Självstudie: Begränsa nätverksåtkomst till PaaS-resurser med tjänstslutpunkter för virtuellt nätverk och Azure-portalen

  • Artikel

Med tjänstslutpunkter för virtuellt nätverk kan du begränsa nätverksåtkomsten till vissa Azure-tjänsters resurser till ett undernät för virtuella datorer. Du kan också ta bort resursernas internetåtkomst. Tjänstslutpunkterna möjliggör direktanslutning från ditt virtuella nätverk till Azure-tjänster som stöds, så att du kan använda det privata adressutrymmet i det virtuella nätverket för åtkomst till Azure-tjänsterna. Trafik till Azure-resurser genom tjänstslutpunkterna finns alltid kvar i Microsoft Azure-stamnätverket.

Diagram över Azure-resurser som skapats i självstudien.

I den här självstudien lär du dig att:

  • Skapa ett virtuellt nätverk med ett undernät
  • Lägga till ett undernät och aktivera en tjänstslutpunkt
  • Skapa en Azure-resurs och tillåt nätverksåtkomst till den från enbart ett undernät
  • Distribuera en virtuell dator (VM) till varje undernät
  • Bekräfta åtkomst till en resurs från ett undernät
  • Bekräfta att åtkomst nekas för en resurs från ett undernät och internet

I den här självstudien används Azure-portalen. Du kan också slutföra det med hjälp av Azure CLI eller PowerShell.

Förutsättningar

Logga in på Azure

Logga in på Azure-portalen.

Skapa ett virtuellt nätverk och en Azure Bastion-värd

Följande procedur skapar ett virtuellt nätverk med ett resursundernät, ett Azure Bastion-undernät och en Bastion-värd:

  1. I portalen söker du efter och väljer Virtuella nätverk.

  2. På sidan Virtuella nätverk väljer du + Skapa.

  3. På fliken Grundläggande i Skapa virtuellt nätverk anger eller väljer du följande information:

    Inställning Värde
    Projektinformation
    Prenumeration Välj din prenumeration.
    Resursgrupp Välj Skapa ny.
    Ange test-rg som namn.
    Välj OK.
    Instansinformation
    Name Ange vnet-1.
    Region Välj USA, östra 2.

    Skärmbild av fliken Grundläggande för att skapa ett virtuellt nätverk i Azure-portalen.

  4. Välj Nästa för att fortsätta till fliken Säkerhet .

  5. I avsnittet Azure Bastion väljer du Aktivera Bastion.

    Bastion använder webbläsaren för att ansluta till virtuella datorer i ditt virtuella nätverk via Secure Shell (SSH) eller Remote Desktop Protocol (RDP) med hjälp av sina privata IP-adresser. De virtuella datorerna behöver inte offentliga IP-adresser, klientprogramvara eller särskild konfiguration. Mer information finns i Vad är Azure Bastion?.

    Kommentar

    Priserna per timme börjar från det ögonblick då Bastion distribueras, oavsett utgående dataanvändning. Mer information finns i Priser och SKU:er. Om du distribuerar Bastion som en del av en självstudie eller ett test rekommenderar vi att du tar bort den här resursen när du har använt den.

  6. I Azure Bastion anger eller väljer du följande information:

    Inställning Värde
    Azure Bastion-värdnamn Ange bastion.
    Offentlig IP-adress för Azure Bastion Välj Skapa en offentlig IP-adress.
    Ange public-ip-bastion i Namn.
    Välj OK.

    Skärmbild av alternativ för att aktivera en Azure Bastion-värd som en del av skapandet av ett virtuellt nätverk i Azure-portalen.

  7. Välj Nästa för att fortsätta till fliken IP-adresser .

  8. I rutan adressutrymme i Undernät väljer du standardundernätet .

  9. I Redigera undernät anger eller väljer du följande information:

    Inställning Värde
    Information om undernät
    Undernätsmall Låt standardvärdet Standard vara kvar.
    Name Ange undernät-1.
    Startadress Låt standardvärdet vara 10.0.0.0.
    Storlek på undernät Lämna standardvärdet /24 (256 adresser).

    Skärmbild av konfigurationsinformation för ett undernät.

  10. Välj Spara.

  11. Välj Granska + skapa längst ned i fönstret. När valideringen har godkänts väljer du Skapa.

Aktivera en tjänstslutpunkt

Tjänstslutpunkter är aktiverade per tjänst och undernät.

