자습서: 보안 허브 및 스포크 네트워크 만들기

이 자습서에서는 Azure Virtual Network Manager를 사용하여 허브 및 스포크 네트워크 토폴로지를 만듭니다. 그런 다음 허브 가상 네트워크에 가상 네트워크 게이트웨이를 배포하여 스포크 가상 네트워크의 리소스가 VPN을 사용하여 원격 네트워크와 통신할 수 있도록 합니다. 또한 포트 80 및 443에서 인터넷 아웃바운드 네트워크 트래픽을 차단하도록 보안 구성을 구성합니다. 마지막으로 가상 네트워크 및 가상 머신 설정을 확인하여 구성이 올바르게 적용되었는지 확인합니다.

Important

Azure Virtual Network Manager는 일반적으로 Virtual Network Manager와 허브 및 스포크 연결 구성에 사용할 수 있습니다. 메시 연결 구성은 공개 미리 보기로 유지됩니다.

보안 관리자 규칙을 사용하는 보안 구성은 일반적으로 다음 지역에서 사용할 수 있습니다.

• 오스트레일리아 중부
• 오스트레일리아 중부 2
• 오스트레일리아 동부
• 오스트레일리아 남동부
• 브라질 남부
• 브라질 남동부
• 캐나다 중부
• 캐나다 동부
• 동아시아
• 북유럽
• 프랑스 중부
• 프랑스 남부
• 독일 북부
• 독일 중서부
• 인도 중부
• 인도 남부
• 인도 서부
• 이스라엘 중부
• 이탈리아 북부
• 일본 동부
• 일본 서부
• Jio 인도 서부
• 한국 중부
• 한국 남부
• 노르웨이 동부
• 노르웨이 서부
• 폴란드 중부
• 카타르 중부
• 남아프리카 북부
• 남아프리카 공화국 서부
• 스웨덴 중부
• 스웨덴 남부
• 스위스 북부
• 스위스 서부
• 아랍에미리트 중부
• 아랍에미리트 북부
• 영국 남부
• 영국 서부
• 미국 중부
• 미국 동부
• 영국 북부
• 미국 서부
• 미국 서부 2
• 미국 서부 3
• 미국 중서부

다른 모든 지역은 공개 미리 보기로 유지됩니다.

이 미리 보기 버전은 서비스 수준 계약 없이 제공되며 프로덕션 워크로드에는 사용하지 않는 것이 좋습니다. 특정 기능이 지원되지 않거나 기능이 제한될 수 있습니다. 자세한 내용은 Microsoft Azure Preview에 대한 추가 사용 약관을 참조하세요.

이 자습서에서는 다음을 하는 방법을 알아볼 수 있습니다.

• 여러 가상 네트워크를 만듭니다.
• 가상 네트워크 게이트웨이를 배포합니다.
• 허브 및 스포크 네트워크 토폴로지를 만듭니다.
• 포트 80 및 443에서 트래픽을 차단하는 보안 구성을 만듭니다.
• 구성이 적용되었는지 확인합니다.

전제 조건

• 활성 구독이 있는 Azure 계정. 체험 계정을 만듭니다.
• 이 자습서의 단계를 완료하려면 먼저 Azure Virtual Network Manager 인스턴스를 만들어야 합니다. 인스턴스에는 연결 및 보안 관리자 기능이 포함되어야 합니다. 이 자습서에서는 vnm-learn-eastus-001이라는 Virtual Network Manager 인스턴스를 사용했습니다.

가상 네트워크 만들기

이 절차에서는 허브 및 스포크 네트워크 토폴로지를 통해 연결되는 가상 네트워크 3개를 만드는 방법을 안내합니다.

1. Azure Portal에 로그인합니다.

2. + 리소스 만들기를 선택하고 가상 네트워크를 검색합니다. 그런 다음 만들기를 선택하여 가상 네트워크 구성을 시작합니다.

3. ‘기본 사항’ 탭에서 다음 정보를 입력하거나 선택합니다.

   

   설정	값
   구독	이 가상 네트워크를 배포할 구독을 선택합니다.
   Resource group	가상 네트워크를 저장할 새 리소스 그룹을 선택하거나 만듭니다. 이 빠른 시작에서는 rg-learn-eastus-001이라는 리소스 그룹을 사용합니다.
   이름	가상 네트워크 이름에 vnet-learn-prod-eastus-001을 입력합니다.
   지역	미국 동부 지역을 선택합니다.

