보안 하이브리드 네트워크 구현

Azure Firewall

Azure Load Balancer

Azure Virtual Machines

Azure Virtual Network

이 참조 아키텍처는 온-프레미스 네트워크를 Azure에 확장한 보안 하이브리드 네트워크를 보여줍니다. 이 아키텍처는 온-프레미스 네트워크와 Azure 가상 네트워크 간에 perimeter 네트워크(DMZ라고도 함)를 구현합니다. 모든 인바운드 및 아웃바운드 트래픽은 Azure Firewall 통과합니다.

아키텍처

이 아키텍처의 Visio 파일을 다운로드하십시오

구성 요소

이 아키텍처는 다음과 같은 측면으로 구성됩니다.

• 온-프레미스 네트워크. 조직에서 구현되는 프라이빗 로컬 영역 네트워크입니다.

• Azure 가상 네트워크. 가상 네트워크는 Azure 실행되는 솔루션 구성 요소 및 기타 리소스를 호스트합니다.

  Virtual 네트워크 경로 Azure 가상 네트워크 내에서 IP 트래픽의 흐름을 정의합니다. 이 아키텍처에는 Azure Firewall 인스턴스를 통해 트래픽을 라우팅하는 두 개의 사용자 정의 경로 테이블이 있습니다. 경로 테이블 중 하나는 허브 네트워크의 게이트웨이 서브넷과 연결되고 다른 하나는 스포크 네트워크의 서브넷과 연결됩니다.

  참고

  VPN 연결의 요구 사항에 따라 BGP(경계 게이트웨이 프로토콜) 경로를 구성하여 온-프레미스 네트워크를 통해 트래픽을 다시 전달하는 전달 규칙을 구현할 수 있습니다.

• 게이트웨이. 게이트웨이는 온-프레미스 네트워크와 가상 네트워크의 라우터 간에 연결을 제공합니다. 게이트웨이는 자체 서브넷에 배치됩니다.

• Azure Firewall. Azure Firewall 서비스로 관리되는 방화벽입니다. 방화벽 인스턴스는 자체 서브넷에 배치됩니다.

• 네트워크 보안 그룹. 보안 그룹을 사용하여 가상 네트워크 내에서 네트워크 트래픽을 제한합니다.

• 가상 머신 확장 집합. 가상 머신 확장 집합은 스포크 가상 네트워크에서 컴퓨팅 계층을 제공합니다. 확장 집합은 내부 부하 분산 장치 뒤에 동일한 VM 그룹을 배포하고 관리하며, 수요에 맞게 자동 크기 조정을 지원합니다.

• Azure Bastion. Azure Bastion 인터넷에 노출하지 않고 가상 머신 확장 집합 인스턴스에 대한 보안 SSH 및 RDP 액세스를 제공합니다. Bastion을 사용하여 가상 네트워크의 인스턴스를 관리합니다.

  Bastion에는 AzureBastionSubnet이라는 전용 서브넷이 필요합니다.

잠재적인 사용 사례

이 아키텍처를 사용하려면 VPN Gateway 또는 ExpressRoute 연결을 사용하여 온-프레미스 데이터 센터에 연결해야 합니다. 이 아키텍처의 일반적인 용도는 다음과 같습니다.

• 워크로드가 부분적으로 온-프레미스에서, 일부는 Azure 실행되는 하이브리드 애플리케이션입니다.
• 온-프레미스 데이터 센터에서 Azure 가상 네트워크로 들어오는 트래픽을 세부적으로 제어해야 하는 인프라입니다.
• 나가는 트래픽을 감사해야 하는 애플리케이션 감사는 여러 상용 시스템의 규제 요구 사항인 경우가 많으며 프라이빗 정보를 공개하지 않도록 방지하는 데 도움이 됩니다.

권장 사항

대부분의 시나리오의 경우 다음 권장 사항을 적용합니다. 특정한 요구 사항이 권장 사항을 무시하도록 하지 않는 한 이러한 권장 사항을 따르십시오.

액세스 제어 권장 사항

Azure RBAC(Azure 역할 기반 액세스 제어) 를 사용하여 애플리케이션의 리소스를 관리합니다. 다음 사용자 정의 역할을 만드는 것이 좋습니다.

• 애플리케이션에 대한 인프라를 관리하고, 애플리케이션 구성 요소를 배포하고, 크기 조정, 이미지 다시 설치 및 업그레이드와 같은 가상 머신 확장 집합 작업을 관리할 수 있는 권한이 있는 DevOps 역할입니다.

• 네트워크 리소스를 관리하고 모니터링하는 중앙 집중식 IT 관리자 역할

• 방화벽과 같은 보안 네트워크 리소스를 관리하는 보안 IT 관리자 역할입니다.

중앙 집중식 IT 관리자 역할은 방화벽 리소스에 액세스할 수 없어야 합니다. 보안 IT 관리자 역할에 대한 액세스를 제한합니다.

리소스 그룹 권장 사항

가상 머신 확장 집합, 가상 네트워크 및 부하 분산 장치와 같은 Azure 리소스를 함께 리소스 그룹으로 그룹화하여 관리할 수 있습니다. 각 리소스 그룹에 Azure 역할을 할당하여 액세스를 제한합니다.

