Руководство. Ограничение сетевого доступа к ресурсам PaaS с помощью конечных точек служб для виртуальной сети и портала Azure

  • Статья

Конечные точки служб для виртуальной сети позволяют ограничить сетевой доступ к некоторым ресурсам службы Azure определенной подсетью виртуальной сети. Можно также запретить доступ к ресурсам через Интернет. Конечные точки службы предоставляют прямое подключение из виртуальной сети к поддерживаемым службам Azure. Это позволяет использовать закрытый диапазон адресов виртуальной сети для доступа к службам Azure. Трафик, поступающий к ресурсам Azure через конечные точки службы, всегда остается в магистральной сети Microsoft Azure.

Схема ресурсов Azure, созданных в руководстве.

В этом руководстве описано следующее:

  • Создание виртуальной сети с одной подсетью.
  • Добавление подсети и включение конечной точки службы.
  • Создание ресурса Azure и разрешение сетевого доступа к нему только из подсети.
  • Развертывание виртуальной машины в каждой подсети.
  • Подтверждение прав доступа к ресурсу из подсети.
  • Подтверждение запрета доступа к ресурсу из подсети и Интернета.

В этом учебнике используется портал Azure. При необходимости инструкции из этого руководства можно выполнить с помощью Azure CLI или PowerShell.

Необходимые компоненты

Вход в Azure

Войдите на портал Azure.

Создание виртуальной сети и узла Бастиона Azure

Следующая процедура создает виртуальную сеть с подсетью ресурсов, подсетью Бастиона Azure и узлом Бастиона:

  1. На портале найдите и выберите "Виртуальные сети".

  2. На странице Виртуальные сети выберите команду + Создать.

  3. На вкладке Основные сведения подменю Создать виртуальную сеть введите или выберите нижеприведенную информацию:

    Параметр Значение
    Сведения о проекте
    Отток подписок Выберите свою подписку.
    Группа ресурсов Выберите Создать.
    Введите test-rg для имени.
    Нажмите кнопку ОК.
    Сведения об экземпляре
    Имя. Введите vnet-1.
    Область/регион Выберите регион Восточная часть США 2.

    Снимок экрана: вкладка

  4. Нажмите кнопку "Далее ", чтобы перейти на вкладку "Безопасность ".

  5. В разделе Бастиона Azure выберите "Включить бастион".

    Бастион использует браузер для подключения к виртуальным машинам в виртуальной сети через Secure Shell (SSH) или протокол удаленного рабочего стола (RDP) с помощью частных IP-адресов. Виртуальные машины не нуждаются в общедоступных IP-адресах, клиентском программном обеспечении или специальной конфигурации. Подробные сведения см. в статье Что такое Бастион Azure?

    Примечание.

    Почасовая цена начинается с момента развертывания Бастиона независимо от использования исходящих данных. Дополнительные сведения см. в разделе "Цены и номера SKU". Если вы развертываете Бастион в рамках руководства или теста, рекомендуется удалить этот ресурс после завершения работы с ним.

  6. В Бастионе Azure введите или выберите следующие сведения:

    Параметр Значение
    Имя узла Бастиона Azure Введите бастион.
    Общедоступный IP-адрес Бастиона Azure Выберите " Создать общедоступный IP-адрес".
    Введите public-ip-бастион в поле "Имя".
    Нажмите кнопку ОК.

    Снимок экрана: параметры включения узла Бастиона Azure в рамках создания виртуальной сети в портал Azure.

  7. Нажмите кнопку "Рядом ", чтобы перейти на вкладку IP-адресов .

  8. В поле адресного пространства в подсетях выберите подсеть по умолчанию .

  9. В разделе "Изменить подсеть" введите или выберите следующие сведения:

    Параметр Значение
    Сведения о подсети
    Шаблон подсети Оставьте значение по умолчанию по умолчанию.
    Имя. Введите подсеть-1.
    Начальный адрес Оставьте значение по умолчанию 10.0.0.0.
    Размер подсети Оставьте значение по умолчанию /24 (256 адресов).

    Снимок экрана: сведения о конфигурации для подсети.

  10. Выберите Сохранить.

  11. Выберите "Проверка и создание " в нижней части окна. После завершения проверки нажмите кнопку Создать.

Включение конечной точки службы

Конечные точки службы включены для каждой службы, для каждой подсети.

  1. В поле поиска в верхней части страницы портала найдите виртуальную сеть. В результатах поиска выберите Виртуальные сети.

