Best practices voor Azure-netwerkbeveiliging

In dit artikel wordt een verzameling aanbevolen procedures voor Azure besproken om uw netwerkbeveiliging te verbeteren. Microsoft heeft deze best practices afgeleid uit zijn ervaring met Azure-netwerken en de ervaringen van organisaties zoals de uwe.

Deze best practices vertegenwoordigen een consensusmening en weerspiegelen de mogelijkheden en functies van Azure-platform zoals die bestaan ten tijde van het schrijven van dit artikel. Meningen en technologieën veranderen in de loop van de tijd. Microsoft werkt dit artikel regelmatig bij om deze veranderingen weer te geven.

Dit artikel is afgestemd op het Zero Trust-beveiligingsmodel van Microsoft, waardoor impliciete vertrouwensrelatie wordt geëlimineerd op basis van netwerklocatie. Zie Microsoft Cloud Security Benchmark v2 - Netwerkbeveiliging voor prescriptieve beveiligingscontroles met afdwinging van Azure Policy.

Krachtige netwerkbesturingselementen gebruiken

U kunt virtuele Azure-machines (VM's) en apparaten verbinden met andere netwerkapparaten door ze in virtuele Azure-netwerken te plaatsen. Dat wil gezegd, u kunt virtuele netwerkinterfacekaarten verbinden met een virtueel netwerk om TCP/IP-gebaseerde communicatie tussen apparaten met netwerkfuncties toe te staan. Virtuele machines die zijn verbonden met een virtueel Azure-netwerk, kunnen verbinding maken met apparaten in hetzelfde virtuele netwerk, verschillende virtuele netwerken, internet of uw eigen on-premises netwerken.

Terwijl je je netwerk en de beveiliging ervan plant, centraliseer:

  • Kernnetwerkfuncties zoals ExpressRoute, virtuele netwerk- en subnetprovisioning, en IP-adressering.
  • Beheer van elementen voor netwerkbeveiliging, zoals functies van virtuele netwerkappliances.

Als u een algemene set beheerhulpprogramma's gebruikt om uw netwerk en de beveiliging van uw netwerk te bewaken, krijgt u duidelijk inzicht in beide. Een eenvoudige, geïntegreerde beveiligingsstrategie vermindert fouten omdat het menselijk begrip en de betrouwbaarheid van automatisering vergroot.

  • Gebruik virtuele netwerkstroomlogs voor uitgebreide verkeerszichtbaarheid Virtuele netwerkstroomlogs bieden gecentraliseerde verkeerszicht over je virtuele netwerk en vervangen NSG-stroomlogs voor bredere monitoring. Zie het overzicht van stroomlogboeken voor virtuele netwerken voor meer informatie.

Subnetten logisch segmenteren

Virtuele Azure-netwerken zijn vergelijkbaar met LAN's in uw on-premises netwerk. Het idee achter een virtueel Azure-netwerk is dat u een netwerk maakt, op basis van één privé-IP-adresruimte, waarop u al uw virtuele Azure-machines kunt plaatsen. De privé-IP-adresruimten zijn beschikbaar in de reeksen van klasse A (10.0.0.0/8), klasse B (172.16.0.0/12) en klasse C (192.168.0.0/16).

Best practices voor het logisch segmenteren van subnetten zijn onder andere:

  • Wijs geen regels toe die grote bereiken toestaan, zoals een regel die 0.0.0.0 tot en met 255.255.255.255 toestaat. Zorg ervoor dat probleemoplossingsprocedures het instellen van dit soort regels ontmoedigen of verbieden. Deze toelatingsregels geven een vals gevoel van veiligheid en worden vaak gevonden en misbruikt door penetratieteams.

  • Verdeel de grotere adresruimte in subnetten. Gebruik CIDR-gebaseerde subnettingprincipes om je subnetten te creëren.