다음과 같은 리소스 그룹을 만드는 것이 좋습니다.

• 온-프레미스 네트워크에 연결하기 위한 가상 네트워크(컴퓨팅 리소스 제외), NSG 및 게이트웨이 리소스를 포함하는 리소스 그룹입니다. 이 리소스 그룹에 중앙 집중식 IT 관리자 역할을 할당합니다.
• Azure Firewall 인스턴스에 대한 리소스와 게이트웨이 서브넷에 대한 사용자 정의 경로를 포함하는 리소스 그룹입니다. 이 리소스 그룹에 보안 IT 관리자 역할을 할당합니다.
• 부하 분산 장치 및 가상 머신 확장 집합을 포함하는 각 스포크 가상 네트워크에 대한 별도의 리소스 그룹입니다.

네트워킹 권장 사항

이 아키텍처에서는 온-프레미스 네트워크, 인터넷 및 스포크 가상 네트워크 간의 모든 인바운드 및 아웃바운드 트래픽이 Azure Firewall 통과합니다. 경계를 넘어가는 모든 흐름은 방화벽에서 네트워크 주소 변환을 거치므로 워크로드가 아닌 방화벽의 IP 주소는 외부 시스템과 온-프레미스 시스템이 관찰하는 것입니다. 다음 동작을 계획합니다.

• 게시된 워크로드는 워크로드의 IP 주소가 아니라 방화벽의 공용 IP 주소에서 연결할 수 있습니다. 방화벽에 DNAT(대상 네트워크 주소 변환) 규칙이 있는 백 엔드를 게시합니다. 대상 주소는 방화벽의 공용 IP 주소입니다. 변환된 주소는 가상 네트워크 내의 개인 IP 주소입니다.

• 아웃바운드 흐름은 방화벽의 공용 IP 주소 중 하나에서 출발점으로 시작됩니다. Azure Firewall 각 아웃바운드 흐름에 사용할 연결된 공용 IP를 임의로 선택하므로 파트너 허용 목록, 온-프레미스 방화벽 규칙 및 감사 로그는 방화벽에 연결된 전체 IP 주소 집합을 포함해야 합니다. 공용 IP 주소 접두사를 사용하여 해당 집합을 연속 범위로 표현합니다.

  또한 방화벽에 연결된 공용 IP 주소 수는 SNAT(원본 네트워크 주소 변환) 포트가 소진되기 전에 유지할 수 있는 동시 아웃바운드 연결 수를 결정합니다.

• 백 엔드에는 원래 클라이언트의 IP 주소가 표시되지 않습니다. 또한 Azure Firewall DNAT 규칙과 일치하는 패킷에 SNAT를 적용하므로 반환 트래픽이 동일한 방화벽 인스턴스를 통해 다시 흐릅니다. 백 엔드는 방화벽 인스턴스의 IP 주소를 원본으로 관찰합니다.

  애플리케이션에 클라이언트의 IP 주소가 필요한 경우 Azure Application Gateway 또는 Azure Front Door 같은 역방향 프록시에서 클라이언트 연결 업스트림을 종료하고, X-Forwarded-For HTTP 헤더에서 클라이언트의 IP 주소를 전달하고, 원래 HTTP 호스트 이름을 수행하여 백 엔드가 클라이언트의 호스트 이름을 계속 관찰하도록 합니다.

사내 네트워크를 통해 인터넷으로 나가는 모든 트래픽을 사이트 대 사이트 VPN 터널을 사용해 강제 터널링합니다. 온-프레미스 에지 디바이스는 기존 온-프레미스 송신 컨트롤 및 감사 파이프라인을 통해 아웃바운드 흐름을 라우팅하는 Azure 워크로드를 대신하여 인터넷에 SNAT를 수행합니다. 이 디자인을 사용하면 모든 기밀 정보가 실수로 누출되지 않도록 방지하고 모든 나가는 트래픽을 조사 및 감사할 수 있습니다.

스포크 네트워크 서브넷의 리소스에서 인터넷 트래픽을 완전히 차단하지 마세요. 트래픽을 차단하면 이러한 리소스가 진단 로깅, 가상 머신 확장 및 해당 종속성 프로비전 및 기타 플랫폼 기능과 같은 공용 IP 주소를 사용하는 Azure PaaS 서비스를 사용하지 못하게 됩니다. 또한 Azure 진단에서는 구성 요소가 Azure Storage 계정에 읽고 쓸 수 있어야 합니다.

아웃바운드 인터넷 트래픽이 올바르게 강제 터널링되었는지 확인합니다. 온-프레미스 서버에서 라우팅 및 원격 액세스 서비스를 사용하여 VPN 연결을 사용하는 경우 WireShark와 같은 도구를 사용합니다.

SSL 종료에 Application Gateway 또는 Azure Front Door 사용하는 것이 좋습니다.