  2. В виртуальных сетях выберите виртуальную сеть-1.

  3. В разделе Параметры виртуальной сети-1 выберите подсети.

  4. Выберите +Подсеть.

  5. На странице "Добавить подсеть" введите или выберите следующие сведения:

    Параметр Значение
    Имя. subnet-private
    Диапазон адресов подсети Оставьте значение по умолчанию 10.0.2.0/24.
    КОНЕЧНЫЕ ТОЧКИ СЛУЖБЫ
    Службы Выберите элемент Microsoft.Storage.

  6. Выберите Сохранить.

Внимание

Перед включением конечной точки службы для существующей подсети, которая содержит ресурсы, см. раздел Изменение параметров подсети.

Ограничение сетевого доступа для подсети

По умолчанию все экземпляры виртуальных машин в подсети могут обмениваться данными со всеми ресурсами. Вы можете ограничить обмен данными со всеми ресурсами в подсети, создав группу безопасности сети и связав ее с подсетью.

  1. В поле поиска в верхней части страницы портала найдите группу безопасности сети. В результатах поиска выберите Группы безопасности сети.

  2. В группах безопасности сети нажмите кнопку +Создать.

  3. На вкладке "Основы" группы безопасности сети введите или выберите следующие сведения:

    Параметр Значение
    Сведения о проекте
    Отток подписок Выберите свою подписку.
    Группа ресурсов Выберите test-rg.
    Сведения об экземпляре
    Имя. Введите nsg-storage.
    Область/регион Выберите регион Восточная часть США 2.

  4. Выберите Проверить и создать, а затем выберите Создать.

Создание правил для исходящей группы безопасности сети

  1. В поле поиска в верхней части страницы портала найдите группу безопасности сети. В результатах поиска выберите Группы безопасности сети.

  2. Выберите nsg-storage.

  3. В разделе Параметры выберите Правила безопасности для исходящего трафика.

  4. Выберите Добавить.

  5. Создайте правило, разрешающее исходящий обмен данными в службе хранилища Azure. Введите или выберите следующие сведения в правиле безопасности для исходящего трафика:

    Параметр Значение
    Оригинал Выберите Service Tag (Тег службы).
    Тег службы источника Выберите VirtualNetwork.
    Диапазоны исходных портов Оставьте значение по умолчанию *.
    Назначение Выберите Service Tag (Тег службы).
    Назначение: тег службы Выберите Хранилище.
    Service Оставьте значение по умолчанию custom.
    Диапазоны портов назначения Введите 445.
    Протокол S МБ используется для подключения к общей папке, созданной на следующем шаге.
    Протокол Выберите Любые.
    Действие Выберите Разрешить.
    Приоритет Оставьте значение по умолчанию 100.
    Имя. Введите allow-storage-all.

    Снимок экрана: настройка параметров безопасности исходящего трафика для доступа к хранилищу.

  6. Выберите Добавить.

  7. Создайте другое правило безопасности, которое запрещает исходящие подключения через Интернет. Это правило переопределяет правило по умолчанию во всех группах безопасности сети, которое позволяет исходящую связь через Интернет. Выполните предыдущие действия со следующими значениями в правиле безопасности для исходящего трафика:

    Параметр Значение
    Оригинал Выберите Service Tag (Тег службы).
    Тег службы источника Выберите VirtualNetwork.
    Диапазоны исходных портов Оставьте значение по умолчанию *.
    Назначение Выберите Service Tag (Тег службы).
    Назначение: тег службы Выберите Интернет.
    Service Оставьте значение по умолчанию custom.
    Диапазоны портов назначения Введите *.
    Протокол Выберите Любые.
    Действие Выберите Отклонить.
    Приоритет Оставьте значение по умолчанию 110.
    Имя. Введите deny-internet-all.

    Снимок экрана: настройка параметров безопасности исходящего трафика для блокировки доступа к Интернету.

  8. Выберите Добавить.

Связывание группы безопасности сети с подсетью

  1. В поле поиска в верхней части страницы портала найдите группу безопасности сети. В результатах поиска выберите Группы безопасности сети.

  2. Выберите nsg-storage.

  3. В разделе Параметры выберите Подсети.

  4. Нажмите + Связать.

  5. В разделе "Связывание подсети" выберите виртуальную сеть-1 в виртуальной сети. Выберите подсеть частной в подсети.

    Снимок экрана: частная подсеть, связанная с группой безопасности сети.

  6. Нажмите ОК.

