Azure üretim ağı

Azure üretim ağının kullanıcıları arasında hem kendi Azure uygulamalarına erişen harici müşteriler hem de üretim ağını yöneten dahili Azure desteği personeli bulunur. Bu makale, Azure üretim ağına bağlantı kurmak için güvenlik erişim yöntemleri ve koruma mekanizmalarını ele almaktadır.

İnternet yönlendirme ve hata toleransı

Küresel olarak yedekli bir iç ve dış Azure Alan Adı Hizmeti (DNS) altyapısı, birden fazla birincil ve ikincil DNS sunucu kümesiyle birleşerek hata toleransı sağlar. Azure ayrıca, yaygın ağ katmanı DDoS saldırılarına karşı savunmaya ve Azure DNS hizmetlerinin bütünlüğünü korumaya yardımcı olmak için altyapı düzeyinde DDoS koruması ve diğer ağ güvenlik kontrollerini uygular.

Azure DNS sunucuları birden fazla veri merkezi tesisinde yer almaktadır. Azure DNS uygulaması, Azure müşteri alan adlarını kamuya açık şekilde çözmek için ikincil ve birincil DNS sunucularından oluşan bir hiyerarşi içerir. Alan adları genellikle müşterinin hizmeti için sanal IP (VIP) adresini saran bir cloudapp.net adrese çözümlenir. Azure'a özgü olarak, o VIP'den sorumlu olan Microsoft yük dengeleyicileri VIP'yi kiracının dahili özel IP (DIP) adresine çevirir.

Microsoft, Azure'u ABD içindeki coğrafi olarak dağıtılmış Azure veri merkezlerinde barındırmaktadır. Azure, güçlü ve ölçeklenebilir mimari standartlar uygulayan son teknoloji yönlendirme platformları kullanır. Dikkat çekici özellikler arasında şunlar bulunmaktadır:

  • Kesinti durumunda bağlantıların verimli kullanılmasını ve hizmette kontrollü bozulmayı sağlayan, Çok Protokollü Etiket Anahtarlama (MPLS) tabanlı trafik mühendisliği.
  • Microsoft, ağlarında "ihtiyaç artı bir" (N+1) veya daha iyi yedeklilik mimarileri kullanır.
  • Dışarıdan, özel ve yüksek bant genişliğine sahip ağ devreleri, dünya genelinde 1.200'den fazla internet servis sağlayıcısıyla birden fazla eşleme noktasında mülkleri yedekli şekilde bağlayan veri merkezlerine hizmet verir. Bu bağlantı, saniyede 2.000 gigabayttan (GBps) fazla kenar kapasitesi sağlar.

Microsoft'un veri merkezleri arasındaki kendi ağ devrelerine sahip olması nedeniyle, bu özellikler Azure sunumunun geleneksel üçüncü taraf internet servis sağlayıcılarına ihtiyaç duymadan %99,9+ ağ kullanılabilirliği elde etmesine yardımcı oluyor.

Üretim ağı ve ilgili güvenlik duvarlarına bağlantı

Azure ağ internet trafik akış politikası, trafiği ABD'deki en yakın bölgesel veri merkezinde bulunan Azure üretim ağına yönlendirir. Azure üretim veri merkezleri tutarlı ağ mimarisi ve donanım sağladığı için, aşağıdaki trafik akışı açıklaması tüm veri merkezleri için tutarlı şekilde geçerlidir.

Azure için internet trafiği en yakın veri merkezine yönlendirildikten sonra, trafik erişim yönlendiricilerine bağlantı kurar. Bu erişim yönlendiricileri, Azure düğümleri ile müşteri tarafından oluşturulan VM'ler arasındaki trafiği izole eder. Erişim ve kenar konumlarındaki ağ altyapı cihazları, giriş ve çıkış filtrelerinin uygulandığı sınır noktalarıdır. Bu yönlendiriciler, istenmeyen ağ trafiğini filtrelemek ve gerekirse trafik hızı sınırları uygulamak için kademeli bir erişim kontrol listesi (ACL) kullanır. ACL güzergahları yük dengeleyicilere trafik sağladı. Dağıtım yönlendiricileri yalnızca Microsoft onaylı IP adreslerine izin verir, sahteciliği önler ve ACL kullanan TCP bağlantıları kurar.

Microsoft, erişim yönlendiricilerinin arkasına harici yük dengeleme cihazları yerleştirerek internet yönlendirilebilir IP'lerden Azure dahili IP'lerine ağ adresi çevirisi (NAT) gerçekleştirir. Cihazlar ayrıca paketleri geçerli üretim dahili IP'lerine ve portlara yönlendirir. Bu cihazlar, iç üretim ağı adres alanının açığını sınırlamak için bir koruma mekanizması görevi görür.