고려 사항

이러한 고려 사항은 워크로드의 품질을 개선하는 데 사용할 수 있는 지침 원칙 집합인 Azure Well-Architected Framework의 핵심 요소를 구현합니다. 자세한 내용은 Microsoft Azure Well-Architected Framework 참조하세요.

안정성

안정성은 애플리케이션이 고객에 대한 약속을 충족할 수 있도록 합니다. 자세한 내용은 안정성을 위한 디자인 검토 체크리스트를 참조하세요.

Azure ExpressRoute 사용하여 가상 네트워크와 온-프레미스 네트워크 간에 연결을 제공하는 경우 ExpressRoute 연결을 사용할 수 없게 되면 VPN Gateway를 구성하여 장애 조치(failover)를 제공합니다.

VPN 및 ExpressRoute 연결을 위한 가용성 유지에 대한 자세한 내용은 가용성 고려 사항을 참조하세요.

• Azure 및 온-프레미스 VPN을 사용하여 하이브리드 네트워크 아키텍처를 설치합니다
• Azure ExpressRoute

보안

우수한 보안은 중요한 데이터 및 시스템에 대한 고의적인 공격과 악용을 방어합니다. 자세한 내용은 보안을 위한 디자인 검토 체크리스트를 참조하세요.

이 참조 아키텍처는 여러 수준의 보안을 구현합니다.

Azure Firewall 통해 모든 온-프레미스 사용자 요청 라우팅

게이트웨이 서브넷의 사용자 정의 경로는 온-프레미스에서 수신된 요청을 제외한 모든 사용자 요청을 차단합니다. 경로는 허용된 요청을 방화벽으로 전달합니다. 요청은 방화벽 규칙에 따라 허용되는 경우 스포크 가상 네트워크의 리소스로 전달됩니다. 다른 경로를 추가할 수 있지만 방화벽을 실수로 우회하거나 관리 서브넷에 전달하려는 관리 트래픽을 차단하지 않도록 해야 합니다.

NSG를 사용하여 스포크 가상 네트워크 서브넷의 트래픽을 차단하거나 허용하기

스포크 가상 네트워크에서 리소스 서브넷에 대한 트래픽은 NSG를 사용하여 제한됩니다. 이러한 리소스에 대한 광범위한 액세스를 허용하기 위해 NSG 규칙을 확장해야 하는 경우 보안 위험에 비하여 이러한 요구 사항을 평가합니다. 새로운 인바운드 경로는 각각 우발적 또는 고의적 데이터 유출 또는 애플리케이션 손상이 발생할 가능성을 나타냅니다.

DDoS 보호

Azure DDoS Protection 애플리케이션 디자인 모범 사례와 결합되어 DDoS 공격에 대한 향상된 완화를 제공합니다. 경계 가상 네트워크에서 Azure DDoS Protection을 사용하도록 설정합니다.

AVNM을 사용하여 기준 보안 관리 규칙 만들기

AVNM을 사용하면 네트워크 보안 그룹 규칙보다 우선 순위를 지정할 수 있는 보안 규칙의 기준을 만들 수 있습니다. 보안 관리자 규칙은 NSG 규칙보다 먼저 평가되며 우선 순위 지정, 서비스 태그 및 L3-L4 프로토콜을 지원하는 NSG와 동일한 특성을 갖습니다. AVNM을 사용하면 중앙 IT에서 보안 규칙의 기준을 설정하는 동시에 스포크 가상 네트워크 소유자가 추가적인 NSG 규칙을 독립적으로 설정할 수 있습니다. 보안 규칙 변경 내용의 제어된 롤아웃을 용이하게 하기 위해 AVNM의 배포 기능을 사용하면 허브 및 스포크 환경에 대한 이러한 구성의 호환성이 손상되는 변경 내용을 안전하게 릴리스할 수 있습니다.

DevOps 액세스

Azure RBAC를 사용하여 DevOps가 각 계층에서 수행할 수 있는 작업을 제한합니다. 사용 권한을 부여할 때 최소 권한의 원칙을 사용합니다. 모든 관리 작업을 기록하고 정기 감사를 수행하여 구성 변경을 계획했는지 확인합니다.

비용 최적화

비용 최적화는 불필요한 비용을 줄이고 운영 효율성을 개선하는 방법을 모색하는 것입니다. 자세한 내용은 비용 최적화를 위한 디자인 검토 체크리스트 참조하세요.

시나리오의 비용을 추산하는 시작점으로 Azure 가격 계산기의 이 미리 구성된 견적을(를) 사용하세요. 이 문서에는 예제 VM과 함께 설명된 네트워킹 구성 요소가 포함되어 있습니다.

이 아키텍처에 사용되는 서비스에 대한 비용 고려 사항은 다음과 같습니다.

Azure Firewall

이 아키텍처에서 Azure Firewall 게이트웨이 서브넷과 스포크 가상 네트워크의 리소스 간의 트래픽을 제어하기 위해 가상 네트워크에 배포됩니다. 여러 워크로드에서 Azure Firewall 공유 솔루션으로 사용하면 중복 인프라를 줄일 수 있습니다. Azure Firewall 가격 책정 모델은 다음과 같습니다.

