Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
O acesso remoto seguro às máquinas virtuais (VMs) do Azure permite-lhe gerir cargas de trabalho sem expor portas de gestão à internet. Este artigo compara Azure Bastion, VPN Point-to-Site e acesso a VMs Just-in-Time para o ajudar a escolher a abordagem certa.
O que este artigo aborda
Este artigo explica como aceder de forma segura a máquinas virtuais do Azure para administração sem expor portas de gestão à internet.
Quem precisa deste artigo
Leia este artigo se:
- Preciso de usar SSH ou RDP para ligar a VMs do Azure para desenvolvimento ou administração.
- Quero remover endereços IP públicos em VMs mantendo o acesso à gestão.
- Gere uma rede hub-and-spoke e precisa de acesso remoto centralizado para a sua equipa.
- É necessário cumprir políticas de segurança que proíbem portas de gestão diretas para a internet.
Foco em levantar e deslocar: Implemente o Azure Bastion no hub para que os administradores acedam às VMs migradas via SSH ou RDP sem IP públicos, substituindo os fluxos de trabalho de jumpbox locais.
Modernizar o foco: Combinar o Bastion com a separação por subscrição e RBAC para que as equipas de plataformas e aplicações tenham acesso com âmbito definido, e implemente o Bastion por região para propriedades ativas-ativas.
Foco multicloud: Fornecer acesso administrativo através de um hub protegido (Bastion ou VPN ponto a site) e evitar expor portas de gestão em cargas de trabalho migradas de outras clouds.
Serviços e funcionalidades do Azure
A tabela seguinte lista os serviços Azure que fornecem acesso remoto seguro a máquinas virtuais.
| Serviço | O que oferece | Quando usar |
|---|---|---|
| Azure Bastion (Basic) | SSH e RDP baseados em navegador através do portal Azure. Não é necessário IP público na VM. Duas instâncias de host dedicadas com 40 sessões RDP concorrentes ou 80 sessões SSH concorrentes. | Qualquer VM que os administradores precisem de aceder sem expor uma porta pública. |
| Azure Bastion (Standard) | Tudo em Basic mais suporte nativo de clientes, transferência de ficheiros, links partilháveis, ligações baseadas em IP, portas de entrada personalizadas e instâncias de host escaláveis (2–50). | Equipas que precisam de fluxos de trabalho administrativos mais completos, como carregamento de ficheiros ou ligações através da CLI do Azure. |
| Azure Bastion (Premium) | Tudo em Standard mais implementação privada (sem IP público no próprio recurso Bastion) e gravação de sessão. | Ambientes de alta segurança onde até o host Bastion não pode ter um endereço IP público. |
| VPN de Ponto a Site (P2S) | Ligação VPN de um cliente individual à rede virtual. Fornece acesso total a nível de rede a todos os recursos VNet, não apenas VMs. | Administradores que precisam de acesso a muitos recursos para além do RDP e SSH, como bases de dados, armazenamento ou aplicações web internas. |
| Acesso a VM Just-in-Time (JIT) | Só abre portas de gestão quando explicitamente solicitado, por uma janela de tempo limitada. Cria regras temporárias de permissão no NSG ou no Azure Firewall. | Reduzir a superfície de ataque para VMs que ainda mantêm endereços IP públicos. |
Como escolher
O serviço certo depende se precisa de acesso baseado em browser, conectividade total à rede ou aberturas temporárias de portas.
Como aceder a VMs de forma segura
Use esta tabela para escolher a abordagem certa com base nas suas necessidades.