  1. I sökrutan överst på portalsidan söker du efter Virtuellt nätverk. Välj Virtuella nätverk i sökresultaten.

  2. I Virtuella nätverk väljer du vnet-1.

  3. I avsnittet Inställningari vnet-1 väljer du Undernät.

  4. Välj + Undernät.

  5. På sidan Lägg till undernät anger eller väljer du följande information:

    Inställning Värde
    Name subnet-private
    Adressintervall för undernätet Låt standardvärdet vara 10.0.2.0/24.
    TJÄNSTSLUTPUNKTER
    Tjänster Välj Microsoft.Storage

  6. Välj Spara.

Varning

Se Ändra undernätsinställningar innan du aktiverar en tjänstslutpunkt för ett befintligt undernät som innehåller resurser.

Begränsa nätverksåtkomst för ett undernät

Som standard kan alla virtuella datorinstanser i ett undernät kommunicera med alla resurser. Du kan begränsa kommunikationen till och från alla resurser i ett undernät genom att skapa en nätverkssäkerhetsgrupp och koppla den till undernätet.

  1. Sök efter nätverkssäkerhetsgrupp i sökrutan överst på portalsidan. Välj Nätverkssäkerhetsgrupper i sökresultaten.

  2. I Nätverkssäkerhetsgrupper väljer du + Skapa.

  3. På fliken Grundläggande i Skapa nätverkssäkerhetsgrupp anger eller väljer du följande information:

    Inställning Värde
    Projektinformation
    Prenumeration Välj din prenumeration.
    Resursgrupp Välj test-rg.
    Instansinformation
    Name Ange nsg-storage.
    Region Välj USA, östra 2.

  4. Välj Granska + skapa och välj sedan Skapa.

Skapa utgående NSG-regler

  1. Sök efter nätverkssäkerhetsgrupp i sökrutan överst på portalsidan. Välj Nätverkssäkerhetsgrupper i sökresultaten.

  2. Välj nsg-storage.

  3. Välj Utgående säkerhetsregler i Inställningar.

  4. Markera + Lägg till.

  5. Skapa en regel som tillåter utgående kommunikation till Azure Storage-tjänsten. Ange eller välj följande information i Lägg till utgående säkerhetsregel:

    Inställning Värde
    Source Välj Service Tag (Tjänsttagg).
    Källtjänsttagg Välj VirtualNetwork.
    Källportintervall Lämna standardvärdet *.
    Mål Välj Service Tag (Tjänsttagg).
    Måltjänsttagg Välj Storage.
    Tjänst Låt standardvärdet Anpassad vara kvar.
    Målportintervall Ange 445.
    SMB-protokollet används för att ansluta till en filresurs som skapats i ett senare steg.
    Protokoll Välj Valfritt.
    Åtgärd Markera Tillåt.
    Prioritet Låt standardvärdet vara 100.
    Name Ange allow-storage-all.

    Skärmbild av hur du skapar en utgående säkerhet för åtkomst till lagring.

  6. Markera + Lägg till.

  7. Skapa en annan säkerhetsregel för utgående kommunikation som nekar utgående kommunikation till internet. Den här regeln åsidosätter en standardregel i alla nätverkssäkerhetsgrupper som tillåter utgående internetkommunikation. Slutför föregående steg med följande värden i Lägg till utgående säkerhetsregel:

    Inställning Värde
    Source Välj Service Tag (Tjänsttagg).
    Källtjänsttagg Välj VirtualNetwork.
    Källportintervall Lämna standardvärdet *.
    Mål Välj Service Tag (Tjänsttagg).
    Måltjänsttagg Välj Internet.
    Tjänst Låt standardvärdet Anpassad vara kvar.
    Målportintervall Ange *.
    Protokoll Välj Valfritt.
    Åtgärd Välj Neka.
    Prioritet Lämna standardvärdet 110.
    Name Ange neka internet-all.

    Skärmbild av att skapa en utgående säkerhet för att blockera internetåtkomst.

  8. Markera Lägga till.

Associera nätverkssäkerhetsgruppen med ett undernät

  1. Sök efter nätverkssäkerhetsgrupp i sökrutan överst på portalsidan. Välj Nätverkssäkerhetsgrupper i sökresultaten.

  2. Välj nsg-storage.

  3. Välj Undernät i Inställningar.

  4. Välj + Associera.

  5. I Associera undernät väljer du vnet-1 i Virtuellt nätverk. Välj undernät privat i undernät.

    Skärmbild av det privata undernät som är associerat med nätverkssäkerhetsgruppen.

