Azure Stack HCI için güvenlik duvarı gereksinimleri
Şunlar için geçerlidir: Azure Stack HCI, sürüm 23H2 ve 22H2
Bu makalede, Azure Stack HCI işletim sistemi için güvenlik duvarlarını yapılandırma hakkında yönergeler sağlanır. Giden uç noktalar, iç kurallar ve bağlantı noktaları için güvenlik duvarı gereksinimlerini içerir. Makale ayrıca Azure hizmet etiketlerini Microsoft Defender güvenlik duvarıyla kullanma hakkında da bilgi sağlar.
Ağınız İnternet erişimi için bir ara sunucu kullanıyorsa bkz . Azure Stack HCI için ara sunucu ayarlarını yapılandırma.
Önemli
Azure Stack HCI 23H2 için gereken genel uç noktalara erişmek mümkün olmadığından Azure Stack HCI, sürüm 23H2 veya bileşenlerinin herhangi biri için Azure Express Route ve Azure Özel Bağlantı desteklenmez.
Giden uç noktalar için güvenlik duvarı gereksinimleri
Kuruluşunuzun güvenlik duvarında giden ağ trafiği için 443 numaralı bağlantı noktasını açmak, işletim sisteminin Azure ve Microsoft Update'e bağlanması için bağlantı gereksinimlerini karşılar. Giden güvenlik duvarınız kısıtlanmışsa, bu makalenin Önerilen güvenlik duvarı URL'leri bölümünde açıklanan URL'leri ve bağlantı noktalarını eklemenizi öneririz.
Azure Stack HCI'nin düzenli aralıklarla Azure'a bağlanması gerekir. Erişim yalnızca aşağıdakiler ile sınırlıdır:
- İyi bilinen Azure IP'leri
- Giden yön
- Bağlantı noktası 443 (HTTPS)
Önemli
Azure Stack HCI, HTTPS incelemeyi desteklemez. Bağlantı hatalarını önlemek için Azure Stack HCI ağ yolunuz boyunca HTTPS incelemesinin devre dışı bırakıldığından emin olun.
Aşağıdaki diyagramda gösterildiği gibi, Azure Stack HCI potansiyel olarak birden fazla güvenlik duvarı kullanarak Azure'a erişir.
Bu makalede, izin verilenler listenize dahil olanlar dışında tüm hedeflere giden trafiği engellemek için isteğe bağlı olarak yüksek oranda kilitlenmiş bir güvenlik duvarı yapılandırmasının nasıl kullanılacağı açıklanmaktadır.
Gerekli güvenlik duvarı URL'leri
Aşağıdaki tabloda gerekli güvenlik duvarı URL'lerinin listesi sağlanır. Bu URL'leri izin verilenler listenize eklediğinizden emin olun.
Ayrıca, Azure Stack HCI üzerinde AKS için gerekli güvenlik duvarı gereksinimlerini izleyin.
Not
Azure Stack HCI güvenlik duvarı kuralları, HciSvc bağlantısı için gereken en düşük uç noktalardır ve joker karakter içermez. Ancak aşağıdaki tabloda şu anda joker karakter URL'leri yer alır ve bu URL'ler gelecekte kesin uç noktalara güncelleştirilebilir.