4. 다음: IP 주소를 선택하고 다음 네트워크 주소 공간을 구성합니다.

   

   설정	값
   IPv4 주소 공간	주소 공간으로 10.0.0.0/16을 입력합니다.
   서브넷 이름	서브넷 이름으로 default를 입력합니다.
   서브넷 주소 공간	서브넷 주소 공간에 10.0.0.0/24를 입력합니다.

5. 검토 + 만들기를 선택하고 만들기를 선택하여 가상 네트워크를 배포합니다.

6. 2~5단계를 반복하여 다음 정보를 사용해 동일한 리소스 그룹에 두 개의 가상 네트워크를 더 만듭니다.

   설정	값
   구독	3단계에서 선택한 것과 동일한 구독을 선택합니다.
   Resource group	rg-learn-eastus-001을 선택합니다.
   이름	두 가상 네트워크에 vnet-learn-prod-eastus-002 및 vnet-learn-hub-eastus-001을 입력합니다.
   지역	(미국) 미국 동부를 선택합니다.
   vnet-learn-prod-eastus-002 IP 주소	IPv4 주소 공간: 10.1.0.0/16 서브넷 이름: default 서브넷 주소 공간: 10.1.0.0/24
   vnet-learn-hub-eastus-001 IP 주소	IPv4 주소 공간: 10.2.0.0/16 서브넷 이름: default 서브넷 주소 공간: 10.2.0.0/24

가상 네트워크 게이트웨이 배포

허브 가상 네트워크에 가상 네트워크 게이트웨이를 배포합니다. 이 가상 네트워크 게이트웨이는 스포크에서 허브를 게이트웨이로 사용하도록 설정하는 데 필요합니다.

1. + 리소스 만들기를 선택하고 가상 네트워크 게이트웨이를 검색합니다. 그런 다음 만들기를 선택하여 가상 네트워크 게이트웨이 구성을 시작합니다.

2. 기본 사항 탭에서 다음 설정을 입력하거나 선택합니다.

   

   설정	값
   구독	이 가상 네트워크를 배포할 구독을 선택합니다.
   이름	가상 네트워크 게이트웨이 이름에 gw-learn-hub-eastus-001을 입력합니다.
   SKU	SKU로 VpnGW1을 선택합니다.
   Generation	세대에 대해 Generation1을 선택합니다.
   가상 네트워크	VNet에 vnet-learn-hub-eastus-001을 선택합니다.
   공용 IP 주소
   공용 IP 주소 이름	공용 IP에 gwpip-learn-hub-eastus-001 이름을 입력합니다.
   두 번째 공용 IP 주소
   공용 IP 주소 이름	공용 IP에 gwpip-learn-hub-eastus-002 이름을 입력합니다.

3. 검토 + 만들기를 선택하고 유효성 검사를 통과하면 만들기를 선택합니다. 가상 네트워크 게이트웨이를 배포하는 데 약 30분이 걸릴 수 있습니다. 이 배포가 완료되기를 기다리는 동안 다음 섹션으로 이동할 수 있습니다. 그러나 Azure Portal에서 타이밍과 동기화로 인해 게이트웨이가 있음을 표시하지 않는 gw-learn-hub-eastus-001을 찾을 수 있습니다.

동적 네트워크 그룹 만들기

1. Azure Virtual Network Manager 인스턴스로 이동합니다. 이 자습서에서는 빠른 시작 가이드를 사용하여 이미 만든 것으로 가정합니다. 이 자습서의 네트워크 그룹을 ng-learn-prod-eastus-001이라 합니다.

2. 설정에서 네트워크 그룹을 선택한 다음 + 만들기를 선택하여 새 네트워크 그룹을 만듭니다.

   

3. 네트워크 그룹 만들기 화면에서 다음 정보를 입력합니다.

   

   설정	값
   속성	네트워크 그룹 이름에 ng-learn-prod-eastus-001을 입력합니다.
   설명	이 네트워크 그룹에 대한 설명을 제공합니다.

4. 만들기를 선택하여 가상 네트워크 그룹을 만듭니다.

5. 네트워크 그룹 페이지에서 위에서 만든 네트워크 그룹을 선택하여 네트워크 그룹을 구성합니다.

6. 개요 페이지에서 멤버를 동적으로 추가하는 정책 만들기에서 Azure Policy 만들기를 선택합니다.