  • Netwerktoegangsbeheer tussen subnetten maken. Routering tussen subnetten gebeurt automatisch en u hoeft routeringstabellen niet handmatig te configureren. Standaard bestaan er geen netwerktoegangscontroles tussen de subnetten die je aanmaakt op een virtueel Azure-netwerk. Gebruik een netwerkbeveiligingsgroep om te beschermen tegen ongevraagd verkeer naar Azure-subnetten. Netwerkbeveiligingsgroepen (NSG's) zijn eenvoudige, toestandsgevoelige pakketinspectieapparaten. NSG's gebruiken de 5-tuple-benadering (bron-IP, bronpoort, bestemmings-IP, bestemmingspoort en protocol) om toelaat- of weigeringsregels voor netwerkverkeer te maken. U kunt verkeer naar en van één IP-adres, van en naar meerdere IP-adressen of van en naar hele subnetten toestaan of weigeren.

Wanneer u netwerkbeveiligingsgroepen gebruikt voor netwerktoegangsbeheer tussen subnetten, kunt u resources plaatsen die deel uitmaken van dezelfde beveiligingszone of rol in hun eigen subnetten.

  • Vermijd kleine virtuele netwerken en subnetten om eenvoud en flexibiliteit te waarborgen. De meeste organisaties voegen meer middelen toe dan aanvankelijk gepland, en het herverdelen van adressen is arbeidsintensief. Kleine subnetten voegen beperkte beveiligingswaarde toe, en het toewijzen van een netwerkbeveiligingsgroep aan elk subnet zorgt voor overhead. Definieer subnetten breed om flexibiliteit voor groei te waarborgen.

  • Vereenvoudig het beheer van netwerkbeveiligingsgroepen door applicatiebeveiligingsgroepen te definiëren. Definieer een applicatiebeveiligingsgroep voor lijsten van IP-adressen waarvan je denkt dat ze in de toekomst kunnen veranderen of die in veel netwerkbeveiligingsgroepen gebruikt kunnen worden. Noem applicatiebeveiligingsgroepen duidelijk zodat anderen hun inhoud en doel kunnen begrijpen.

Een Zero Trust-benadering aannemen

Perimeter-gebaseerde netwerken werken ervan uit dat alle systemen binnen een netwerk worden vertrouwd. Maar de huidige werknemers hebben toegang tot de resources van hun organisatie vanaf elke locatie op verschillende apparaten en apps, waardoor perimeterbeveiligingscontroles niet relevant zijn. Beleidsregels voor toegangsbeheer die zich alleen richten op wie toegang heeft tot een resource, zijn niet voldoende. Om de balans tussen beveiliging en productiviteit te beheersen, moeten beveiligingsbeheerders ook rekening houden met de wijze waarop een resource wordt geopend.

Netwerken moeten zich ontwikkelen van traditionele verdediging, omdat netwerken mogelijk kwetsbaar zijn voor schendingen: een aanvaller kan een enkel eindpunt binnen de vertrouwde grens in gevaar brengen en vervolgens snel een voet aan de grond over het hele netwerk uitbreiden. Zero Trust-netwerken elimineren het concept van vertrouwen op basis van netwerklocatie binnen een perimeter. In plaats daarvan gebruiken Zero Trust-architecturen apparaat- en gebruikersvertrouwensclaims om de toegang tot organisatorische gegevens en resources te beperken. Voor nieuwe initiatieven gebruikt u Zero Trust-benaderingen die vertrouwen valideren op het moment van toegang.

Best practices zijn:

  • Geef voorwaardelijke toegang tot bronnen op basis van apparaat, identiteit, assurance, netwerklocatie en meer.Microsoft Entra Voorwaardelijke toegang helpt je de juiste toegangscontroles toe te passen door geautomatiseerde toegangscontrolebeslissingen te implementeren op basis van de vereiste voorwaarden. Zie Toegang tot Azure-beheer beheren met voorwaardelijke toegang voor meer informatie.