  6. Välj OK.

Begränsa nätverksåtkomst till en resurs

De steg som krävs för att begränsa nätverksåtkomsten till resurser som skapats via Azure-tjänster, som är aktiverade för tjänstslutpunkter, varierar mellan olika tjänster. Läs dokumentationen för enskilda tjänster för specifika åtgärder för varje tjänst. Resten av den här självstudien innehåller steg för att begränsa nätverksåtkomsten för ett Azure Storage-konto, till exempel.

Skapa ett lagringskonto

Skapa ett Azure Storage-konto för stegen i den här artikeln. Om du redan har ett lagringskonto kan du använda det i stället.

  1. I sökrutan överst i portalen anger du Lagringskonto. Välj Lagringskonton i sökresultatet.

  2. Välj + Skapa.

  3. På fliken Grundläggande i Skapa ett lagringskonto anger eller väljer du följande information:

    Inställning Värde
    Projektinformation
    Prenumeration Välj din Azure-prenumerationen.
    Resursgrupp Välj test-rg.
    Instansinformation
    Lagringskontonamn Ange storage1. Om namnet inte är tillgängligt anger du ett unikt namn.
    Plats Välj (USA) USA, östra 2.
    Prestanda Lämna kvar standardinställningen Standard.
    Redundans Välj Lokalt redundant lagring (LRS).

  4. Välj Granska.

  5. Välj Skapa.

Skapa en filresurs i lagringskontot

  1. I sökrutan överst i portalen anger du Lagringskonto. Välj Lagringskonton i sökresultatet.

  2. I Lagringskonton väljer du det lagringskonto som du skapade i föregående steg.

  3. I Datalagring väljer du Filresurser.

  4. Välj + Filresurs.

  5. Ange eller välj följande information i Ny filresurs:

    Inställning Värde
    Name Ange filresurs.
    Nivå Lämna standardvärdet Transaktionsoptimerad.

  6. Välj Nästa: Säkerhetskopiera.

  7. Avmarkera Aktivera säkerhetskopiering.

  8. Välj Granska + skapa och välj sedan Skapa.

Begränsa nätverksåtkomst till ett undernät

Som standard godkänner lagringskonton nätverksanslutningar från klienter i alla nätverk, inklusive internet. Du kan begränsa nätverksåtkomsten från Internet och alla andra undernät i alla virtuella nätverk (förutom undernätets privata undernät i det virtuella nätverket vnet-1 .)

Så här begränsar du nätverksåtkomsten till ett undernät:

  1. I sökrutan överst i portalen anger du Lagringskonto. Välj Lagringskonton i sökresultatet.

  2. Välj ditt lagringskonto.

  3. I Säkerhet + nätverk väljer du Nätverk.

  4. På fliken Brandväggar och virtuella nätverk väljer du Aktiverad från valda virtuella nätverk och IP-adresser i Offentlig nätverksåtkomst.

  5. I Virtuella nätverk väljer du + Lägg till befintligt virtuellt nätverk.

  6. I Lägg till nätverk anger eller väljer du följande information:

    Inställning Värde
    Prenumeration Välj din prenumeration.
    Virtuella nätverk Välj vnet-1.
    Undernät Välj undernät privat.

    Skärmbild av begränsningen av lagringskontot till undernätet och det virtuella nätverk som skapades tidigare.

  7. Markera Lägga till.

  8. Spara konfigurationerna för virtuella nätverk genom att välja Spara .

    Skärmbild av skärmen för lagringskonto och bekräftelse av begränsning av undernät.

Skapa virtuella datorer

Om du vill testa nätverksåtkomsten till ett lagringskonto distribuerar du en virtuell dator till varje undernät.

Skapa en virtuell testdator

Följande procedur skapar en virtuell testdator (VM) med namnet vm-1 i det virtuella nätverket.

  1. I portalen söker du efter och väljer Virtuella datorer.

  2. I Virtuella datorer väljer du + Skapa och sedan Virtuell Azure-dator.

  3. På fliken Grundläggande i Skapa en virtuell dator anger eller väljer du följande information:

    Inställning Värde
    Projektinformation
    Prenumeration Välj din prenumeration.
    Resursgrupp Välj test-rg.
    Instansinformation
    Virtual machine name Ange vm-1.
    Region Välj USA, östra 2.
    Tillgängliga alternativ Välj Ingen infrastrukturredundans krävs.
    Säkerhetstyp Låt standardvärdet Standard vara kvar.
    Bild Välj Windows Server 2022 Datacenter – x64 Gen2.
    VM-arkitektur Låt standardvärdet x64 vara kvar.
    Storlek Välj en storlek.
    Administratörskonto
    Authentication type Välj Lösenord.
    Username Ange azureuser.
    Lösenord Ange ett lösenord.
    Bekräfta lösenord Ange lösenordet igen.
    Regler för inkommande portar
    Offentliga inkommande portar Välj Ingen.