Hizmet | URL | Bağlantı noktası | Notlar |
---|---|---|---|
Azure Stack HCI Güncelleştirmelerini indirme | fe3.delivery.mp.microsoft.com | 443 | Azure Stack HCI'yi güncelleştirmek için sürüm 23H2. |
Azure Stack HCI Güncelleştirmelerini indirme | tlu.dl.delivery.mp.microsoft.com | 80 | Azure Stack HCI'yi güncelleştirmek için sürüm 23H2. |
Azure Stack HCI Güncelleştirmeleri bulma | aka.ms | 443 | Azure Stack HCI, sürüm 23H2 ve Çözüm Oluşturucusu Uzantı Güncelleştirmelerini bulmak için adresleri çözümlemek için. |
Azure Stack HCI Güncelleştirmeleri bulma | redirectiontool.trafficmanager.net | 443 | aka.ms yeniden yönlendirme bağlantıları için kullanım verileri izleme uygulayan temel hizmet. |
Azure Stack HCI | login.microsoftonline.com | 443 | Active Directory Yetkilisi için ve kimlik doğrulaması, belirteç getirme ve doğrulama için kullanılır. |
Azure Stack HCI | graph.windows.net | 443 | Graph için ve kimlik doğrulaması, belirteç getirme ve doğrulama için kullanılır. |
Azure Stack HCI | management.azure.com | 443 | Resource Manager için ve kayıt amacıyla kümenin Azure'a ilk önyüklemesi sırasında kullanılır ve kümenin kaydını kaldırmak için kullanılır. |
Azure Stack HCI | dp.stackhci.azure.com | 443 | Tanılama verilerini göndererek Azure portalı işlem hattında kullanılan ve faturalama verilerini gönderen veri düzlemi için. |
Azure Stack HCI | *.platform.edge.azure.com | 443 | Lisanslama ve uyarı gönderme ve faturalama verilerinde kullanılan Veri düzlemi için. Yalnızca Azure Stack HCI, sürüm 23H2 için gereklidir. |
Azure Stack HCI | azurestackhci.azurefd.net | 443 | Veri düzlemi için önceki URL. Bu URL yakın zamanda değiştirildi. Kümenizi bu eski URL'yi kullanarak kaydettiyseniz, kümeyi de izin verilenler listesine almalısınız. |
Azure Stack HCI | hciarcvmscontainerregistry.azurecr.io | 443 | Azure Stack HCI'de Arc VM kapsayıcı kayıt defteri için. Yalnızca Azure Stack HCI, sürüm 23H2 için gereklidir. |
Azure Key Vault | *.vault.azure.com | 443 | Azure Stack HCI kimlik bilgilerine erişmek için anahtar kasasına erişim. * yerine kullanmayı planladığınız anahtar kasasının adını yazın. Yalnızca Azure Stack HCI, sürüm 23H2 için gereklidir. |
Sunucular için Arc | aka.ms | 443 | Yükleme sırasında indirme betiğini çözümlemek için. |
Sunucular için Arc | download.microsoft.com | 443 | Windows yükleme paketini indirmek için. |
Sunucular için Arc | login.windows.net | 443 | Microsoft Entra Id için |
Sunucular için Arc | login.microsoftonline.com | 443 | Microsoft Entra Id için |
Sunucular için Arc | pas.windows.net | 443 | Microsoft Entra Id için |
Sunucular için Arc | management.azure.com | 443 | Azure Resource Manager'ın Arc Server kaynağını oluşturması veya silmesi için |
Sunucular için Arc | guestnotificationservice.azure.com | 443 | Uzantı ve bağlantı senaryoları için bildirim hizmeti için |
Sunucular için Arc | *.his.arc.azure.com | 443 | Meta veriler ve karma kimlik hizmetleri için |
Sunucular için Arc | *.guestconfiguration.azure.com | 443 | Uzantı yönetimi ve konuk yapılandırma hizmetleri için |
Sunucular için Arc | *.guestnotificationservice.azure.com | 443 | Uzantı ve bağlantı senaryoları için bildirim hizmeti için |
Sunucular için Arc | azgn*.servicebus.windows.net | 443 | Uzantı ve bağlantı senaryoları için bildirim hizmeti için |
Sunucular için Arc | *.servicebus.windows.net | 443 | Windows Admin Center ve SSH senaryoları için |
Sunucular için Arc | *.waconazure.com | 443 | Windows Admin Center bağlantısı için |
Sunucular için Arc | *.blob.core.windows.net | 443 | Azure Arc özellikli sunucu uzantılarının indirme kaynağı için |
Tüm güvenlik duvarı URL'lerinin kapsamlı listesi için güvenlik duvarı URL'leri elektronik tablosunu indirin.
Önerilen güvenlik duvarı URL'leri
Aşağıdaki tabloda önerilen güvenlik duvarı URL'lerinin listesi sağlanır. Giden güvenlik duvarınız kısıtlanmışsa, bu bölümde açıklanan URL'leri ve bağlantı noktalarını izin verilenler listenize eklemenizi öneririz.
Not
Azure Stack HCI güvenlik duvarı kuralları, HciSvc bağlantısı için gereken en düşük uç noktalardır ve joker karakter içermez. Ancak aşağıdaki tabloda şu anda joker karakter URL'leri yer alır ve bu URL'ler gelecekte kesin uç noktalara güncelleştirilebilir.
