Rede de produção Azure

Os utilizadores da rede de produção Azure incluem tanto clientes externos que acedem às suas próprias aplicações Azure como pessoal interno de suporte do Azure que gere a rede de produção. Este artigo discute os métodos de acesso de segurança e mecanismos de proteção para estabelecer ligações à rede de produção Azure.

Encaminhamento da Internet e tolerância a falhas

Uma infraestrutura global redundante interna e externa do Azure Domain Name Service (DNS), combinada com múltiplos clusters primários e secundários de servidores DNS, proporciona tolerância a falhas. O Azure também aplica proteção DDoS ao nível da infraestrutura e outros controlos de segurança de rede para ajudar a defender-se contra ataques DDoS comuns na camada de rede e proteger a integridade dos serviços DNS do Azure.

Os servidores DNS do Azure estão localizados em várias instalações de centros de dados. A implementação do DNS do Azure incorpora uma hierarquia de servidores DNS secundários e primários para resolver publicamente os nomes de domínio dos clientes do Azure. Os nomes de domínio apontam normalmente para um endereço cloudapp.net, que encapsula o endereço IP virtual (VIP) do serviço do cliente. Exclusivamente no Azure, os balanceadores de carga da Microsoft responsáveis por esse VIP convertem o VIP no endereço IP interno dedicado (DIP) do locatário.

A Microsoft aloja o Azure em datacenters Azure distribuídos geograficamente dentro dos EUA. O Azure utiliza plataformas de roteamento de última geração que implementam padrões arquitetónicos fortes e escaláveis. Entre as características notáveis estão:

  • Engenharia de tráfego baseada em Comutação de Etiquetas Multiprotocolo (MPLS), que proporciona uma utilização eficiente das ligações e uma degradação controlada do serviço caso ocorra uma interrupção.
  • A Microsoft implementa redes com arquiteturas de redundância N+1 ou superior.
  • Externamente, circuitos de rede dedicados e de alta largura de banda servem centros de dados que ligam redundantemente propriedades a mais de 1.200 fornecedores de serviços de internet em todo o mundo em múltiplos pontos de peering. Esta ligação fornece mais de 2.000 gigabytes por segundo (GBps) de capacidade de borda.

Como a Microsoft detém os seus próprios circuitos de rede entre centros de dados, estas características ajudam a oferta Azure a alcançar 99,9+ por cento de disponibilidade de rede sem necessidade de fornecedores tradicionais de internet terceiros.

Ligação à rede de produção e firewalls associados

A política de fluxo de tráfego da internet da rede Azure direciona o tráfego para a rede de produção Azure localizada no centro de dados regional mais próximo dos EUA. Como os centros de dados de produção do Azure mantêm uma arquitetura de rede e hardware consistentes, a descrição do fluxo de tráfego que se segue aplica-se de forma consistente a todos os centros de dados.

Depois de o tráfego de internet do Azure ser encaminhado para o centro de dados mais próximo, o tráfego estabelece uma ligação aos routers de acesso. Estes routers de acesso isolam o tráfego entre nós Azure e VMs instanciadas pelo cliente. Os dispositivos de infraestrutura de rede nas localizações de acesso e borda são os pontos de fronteira onde se aplicam filtros de entrada e saída. Estes routers utilizam uma lista de controlo de acesso (ACL) em níveis para filtrar o tráfego indesejado da rede e aplicar limites de taxa de tráfego, se necessário. As rotas ACL permitiram que o tráfego chegasse aos balanceadores de carga. Os routers de distribuição permitem apenas endereços IP aprovados pela Microsoft, oferecem anti-falsificação e estabelecem ligações TCP que utilizam ACLs.

A Microsoft coloca dispositivos externos de balanceamento de carga atrás dos routers de acesso para realizar a tradução de endereços de rede (NAT) de IPs roteáveis pela internet para IPs internos do Azure. Os dispositivos também encaminham pacotes para IPs e portas internas de produção válidas. Estes dispositivos atuam como mecanismo de proteção para limitar a exposição do espaço de endereçamento da rede interna de produção.

Por defeito, a Microsoft aplica o Protocolo de Transferência de Hipertexto Seguro (HTTPS) para todo o tráfego transmitido para os navegadores dos clientes, incluindo o login e todo o tráfego subsequente. O TLS v1.2 cria um túnel seguro para o tráfego. As listas de controlo de acesso (ACL) nos routers de acesso e de núcleo garantem que a origem do tráfego corresponde à origem esperada.

Uma distinção importante nesta arquitetura, quando comparada com a arquitetura de segurança tradicional, é que o Azure não possui firewalls de hardware dedicados, dispositivos especializados de deteção ou prevenção de intrusões, nem outros dispositivos de segurança normalmente esperados antes das ligações ao ambiente de produção do Azure. Os clientes normalmente esperam estes dispositivos firewall de hardware na rede Azure. No entanto, o Azure não utiliza estes dispositivos. Quase exclusivamente, essas funcionalidades de segurança estão integradas no software que executa o ambiente Azure para fornecer mecanismos de segurança fortes e multilayer, incluindo capacidades de firewall. Além disso, o software que executa o Azure facilita a gestão e inventário do limite e da expansão associada dos dispositivos de segurança críticos.