  4. Välj fliken Nätverk överst på sidan.

  5. Ange eller välj följande information på fliken Nätverk :

    Inställning Värde
    Nätverksgränssnitt
    Virtuellt nätverk Välj vnet-1.
    Undernät Välj undernät-1 (10.0.0.0/24).
    Offentlig IP-adress Välj Ingen.
    Nätverkssäkerhetsgrupp för nätverkskort Visa avancerad.
    Konfigurera nätverkssäkerhetsgrupp Välj Skapa ny.
    Ange nsg-1 som namn.
    Låt resten vara som standard och välj OK.

  6. Låt resten av inställningarna vara som standard och välj Granska + skapa.

  7. Granska inställningarna och välj Skapa.

Kommentar

Virtuella datorer i ett virtuellt nätverk med en skyddsvärd behöver inte offentliga IP-adresser. Bastion tillhandahåller den offentliga IP-adressen och de virtuella datorerna använder privata IP-adresser för att kommunicera i nätverket. Du kan ta bort de offentliga IP-adresserna från alla virtuella datorer i bastionens värdbaserade virtuella nätverk. Mer information finns i Koppla bort en offentlig IP-adress från en virtuell Azure-dator.

Kommentar

Azure tillhandahåller en standard-IP för utgående åtkomst för virtuella datorer som antingen inte har tilldelats någon offentlig IP-adress eller som finns i serverdelspoolen för en intern grundläggande Azure-lastbalanserare. Ip-mekanismen för utgående åtkomst har en utgående IP-adress som inte kan konfigureras.

Standard-IP för utgående åtkomst inaktiveras när någon av följande händelser inträffar:

  • En offentlig IP-adress tilldelas till den virtuella datorn.
  • Den virtuella datorn placeras i serverdelspoolen för en standardlastbalanserare, med eller utan regler för utgående trafik.
  • En Azure NAT Gateway-resurs tilldelas till den virtuella datorns undernät.

Virtuella datorer som du skapar med hjälp av vm-skalningsuppsättningar i flexibelt orkestreringsläge har inte standardåtkomst till utgående trafik.

Mer information om utgående anslutningar i Azure finns i Standardutgående åtkomst i Azure och Använda SNAT (Source Network Address Translation) för utgående anslutningar.

Skapa den andra virtuella datorn

  1. Upprepa stegen i föregående avsnitt för att skapa en andra virtuell dator. Ersätt följande värden i Skapa en virtuell dator:

    Inställning Värde
    Virtual machine name Ange vm-private.
    Undernät Välj undernät privat.
    Offentlig IP-adress Välj Ingen.
    Nätverkssäkerhetsgrupp för nätverkskort Välj Ingen.

    Varning

    Fortsätt inte till nästa steg förrän distributionen har slutförts.

Bekräfta åtkomst till lagringskontot

Den virtuella dator som du skapade tidigare och som har tilldelats det undernäts-privata undernätet används för att bekräfta åtkomsten till lagringskontot. Den virtuella dator som du skapade i föregående avsnitt som har tilldelats undernätet-1 används för att bekräfta att åtkomsten till lagringskontot är blockerad.

Hämta åtkomstnyckel för lagringskonto

  1. I sökrutan överst i portalen anger du Lagringskonto. Välj Lagringskonton i sökresultatet.

  2. I Lagringskonton väljer du ditt lagringskonto.

  3. I Säkerhet + nätverk väljer du Åtkomstnycklar.

  4. Kopiera värdet för key1. Du kan behöva välja knappen Visa för att visa nyckeln.

    Skärmbild av åtkomstnyckeln för lagringskontot.

  5. I sökrutan överst i portalen anger du Virtuell dator. Välj Virtuella datorer i sökresultaten.

  6. Välj vm-private.

  7. Välj Bastion i Åtgärder.

  8. Ange det användarnamn och lösenord som du angav när du skapade den virtuella datorn. Välj Anslut.

  9. Öppna Windows PowerShell. Använd följande skript för att mappa Azure-filresursen för att köra Z.