Hizmet | URL | Bağlantı noktası | Notlar |
---|---|---|---|
Azure Stack HCI üzerinde Azure Avantajları | crl3.digicert.com | 80 | Azure Stack HCI'deki platform kanıtlama hizmetinin, VM'lerin Gerçekten Azure ortamlarında çalıştığından emin olmak için bir sertifika iptal listesi denetimi gerçekleştirmesini sağlar. |
Azure Stack HCI üzerinde Azure Avantajları | crl4.digicert.com | 80 | Azure Stack HCI'deki platform kanıtlama hizmetinin, VM'lerin Gerçekten Azure ortamlarında çalıştığından emin olmak için bir sertifika iptal listesi denetimi gerçekleştirmesini sağlar. |
Azure Stack HCI | *.powershellgallery.com | 443 | Küme kaydı için gereken Az.StackHCI PowerShell modülünü almak için. Alternatif olarak, Az.StackHCI PowerShell modülünü PowerShell Galerisi el ile indirip yükleyebilirsiniz. |
Küme Bulut Tanığı | *.blob.core.windows.net | 443 | Azure blob kapsayıcısına güvenlik duvarı erişimi için, küme tanığı olarak bir bulut tanığı kullanmayı seçerseniz bu isteğe bağlıdır. |
Microsoft Update | windowsupdate.microsoft.com | 80 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
Microsoft Update | download.windowsupdate.com | 80 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
Microsoft Update | *.download.windowsupdate.com | 80 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
Microsoft Update | download.microsoft.com | 443 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
Microsoft Update | wustat.windows.com | 80 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
Microsoft Update | ntservicepack.microsoft.com | 80 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
Microsoft Update | go.microsoft.com | 80 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
Microsoft Update | dl.delivery.mp.microsoft.com | 80, 443 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
Microsoft Update | *.delivery.mp.microsoft.com | 80, 443 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
Microsoft Update | *.windowsupdate.microsoft.com | 80, 443 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
Microsoft Update | *.windowsupdate.com | 80 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
Microsoft Update | *.update.microsoft.com | 80, 443 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
Ek Azure hizmetleri için güvenlik duvarı gereksinimleri
HCI'de etkinleştirdiğiniz ek Azure hizmetlerine bağlı olarak, ek güvenlik duvarı yapılandırma değişiklikleri yapmanız gerekebilir. Her Azure hizmeti için güvenlik duvarı gereksinimleri hakkında bilgi için aşağıdaki bağlantılara bakın:
- Azure Stack HCI üzerinde AKS
- Azure Arc özellikli sunucular
- Azure Arc kaynak köprüsü ağ gereksinimleri
- Azure İzleyici Aracısı
- Azure portalı
- Azure Site Recovery
- Azure Sanal Masaüstü
- Microsoft Defender
- Microsoft Monitoring Agent (MMA) ve Log Analytics Aracısı
- Qualys
- Uzaktan destek
- Windows Yönetim Merkezi
- Azure portalında Windows Yönetim Merkezi
İç kurallar ve bağlantı noktaları için güvenlik duvarı gereksinimleri
Hem site içindeki hem de esnetilmiş kümeler için siteler arasındaki tüm sunucu düğümleri arasında doğru ağ bağlantı noktalarının açık olduğundan emin olun (esnetilmiş küme işlevselliği yalnızca Azure Stack HCI, sürüm 22H2'de kullanılabilir.) Kümedeki tüm sunucular arasında ICMP, SMB (iWARP RDMA kullanıyorsanız SMB Direct için bağlantı noktası 445 ve 5445 numaralı bağlantı noktası) ve WS-MAN (bağlantı noktası 5985) trafiğine izin vermek için uygun güvenlik duvarı kurallarına ihtiyacınız vardır.
Kümeyi oluşturmak için Windows Yönetim Merkezi'nde Küme Oluşturma sihirbazını kullanırken, sihirbaz kümedeki her sunucuda Yük Devretme Kümelemesi, Hyper-V ve Depolama Çoğaltması için uygun güvenlik duvarı bağlantı noktalarını otomatik olarak açar. Her sunucuda farklı bir güvenlik duvarı kullanıyorsanız, bağlantı noktalarını aşağıdaki bölümlerde açıklandığı gibi açın:
Azure Stack HCI işletim sistemi yönetimi
Azure Stack HCI işletim sistemi yönetimi için şirket içi güvenlik duvarınızda lisanslama ve faturalama dahil olmak üzere aşağıdaki güvenlik duvarı kurallarının yapılandırıldığından emin olun.