  • Schakel poorttoegang alleen in na goedkeuring van de workflow. Gebruik just-in-time VM-toegang in Microsoft Defender voor Cloud om inkomend verkeer naar je Azure-VM's te vergrendelen, waardoor de kans op aanvallen wordt verminderd en het gemakkelijk toegang biedt om verbinding te maken met VM's wanneer dat nodig is. Zie Just-in-time VM-toegang in Microsoft Defender voor Cloud voor meer informatie.

  • Gebruik Azure Bastion voor beveiligde toegang tot een virtuele VM op afstand zonder publieke IP-adressen bloot te stellen of inkomende poorten te openen.Azure Bastion biedt veilige RDP/SSH-connectiviteit naar je virtuele machines direct via het Azure-portaal via TLS. Azure Bastion Developer SKU is nu zonder extra kosten beschikbaar in meer dan 35 Azure-regio's, waardoor het ideaal is voor ontwikkel- en testscenario's. Deze SKU elimineert de noodzaak van jump boxes of het blootstellen van VM's aan het internet, waardoor je aanvalsoppervlak wordt verkleind en de beheerderstoegang stroomlijnt. Voor productieworkloads upgrade je naar Standard- of Premium-SKU's voor extra functies zoals host-schaal en sessie-opname. Zie quickstart: Verbinding maken met Azure Bastion Developer om aan de slag te gaan.

  • Geef tijdelijke rechten om bevoorrechte taken uit te voeren. Deze praktijk voorkomt dat kwaadwillende of ongeautoriseerde gebruikers toegang krijgen nadat de rechten zijn verlopen. Verleen alleen toegang wanneer gebruikers die nodig hebben. Gebruik just-in-time-toegang in Microsoft Entra Privileged Identity Management of in een oplossing van derden om machtigingen te verlenen voor het uitvoeren van bevoorrechte taken.

Zero Trust is de volgende evolutie in netwerkbeveiliging. De stand van zaken van cyberaanvallen zorgt ervoor dat organisaties de mindset 'uitgaan van een schending' hanteren, maar deze aanpak zou niet beperkend moeten zijn. Zero Trust-netwerken beschermen bedrijfsgegevens en -resources en zorgen ervoor dat organisaties een moderne werkplek kunnen bouwen met behulp van technologieën waarmee werknemers altijd en overal productief kunnen zijn.

Routeringsgedrag beheren

Wanneer u een virtuele machine in een virtueel Azure-netwerk plaatst, kan de VIRTUELE machine verbinding maken met een andere virtuele machine in hetzelfde virtuele netwerk, zelfs als de andere VM's zich op verschillende subnetten bevinden. Standaard systeemroutes maken deze communicatie mogelijk. Met deze standaardroutes kunnen VM's in hetzelfde virtuele netwerk verbindingen met elkaar initiëren en met internet (alleen voor uitgaande communicatie met internet).

Hoewel de standaard systeemroutes nuttig zijn voor veel deployment-scenario's, wil je soms de routeringsconfiguratie aanpassen voor je deployments. U kunt het adres van de volgende hop configureren om specifieke bestemmingen te bereiken.

Configureer door de gebruiker gedefinieerde routes wanneer je een beveiligingsapparaat uitrolt voor een virtueel netwerk. Deze aanbeveling verschijnt in een latere sectie getiteld Beveilig uw kritieke Azure-servicebronnen alleen vanuit uw virtuele netwerken.

Notitie

Door de gebruiker gedefinieerde routes zijn niet vereist en de standaardsysteemroutes werken meestal.

Virtuele netwerkapparaten gebruiken

Netwerkbeveiligingsgroepen en door de gebruiker gedefinieerde routering kunnen een bepaalde meting van netwerkbeveiliging bieden op de netwerk- en transportlagen van het OSI-model. Maar in sommige situaties wilt u of moet u beveiliging op hoog niveau van de stack inschakelen. In zulke situaties deploy virtuele netwerkbeveiligingsapparaten die door Azure-partners worden geleverd.

