Sieć produkcyjna platformy Azure

Użytkownicy sieci produkcyjnej Azure to zarówno zewnętrzni klienci, którzy korzystają ze swoich własnych aplikacji Azure, jak i wewnętrzni pracownicy pomoc techniczna platformy Azure zarządzający siecią produkcyjną. W tym artykule omawiane są metody dostępu do zabezpieczeń oraz mechanizmy ochrony służące do nawiązywania połączeń z siecią produkcyjną Azure.

Routing internetowy i odporność na awarie

Globalnie redundantna infrastruktura Azure Domain Name Service (DNS), połączona z wieloma klastrami serwerów DNS pierwotnych i wtórnych, zapewnia odporność na błędy. Azure stosuje również ochronę DDoS na poziomie infrastruktury oraz inne zabezpieczenia sieciowe, aby pomóc w obronie przed powszechnymi atakami DDoS na warstwie sieciowej oraz chronić integralność usług Azure DNS.

Serwery Azure DNS znajdują się w wielu centrach danych. Implementacja Azure DNS zawiera hierarchię drugorzędnych i głównych serwerów DNS, aby publicznie rozwiązywać domeny klientów Azure. Nazwy domen zwykle wskazują na adres cloudapp.net, który opakowuje wirtualny adres IP (VIP) dla usługi klienta. Unikalnie dla Azure, load balancery Microsoft odpowiedzialne za ten VIP tłumaczą VIP na wewnętrzny dedykowany adres IP (DIP) tenanta.

Microsoft hostuje Azure w geograficznie rozproszonych centrach danych Azure w USA. Azure korzysta z nowoczesnych platform routingowych, które implementują silne, skalowalne standardy architektoniczne. Do wyróżniających się cech należą:

  • Inżynieria ruchu oparta na Multiprotocol Label Switching (MPLS), która zapewnia efektywne wykorzystanie łącza i łagodne pogorszenie jakości jakości usług w przypadku awarii.
  • Microsoft implementuje sieci z architekturą redundancji "need plus one" (N+1) lub lepszą.
  • Zewnętrznie, dedykowane obwody sieciowe o dużej przepustowości obsługują centra danych, które redundantnie łączą nieruchomości z ponad 1200 dostawcami internetu na całym świecie w wielu punktach peeringowych. To połączenie zapewnia ponad 2000 gigabajtów na sekundę (GBps) pojemności krawędziowej.

Ponieważ Microsoft posiada własne obwody sieciowe między centrami danych, te cechy pomagają ofercie Azure osiągnąć 99,9+ procent dostępności sieci bez potrzeby stosowania tradycyjnych zewnętrznych dostawców internetu.

Połączenie z siecią produkcyjną i powiązanymi zaporami sieciowymi

Polityka przepływu ruchu internetowego sieci Azure kieruje ruch do sieci produkcyjnej Azure, która znajduje się w najbliższym regionalnym centrum danych w USA. Ponieważ produkcyjne centra danych Azure utrzymują spójną architekturę sieciową i sprzęt, opis przepływu ruchu jest stosowany do wszystkich centrów danych.

Po skierowaniu ruchu internetowego platformy Azure do najbliższego centrum danych ruch nawiązuje połączenie z routerami dostępowymi. Te routery dostępu izolują ruch między węzłami Azure a maszynami wirtualnymi instancjonowanymi przez klientów. Urządzenia infrastruktury sieciowej w miejscach dostępu i krawędzi są punktami granicznymi, gdzie stosuje się filtry wejścia i wyjścia. Routery te korzystają z wielopoziomowej listy kontroli dostępu (ACL) do filtrowania niechcianego ruchu sieciowego i stosowania limitów prędkości, jeśli jest to konieczne. Trasy ACL zezwalały na ruch do modułów równoważenia obciążenia. Routery dystrybucyjne dopuszczają wyłącznie adresy IP zaakceptowane przez firmę Microsoft, zapewniają ochronę przed podszywaniem się oraz ustanawiają połączenia TCP z użyciem list ACL.

Microsoft umieszcza zewnętrzne urządzenia do równoważenia obciążenia za routerami dostępowymi, aby realizować translację adresów sieciowych (NAT) z publicznie routowalnych adresów IP na wewnętrzne adresy IP platformy Azure. Urządzenia również kierują pakiety do ważnych produkcyjnych wewnętrznych adresów IP i portów. Urządzenia te działają jako mechanizm ochronny, aby ograniczyć ekspozycję wewnętrznej przestrzeni adresowej sieci produkcyjnej.

Domyślnie firma Microsoft wymusza stosowanie protokołu HTTPS (Hypertext Transfer Protocol Secure) dla całego ruchu przesyłanego do przeglądarek internetowych klientów, w tym podczas logowania i całego późniejszego ruchu. TLS v1.2 tworzy bezpieczny tunel dla ruchu. ACL na routerach access i core zapewniają, że źródło ruchu odpowiada oczekiwanemu źródłu.

Ważną różnicą w tej architekturze, w porównaniu do tradycyjnej architektury bezpieczeństwa, jest to, że Azure nie posiada dedykowanych zapor sprzętowych, specjalistycznych urządzeń wykrywających lub zapobiegających włamaniom ani innych urządzeń bezpieczeństwa, które zwykle są oczekiwane przed nawiązaniem połączeń ze środowiskiem produkcyjnym Azure. Klienci zazwyczaj oczekują tych sprzętowych firewalli w sieci Azure. Jednak Azure nie korzysta z tych urządzeń. Prawie wyłącznie te funkcje bezpieczeństwa są wbudowane w oprogramowanie działające w środowisku Azure, zapewniając silne, wielowarstwowe mechanizmy bezpieczeństwa, w tym funkcje zapory. Dodatkowo oprogramowanie działające na Azure ułatwia zarządzanie i inwentaryzację zakresu granic oraz powiązanych z nimi krytycznych urządzeń zabezpieczających.