Kural | Eylem | Kaynak | Hedef | Hizmet | Bağlantı Noktaları |
---|---|---|---|---|---|
Küme sunucularında Azure Stack HCI hizmetine gelen/giden trafiğe izin ver | İzin Ver | Küme sunucuları | Küme sunucuları | TCP | 30301 |
Windows Yönetim Merkezi
Windows Yönetim Merkezi için şirket içi güvenlik duvarınızda aşağıdaki güvenlik duvarı kurallarının yapılandırıldığından emin olun.
Kural | Eylem | Kaynak | Hedef | Hizmet | Bağlantı Noktaları |
---|---|---|---|---|---|
Azure ve Microsoft Update'e erişim sağlama | İzin Ver | Windows Yönetim Merkezi | Azure Stack HCI | TCP | 445 |
Windows Uzaktan Yönetimi (WinRM) 2.0'ı kullanma komutları çalıştırmak için HTTP bağlantıları için uzak Windows sunucularında |
İzin Ver | Windows Yönetim Merkezi | Azure Stack HCI | TCP | 5985 |
HTTPS bağlantılarının çalışması için WinRM 2.0 kullanma uzak Windows sunucularındaki komutlar |
İzin Ver | Windows Yönetim Merkezi | Azure Stack HCI | TCP | 5986 |
Not
Windows Yönetim Merkezi'ni yüklerken Yalnızca HTTPS üzerinden WinRM kullan ayarını seçerseniz 5986 numaralı bağlantı noktası gerekir.
Yük Devretme Kümelemesi
Yük Devretme Kümelemesi için şirket içi güvenlik duvarınızda aşağıdaki güvenlik duvarı kurallarının yapılandırıldığından emin olun.
Kural | Eylem | Kaynak | Hedef | Hizmet | Bağlantı Noktaları |
---|---|---|---|---|---|
Yük Devretme Kümesi doğrulamasına izin ver | İzin Ver | Yönetim sistemi | Küme sunucuları | TCP | 445 |
RPC dinamik bağlantı noktası ayırmaya izin ver | İzin Ver | Yönetim sistemi | Küme sunucuları | TCP | En az 100 bağlantı noktası 5000 numaralı bağlantı noktasının üzerinde |
Uzaktan Yordam Çağrısına İzin Ver (RPC) | İzin Ver | Yönetim sistemi | Küme sunucuları | TCP | 135 |
Küme Yöneticisine İzin Ver | İzin Ver | Yönetim sistemi | Küme sunucuları | UDP | 137 |
Küme Hizmetine İzin Ver | İzin Ver | Yönetim sistemi | Küme sunucuları | UDP | 3343 |
Küme Hizmetine İzin Ver (Şu süre boyunca gereklidir: sunucu birleştirme işlemi.) |
İzin Ver | Yönetim sistemi | Küme sunucuları | TCP | 3343 |
ICMPv4 ve ICMPv6'ya İzin Ver Yük Devretme Kümesi doğrulaması için |
İzin Ver | Yönetim sistemi | Küme sunucuları | yok | yok |
Not
Yönetim sistemi, Windows Admin Center, Windows PowerShell veya System Center Virtual Machine Manager gibi araçları kullanarak kümeyi yönetmeyi planladığınız tüm bilgisayarları içerir.
Hyper-V
Hyper-V için şirket içi güvenlik duvarınızda aşağıdaki güvenlik duvarı kurallarının yapılandırıldığından emin olun.
Kural | Eylem | Kaynak | Hedef | Hizmet | Bağlantı Noktaları |
---|---|---|---|---|---|
Küme iletişimlerine izin ver | İzin Ver | Yönetim sistemi | Hyper-V sunucusu | TCP | 445 |
RPC Uç Nokta Eşleyicisi ve WMI'ye İzin Ver | İzin Ver | Yönetim sistemi | Hyper-V sunucusu | TCP | 135 |
HTTP bağlantısına izin ver | İzin Ver | Yönetim sistemi | Hyper-V sunucusu | TCP | 80 |
HTTPS bağlantısına izin ver | İzin Ver | Yönetim sistemi | Hyper-V sunucusu | TCP | 443 |
Dinamik Geçişe İzin Ver | İzin Ver | Yönetim sistemi | Hyper-V sunucusu | TCP | 6600 |
VM Yönetim Hizmetine İzin Ver | İzin Ver | Yönetim sistemi | Hyper-V sunucusu | TCP | 2179 |
RPC dinamik bağlantı noktası ayırmaya izin ver | İzin Ver | Yönetim sistemi | Hyper-V sunucusu | TCP | En az 100 bağlantı noktası 5000 numaralı bağlantı noktasının üzerinde |
Not
RPC dinamik bağlantı noktası ayırmaya izin vermek için 5000 numaralı bağlantı noktasının üzerinde bir bağlantı noktası aralığı açın. 5000'in altındaki bağlantı noktaları diğer uygulamalar tarafından zaten kullanılıyor olabilir ve DCOM uygulamalarıyla çakışmalara neden olabilir. Önceki deneyim, birkaç sistem hizmeti birbiriyle iletişim kurmak için bu RPC bağlantı noktalarına bağlı olduğundan en az 100 bağlantı noktasının açılması gerektiğini gösterir. Daha fazla bilgi için bkz . Rpc dinamik bağlantı noktası ayırmayı güvenlik duvarlarıyla çalışacak şekilde yapılandırma.