Ограничение сетевого доступа к ресурсу

Действия, необходимые для ограничения сетевого доступа к ресурсам, созданным через службы Azure, которые включены для конечных точек служб, зависят от служб. Ознакомьтесь с документацией по отдельным службам, чтобы получить точные инструкции для них. В оставшейся части этого руководства в качестве примера приведены инструкции по ограничению сетевого доступа для учетной записи службы хранилища Azure.

Создание учетной записи хранилища

Создайте учетную запись служба хранилища Azure для действий, описанных в этой статье. Если у вас уже есть учетная запись хранения, ее можно использовать.

  1. В поле поиска в верхней части портала введите Учетная запись хранения. Выбор Учетные записи хранения в результатах поиска.

  2. Выберите + Создать.

  3. На вкладке "Основные сведения" в разделе "Создание учетной записи хранения" введите или выберите следующие сведения:

    Параметр Значение
    Сведения о проекте
    Отток подписок Выберите свою подписку Azure.
    Группа ресурсов Выберите test-rg.
    Сведения об экземпляре
    Storage account name Введите storage1. Если имя недоступно, введите уникальное имя.
    Расположение Выберите регион (США) Восточная часть США 2.
    Производительность Оставьте значение по умолчанию Стандартная.
    Избыточность Выберите Локально избыточное хранилище (LRS).

  4. Щелкните элемент Review (Проверить).

  5. Нажмите кнопку создания.

Создание файлового ресурса в учетной записи хранения

  1. В поле поиска в верхней части портала введите Учетная запись хранения. Выбор Учетные записи хранения в результатах поиска.

  2. В служба хранилища учетных записях выберите учетную запись хранения, созданную на предыдущем шаге.

  3. В хранилище данных выберите общие папки.

  4. Нажмите + Общая папка.

  5. Введите или выберите следующие сведения в новой общей папке:

    Параметр Значение
    Имя. Введите общую папку.
    Уровень Оставьте значение по умолчанию оптимизировано для транзакций.

  6. Нажмите кнопку "Далее" — резервное копирование.

  7. Отмена выбора включения резервного копирования.

  8. Выберите Проверить и создать, а затем выберите Создать.

Ограничение сетевого доступа к подсети

По умолчанию учетные записи хранения принимают сетевые подключения от клиентов из любой сети, включая Интернет. Вы можете ограничить доступ к сети из Интернета и все остальные подсети во всех виртуальных сетях (за исключением подсети частной подсети в виртуальной сети-1 ).)

Ограничение сетевого доступа к подсети:

  1. В поле поиска в верхней части портала введите Учетная запись хранения. Выбор Учетные записи хранения в результатах поиска.

  2. Затем выберите учетную запись хранения.

  3. В разделе "Безопасность и сеть" выберите "Сеть".

  4. На вкладке "Брандмауэры и виртуальные сети" выберите "Включено" из выбранных виртуальных сетей и IP-адресов в доступе к общедоступной сети.

  5. В виртуальных сетях выберите + Добавить существующую виртуальную сеть.

  6. В разделе "Добавление сетей" введите или выберите следующие сведения:

    Параметр Значение
    Отток подписок Выберите свою подписку.
    Виртуальные сети Выберите виртуальную сеть-1.
    подсети; Выберите подсеть частной.

    Снимок экрана: ограничение учетной записи хранения в подсети и виртуальной сети, созданной ранее.

  7. Выберите Добавить.

  8. Нажмите кнопку "Сохранить", чтобы сохранить конфигурации виртуальной сети.

    Снимок экрана: экран учетной записи хранения и подтверждение ограничения подсети.

Создание виртуальных машин

Чтобы проверить сетевой доступ к учетной записи хранения, разверните виртуальную машину в каждой подсети.

Создание тестовой виртуальной машины

Следующая процедура создает тестовую виртуальную машину с именем vm-1 в виртуальной сети.

  1. На портале найдите и выберите "Виртуальные машины".

  2. На виртуальных машинах нажмите кнопку +Создать, а затем виртуальную машину Azure.