Funcionalidades essenciais de segurança e firewall

O Azure implementa funcionalidades robustas de segurança de software e firewall em vários níveis para reforçar as características de segurança que os clientes normalmente esperam num ambiente tradicional para proteger o limite central de autorização de segurança.

Funcionalidades de segurança do Azure

O Azure implementa firewalls de software baseados em host dentro da rede de produção. Várias funcionalidades centrais de segurança e firewall residem no ambiente central do Azure. Estas funcionalidades de segurança refletem uma estratégia de defesa em profundidade dentro do ambiente Azure. Os seguintes firewalls protegem os dados dos clientes no Azure:

Firewall do hipervisor (filtro de pacotes): O hipervisor implementa este firewall e o agente do controlador de tecido (FC) configura-o. Este firewall protege o tenant que corre dentro da VM de acessos não autorizados. Por defeito, quando uma VM é criada, o Azure bloqueia todo o tráfego, e depois o agente FC adiciona regras e exceções no filtro para permitir o tráfego autorizado.

O Azure programa duas categorias de regras:

  • Regras de configuração da máquina ou infraestrutura: Por defeito, o Azure bloqueia toda a comunicação. As exceções permitem que uma VM envie e receba comunicações DHCP e informações DNS, e envie tráfego de saída para a Internet "pública", para outras VMs no cluster FC e para o servidor de ativação do sistema operativo. Como a lista permitida de destinos de saída das VMs não inclui subredes de routers do Azure nem outras propriedades da Microsoft, as regras funcionam como uma camada de defesa para elas.
  • Regras do ficheiro de configuração de funções: Estas regras definem as ACLs de entrada com base no modelo de serviço dos inquilinos. Por exemplo, se um inquilino tiver uma interface web na porta 80 de uma determinada VM, a porta 80 é aberta para todos os endereços IP. Se a VM tiver uma função de trabalho em execução, essa função de trabalho fica acessível apenas à VM no mesmo inquilino.

Firewall nativo do host: Azure Service Fabric e Armazenamento do Azure funcionam num sistema operativo nativo, que não tem hipervisor e, portanto, os dois conjuntos anteriores de regras configuram o Windows Firewall.

Firewall host: O firewall host protege a partição host, que executa o hipervisor. As regras permitem apenas que a FC e as jump boxes comuniquem com a partição host numa porta específica. As outras exceções são permitir respostas DHCP e respostas DNS. O Azure utiliza um ficheiro de configuração de máquina, que contém um modelo de regras de firewall para a partição host. Existe também uma exceção de firewall do host que permite que as VMs comuniquem com componentes do host, servidor de fios e servidor de metadados, através de protocolos e portas específicas.

Firewall do convidado: O componente Firewall do Windows do sistema operativo convidado, que os clientes podem configurar nas VMs e no armazenamento dos clientes.

Mais funcionalidades de segurança integradas nas capacidades do Azure incluem:

  • O Azure atribui endereços IP dos DIPs aos componentes da infraestrutura. Um atacante na internet não pode encaminhar tráfego para esses endereços porque não chegaria à Microsoft. Os routers de gateway de internet filtram pacotes que são endereçados apenas a endereços internos, para que não entrem na rede de produção. Os únicos componentes que aceitam tráfego direcionado para VIPs são os balanceadores de carga.

  • Os firewalls implementados em todos os nós internos têm três considerações principais de arquitetura de segurança para qualquer cenário:

    • Os firewalls ficam atrás do balanceador de carga e aceitam pacotes de qualquer lugar. Estes pacotes destinam-se a ser expostos externamente e corresponderiam às portas abertas numa firewall perimetral tradicional.
    • Os firewalls aceitam apenas pacotes de um conjunto limitado de endereços. Esta consideração faz parte da estratégia defensiva de profundidade contra ataques DDoS. Tais ligações são autenticadas criptograficamente.
    • Apenas alguns nós internos selecionados podem aceder a firewalls. Aceitam apenas pacotes de uma lista enumerada de endereços IP de origem, todos eles DIPs dentro da rede Azure. Por exemplo, um ataque à rede corporativa poderia direcionar pedidos para esses endereços, mas o Azure bloqueia os ataques, a menos que o endereço de origem do pacote seja um da lista enumerada dentro da rede Azure.
      • O router de acesso no perímetro bloqueia pacotes de saída que são endereçados para um endereço dentro da rede Azure devido às rotas estáticas configuradas.

Próximos passos

Para saber mais sobre o que a Microsoft faz para proteger a infraestrutura do Azure, veja:

  • Last updated on