Depolama Çoğaltması (esnetilmiş küme)
Depolama Çoğaltması (esnetilmiş küme) için şirket içi güvenlik duvarınızda aşağıdaki güvenlik duvarı kurallarının yapılandırıldığından emin olun.
Kural | Eylem | Kaynak | Hedef | Hizmet | Bağlantı Noktaları |
---|---|---|---|---|---|
Sunucu İleti Bloğuna İzin Ver (SMB) protokolü |
İzin Ver | Esnetilmiş küme sunucuları | Esnetilmiş küme sunucuları | TCP | 445 |
Web Hizmetleri Yönetimine İzin Ver (WS-MAN) |
İzin Ver | Esnetilmiş küme sunucuları | Esnetilmiş küme sunucuları | TCP | 5985 |
ICMPv4 ve ICMPv6'ya İzin Ver ( Test-SRTopology PowerShell cmdlet'i) |
İzin Ver | Esnetilmiş küme sunucuları | Esnetilmiş küme sunucuları | yok | yok |
Microsoft Defender güvenlik duvarını güncelleştirme
Bu bölümde, Microsoft Defender güvenlik duvarının bir hizmet etiketiyle ilişkili IP adreslerinin işletim sistemine bağlanmasına izin verecek şekilde nasıl yapılandırılır gösterilmektedir. Hizmet etiketi, belirli bir Azure hizmetinden bir grup IP adresini temsil eder. Microsoft, hizmet etiketine dahil edilen IP adreslerini yönetir ve güncelleştirmeleri en düşük düzeyde tutmak için IP adresleri değiştikçe hizmet etiketini otomatik olarak güncelleştirir. Daha fazla bilgi edinmek için bkz . Sanal ağ hizmet etiketleri.
Aşağıdaki kaynaktan JSON dosyasını işletim sistemini çalıştıran hedef bilgisayara indirin: Azure IP Aralıkları ve Hizmet Etiketleri – Genel Bulut.
JSON dosyasını açmak için aşağıdaki PowerShell komutunu kullanın:
$json = Get-Content -Path .\ServiceTags_Public_20201012.json | ConvertFrom-Json
"AzureResourceManager" hizmet etiketi gibi belirli bir hizmet etiketi için IP adresi aralıklarının listesini alın:
$IpList = ($json.values | where Name -Eq "AzureResourceManager").properties.addressPrefixes
İzin verilenler listesi kullanıyorsanız IP adreslerinin listesini dış şirket güvenlik duvarınıza aktarın.
IP adresi aralıkları listesine giden 443 (HTTPS) trafiğine izin vermek için kümedeki her sunucu için bir güvenlik duvarı kuralı oluşturun:
New-NetFirewallRule -DisplayName "Allow Azure Resource Manager" -RemoteAddress $IpList -Direction Outbound -LocalPort 443 -Protocol TCP -Action Allow -Profile Any -Enabled True
Sonraki adımlar
Daha fazla bilgi için bkz:
- Windows Uzaktan Yönetimi için Yükleme ve yapılandırma bölümünün Windows Güvenlik Duvarı ve WinRM 2.0 bağlantı noktaları bölümü
Geri Bildirim
https://aka.ms/ContentUserFeedback.
Çok yakında: 2024 boyunca, içerik için geri bildirim mekanizması olarak GitHub Sorunları’nı kullanımdan kaldıracak ve yeni bir geri bildirim sistemiyle değiştireceğiz. Daha fazla bilgi için bkz.Gönderin ve geri bildirimi görüntüleyin