• 배포 시간당 고정 속도입니다.
• 자동 크기 조정을 지원하기 위해 GB당 처리되는 데이터입니다.

Azure Firewall을 사용하면 네트워크 가상 어플라이언스(NVA)보다 최대 30-50% 비용을 절약할 수 있습니다. 자세한 내용은 Azure Firewall 및 NVA 참조하세요.

Azure Bastion

Azure Bastion 인스턴스에 공용 IP를 요구하지 않고 RDP 및 SSH를 통해 가상 머신 확장 집합 인스턴스에 안전하게 연결합니다.

Bastion 청구는 점프 상자로 구성된 기본 하위 수준 가상 머신과 비슷합니다. Bastion은 기본 제공되는 보안 기능을 포함하므로 점프 상자보다 더 비용 효율적이고 스토리지 추가 비용과 별도 서버 관리가 필요하지 않습니다.

Azure 가상 네트워크

Azure Virtual Network 무료입니다. 모든 구독은 모든 지역에서 최대 1,000개의 가상 네트워크를 만들 수 있습니다. 가상 네트워크의 경계 내에서 발생하는 모든 트래픽은 무료입니다. 예를 들어 내부 부하 분산 장치에서 가상 머신 확장 집합 인스턴스로의 트래픽에는 네트워크 트래픽 요금이 발생하지 않습니다.

내부 부하 분산 장치

이 아키텍처에서는 내부 부하 분산 장치를 사용하여 가상 네트워크 내의 가상 머신 확장 집합 인스턴스에 트래픽을 분산합니다. 가상 머신 확장 집합과 함께 사용하려면 표준 Load Balancer 필요합니다.

운영 우수성

운영 우수성은 애플리케이션을 배포하고 프로덕션 환경에서 계속 실행하는 운영 프로세스를 다룹니다. 자세한 내용은 운영 우수성 설계 검토 체크리스트를 참조하세요.

온-프레미스 네트워크에서 Azure 게이트웨이 연결이 중단된 경우에도 Azure Bastion 사용하여 문제 해결을 위해 Azure 가상 네트워크의 리소스에 액세스할 수 있습니다. 가상 머신 확장 집합 인스턴스는 임시이므로 일상적인 작업을 위한 대화형 원격 세션 대신 Azure Monitor 및 boot 진단을 통해 중앙 집중식 로깅 및 모니터링을 사용합니다.

참조 아키텍처에서 각 계층의 서브넷은 NSG 규칙에 의해 보호됩니다. 관리 및 모니터링 도구에는 추가 포트를 여는 규칙이 필요할 수 있습니다.

ExpressRoute를 사용하여 온-프레미스 데이터 센터와 Azure 간의 연결을 제공하는 경우 Azure 연결 도구 키트(AzureCT)를 사용하여 연결 문제를 모니터링하고 해결합니다.

VPN 및 ExpressRoute 연결 모니터링 및 관리에 대한 자세한 내용은 Azure 및 온-프레미스 VPN을 사용하여 하이브리드 네트워크 아키텍처를 구성합니다.

성능 효율성

성능 효율성은 워크로드의 크기를 조정하여 사용자가 효율적인 방식으로 요구 사항을 충족하는 기능입니다. 자세한 내용은 성능 효율성에 대한 디자인 검토 검사 목록을 참조하세요.

스포크 네트워크의 가상 머신 확장 집합은 자동 크기 조정을 지원합니다. 요구 사항에 따라 인스턴스가 추가되거나 제거되도록 CPU 사용량 또는 요청 수와 같은 메트릭에 따라 자동 크기 조정 규칙을 구성합니다. 업데이트 중 중단에 대한 워크로드 허용 범위 와 일치하는 오케스트레이션 모드 및 업그레이드 정책을 선택합니다.

VPN Gateway 대역폭 제한에 대한 자세한 내용은 Gateway SKU 참조하세요. 높은 대역폭의 경우 ExpressRoute 게이트웨이로 업그레이드하는 것이 좋습니다. ExpressRoute는 VPN 연결보다 대기 시간이 낮은 최대 10Gbps 대역폭을 제공합니다.

Azure 게이트웨이의 확장성에 대한 자세한 내용은 다음의 확장성 고려 사항 섹션을 참조하세요.

• Azure 및 온-프레미스 VPN을 사용하여 하이브리드 네트워크 아키텍처를 설치합니다
• Azure ExpressRoute

대규모 가상 네트워크 및 NSG 관리에 대한 자세한 내용은 Azure Virtual Network Manager(AVNM): 보안 허브 및 스포크 네트워크 만들기를 참조하여 연결 및 NSG 규칙의 중앙 관리를 위한 새로운(및 온보딩) 허브 및 스포크 가상 네트워크 토폴로지를 만듭니다.

다음 단계

• Azure의 허브-스포크 네트워크 토폴로지.
• Azure 보안 설명서.