   

7. Azure Policy 만들기 페이지에서 다음 정보를 선택하거나 입력합니다.

   

   설정	값
   정책 이름	텍스트 상자에 azpol-learn-prod-eastus-001을 입력합니다.
   범위	범위 선택을 선택하고, 현재 구독을 선택합니다.
   기준
   매개 변수	드롭다운에서 이름을 선택합니다.
   연산자	드롭다운에서 포함을 선택합니다.
   조건	텍스트 상자에 조건의 -prod를 입력합니다.

8. 리소스 미리 보기를 선택하여 효과적인 가상 네트워크를 보고 닫기를 선택합니다. 이 페이지에는 Azure Policy에서 정의한 조건에 따라 네트워크 그룹에 추가될 가상 네트워크가 표시됩니다.

   

9. 저장을 선택하여 그룹 멤버 자격을 배포합니다. 정책이 적용되고 네트워크 그룹에 추가되는 데 최대 1분이 걸릴 수 있습니다.

10. 네트워크 그룹 페이지의 설정 아래에서 그룹 멤버를 선택하여 Azure Policy에 정의된 조건에 따라 그룹의 멤버 자격을 확인합니다. 원본이 azpol-learn-prod-eastus-001로 나열됩니다.

    

허브 및 스포크 연결 구성 만들기

1. 설정 아래에서 구성을 선택하고 + 구성 추가를 선택합니다.

2. 드롭다운 메뉴에서 연결 구성을 선택하여 연결 구성 만들기를 시작합니다.

3. 기본 페이지에서 다음 정보를 입력하고, 다음: 토폴로지 >를 선택합니다.

   

   설정	값
   속성	cc-learn-prod-eastus-001을 입력합니다.
   설명	(선택 사항) 이 연결 구성에 대한 설명을 제공합니다.

4. 토폴로지 탭에서 허브 및 스포크를 선택합니다. 이렇게 하면 다른 설정이 표시됩니다.

   

5. 허브 설정에서 허브 선택을 선택합니다. 그런 다음, 네트워크 허브 역할을 할 vnet-learn-hub-eastus-001을 선택하고 선택을 선택합니다.

   

   참고 항목

   배포 시점에 따라 게이트웨이 있음 아래에 게이트웨이가 있으므로 가상 네트워크로 연결된 대상 허브가 표시되지 않을 수 있습니다. 이는 가상 네트워크 게이트웨이의 배포 때문입니다. 배포하는 데 최대 30분이 걸릴 수 있으며 다양한 Azure Portal 보기에 즉시 표시되지 않을 수 있습니다.

6. 스포크 네트워크 그룹에서 + 추가를 선택합니다. 그런 다음, 네트워크 그룹에 ng-learn-prod-eastus-001을 선택하고 선택을 선택합니다.

   

7. 네트워크 그룹을 추가한 후 다음 옵션을 선택합니다. 그런 다음 추가를 선택하여 연결 구성을 만듭니다.

   

   설정	값
   직접 연결	네트워크 그룹 내 연결 사용하도록 설정 확인란을 선택합니다. 이 설정을 사용하면 같은 지역에 있는 네트워크 그룹의 스포크 가상 네트워크가 직접 서로 통신할 수 있습니다.
   글로벌 메시	지역 간 메시 연결 사용 옵션을 선택하지 않은 상태로 둡니다. 두 스포크가 모두 같은 지역에 있으므로 이 설정은 필요하지 않습니다.
   게이트웨이로서의 허브	게이트웨이로 허브 확인란을 선택합니다.

8. 다음: 검토 + 만들기 >를 선택한 다음 연결 구성을 만듭니다.

연결 구성 배포

연결 구성을 배포하기 전에 가상 네트워크 게이트웨이가 성공적으로 배포되었는지 확인합니다. 허브를 게이트웨이로 사용을 사용하도록 설정하여 허브 및 스포크 구성을 배포했지만 게이트웨이가 없으면 배포가 실패합니다. 자세한 내용은 허브를 게이트웨이로 사용을 참조하세요.

1. 설정에서 배포를 선택한 다음, 구성 배포를 선택합니다.

   

2. 다음 설정을 선택합니다.

   

   설정	값
   구성	목표 상태에 연결 구성 포함을 선택합니다.
   연결 구성	cc-learn-prod-eastus-001을 선택합니다.
   대상 지역	배포 지역으로 미국 동부를 선택합니다.