Azure-netwerkbeveiligingsapparaten kunnen betere beveiliging bieden dan wat besturingselementen op netwerkniveau bieden. Netwerkbeveiligingsmogelijkheden van virtuele netwerkbeveiligingsapparaten zijn onder andere:

  • Firewallbeveiliging
  • Inbraakdetectie/inbraakpreventie
  • Beheer van beveiligingsproblemen
  • Toepassingsbeheer
  • Anomaliedetectie op basis van het netwerk
  • Webfiltering
  • Antivirussoftware
  • Botnet-beveiliging

Als u beschikbare virtuele Azure-netwerkbeveiligingsapparaten wilt vinden, gaat u naar Azure Marketplace en zoekt u naar 'beveiliging' en 'netwerkbeveiliging'.

Perimeternetwerken implementeren voor beveiligingszones

Een perimeternetwerk (ook wel dmz genoemd) is een fysiek of logisch netwerksegment dat een extra beveiligingslaag biedt tussen uw assets en internet. Gespecialiseerde apparaten voor netwerktoegangsbeheer aan de rand van een perimeternetwerk staan alleen gewenst verkeer toe in uw virtuele netwerk.

Perimeternetwerken zijn handig omdat u zich kunt richten op het beheer van netwerktoegangsbeheer, bewaking, logboekregistratie en rapportage op de apparaten aan de rand van uw virtuele Azure-netwerk. Een perimeternetwerk is waar u doorgaans DDoS-beveiliging (Distributed Denial of Service) inschakelt, inbraakdetectie-/inbraakpreventiesystemen (IDS/IPS), firewallregels en beleid, webfiltering, netwerk antimalware en meer. De netwerkbeveiligingsapparaten bevinden zich tussen internet en uw virtuele Azure-netwerk en hebben een interface op beide netwerken.

Hoewel dit het basisontwerp is van een perimeternetwerk, bestaan er veel verschillende ontwerpen, zoals back-to-back, tri-homed en multihomed.

Op basis van het eerder genoemde Zero Trust-concept kun je overwegen een perimeternetwerk te gebruiken voor alle high-security deployments om het niveau van netwerkbeveiliging en toegangscontrole voor je Azure-resources te verbeteren. U kunt Azure of een externe oplossing gebruiken om een extra beveiligingslaag te bieden tussen uw assets en internet:

  • Systeemeigen Besturingselementen van Azure. Azure Firewall en Azure Web Application Firewall bieden basisbeveiligingsvoordeel, waaronder een volledig stateful firewall as a service, ingebouwde hoge beschikbaarheid, onbeperkte cloudschaalbaarheid, FQDN-filtering, ondersteuning voor OWASP core rules sets en eenvoudige setup en configuratie.
  • Aanbiedingen van derden. Zoek in Azure Marketplace naar firewalls van de volgende generatie (NGFW) en andere aanbiedingen van derden die vertrouwde beveiligingshulpprogramma's en verbeterde netwerkbeveiligingsniveaus bieden. Configuratie kan complexer zijn, maar met een aanbieding van derden kunt u mogelijk bestaande mogelijkheden en vaardighedensets gebruiken.

Bescherming tegen DDoS-aanvallen

DDoS-beveiliging helpt de beschikbaarheid van internetgerichte workloads te behouden door de impact van volumetrische en protocolaanvallen te verminderen voordat ze uw openbare eindpunten overbelasten.