| Requisito | Serviço recomendado | Porquê |
|---|---|---|
| RDP ou SSH baseados em navegador sem software cliente para instalar | Azure Bastion (Basic ou Standard) | O Bastion fornece acesso baseado em portal diretamente a partir do navegador. Não é necessário nenhum cliente VPN ou IP público na VM. |
| Acesso apenas privado sem endereços IP públicos, incluindo no recurso Bastion | Azure Bastion (Premium) | O Premium suporta implantação apenas privada, o que elimina o IP público no próprio Bastion. |
| Acesso total à rede virtual para uma equipa administrativa, não apenas RDP e SSH | Point-to-Site VPN | A VPN P2S dá ao cliente um endereço IP no VNet para que todos os recursos de rede sejam acessíveis. |
| Reduzir a superfície de ataque para VMs que ainda têm IPs públicos | Acesso a VM just-in-time | O JIT mantém as portas de gestão fechadas por defeito e abre-as apenas para utilizadores aprovados durante uma janela de tempo limitada. |
Padrões de acesso de administrador
Comparação dos SKUs do Bastion
| Feature | Básico | Standard | Premium |
|---|---|---|---|
| SSH e RDP baseados em browser | ✅ | ✅ | ✅ |
| Suporte para emparelhamento de VNet (hub-spoke) | ✅ | ✅ | ✅ |
| Native client (CLI do Azure) | ❌ | ✅ | ✅ |
| Upload e download de ficheiros | ❌ | ✅ | ✅ |
| Links partilháveis | ❌ | ✅ | ✅ |
| Ligações baseadas em IP | ❌ | ✅ | ✅ |
| Porta de entrada personalizada | ❌ | ✅ | ✅ |
| Instâncias escaláveis de host (2–50) | ❌ | ✅ | ✅ |
| Implementação apenas privada (sem IP público) | ❌ | ❌ | ✅ |
| Gravação da sessão | ❌ | ❌ | ✅ |
Dica
A diferença de custo entre Standard e Premium é marginal. Utilize o Bastion Premium para cargas de trabalho de produção.
Protocolos de VPN ponto a site
A VPN P2S suporta três protocolos de túnel:
- OpenVPN: Baseado em TLS, funciona no Windows, macOS, Linux, iOS e Android. Suporta autenticação Microsoft Entra ID e autenticação multifator (MFA).
- IKEv2: IPsec baseado em standards, funciona no Windows e macOS.
- SSTP (Protocolo de Tunelamento Seguro por Soquete): Proprietário baseado em TLS, apenas para Windows.
Importante
O SSTP está a ser retirado em fases. A partir de 31 de março de 2026, já não é possível ativar o SSTP em gateways VPN. Os gateways existentes habilitados com SSTP deixam de aceitar ligações a 31 de março de 2027. Use OpenVPN ou IKEv2 para todas as novas implementações. A autenticação e a MFA do Microsoft Entra ID são suportadas apenas com o tipo de túnel OpenVPN.
Considerações de design
Foco na conceção do acesso de administrador para lift-and-shift
- Implemente o Azure Bastion no hub VNet para que cada spoke peered possa alcançar as suas VMs via SSH ou RDP sem endereços IP públicos, substituindo os fluxos de trabalho de jumpbox locais.
- Remova IPs públicos das VMs migradas assim que o Bastion estiver instalado para reduzir a superfície de ataque.
- Use VPN point-to-site quando os administradores precisam de aceder a muitos recursos para além das VMs individuais.
- Mantenha padrões de acesso administrativo consistentes entre cargas de trabalho migradas para simplificar as operações.
Modernizar o foco do design do acesso administrativo
- Combine o Bastion com a separação por subscrições e por RBAC, para que as equipas de plataforma gerem o hub e a conectividade, enquanto as equipas de aplicações obtêm acesso delimitado aos respetivos spokes.
- Implemente o Bastion em cada região para designs ativo-ativos, para que os administradores acedam aos recursos tanto nas regiões primárias como nas de backup.
- Use um SKU Bastion que se adapte às suas necessidades, como uma implementação privada ou suporte nativo para clientes.
- Integra a autenticação do Microsoft Entra ID e MFA para VPN de ponto a site onde a utilizares (tipo de túnel OpenVPN).
Foco na conceção do acesso administrativo entre clouds
- Centralize o acesso de administrador num hub WAN Virtual seguro para que os operadores acedam a cargas de trabalho Azure migradas de outras clouds sem endpoints públicos por carga de trabalho.
- Não associe endereços IP públicos de gestão às máquinas virtuais; encaminhe o SSH ou o RDP através do Bastion no hub.
- Quando as equipas gerem recursos em várias clouds, normalizem o acesso em VPNs ponto a site ou em Bastion, para que os métodos de acesso permaneçam consistentes.