관련 참고 자료

• ExpressRoute 사용하여 온-프레미스 네트워크를 Azure 연결합니다.
• PowerShell을 사용하여 사이트 간 연결 및 ExpressRoute 공존 연결 구성
• ExpressRoute를 사용하여 온-프레미스 네트워크 확장

이 참조 아키텍처는 온-프레미스 네트워크를 Azure에 확장한 보안 하이브리드 네트워크를 보여줍니다. 이 아키텍처는 온-프레미스 네트워크와 Azure 가상 네트워크 간에 perimeter 네트워크(DMZ라고도 함)를 구현합니다. 모든 인바운드 및 아웃바운드 트래픽은 Azure Firewall 통과합니다.

아키텍처

이 아키텍처의 Visio 파일을 다운로드하십시오

구성 요소

이 아키텍처는 다음과 같은 측면으로 구성됩니다.

• 온-프레미스 네트워크. 조직에서 구현되는 프라이빗 로컬 영역 네트워크입니다.

• Azure 가상 네트워크. 가상 네트워크는 Azure 실행되는 솔루션 구성 요소 및 기타 리소스를 호스트합니다.

  Virtual 네트워크 경로 Azure 가상 네트워크 내에서 IP 트래픽의 흐름을 정의합니다. 이 아키텍처에는 Azure Firewall 인스턴스를 통해 트래픽을 라우팅하는 두 개의 사용자 정의 경로 테이블이 있습니다. 경로 테이블 중 하나는 허브 네트워크의 게이트웨이 서브넷과 연결되고 다른 하나는 스포크 네트워크의 서브넷과 연결됩니다.

  참고

  VPN 연결의 요구 사항에 따라 BGP(경계 게이트웨이 프로토콜) 경로를 구성하여 온-프레미스 네트워크를 통해 트래픽을 다시 전달하는 전달 규칙을 구현할 수 있습니다.

• 게이트웨이. 게이트웨이는 온-프레미스 네트워크와 가상 네트워크의 라우터 간에 연결을 제공합니다. 게이트웨이는 자체 서브넷에 배치됩니다.

• Azure Firewall. Azure Firewall 서비스로 관리되는 방화벽입니다. 방화벽 인스턴스는 자체 서브넷에 배치됩니다.

• 네트워크 보안 그룹. 보안 그룹을 사용하여 가상 네트워크 내에서 네트워크 트래픽을 제한합니다.

• 가상 머신 확장 집합. 가상 머신 확장 집합은 스포크 가상 네트워크에서 컴퓨팅 계층을 제공합니다. 확장 집합은 내부 부하 분산 장치 뒤에 동일한 VM 그룹을 배포하고 관리하며, 수요에 맞게 자동 크기 조정을 지원합니다.

• Azure Bastion. Azure Bastion 인터넷에 노출하지 않고 가상 머신 확장 집합 인스턴스에 대한 보안 SSH 및 RDP 액세스를 제공합니다. Bastion을 사용하여 가상 네트워크의 인스턴스를 관리합니다.

  Bastion에는 AzureBastionSubnet이라는 전용 서브넷이 필요합니다.

잠재적인 사용 사례

이 아키텍처를 사용하려면 VPN Gateway 또는 ExpressRoute 연결을 사용하여 온-프레미스 데이터 센터에 연결해야 합니다. 이 아키텍처의 일반적인 용도는 다음과 같습니다.

• 워크로드가 부분적으로 온-프레미스에서, 일부는 Azure 실행되는 하이브리드 애플리케이션입니다.
• 온-프레미스 데이터 센터에서 Azure 가상 네트워크로 들어오는 트래픽을 세부적으로 제어해야 하는 인프라입니다.
• 나가는 트래픽을 감사해야 하는 애플리케이션 감사는 여러 상용 시스템의 규제 요구 사항인 경우가 많으며 프라이빗 정보를 공개하지 않도록 방지하는 데 도움이 됩니다.

권장 사항

대부분의 시나리오의 경우 다음 권장 사항을 적용합니다. 특정한 요구 사항이 권장 사항을 무시하도록 하지 않는 한 이러한 권장 사항을 따르십시오.

액세스 제어 권장 사항

Azure RBAC(Azure 역할 기반 액세스 제어) 를 사용하여 애플리케이션의 리소스를 관리합니다. 다음 사용자 정의 역할을 만드는 것이 좋습니다.

• 애플리케이션에 대한 인프라를 관리하고, 애플리케이션 구성 요소를 배포하고, 크기 조정, 이미지 다시 설치 및 업그레이드와 같은 가상 머신 확장 집합 작업을 관리할 수 있는 권한이 있는 DevOps 역할입니다.

• 네트워크 리소스를 관리하고 모니터링하는 중앙 집중식 IT 관리자 역할

• 방화벽과 같은 보안 네트워크 리소스를 관리하는 보안 IT 관리자 역할입니다.

중앙 집중식 IT 관리자 역할은 방화벽 리소스에 액세스할 수 없어야 합니다. 보안 IT 관리자 역할에 대한 액세스를 제한합니다.

리소스 그룹 권장 사항

가상 머신 확장 집합, 가상 네트워크 및 부하 분산 장치와 같은 Azure 리소스를 함께 리소스 그룹으로 그룹화하여 관리할 수 있습니다. 각 리소스 그룹에 Azure 역할을 할당하여 액세스를 제한합니다.