  • Schakel DDoS Network Protection in op virtuele netwerken met publieke bronnen. Pas DDoS Network Protection toe op virtuele netwerken die publieke IP-bronnen hosten, zodat kritieke workloads profiteren van altijd-aan, adaptieve afstemming en respons. Zie het Overzicht van Azure DDoS Protection voor meer informatie.
  • Kies het DDoS-beschermingsplan dat aansluit bij uw publieke blootstelling. Gebruik DDoS Network Protection wanneer je meerdere publieke IP-bronnen in een virtueel netwerk wilt beschermen, en overweeg DDoS IP Protection wanneer je gerichte bescherming nodig hebt voor een kleiner aantal publieke IP-adressen. Zie het Overzicht van Azure DDoS Protection voor meer informatie.
  • Voeg een extra laag DDoS-bescherming toe met een webapplicatiefirewall. Combineer DDoS-bescherming met Azure Web Application Firewall om volumetrische en protocolaanvallen op lagen 3 en 4 aan te pakken, terwijl je ook het webverkeer van laag 7 inspecteert. Zie het Overzicht van Azure DDoS Protection voor meer informatie.
  • Gebruik DDoS-diagnostiek en alerts voor incidentrespons. Stream DDoS-telemetrie naar je monitoringtools en configureer waarschuwingen zodat je beveiligingsteam aanvallen kan onderzoeken en mitigatiemaatregelen snel kan bevestigen. Zie het Overzicht van Azure DDoS Protection voor meer informatie.

Veel organisaties hebben gekozen voor de hybride IT-route. Met hybride IT zijn sommige informatieassets van het bedrijf in Azure en blijven andere on-premises. In veel gevallen worden sommige onderdelen van een service uitgevoerd in Azure terwijl andere onderdelen on-premises blijven.

In een hybride IT-scenario is er meestal een type cross-premises connectiviteit. Met cross-premises connectiviteit kan het bedrijf de on-premises netwerken verbinden met virtuele Azure-netwerken. Er zijn twee cross-premises connectiviteitsoplossingen beschikbaar:

  • Site-naar-site-VPN. Het is een vertrouwde, betrouwbare en gevestigde technologie, maar de verbinding vindt plaats via internet. Bandbreedte is beperkt tot maximaal 1,25 Gbps. Site-naar-site-VPN is een wenselijke optie in sommige scenario's.
  • Azure ExpressRoute. Gebruik ExpressRoute voor je cross-premises connectiviteit. ExpressRoute helpt u uw on-premises netwerken uit te breiden naar de Microsoft cloud via een privéverbinding die wordt gefaciliteerd door een connectiviteitsprovider. Met ExpressRoute kunt u verbindingen tot stand brengen met Microsoft-cloudservices zoals Azure, Microsoft 365 en Dynamics 365. ExpressRoute is een toegewezen WAN-koppeling tussen uw on-premises locatie of een Microsoft Exchange-hostingprovider. Omdat deze verbinding een telecomverbinding is, reizen je data niet over het internet, waardoor het niet wordt blootgesteld aan de potentiële risico's van internetcommunicatie.

De locatie van uw ExpressRoute-verbinding kan van invloed zijn op de firewallcapaciteit, schaalbaarheid, betrouwbaarheid en zichtbaarheid van netwerkverkeer. Bepaal waar ExpressRoute moet worden beëindigd in bestaande (on-premises) netwerken. U kunt:

  • Beëindigen buiten de firewall (het perimeternetwerkparadigma). Gebruik deze aanbeveling als u inzicht in het verkeer nodig hebt, als u een bestaande procedure voor het isoleren van datacenters wilt voortzetten of als u alleen extranetresources in Azure plaatst.
  • Beëindigen binnen de firewall (het paradigma van de netwerkextensie). Deze optie is de standaardaanbeveling. In alle andere gevallen moet je Azure als een ander datacenter behandelen.

Uptime en prestaties optimaliseren

Als een dienst uitvalt, kun je geen informatie vinden. Als de prestaties zo slecht zijn dat de gegevens onbruikbaar zijn, kunt u overwegen dat de gegevens ontoegankelijk zijn. Vanuit beveiligingsperspectief zorg ervoor dat je diensten optimale uptime en prestaties hebben.

Een populaire en effectieve methode voor het verbeteren van beschikbaarheid en prestaties is taakverdeling. Load balancing verdeelt het netwerkverkeer over servers die deel uitmaken van een service. Gebruik bijvoorbeeld load balancing om verkeer te verdelen over meerdere front-end webservers die deel uitmaken van je dienst.