Podstawowe funkcje bezpieczeństwa i zapory sieciowej

Azure wdraża silne funkcje bezpieczeństwa oprogramowania i zapory sieciowej na różnych poziomach, aby egzekwować zabezpieczenia, których klienci zwykle oczekują w tradycyjnym środowisku, chroniąc granicę autoryzacji podstawowej.

Funkcje bezpieczeństwa Azure

Azure implementuje zapory programowe oparte na hostach wewnątrz sieci produkcyjnej. Kilka podstawowych funkcji zabezpieczeń i zapory sieciowej jest dostępnych w podstawowym środowisku Azure. Te funkcje bezpieczeństwa odzwierciedlają strategię obrony w środowisku Azure. Następujące zapory ochronne chronią dane klientów w Azure:

Zapora hipernadzorcza (filtr pakietów): Hipernadzorca implementuje tę zaporę, a agent kontrolera struktury (FC) ją konfiguruje. Ta zapora chroni tenanta działającego wewnątrz maszyny wirtualnej przed nieautoryzowanym dostępem. Domyślnie, gdy VM jest tworzona, Azure blokuje cały ruch, a agent FC dodaje reguły i wyjątki w filtrze, aby umożliwić ruch autoryzowany.

Azure oferuje dwie kategorie reguł:

  • Konfiguracja maszyny lub reguły infrastruktury: Domyślnie Azure blokuje wszelką komunikację. Wyjątki pozwalają maszynie wirtualnej wysyłać i odbierać komunikację oraz informacje DNS z protokołu Dynamic Host Configuration Protocol (DHCP) oraz przesyłać ruch do "publicznego" internetu wychodzącego do innych maszyn wirtualnych w klastrze FC i serwerze aktywacji systemu. Ponieważ lista dozwolonych miejsc docelowych VM nie obejmuje podsieci routerów Azure ani innych właściwości Microsoft, reguły te stanowią dla nich warstwę obrony.
  • Reguły plików konfiguracyjnych ról: Te reguły definiują przychodzące ACL na podstawie modelu usług najemców. Na przykład, jeśli dzierżawca ma interfejs internetowy na porcie 80 na danej maszynie wirtualnej, port 80 jest otwarty dla wszystkich adresów IP. Jeśli VM ma uruchomioną rolę worker, rola worker jest otwarta tylko dla VM w obrębie tego samego tenanta.

Natywna zapora hosta: Azure Service Fabric i Azure Storage działają na natywnym systemie operacyjnym, który nie posiada hipernadzorcy, dlatego dwa poprzednie zestawy reguł konfigurują zaporę Windows.

Zapora hosta: Zapora hosta chroni partycję hosta, która uruchamia hipernadzorcę. Zasady zezwalają wyłącznie FC i serwerom pośredniczącym (jump boxom) na komunikację z partycją hosta przez określony port. Inne wyjątki to umożliwienie odpowiedzi DHCP i DNS. Azure używa pliku konfiguracyjnego maszyny, który zawiera szablon reguł zapory dla partycji hosta. Istnieje również wyjątek dla firewalla hosta, który pozwala maszynom wirtualnym komunikować się z komponentami hosta, serwerem przewodowym i serwerem metadanych, za pomocą określonych protokołów i portów.

Zapora gościnna: Komponent zapory Windows w systemie gościnnym, który klienci mogą konfigurować na maszynach wirtualnych klientów i pamięci masowej.

Dodatkowe funkcje bezpieczeństwa wbudowane w możliwości Azure to:

  • Azure przypisuje adresy IP z DIP do komponentów infrastruktury. Atakujący w internecie nie może adresować ruchu na te adresy, ponieważ nie dotrze on do Microsoftu. Routery bram internetowych filtrują pakiety adresowane wyłącznie na adresy wewnętrzne, więc nie trafiają do sieci produkcyjnej. Jedynymi komponentami, które przyjmują ruch kierowany do VIP-ów, są load balancery.

  • Zapory sieciowe zaimplementowane na wszystkich wewnętrznych węzłach mają trzy podstawowe aspekty architektury bezpieczeństwa dla każdego scenariusza:

    • Zapory sieciowe znajdują się za load balancerem i przyjmują pakiety z dowolnego miejsca. Pakiety te są przeznaczone do zewnętrznej ekspozycji i odpowiadałyby otwartym portom w tradycyjnym zaporze obwodowym.
    • Zapory sieciowe akceptują pakiety tylko z ograniczonego zestawu adresów. To uwzględnienie jest częścią defensywnej, głębokiej strategii przeciwko atakom DDoS. Takie połączenia są uwierzytelniane kryptograficznie.
    • Tylko wybrane węzły wewnętrzne mogą uzyskiwać dostęp do zapór sieciowych. Akceptują pakiety wyłącznie z wyliczonej listy adresów IP źródłowych, z których wszystkie są DIP-ami w sieci Azure. Na przykład atak na sieć korporacyjną może kierować żądania do tych adresów, ale Azure blokuje ataki, chyba że adres źródłowy pakietu jest jednym z wymienionych list w sieci Azure.
      • Router dostępu na obwodzie blokuje pakiety wychodzące adresowane na adres znajdujący się w sieci Azure ze względu na skonfigurowane statyczne trasy.

Następne kroki

Aby dowiedzieć się więcej o tym, co Microsoft robi w zabezpieczaniu infrastruktury Azure, zobacz:

  • Last updated on