Accesso per sviluppatori e amministratori alle macchine virtuali Azure

L'accesso remoto sicuro alle macchine virtuali (VM) Azure consente di gestire i carichi di lavoro senza esporre le porte di gestione a Internet. Questo articolo confronta Azure Bastion, VPN da punto a sito e accesso JUST-in-Time alle macchine virtuali per facilitare la scelta dell'approccio corretto.

Informazioni su questo articolo

Questo articolo illustra come accedere in modo sicuro alle macchine virtuali di Azure per finalità di amministrazione senza esporre a Internet le porte di gestione.

Chi ha bisogno di questo articolo

Leggere questo articolo se:

  • È necessario usare SSH o RDP per connettersi alle macchine virtuali Azure per lo sviluppo o l'amministrazione.
  • Rimuovere gli indirizzi IP pubblici nelle macchine virtuali mantenendo l'accesso alla gestione.
  • Gestisci una rete hub-and-spoke e hai bisogno di un accesso remoto centralizzato per il tuo team.
  • È necessario rispettare i criteri di sicurezza che impediscono porte di gestione con connessione Internet diretta.

Focus su lift-and-shift: distribuire Azure Bastion nell'hub in modo che gli amministratori raggiungano le macchine virtuali migrate tramite SSH o RDP senza indirizzi IP pubblici, sostituendo i flussi di lavoro jump box locali.

Focus sulla modernizzazione: combinare Bastion con la separazione per sottoscrizione e RBAC, in modo che i team della piattaforma e delle applicazioni ottengano un accesso con ambito definito, e distribuire Bastion per area geografica per ambienti active-active.

Focus multi-cloud: fornire l'accesso amministratore tramite un hub protetto (Bastion o VPN da punto a sito) ed evitare di esporre le porte di gestione nei carichi di lavoro migrati da altri cloud.

Azure servizi e funzionalità

Nella tabella seguente sono elencati i servizi Azure che forniscono l'accesso remoto sicuro alle macchine virtuali.

Service Elementi forniti Quando usarlo
Azure Bastion (Basic) SSH basato su browser e RDP tramite il portale di Azure. Non è necessario alcun indirizzo IP pubblico nella macchina virtuale. Due istanze host dedicate con 40 sessioni RDP contemporanee o 80 sessioni SSH contemporanee. Qualsiasi macchina virtuale a cui gli amministratori devono accedere senza esporre una porta pubblica.
Azure Bastion (standard) Tutti gli elementi in Basic e supporto client nativo, trasferimento di file, collegamenti condivisibili, connessioni basate su IP, porte in ingresso personalizzate e istanze host scalabili (2-50). I team che richiedono flussi di lavoro amministrativi più completi, ad esempio caricamenti di file o connessioni tramite interfaccia della riga di comando di Azure.
Azure Bastion (Premium) Tutto ciò che è incluso in Standard, oltre alla distribuzione esclusivamente privata (nessun indirizzo IP pubblico sulla risorsa Bastion stessa) e alla registrazione delle sessioni. Ambienti a sicurezza elevata in cui anche l'host Bastion non deve avere un indirizzo IP pubblico.
VPN da punto a sito Connessione VPN client singola nella rete virtuale. Fornisce l'accesso completo a livello di rete a tutte le risorse della rete virtuale, non solo alle macchine virtuali. Amministratori che devono accedere a molte risorse oltre RDP e SSH, ad esempio database, archiviazione o app Web interne.
Accesso JIT (Just-In-Time) alle macchine virtuali Apre le porte di gestione solo quando richiesto in modo esplicito, per un intervallo di tempo limitato. Crea regole di autorizzazione temporanee per NSG o Firewall di Azure. Riduzione della superficie di attacco per le macchine virtuali che mantengono ancora gli indirizzi IP pubblici.

Come scegliere

Il servizio corretto dipende dal fatto che sia necessario l'accesso basato su browser, la connettività di rete completa o le aperture temporanee delle porte.

Come accedere in modo sicuro alle macchine virtuali

Usare questa tabella per scegliere l'approccio corretto in base alle esigenze.