Deze verkeersverdeling verhoogt de beschikbaarheid omdat als een van de webservers niet beschikbaar raakt, de load balancer stopt met het verzenden van verkeer naar die server en het doorstuurt naar de servers die nog online zijn. Taakverdeling helpt ook prestaties, omdat de processor, het netwerk en de geheugenoverhead voor het verwerken van aanvragen worden verdeeld over alle servers met gelijke taakverdeling.

Gebruik load balancing waar mogelijk, afhankelijk van je dienst. Hieronder volgen scenario's op zowel het niveau van het virtuele Azure-netwerk als op globaal niveau, samen met opties voor taakverdeling voor elk netwerk.

Scenario: U hebt een toepassing die:

  • Vereist aanvragen van dezelfde gebruiker/clientsessie om dezelfde back-end virtuele machine te bereiken. Voorbeelden hiervan zijn winkelwagen-apps en webservers.
  • Accepteert alleen een beveiligde verbinding, dus niet-versleutelde communicatie met de server is geen acceptabele optie.
  • Vereist dat meerdere HTTP-verzoeken op dezelfde langlopende TCP-verbinding worden gerouteerd of gebalanceerd naar verschillende back-endservers.

Taakverdelingsoptie: Gebruik Azure-toepassing Gateway, een load balancer voor HTTP-webverkeer. Application Gateway ondersteunt end-to-end TLS-versleuteling en TLS-beëindiging op de gateway. webservers kunnen vervolgens worden ontlast van de overhead van versleuteling en ontsleuteling, en verkeer kan onversleuteld naar de back-endservers stromen, hoewel end-to-end TLS de veiligere standaard blijft wanneer vertrouwelijkheid aan de back-end van belang is.

Scenario: U moet binnenkomende verbindingen van internet verdelen over uw servers die zich in een virtueel Azure-netwerk bevinden. Scenario's gaan over situaties waarin u

  • Toepassingen zonder status die binnenkomende aanvragen van het internet accepteren.
  • U hebt geen sticky-sessies of TLS-offload nodig. Sticky sessies zijn een methode die wordt gebruikt met Application Load Balancing om serveraffiniteit te bereiken.

Optie voor taakverdeling: Gebruik Azure Portal om een externe load balancer te maken die binnenkomende aanvragen over meerdere VM's verspreidt om een hoger beschikbaarheidsniveau te bieden.

Scenario: Je moet de load balance-verbindingen van VM's die niet op het internet zitten balanceren. In de meeste gevallen worden de verbindingen die worden geaccepteerd voor taakverdeling, gestart door apparaten in een virtueel Azure-netwerk, zoals SQL Server-exemplaren of interne webservers. Optie voor taakverdeling: Gebruik Azure Portal om een interne load balancer te maken die binnenkomende aanvragen over meerdere VM's verspreidt om een hoger beschikbaarheidsniveau te bieden.

Scenario: U hebt globale taakverdeling nodig omdat u:

  • Zorg voor een cloudoplossing die breed verspreid is over meerdere regio's en het hoogste niveau van uptime (beschikbaarheid) vereist.
  • U hebt het hoogste uptimeniveau nodig om ervoor te zorgen dat uw service beschikbaar is, zelfs als een volledig datacenter niet beschikbaar is.

Taakverdelingsoptie: Azure Traffic Manager gebruiken. Traffic Manager maakt het mogelijk om verbindingen met uw services te balanceren op basis van de locatie van de gebruiker.

Als de gebruiker bijvoorbeeld een aanvraag indient bij uw service vanuit de EU, wordt de verbinding omgeleid naar uw services die zich in een DATACENTER van de EU bevinden. Dit onderdeel van de wereldwijde taakverdeling van Traffic Manager helpt de prestaties te verbeteren, omdat het maken van verbinding met het dichtstbijzijnde datacenter sneller is dan het maken van verbinding met datacenters die ver weg zijn.