다음과 같은 리소스 그룹을 만드는 것이 좋습니다.

• 온-프레미스 네트워크에 연결하기 위한 가상 네트워크(컴퓨팅 리소스 제외), NSG 및 게이트웨이 리소스를 포함하는 리소스 그룹입니다. 이 리소스 그룹에 중앙 집중식 IT 관리자 역할을 할당합니다.
• Azure Firewall 인스턴스에 대한 리소스와 게이트웨이 서브넷에 대한 사용자 정의 경로를 포함하는 리소스 그룹입니다. 이 리소스 그룹에 보안 IT 관리자 역할을 할당합니다.
• 부하 분산 장치 및 가상 머신 확장 집합을 포함하는 각 스포크 가상 네트워크에 대한 별도의 리소스 그룹입니다.

네트워킹 권장 사항

이 아키텍처에서는 온-프레미스 네트워크, 인터넷 및 스포크 가상 네트워크 간의 모든 인바운드 및 아웃바운드 트래픽이 Azure Firewall 통과합니다. 경계를 넘어가는 모든 흐름은 방화벽에서 네트워크 주소 변환을 거치므로 워크로드가 아닌 방화벽의 IP 주소는 외부 시스템과 온-프레미스 시스템이 관찰하는 것입니다. 다음 동작을 계획합니다.

• 게시된 워크로드는 워크로드의 IP 주소가 아니라 방화벽의 공용 IP 주소에서 연결할 수 있습니다. 방화벽에 DNAT(대상 네트워크 주소 변환) 규칙이 있는 백 엔드를 게시합니다. 대상 주소는 방화벽의 공용 IP 주소입니다. 변환된 주소는 가상 네트워크 내의 개인 IP 주소입니다.

• 아웃바운드 흐름은 방화벽의 공용 IP 주소 중 하나에서 출발점으로 시작됩니다. Azure Firewall 각 아웃바운드 흐름에 사용할 연결된 공용 IP를 임의로 선택하므로 파트너 허용 목록, 온-프레미스 방화벽 규칙 및 감사 로그는 방화벽에 연결된 전체 IP 주소 집합을 포함해야 합니다. 공용 IP 주소 접두사를 사용하여 해당 집합을 연속 범위로 표현합니다.

  또한 방화벽에 연결된 공용 IP 주소 수는 SNAT(원본 네트워크 주소 변환) 포트가 소진되기 전에 유지할 수 있는 동시 아웃바운드 연결 수를 결정합니다.

• 백 엔드에는 원래 클라이언트의 IP 주소가 표시되지 않습니다. 또한 Azure Firewall DNAT 규칙과 일치하는 패킷에 SNAT를 적용하므로 반환 트래픽이 동일한 방화벽 인스턴스를 통해 다시 흐릅니다. 백 엔드는 방화벽 인스턴스의 IP 주소를 원본으로 관찰합니다.

  애플리케이션에 클라이언트의 IP 주소가 필요한 경우 Azure Application Gateway 또는 Azure Front Door 같은 역방향 프록시에서 클라이언트 연결 업스트림을 종료하고, X-Forwarded-For HTTP 헤더에서 클라이언트의 IP 주소를 전달하고, 원래 HTTP 호스트 이름을 수행하여 백 엔드가 클라이언트의 호스트 이름을 계속 관찰하도록 합니다.

사내 네트워크를 통해 인터넷으로 나가는 모든 트래픽을 사이트 대 사이트 VPN 터널을 사용해 강제 터널링합니다. 온-프레미스 에지 디바이스는 기존 온-프레미스 송신 컨트롤 및 감사 파이프라인을 통해 아웃바운드 흐름을 라우팅하는 Azure 워크로드를 대신하여 인터넷에 SNAT를 수행합니다. 이 디자인을 사용하면 모든 기밀 정보가 실수로 누출되지 않도록 방지하고 모든 나가는 트래픽을 조사 및 감사할 수 있습니다.

스포크 네트워크 서브넷의 리소스에서 인터넷 트래픽을 완전히 차단하지 마세요. 트래픽을 차단하면 이러한 리소스가 진단 로깅, 가상 머신 확장 및 해당 종속성 프로비전 및 기타 플랫폼 기능과 같은 공용 IP 주소를 사용하는 Azure PaaS 서비스를 사용하지 못하게 됩니다. 또한 Azure 진단에서는 구성 요소가 Azure Storage 계정에 읽고 쓸 수 있어야 합니다.

아웃바운드 인터넷 트래픽이 올바르게 강제 터널링되었는지 확인합니다. 온-프레미스 서버에서 라우팅 및 원격 액세스 서비스를 사용하여 VPN 연결을 사용하는 경우 WireShark와 같은 도구를 사용합니다.

SSL 종료에 Application Gateway 또는 Azure Front Door 사용하는 것이 좋습니다.

고려 사항

이러한 고려 사항은 워크로드의 품질을 개선하는 데 사용할 수 있는 지침 원칙 집합인 Azure Well-Architected Framework의 핵심 요소를 구현합니다. 자세한 내용은 Microsoft Azure Well-Architected Framework 참조하세요.