  3. На вкладке Основные сведения страницы Создание виртуальной машины введите или выберите следующие значения параметров:

    Параметр Значение
    Сведения о проекте
    Отток подписок Выберите свою подписку.
    Группа ресурсов Выберите test-rg.
    Сведения об экземпляре
    Virtual machine name Введите vm-1.
    Область/регион Выберите регион Восточная часть США 2.
    Параметры доступности Выберите Избыточность инфраструктуры не требуется.
    Тип безопасности Оставьте значение по умолчанию Стандартный.
    Изображения Выберите Windows Server 2022 Datacenter — x64-го поколения 2-го поколения.
    Архитектура виртуальной машины Оставьте значение по умолчанию x64.
    Размер Выберите размер.
    Учетная запись администратора
    Тип аутентификации выберите Пароль.
    Username Введите azureuser.
    Пароль Введите пароль.
    Подтверждение пароля Повторно введите пароль.
    Правила входящего порта
    Общедоступные входящие порты Выберите Отсутствует.

  4. Выберите вкладку "Сеть" в верхней части страницы.

  5. На вкладке Сеть введите или выберите следующие значения параметров:

    Параметр Значение
    Сетевой интерфейс
    Виртуальная сеть Выберите виртуальную сеть-1.
    Подсеть Выберите подсеть-1 (10.0.0.0/24).
    Общедоступный IP-адрес Выберите Отсутствует.
    Группа безопасности сети сетевого адаптера Выберите Дополнительно.
    Настройка группы безопасности сети Выберите Создать.
    Введите nsg-1 для имени.
    Оставьте остальные значения по умолчанию и нажмите кнопку "ОК".

  6. Оставьте остальные параметры по умолчанию и нажмите кнопку "Просмотр и создание".

  7. Проверьте параметры и выберите Создать.

Примечание.

Виртуальные машины в виртуальной сети с узлом бастиона не требуют общедоступных IP-адресов. Бастион предоставляет общедоступный IP-адрес, а виртуальные машины используют частные IP-адреса для обмена данными в сети. Вы можете удалить общедоступные IP-адреса из любых виртуальных машин в размещенных виртуальных сетях бастиона. Дополнительные сведения см. в разделе "Отсообщение общедоступного IP-адреса" с виртуальной машины Azure.

Примечание.

Azure предоставляет IP-адрес исходящего доступа по умолчанию для виртуальных машин, которые либо не назначены общедоступным IP-адресом, либо находятся в серверном пуле внутренней подсистемы балансировки нагрузки Azure. Механизм IP-адреса исходящего трафика по умолчанию предоставляет исходящий IP-адрес, который нельзя настроить.

IP-адрес исходящего доступа по умолчанию отключен при возникновении одного из следующих событий:

  • Общедоступный IP-адрес назначается виртуальной машине.
  • Виртуальная машина размещается в серверном пуле стандартной подсистемы балансировки нагрузки с правилами исходящего трафика или без нее.
  • Ресурс шлюза NAT Azure назначается подсети виртуальной машины.

Виртуальные машины, созданные с помощью масштабируемых наборов виртуальных машин в гибком режиме оркестрации, не имеют исходящего доступа по умолчанию.

Дополнительные сведения об исходящих подключениях в Azure см. в статье об исходящем доступе по умолчанию в Azure и использовании преобразования исходящих сетевых адресов (SNAT) для исходящих подключений.

Создание второй виртуальной машины

  1. Повторите действия, описанные в предыдущем разделе, чтобы создать вторую виртуальную машину. Замените следующие значения в разделе "Создание виртуальной машины".

    Параметр Значение
    Virtual machine name Введите vm-private.
    Подсеть Выберите подсеть частной.
    Общедоступный IP-адрес Выберите Отсутствует.
    Группа безопасности сети сетевого адаптера Выберите Отсутствует.

    Предупреждение

    Не переходите к следующему шагу, пока развертывание не будет завершено.

Подтверждение прав доступа к учетной записи хранения

Созданная ранее виртуальная машина, назначенная подсети частной подсети, используется для подтверждения доступа к учетной записи хранения. Виртуальная машина, созданная в предыдущем разделе, назначенная подсети-1 , используется для подтверждения блокировки доступа к учетной записи хранения.

Получение ключа доступа к учетной записи хранения

  1. В поле поиска в верхней части портала введите Учетная запись хранения. Выбор Учетные записи хранения в результатах поиска.

  2. В служба хранилища учетных записях выберите учетную запись хранения.

  3. В разделе "Безопасность и сеть" выберите ключи доступа.

  4. Скопируйте значение key1. Чтобы отобразить ключ, может потребоваться выбрать кнопку "Показать ".

    Снимок экрана: ключ доступа к учетной записи хранения.

  5. В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.

  6. Выберите виртуальную машину частной.

  7. Выберите бастион в операциях.

  8. Введите имя пользователя и пароль, указанные при создании виртуальной машины. Нажмите Подключиться.