- Encaminhe o tráfego administrativo através do firewall do hub inspecionado para que siga a mesma política de segurança cross-cloud que o tráfego da sua carga de trabalho.
Pré-requisitos
Antes de configurar acesso remoto seguro, certifique-se de que tem:
- Uma rede virtual com as suas VMs implementadas (ver Redes e subredes virtuais)
- Para Azure Bastion: Uma sub-rede nomeada
AzureBastionSubnetcom um tamanho mínimo de /26 (64 endereços). Esta sub-rede não pode alojar outros recursos. - Para VPN P2S: uma sub-rede de gateway e um recurso de gateway VPN (ver conectividade VPN e ExpressRoute para planeamento de gateway)
- Para acesso à VM JIT: Microsoft Defender for Servers Plan 2 ativado na subscrição
Considerações de segurança
Atenção
Nunca crie uma regra NSG que permita que RDP (TCP 3389) ou SSH (TCP 22) sejam recebidos a partir de 0.0.0.0/0 (qualquer fonte na internet). Esta configuração expõe as VMs a ataques de força bruta e é uma causa comum de incidentes de segurança.
Siga estas práticas de segurança para o acesso remoto a VMs:
- Use Bastion ou VPN P2S em vez de IPs públicos. Ambas as abordagens mantêm o tráfego de gestão fora da internet pública. Remova endereços IP públicos das VMs quando já não precisar deles.
- Implantar o Bastion no hub VNet. Uma única instância do Bastion na rede virtual de hub pode aceder a VMs em todas as VNets spoke emparelhadas. Não precisas de uma implantação Bastion em cada spoke. Utilize o SKU Standard ou Premium para topologias hub-and-spoke.
- Ativa MFA para VPN P2S. Configure a autenticação do Microsoft Entra ID com o Acesso Condicional do Microsoft Entra para exigir autenticação multifator. O MFA requer o tipo de túnel OpenVPN e a aplicação Azure VPN Client.
- Defina janelas de tempo JIT curtas. Quando usar o acesso Just-in-Time, limite a duração ao tempo mínimo necessário. Após o término da janela, as regras NSG regressam ao seu estado anterior de recusa. As ligações existentes não são interrompidas, mas o sistema bloqueia novas ligações.
- Aplicar as regras NSG ao AzureBastionSubnet. Siga as orientações sobre a segurança do Bastion para as regras obrigatórias de entrada e saída na sub-rede do Bastion.
Note
O acesso JIT à VM cria, por predefinição, regras temporárias de autorização do NSG. O JIT também pode funcionar com o Azure Firewall, mas apenas quando o firewall usa regras clássicas. Firewalls geridos através do Azure Firewall Manager (políticas de firewall) não suportam integração com JIT.
Artigos relacionados
- Redes virtuais e sub-redes: orientação para dimensionamento AzureBastionSubnet
- Grupos de segurança de rede e grupos de segurança de aplicações: regras NSG para portas de gestão
- Conectividade VPN e ExpressRoute: âmbito da VPN P2S e planeamento de gateways
- Topologia hub-and-spoke: Padrão de implementação centralizada Bastion
Saiba mais
- Azure Bastion documentation
- Acerca da VPN Ponto a Site
- Acesso Just-in-Time à VM no Microsoft Defender para a Cloud
- Ativar o MFA do Microsoft Entra ID para utilizadores de VPN P2S
- Comparação de SKUs Bastion
Passos seguintes
Dica
Explorar sozinho? Volte ao navegador de visão geral para encontrar o seu próximo artigo por capacidade.
A seguir na sua jornada de levantar e deslocar:
Planeie DNS para resolução de nomes legados: Preserve o comportamento de nomes de DNS legado durante a migração usando zonas Azure DNS Privado e registos de alias.
Próximo passo na sua jornada de modernização:
Configure conectividade privada aos serviços PaaS: Crie subredes Private Link em cada spoke para a conectividade do seu serviço PaaS.
A seguir na sua jornada através da cloud:
Planeie a transição do DNS e a resolução de nomes: Mapeie os registos DNS, reduza os TTLs e configure a resolução de nomes entre clouds antes da transição da migração.