    • Ersätt <storage-account-key> med nyckeln som du kopierade i föregående steg.

    • Ersätt <storage-account-name> med namnet på ditt lagringskonto. I det här exemplet är det storage8675.

     $key = @{
     String = "<storage-account-key>"
 }
 $acctKey = ConvertTo-SecureString @key -AsPlainText -Force

 $cred = @{
     ArgumentList = "Azure\<storage-account-name>", $acctKey
 }
 $credential = New-Object System.Management.Automation.PSCredential @cred

 $map = @{
     Name = "Z"
     PSProvider = "FileSystem"
     Root = "\\<storage-account-name>.file.core.windows.net\file-share"
     Credential = $credential
 }
 New-PSDrive @map

    PowerShell returnerar utdata som liknar följande exempelutdata:

    Name        Used (GB)     Free (GB) Provider      Root
----        ---------     --------- --------      ----
Z                                      FileSystem    \\storage8675.file.core.windows.net\f...

    Azure-fildelningen har mappats till enhet Z.

  10. Stäng Bastion-anslutningen till vm-private.

Bekräfta att åtkomst till lagringskontot nekas

Från vm-1

  1. I sökrutan överst i portalen anger du Virtuell dator. Välj Virtuella datorer i sökresultaten.

  2. Välj vm-1.

  3. Välj Bastion i Åtgärder.

  4. Ange det användarnamn och lösenord som du angav när du skapade den virtuella datorn. Välj Anslut.

  5. Upprepa föregående kommando för att försöka mappa enheten till filresursen i lagringskontot. Du kan behöva kopiera åtkomstnyckeln för lagringskontot igen för den här proceduren:

    $key = @{
    String = "<storage-account-key>"
}
$acctKey = ConvertTo-SecureString @key -AsPlainText -Force

$cred = @{
    ArgumentList = "Azure\<storage-account-name>", $acctKey
}
$credential = New-Object System.Management.Automation.PSCredential @cred

$map = @{
    Name = "Z"
    PSProvider = "FileSystem"
    Root = "\\<storage-account-name>.file.core.windows.net\file-share"
    Credential = $credential
}
New-PSDrive @map

  6. Du bör få följande felmeddelande:

    New-PSDrive : Access is denied
At line:1 char:5
+     New-PSDrive @map
+     ~~~~~~~~~~~~~~~~
    + CategoryInfo          : InvalidOperation: (Z:PSDriveInfo) [New-PSDrive], Win32Exception
    + FullyQualifiedErrorId : CouldNotMapNetworkDrive,Microsoft.PowerShell.Commands.NewPSDriveCommand

  7. Stäng Bastion-anslutningen till vm-1.

Från en lokal dator:

  1. I sökrutan överst i portalen anger du Lagringskonto. Välj Lagringskonton i sökresultatet.

  2. I Lagringskonton väljer du ditt lagringskonto.

  3. I Datalagring väljer du Filresurser.

  4. Välj filresurs.

  5. Välj Bläddra i den vänstra menyn.

  6. Du bör få följande felmeddelande:

    Skärmbild av felmeddelande om nekad åtkomst.

Kommentar

Åtkomsten nekas eftersom datorn inte finns i undernätets privata undernät i det virtuella nätverket vnet-1 .

Rensa resurser

När du är klar med de resurser som du skapade kan du ta bort resursgruppen och alla dess resurser:

  1. I Azure-portalen söker du efter och väljer Resursgrupper.

  2. På sidan Resursgrupper väljer du resursgruppen test-rg .

  3. På sidan test-rg väljer du Ta bort resursgrupp.

  4. Ange test-rg i Ange resursgruppsnamn för att bekräfta borttagningen och välj sedan Ta bort.

Nästa steg

I den här självstudien:

  • Du har aktiverat en tjänstslutpunkt för ett virtuellt nätverksundernät.

  • Du har lärt dig att du kan aktivera tjänstslutpunkter för resurser som distribueras från flera Azure-tjänster.

  • Du skapade ett Azure Storage-konto och begränsade nätverksåtkomsten till lagringskontot till endast resurser i ett virtuellt nätverksundernät.

Om du vill veta mer om tjänstslutpunkter går du till Översikt över tjänstslutpunkter och Hantera undernät.

Om du har flera virtuella nätverk i ditt konto kanske du vill upprätta en anslutning mellan dem så att resurser kan kommunicera med varandra. Om du vill lära dig mer om att ansluta virtuella nätverk går du vidare till nästa självstudie.

Ansluta virtuella nätverk