  9. Откройте Windows PowerShell. Используйте следующий сценарий для сопоставления общей папки Azure с диском Z.

    • Замените <storage-account-key> ключ, скопированный на предыдущем шаге.

    • Замените <storage-account-name> именем своей учетной записи хранения. В этом примере это storage8675.

     $key = @{
     String = "<storage-account-key>"
 }
 $acctKey = ConvertTo-SecureString @key -AsPlainText -Force

 $cred = @{
     ArgumentList = "Azure\<storage-account-name>", $acctKey
 }
 $credential = New-Object System.Management.Automation.PSCredential @cred

 $map = @{
     Name = "Z"
     PSProvider = "FileSystem"
     Root = "\\<storage-account-name>.file.core.windows.net\file-share"
     Credential = $credential
 }
 New-PSDrive @map

    PowerShell вернет выходные данные, как в следующем примере.

    Name        Used (GB)     Free (GB) Provider      Root
----        ---------     --------- --------      ----
Z                                      FileSystem    \\storage8675.file.core.windows.net\f...

    Файловый ресурс Azure успешно подключен как диск Z.

  10. Закройте подключение Бастиона к vm-private.

Подтверждение запрета доступа к учетной записи хранения

Из vm-1

  1. В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.

  2. Выберите vm-1.

  3. Выберите бастион в операциях.

  4. Введите имя пользователя и пароль, указанные при создании виртуальной машины. Нажмите Подключиться.

  5. Повторите предыдущую команду, чтобы попытаться сопоставить диск с общей папкой в учетной записи хранения. Возможно, потребуется скопировать ключ доступа к учетной записи хранения еще раз для этой процедуры:

    $key = @{
    String = "<storage-account-key>"
}
$acctKey = ConvertTo-SecureString @key -AsPlainText -Force

$cred = @{
    ArgumentList = "Azure\<storage-account-name>", $acctKey
}
$credential = New-Object System.Management.Automation.PSCredential @cred

$map = @{
    Name = "Z"
    PSProvider = "FileSystem"
    Root = "\\<storage-account-name>.file.core.windows.net\file-share"
    Credential = $credential
}
New-PSDrive @map

  6. Должно появиться следующее сообщение об ошибке:

    New-PSDrive : Access is denied
At line:1 char:5
+     New-PSDrive @map
+     ~~~~~~~~~~~~~~~~
    + CategoryInfo          : InvalidOperation: (Z:PSDriveInfo) [New-PSDrive], Win32Exception
    + FullyQualifiedErrorId : CouldNotMapNetworkDrive,Microsoft.PowerShell.Commands.NewPSDriveCommand

  7. Закройте подключение Бастиона к vm-1.

С локального компьютера:

  1. В поле поиска в верхней части портала введите Учетная запись хранения. Выбор Учетные записи хранения в результатах поиска.

  2. В служба хранилища учетных записях выберите учетную запись хранения.

  3. В хранилище данных выберите общие папки.

  4. Выберите общую папку.

  5. Выберите "Обзор " в меню слева.

  6. Должно появиться следующее сообщение об ошибке:

    Снимок экрана: сообщение об ошибке отказа в доступе.

Примечание.

Доступ запрещен, так как компьютер не находится в подсети-частной подсети виртуальной сети-1 .

Очистка ресурсов

Завершив использование созданных ресурсов, можно удалить группу ресурсов и все ее ресурсы:

  1. Войдите на портал Azure; найдите в поиске и выберите Группы ресурсов.

  2. На странице групп ресурсов выберите группу ресурсов test-rg.

  3. На странице test-rg выберите "Удалить группу ресурсов".

  4. Введите test-rg в поле Ввод имени группы ресурсов, чтобы подтвердить удаление, а затем нажмите кнопку "Удалить".

Следующие шаги

В этом руководстве рассматриваются следующие темы:

  • Вы включили конечную точку службы для подсети виртуальной сети.

  • Вы узнали, что конечные точки службы можно включать для ресурсов, развернутых несколькими службами Azure.

  • Вы создали учетную запись службы хранилища Azure и ограничили сетевой доступ к учетной записи хранения ресурсами одной подсети в виртуальной сети.

См. дополнительные сведения о конечных точках службы и управляемых подсетях.

Если в вашей учетной записи несколько виртуальных сетей, вам может потребоваться установить связь между ними, чтобы ресурсы могли взаимодействовать друг с другом. Перейдите к следующему руководству, чтобы научиться подключать виртуальные сети.

Подключение виртуальных сетей