Schakel RDP- en SSH-toegang tot virtuele machines uit

Het is mogelijk om virtuele Azure-machines te bereiken met behulp van RDP (Extern bureaublad Protocol) en het protocol SSH (Secure Shell). Deze protocollen maken het beheer van VM's vanaf externe locaties mogelijk en worden standaard gebruikt in datacenters.

Het potentiële beveiligingsprobleem bij het gebruik van deze protocollen via internet is dat aanvallers bruteforce-technieken kunnen gebruiken om toegang te krijgen tot virtuele Azure-machines. Nadat de aanvallers toegang hebben verkregen, kunnen ze uw VM gebruiken als een startpunt voor aanvallen op andere computers in uw virtuele netwerk of zelfs voor aanvallen op netwerkapparaten buiten Azure.

Schakel directe RDP- en SSH-toegang tot je Azure-virtuele machines uit vanaf het internet. Nadat je directe RDP- en SSH-toegang vanaf het internet hebt uitgeschakeld, gebruik dan andere opties om deze VM's te bereiken voor remote beheer.

Scenario: Schakel één gebruiker in om via internet verbinding te maken met een virtueel Azure-netwerk. Optie: Punt-naar-site-VPN is een andere term voor een VPN-client-/serververbinding voor externe toegang. Nadat de point-to-site verbinding is gevestigd, kan de gebruiker RDP of SSH gebruiken om verbinding te maken met alle VM's op het Azure virtuele netwerk waarmee de gebruiker via point-to-site VPN is verbonden. Deze verbinding gaat ervan uit dat de gebruiker bevoegd is om deze VM's te bereiken.

Punt-naar-site-VPN is veiliger dan directe RDP- of SSH-verbindingen, omdat de gebruiker twee keer moet verifiëren voordat deze verbinding maakt met een VIRTUELE machine. Eerst moet de gebruiker worden geverifieerd (en geautoriseerd) om de punt-naar-site-VPN-verbinding tot stand te brengen. Ten tweede moet de gebruiker worden geverifieerd (en geautoriseerd) om de RDP- of SSH-sessie tot stand te brengen.

Scenario: Ervoor zorgen dat gebruikers in uw on-premises netwerk verbinding kunnen maken met VM's in uw virtuele Azure-netwerk. Optie: Een site-naar-site-VPN verbindt een volledig netwerk met een ander netwerk via internet. U kunt een site-naar-site-VPN gebruiken om uw on-premises netwerk te verbinden met een virtueel Azure-netwerk. Gebruikers op uw on-premises netwerk maken verbinding met behulp van het RDP- of SSH-protocol via de site-naar-site-VPN-verbinding. U hoeft geen directe RDP- of SSH-toegang via internet toe te staan.

Scenario: Gebruik een toegewezen WAN-koppeling om functionaliteit te bieden die vergelijkbaar is met de site-naar-site-VPN. Optie: ExpressRoute gebruiken. ExpressRoute biedt functionaliteit vergelijkbaar met de site-to-site VPN. De belangrijkste verschillen zijn:

  • De toegewezen WAN-koppeling gaat niet via internet.
  • Toegewezen WAN-koppelingen zijn doorgaans stabieler en presteren beter.

Beveilig je kritieke Azure-serviceresources alleen vanuit je virtuele netwerken

Gebruik Azure Private Link om toegang te krijgen tot Azure PaaS-diensten, zoals Azure Storage en SQL Database, via een privé-endpoint in je virtuele netwerk. Privé-endpoints beperken de toegang tot je kritieke Azure-servicebronnen tot je virtuele netwerken. Verkeer van uw virtuele netwerk naar de Azure-service blijft altijd op het Microsoft Azure backbone-netwerk. Het blootstellen van je virtuele netwerk aan het publieke internet is niet langer nodig om Azure PaaS-diensten te gebruiken.