3. 다음을 선택한 다음, 배포를 선택하여 배포를 완료합니다.

   

4. 선택한 지역에 대한 목록에 배포가 표시됩니다. 구성 배포를 완료하는 데 몇 분 정도 걸릴 수 있습니다.

   

보안 관리자 구성 만들기

1. 설정에서 구성을 다시 선택한 다음 + 만들기를 선택하고 메뉴에서 SecurityAdmin을 선택하여 SecurityAdmin 구성 만들기를 시작합니다.

2. 구성에 sac-learn-prod-eastus-001 이름을 입력한 다음, 다음: 규칙 컬렉션을 선택합니다.

   

3. 규칙 컬렉션에 rc-learn-prod-eastus-001 이름을 입력하고 대상 네트워크 그룹에 ng-learn-prod-eastus-001을 선택합니다. + 추가를 선택합니다.

   

4. 다음 설정을 입력하고 선택한 다음 추가를 선택합니다.

   

   설정	값
   속성	DENY_INTERNET 입력
   설명	이 규칙은 HTTP 및 HTTPS에서 인터넷 트래픽을 차단합니다.를 입력합니다.
   우선 순위	1 입력
   작업	거부를 선택합니다.
   방향	발신을 선택합니다.
   프로토콜	TCP 선택
   Source
   소스 형식	IP를 선택합니다.
   원본 IP 주소	*을 입력합니다.
   대상
   대상 형식	IP 주소를 선택합니다.
   대상 IP 주소	*을 입력합니다.
   대상 포트	80, 443를 입력합니다.

5. 추가를 선택하여 규칙 컬렉션을 구성에 추가합니다.

   

6. 검토 + 만들기 및 만들기를 선택하여 보안 관리자 구성을 만듭니다.

보안 관리자 구성 배포

1. 설정 아래에서 배포를 선택한 다음, 구성 배포를 선택합니다.

2. 구성에서 목표 상태에 보안 관리자 포함을 선택하고 마지막 섹션에서 만든 sac-learn-prod-eastus-001 구성을 선택합니다. 그런 다음, 대상 지역으로 미국 동부를 선택하고 다음을 선택합니다.

   

3. 다음을 선택한 다음 배포를 선택합니다. 이제 선택한 지역에 대한 목록에 배포가 표시됩니다. 구성 배포를 완료하는 데 몇 분 정도 걸릴 수 있습니다.

구성 배포 확인

가상 네트워크에서 확인

1. vnet-learn-prod-eastus-001 가상 네트워크로 이동하고 설정에서 네트워크 관리자를 선택합니다. 연결 구성 탭에는 가상 네트워크에서 적용된 cc-learn-prod-eastus-001 연결 구성이 나열됩니다.

   

2. 보안 관리자 구성 탭을 선택하고 아웃바운드를 펼쳐 이 가상 네트워크에 적용된 보안 관리자 규칙을 나열합니다.

   

3. 설정에서 피어링 선택하여 Virtual Network Manager에서 만든 가상 네트워크 피어링을 나열합니다. 이름은 ANM_으로 시작합니다.

   

VM에서 확인

1. vnet-learn-prod-eastus-001로 테스트 가상 머신을 배포합니다.

2. vnet-learn-prod-eastus-001에서 만든 테스트 VM으로 이동하고 설정에서 네트워킹을 선택합니다. 아웃바운드 포트 규칙을 선택하고 DENY_INTERNET 규칙이 적용되었는지 확인합니다.

   

3. 네트워크 인터페이스 이름을 선택하고 도움말에서 유효 경로를 선택하여 가상 네트워크 피어링에 대한 경로를 확인합니다. VNet peering의 다음 홉 형식이 있는 10.2.0.0/16 경로는 허브 가상 네트워크에 대한 경로입니다.

   

리소스 정리

Azure Virtual Network Manager가 더 이상 필요하지 않은 경우 리소스를 삭제하기 전에 다음 사항을 모두 충족해야 합니다.

• 어떤 지역에도 배포된 구성이 없습니다.
• 모든 구성이 삭제되었습니다.
• 모든 네트워크 그룹이 삭제되었습니다.

리소스 그룹을 삭제하기 전에 구성 요소 제거 검사 목록을 사용하여 여전히 사용할 수 있는 자식 리소스가 없는지 확인합니다.

다음 단계

보안 관리자 구성을 사용하여 네트워크 트래픽을 차단하는 방법에 대해 알아봅니다.