Requisito Servizio consigliato Perché
RDP o SSH basato su browser senza software client da installare Azure Bastion (Basic o Standard) Bastion fornisce l'accesso basato sul portale direttamente dal browser. Non è necessario alcun client VPN o IP pubblico nella macchina virtuale.
Accesso solo privato con zero indirizzi IP pubblici, inclusa la risorsa Bastion Azure Bastion (Premium) Premium supporta la distribuzione solo privata, che elimina l'indirizzo IP pubblico in Bastion stesso.
Accesso completo alla rete virtuale per un team di amministrazione, non solo RDP e SSH VPN da punto a sito La VPN da sito a sito fornisce al client un indirizzo IP nella rete virtuale in modo che tutte le risorse di rete siano raggiungibili.
Ridurre la superficie di attacco per le macchine virtuali che hanno ancora indirizzi IP pubblici Accesso just-in-time alle macchine virtuali JIT mantiene le porte di gestione chiuse per impostazione predefinita e le apre solo per gli utenti approvati durante un intervallo di tempo limitato.

Modelli di accesso amministratore

Diagramma che mostra le modalità di accesso amministrativo con Azure Bastion in una rete virtuale hub che raggiunge le VM della spoke di rete virtuale e un client VPN Point-to-Site che si connette tramite Gateway VPN.

Confronto SKU di Bastion

Feature Basic Standard Premium
SSH e RDP basati su browser ✅ ✅ ✅
Supporto del peering di rete virtuale (hub-spoke) ✅ ✅ ✅
Client nativo (interfaccia della riga di comando di Azure) ❌ ✅ ✅
Caricamento e download di file ❌ ✅ ✅
Collegamenti condivisibili ❌ ✅ ✅
Connessioni basate su IP ❌ ✅ ✅
Porta in entrata personalizzata ❌ ✅ ✅
Istanze host scalabili (2-50) ❌ ✅ ✅
Distribuzione solo privata (nessun indirizzo IP pubblico) ❌ ❌ ✅
Registrazione delle sessioni ❌ ❌ ✅

Tip

La differenza di costo tra Standard e Premium è marginale. Usare Bastion Premium per i carichi di lavoro di produzione.

Protocolli VPN da punto a sito

La VPN P2S supporta tre protocolli tunnel:

  • Openvpn: Basato su TLS, funziona su Windows, macOS, Linux, iOS e Android. Supporta l'autenticazione Microsoft Entra ID e l'autenticazione a più fattori (MFA).
  • IKEv2: IPsec basato su standard funziona su Windows e macOS.
  • SSTP (Secure Socket Tunneling Protocol): Solo basato su TLS proprietario, Windows.

Importante

SSTP viene dismesso gradualmente. A partire dal 31 marzo 2026, non è più possibile abilitare SSTP nei gateway VPN. I gateway esistenti con SSTP abilitato smettono di accettare connessioni il 31 marzo 2027. Usare OpenVPN o IKEv2 per tutte le nuove distribuzioni. L'autenticazione di Microsoft Entra ID e l'MFA sono supportate solo con il tipo di tunnel OpenVPN.

Considerazioni relative alla progettazione

Focus sulla progettazione dell'accesso amministrativo lift-and-shift

  • Distribuire Azure Bastion nell'hub VNet in modo che ogni spoke connesso tramite peering possa raggiungere le proprie VM tramite SSH o RDP senza indirizzi IP pubblici, sostituendo i flussi di lavoro basati su jump-box locali.
  • Rimuovere gli indirizzi IP pubblici dalle macchine virtuali migrate dopo che Bastion è in uso per ridurre la superficie di attacco.
  • Usare una VPN da punto a sito quando gli amministratori devono raggiungere molte risorse oltre le singole macchine virtuali.
  • Mantenere coerenti i modelli di accesso amministratore tra i carichi di lavoro migrati per semplificare le operazioni.

Modernizzare l'accesso amministrativo: focus sulla progettazione

  • Abbinare Bastion alla separazione per sottoscrizione e RBAC, in modo che i team della piattaforma possano gestire l'hub e la connettività, mentre i team applicativi ottengano l'accesso con ambito definito ai rispettivi spoke.
  • Distribuire Bastion in ogni area per le progettazioni attive in modo che gli amministratori raggiungano le risorse nelle aree primarie e di backup.
  • Usa uno SKU di Bastion adatto alle tue esigenze, ad esempio una distribuzione solo privata o il supporto per client nativo.
  • Integra l'autenticazione di Microsoft Entra ID e MFA per la VPN da punto a sito dove la usi (tipo di tunnel OpenVPN).