안정성

안정성은 애플리케이션이 고객에 대한 약속을 충족할 수 있도록 합니다. 자세한 내용은 안정성을 위한 디자인 검토 체크리스트를 참조하세요.

Azure ExpressRoute 사용하여 가상 네트워크와 온-프레미스 네트워크 간에 연결을 제공하는 경우 ExpressRoute 연결을 사용할 수 없게 되면 VPN Gateway를 구성하여 장애 조치(failover)를 제공합니다.

VPN 및 ExpressRoute 연결을 위한 가용성 유지에 대한 자세한 내용은 가용성 고려 사항을 참조하세요.

• Azure 및 온-프레미스 VPN을 사용하여 하이브리드 네트워크 아키텍처를 설치합니다
• Azure ExpressRoute

보안

우수한 보안은 중요한 데이터 및 시스템에 대한 고의적인 공격과 악용을 방어합니다. 자세한 내용은 보안을 위한 디자인 검토 체크리스트를 참조하세요.

이 참조 아키텍처는 여러 수준의 보안을 구현합니다.

Azure Firewall 통해 모든 온-프레미스 사용자 요청 라우팅

게이트웨이 서브넷의 사용자 정의 경로는 온-프레미스에서 수신된 요청을 제외한 모든 사용자 요청을 차단합니다. 경로는 허용된 요청을 방화벽으로 전달합니다. 요청은 방화벽 규칙에 따라 허용되는 경우 스포크 가상 네트워크의 리소스로 전달됩니다. 다른 경로를 추가할 수 있지만 방화벽을 실수로 우회하거나 관리 서브넷에 전달하려는 관리 트래픽을 차단하지 않도록 해야 합니다.

NSG를 사용하여 스포크 가상 네트워크 서브넷의 트래픽을 차단하거나 허용하기

스포크 가상 네트워크에서 리소스 서브넷에 대한 트래픽은 NSG를 사용하여 제한됩니다. 이러한 리소스에 대한 광범위한 액세스를 허용하기 위해 NSG 규칙을 확장해야 하는 경우 보안 위험에 비하여 이러한 요구 사항을 평가합니다. 새로운 인바운드 경로는 각각 우발적 또는 고의적 데이터 유출 또는 애플리케이션 손상이 발생할 가능성을 나타냅니다.

DDoS 보호

Azure DDoS Protection 애플리케이션 디자인 모범 사례와 결합되어 DDoS 공격에 대한 향상된 완화를 제공합니다. 경계 가상 네트워크에서 Azure DDoS Protection을 사용하도록 설정합니다.

AVNM을 사용하여 기준 보안 관리 규칙 만들기

AVNM을 사용하면 네트워크 보안 그룹 규칙보다 우선 순위를 지정할 수 있는 보안 규칙의 기준을 만들 수 있습니다. 보안 관리자 규칙은 NSG 규칙보다 먼저 평가되며 우선 순위 지정, 서비스 태그 및 L3-L4 프로토콜을 지원하는 NSG와 동일한 특성을 갖습니다. AVNM을 사용하면 중앙 IT에서 보안 규칙의 기준을 설정하는 동시에 스포크 가상 네트워크 소유자가 추가적인 NSG 규칙을 독립적으로 설정할 수 있습니다. 보안 규칙 변경 내용의 제어된 롤아웃을 용이하게 하기 위해 AVNM의 배포 기능을 사용하면 허브 및 스포크 환경에 대한 이러한 구성의 호환성이 손상되는 변경 내용을 안전하게 릴리스할 수 있습니다.

DevOps 액세스

Azure RBAC를 사용하여 DevOps가 각 계층에서 수행할 수 있는 작업을 제한합니다. 사용 권한을 부여할 때 최소 권한의 원칙을 사용합니다. 모든 관리 작업을 기록하고 정기 감사를 수행하여 구성 변경을 계획했는지 확인합니다.

비용 최적화

비용 최적화는 불필요한 비용을 줄이고 운영 효율성을 개선하는 방법을 모색하는 것입니다. 자세한 내용은 비용 최적화를 위한 디자인 검토 체크리스트 참조하세요.

시나리오의 비용을 추산하는 시작점으로 Azure 가격 계산기의 이 미리 구성된 견적을(를) 사용하세요. 이 문서에는 예제 VM과 함께 설명된 네트워킹 구성 요소가 포함되어 있습니다.

이 아키텍처에 사용되는 서비스에 대한 비용 고려 사항은 다음과 같습니다.

Azure Firewall

이 아키텍처에서 Azure Firewall 게이트웨이 서브넷과 스포크 가상 네트워크의 리소스 간의 트래픽을 제어하기 위해 가상 네트워크에 배포됩니다. 여러 워크로드에서 Azure Firewall 공유 솔루션으로 사용하면 중복 인프라를 줄일 수 있습니다. Azure Firewall 가격 책정 모델은 다음과 같습니다.

• 배포 시간당 고정 속도입니다.
• 자동 크기 조정을 지원하기 위해 GB당 처리되는 데이터입니다.