Azure Private Link biedt de volgende voordelen:

  • Verbeter de beveiliging van je Azure-servicebronnen. Door Azure Private Link te gebruiken, kun je Azure-servicebronnen beveiligen naar je virtuele netwerk door gebruik te maken van private endpoints. Het beveiligen van servicebronnen op een privé-eindpunt in een virtueel netwerk verbetert de beveiliging door publieke internettoegang tot bronnen te verwijderen en verkeer alleen van privé-eindpunten in je virtuele netwerk toe te staan.
  • Privé toegang tot Azure-servicebronnen op het Azure-platform. Verbind je virtuele netwerk met diensten in Azure door gebruik te maken van private endpoints. Je hebt geen openbaar IP-adres nodig. Het Private Link platform verwerkt connectiviteit tussen consumenten en services via het Azure backbone-netwerk.
  • Toegang tot diensten vanuit on-premises en peered netwerken. Krijg via private endpoints toegang tot services die in Azure worden uitgevoerd vanuit on-premises, via ExpressRoute private peering, VPN-tunnels en gekoppelde virtuele netwerken. U hoeft ExpressRoute Microsoft-peering niet te configureren en ook niet via het internet te gaan om de service te bereiken. Private Link biedt een veilige manier om workloads naar Azure te migreren.
  • Bescherm tegen datalekken. Een privé-endpoint wordt gekoppeld aan een instantie van een PaaS-resource in plaats van aan de gehele service. Consumenten kunnen alleen verbinding maken met de specifieke resource en toegang tot andere resources in de service wordt geblokkeerd. Deze mapping biedt bescherming tegen risico's op datalekken.
  • Breid privétoegang uit naar andere regio's. Maak privéverbinding met diensten die in andere regio's draaien. Het virtuele netwerk van de consument kan zich in regio A bevinden en verbinding maken met services in regio B.
  • Vereenvoudig de implementatie en het beheer van privé-eindpunten. Je hebt geen gereserveerde publieke IP-adressen meer nodig in je virtuele netwerken om Azure-bronnen via een IP-firewall te beveiligen. Je hebt geen NAT- of gateway-apparaten nodig om privé-endpoints op te zetten. Privé-endpoints worden geconfigureerd via een eenvoudige workflow, en aan de servicekant kun je ook verbindingsverzoeken beheren op je Azure-serviceresource met gemak. Azure Private Link werkt voor consumenten en diensten die tot verschillende Microsoft Entra-tenants behoren.
  • Schakel de toegang tot het openbare netwerk uit nadat je privé-endpoints hebt ingeschakeld. Wanneer een dienst dit ondersteunt, schakel dan de publieke netwerktoegang uit nadat je de private endpoint-connectiviteit hebt gevalideerd, zodat de resource alleen verkeer accepteert via goedgekeurde private paden. Zie Azure Private Link voor meer informatie.
  • Maak private DNS-zones per service. Gebruik de aanbevolen private DNS-zone voor elke Azure-dienst en koppel die zone aan de virtuele netwerken die je privé-endpoints hosten, zodat de naamresolutie consistent blijft. Zie Waarden van de privé-DNS-zone van Azure-privé-eindpunt voor meer informatie.
  • Pas NSG's toe op private endpoint-subnetten waar ondersteund. Schakel netwerkbeleid in voor privé-endpoints en gebruik NSG's op het hostsubnet om oost-west en inbound filtering eisen te handhaven voor ondersteunde scenario's. Zie Netwerkbeleid voor privé-eindpunten beheren voor meer informatie.
  • Gebruik Network Security Perimeter voor beheerde netwerkisolatie. Evalueer Network Security Perimeter wanneer je een nieuwere beheerde isolatiegrens nodig hebt voor PaaS-bronnen die publieke blootstelling vermindert zonder alleen te vertrouwen op IP-gebaseerde beperkingen. Zie De concepten van de perimeter van netwerkbeveiliging voor meer informatie.

Zie Azure Private Link voor meer informatie over privé-eindpunten en de Azure services en regio's waarvoor privé-eindpunten beschikbaar zijn.

Volgende stappen

  • Last updated on