Focus sulla progettazione dell'accesso all'amministratore multi-cloud

  • Centralizzare l'accesso amministrativo in un hub rete WAN virtuale protetto, in modo che gli operatori possano raggiungere i carichi di lavoro di Azure migrati da altri cloud senza endpoint pubblici per ogni carico di lavoro.
  • Non collegare indirizzi IP di gestione pubblica alle macchine virtuali; instradare SSH o RDP tramite Bastion nell'hub.
  • Dove i team gestiscono le risorse tra cloud, standardizzare la VPN da punto a sito o Bastion in modo che i metodi di accesso rimangano coerenti.
  • Instradare il traffico di amministrazione attraverso il firewall ispezionato dell'hub, in modo che segua gli stessi criteri di sicurezza cross-cloud del traffico del carico di lavoro.

Prerequisiti

Prima di configurare l'accesso remoto sicuro, assicurarsi di disporre di:

  • Una rete virtuale con le macchine virtuali distribuite (vedere Reti virtuali e subnet)
  • Per Azure Bastion: una subnet denominata AzureBastionSubnet con una dimensione minima di /26 (64 indirizzi). Questa subnet non può ospitare altre risorse.
  • Per VPN da punto a sito: una subnet del gateway e una risorsa del gateway VPN (vedere Connettività VPN ed ExpressRoute per la pianificazione del gateway)
  • Per l'accesso JIT alle macchine virtuali: Microsoft Defender per server Plan 2 abilitato per la sottoscrizione

Considerazioni relative alla sicurezza

Attenzione

Non creare mai una regola del gruppo di sicurezza di rete che consenta l'ingresso di RDP (TCP 3389) o SSH (TCP 22) da 0.0.0.0/0 (qualsiasi origine su Internet). Questa configurazione espone le macchine virtuali ad attacchi di forza bruta ed è una causa comune di eventi imprevisti di sicurezza.

Seguire queste procedure di sicurezza per l'accesso remoto alle macchine virtuali:

  • Usare bastion o VPN da sito a sito anziché indirizzi IP pubblici. Entrambi gli approcci mantengono il traffico di gestione fuori dalla rete Internet pubblica. Rimuovere gli indirizzi IP pubblici dalle macchine virtuali quando non sono più necessari.
  • Distribuire Bastion nella rete virtuale dell'hub. Una singola istanza di Bastion nella rete virtuale hub può raggiungere le macchine virtuali in tutte le reti virtuali spoke associate tramite peering. Non serve una distribuzione di Bastion in ogni spoke. Usare lo SKU Standard o lo SKU Premium per le topologie hub-spoke.
  • Abilitare MFA per VPN P2S. Configurare l'autenticazione Microsoft Entra ID con Accesso condizionale di Microsoft Entra per richiedere l'autenticazione a più fattori. L'autenticazione a più fattori richiede il tipo di tunnel OpenVPN e l'applicazione client VPN Azure.
  • Imposta brevi finestre di tempo JIT. Quando si usa l'accesso JUST-in-Time, limitare la durata al tempo minimo necessario. Dopo la scadenza del periodo, le regole NSG tornano al precedente stato di rifiuto. Le connessioni esistenti non vengono interrotte, ma il sistema blocca le nuove connessioni.
  • Applicare le regole del gruppo di sicurezza di rete ad AzureBastionSubnet. Attenersi alle indicazioni per la protezione di Bastion relative alle regole in ingresso e in uscita necessarie nella subnet di Bastion.

Note

Per impostazione predefinita, l'accesso JIT alle VM crea regole di autorizzazione temporanee dell'NSG. JIT può anche funzionare con Firewall di Azure, ma solo quando il firewall usa regole classiche. I firewall gestiti tramite Gestione firewall di Azure (criteri firewall) non supportano l'integrazione JIT.

Ulteriori informazioni

Passaggi successivi

Tip

Esplorazione da sola? Tornare allo strumento di navigazione di panoramica per trovare l'articolo successivo in base alla funzionalità.

Successivamente, nel viaggio in modalità lift-and-shift:

Pianificare il DNS per la risoluzione dei nomi legacy: preservare il comportamento legacy della denominazione DNS durante la migrazione mediante le zone di Azure DNS privato e i record alias.

Nel prossimo percorso di modernizzazione:

Configurare la connettività privata ai servizi PaaS: creare le subnet collegamento privato in ogni spoke per la connettività ai servizi PaaS.

Il prossimo passo nel tuo percorso multicloud:

Pianifica il cutover DNS e la risoluzione dei nomi: mappare i record DNS, ridurre i valori TTL e configurare la risoluzione dei nomi tra cloud diversi prima del cutover di migrazione.

  • Last updated on