano traffico diretto ai VIP sono i bilanciatori di carico.

  • I firewall implementati su tutti i nodi interni hanno tre considerazioni principali sull'architettura di sicurezza per ogni scenario:

    • I firewall si trovano dietro il bilanciatore di carico e accettano pacchetti da qualsiasi luogo. Questi pacchetti sono destinati a essere esposti esternamente e corrisponderebbero alle porte aperte in un firewall perimetrale tradizionale.
    • I firewall accettano pacchetti solo da un numero limitato di indirizzi. Questa considerazione fa parte della strategia difensiva in profondità contro gli attacchi DDoS. Tali connessioni sono autenticate crittograficamente.
    • Solo alcuni nodi interni selezionati possono accedere ai firewall. Accettano pacchetti solo da una lista enumerata di indirizzi IP sorgente, tutti DIP all'interno della rete Azure. Ad esempio, un attacco alla rete aziendale potrebbe indirizzare le richieste a questi indirizzi, ma Azure blocca gli attacchi a meno che l'indirizzo sorgente del pacchetto non sia uno nella lista enumerata all'interno della rete Azure.
      • Il router di accesso al perimetro blocca i pacchetti in uscita indirizzati a un indirizzo all'interno della rete Azure a causa delle sue rotte statiche configurate.

Passaggi successivi

Per saperne di più su cosa fa Microsoft per proteggere l'infrastruttura Azure, vedi:

  • Last updated on