Azure Firewall을 사용하면 네트워크 가상 어플라이언스(NVA)보다 최대 30-50% 비용을 절약할 수 있습니다. 자세한 내용은 Azure Firewall 및 NVA 참조하세요.

Azure Bastion

Azure Bastion 인스턴스에 공용 IP를 요구하지 않고 RDP 및 SSH를 통해 가상 머신 확장 집합 인스턴스에 안전하게 연결합니다.

Bastion 청구는 점프 상자로 구성된 기본 하위 수준 가상 머신과 비슷합니다. Bastion은 기본 제공되는 보안 기능을 포함하므로 점프 상자보다 더 비용 효율적이고 스토리지 추가 비용과 별도 서버 관리가 필요하지 않습니다.

Azure 가상 네트워크

Azure Virtual Network 무료입니다. 모든 구독은 모든 지역에서 최대 1,000개의 가상 네트워크를 만들 수 있습니다. 가상 네트워크의 경계 내에서 발생하는 모든 트래픽은 무료입니다. 예를 들어 내부 부하 분산 장치에서 가상 머신 확장 집합 인스턴스로의 트래픽에는 네트워크 트래픽 요금이 발생하지 않습니다.

내부 부하 분산 장치

이 아키텍처에서는 내부 부하 분산 장치를 사용하여 가상 네트워크 내의 가상 머신 확장 집합 인스턴스에 트래픽을 분산합니다. 가상 머신 확장 집합과 함께 사용하려면 표준 Load Balancer 필요합니다.

운영 우수성

운영 우수성은 애플리케이션을 배포하고 프로덕션 환경에서 계속 실행하는 운영 프로세스를 다룹니다. 자세한 내용은 운영 우수성 설계 검토 체크리스트를 참조하세요.

온-프레미스 네트워크에서 Azure 게이트웨이 연결이 중단된 경우에도 Azure Bastion 사용하여 문제 해결을 위해 Azure 가상 네트워크의 리소스에 액세스할 수 있습니다. 가상 머신 확장 집합 인스턴스는 임시이므로 일상적인 작업을 위한 대화형 원격 세션 대신 Azure Monitor 및 boot 진단을 통해 중앙 집중식 로깅 및 모니터링을 사용합니다.

참조 아키텍처에서 각 계층의 서브넷은 NSG 규칙에 의해 보호됩니다. 관리 및 모니터링 도구에는 추가 포트를 여는 규칙이 필요할 수 있습니다.

ExpressRoute를 사용하여 온-프레미스 데이터 센터와 Azure 간의 연결을 제공하는 경우 Azure 연결 도구 키트(AzureCT)를 사용하여 연결 문제를 모니터링하고 해결합니다.

VPN 및 ExpressRoute 연결 모니터링 및 관리에 대한 자세한 내용은 Azure 및 온-프레미스 VPN을 사용하여 하이브리드 네트워크 아키텍처를 구성합니다.

성능 효율성

성능 효율성은 워크로드의 크기를 조정하여 사용자가 효율적인 방식으로 요구 사항을 충족하는 기능입니다. 자세한 내용은 성능 효율성에 대한 디자인 검토 검사 목록을 참조하세요.

스포크 네트워크의 가상 머신 확장 집합은 자동 크기 조정을 지원합니다. 요구 사항에 따라 인스턴스가 추가되거나 제거되도록 CPU 사용량 또는 요청 수와 같은 메트릭에 따라 자동 크기 조정 규칙을 구성합니다. 업데이트 중 중단에 대한 워크로드 허용 범위 와 일치하는 오케스트레이션 모드 및 업그레이드 정책을 선택합니다.

VPN Gateway 대역폭 제한에 대한 자세한 내용은 Gateway SKU 참조하세요. 높은 대역폭의 경우 ExpressRoute 게이트웨이로 업그레이드하는 것이 좋습니다. ExpressRoute는 VPN 연결보다 대기 시간이 낮은 최대 10Gbps 대역폭을 제공합니다.

Azure 게이트웨이의 확장성에 대한 자세한 내용은 다음의 확장성 고려 사항 섹션을 참조하세요.

• Azure 및 온-프레미스 VPN을 사용하여 하이브리드 네트워크 아키텍처를 설치합니다
• Azure ExpressRoute

대규모 가상 네트워크 및 NSG 관리에 대한 자세한 내용은 Azure Virtual Network Manager(AVNM): 보안 허브 및 스포크 네트워크 만들기를 참조하여 연결 및 NSG 규칙의 중앙 관리를 위한 새로운(및 온보딩) 허브 및 스포크 가상 네트워크 토폴로지를 만듭니다.

다음 단계

• Azure의 허브-스포크 네트워크 토폴로지.
• Azure 보안 설명서.

관련 참고 자료

• ExpressRoute 사용하여 온-프레미스 네트워크를 Azure 연결합니다.
• PowerShell을 사용하여 사이트 간 연결 및 ExpressRoute 공존 연결 구성
• ExpressRoute를 사용하여 온-프레미스 네트워크 확장