Varsayılan olarak, Microsoft müşterilerin web tarayıcılarına iletilen tüm trafik için, giriş ve sonrasında tüm trafik dahil, Hypertext Transfer Protocol Secure (HTTPS) uygulamasını uygular. TLS v1.2, trafik için güvenli bir tünel oluşturur. Erişim ve çekirdek yönlendiricilerdeki ACL'ler, trafik kaynağının beklenen kaynağa uymasını sağlar.

Bu mimaride geleneksel güvenlik mimarisiyle karşılaştırıldığında önemli bir ayrım, Azure'da özel donanım güvenlik duvarları, özel müdahale tespit veya önleme cihazları ya da Azure üretim ortamına bağlantı kurulmadan önce normalde beklenen diğer güvenlik araçlarının olmamasıdır. Müşteriler genellikle bu donanım güvenlik duvarı cihazlarını Azure ağında bekler. Ancak Azure bu cihazları kullanmaz. Neredeyse tamam olarak, bu güvenlik özellikleri Azure ortamını çalıştıran yazılıma entegre edilmiş, güvenlik duvarı yetenekleri dahil olmak üzere güçlü, çok katmanlı güvenlik mekanizmaları sağlar. Ayrıca, Azure’u çalıştıran yazılım, güvenlik sınırının kapsamını ve buna bağlı kritik güvenlik cihazı yayılımını yönetmeyi ve envanterini çıkarmayı kolaylaştırır.

Çekirdek güvenlik ve güvenlik duvarı özellikleri

Azure, müşterilerin geleneksel bir ortamda temel güvenlik yetkilendirme sınırını korumak için genellikle bekledikleri güvenlik özelliklerini sağlamak için çeşitli seviyelerde güçlü yazılım güvenliği ve güvenlik duvarı özellikleri uygular.

Azure güvenlik özellikleri

Azure, üretim ağı içinde host tabanlı yazılım güvenlik duvarları uygular. Çekirdek Azure ortamında birkaç temel güvenlik ve güvenlik duvarı özelliği yer alır. Bu güvenlik özellikleri, Azure ortamında derinlemesine savunma stratejisini yansıtır. Aşağıdaki güvenlik duvarları Azure'da müşteri verilerini korur:

Hipervizör güvenlik duvarı (paket filtresi): Hipervizör bu güvenlik duvarını uygular ve fabric denetleyicisi (FC) ajanı bunu yapılandırır. Bu güvenlik duvarı, VM içinde çalışan kiracını yetkisiz erişimden korur. Varsayılan olarak, bir VM oluşturulduğunda, Azure tüm trafiği engeller ve FC ajanı filtreye kurallar ve istisnalar ekleyerek yetkili trafiğe izin verir.

Azure iki kural kategorisi tanımlar:

  • Makine yapılandırması veya altyapı kuralları: Varsayılan olarak, Azure tüm iletişimi engeller. İstisnalar, bir VM'nin Dinamik Host Yapılandırma Protokolü (DHCP) iletişimlerini ve DNS bilgilerini gönderip almasına ve "kamu" internet çıkışını FC kümesi ve OS Aktivasyon sunucusu içindeki diğer VM'lere göndermesine olanak tanır. VM'lerin izin verilen giden hedefler listesi Azure yönlendirici alt ağlarını ve diğer Microsoft özelliklerini içermediğinden, kurallar onlar için bir savunma katmanı görevi görür.
  • Rol yapılandırma dosyası kuralları: Bu kurallar, kiracıların hizmet modeline göre gelen ACL'leri tanımlar. Örneğin, bir kiracının belirli bir VM'de port 80'de web ön yüzü varsa, port 80 tüm IP adreslerine açılır. VM'de çalışan bir çalışan rolü varsa, bu çalışan rolü yalnızca aynı kiracıdaki VM'ye açıktır.

Yerel host firewall: Azure Service Fabric ve Azure Depolama, hipervizörü olmayan ve dolayısıyla önceki iki kural seti Windows Firewall'u yapılandıran yerel bir işletim sisteminde çalışır.

Ana bilgisayar güvenlik duvarı: Ana bilgisayar güvenlik duvarı, hipervizörü çalıştıran ana bilgisayar bölümünü korur. Kurallar, belirli bir porttaki ana bölümle yalnızca FC ve jump box'ların iletişim kurmasına izin verir. Diğer istisnalar ise DHCP yanıtına ve DNS yanıtlarına izin vermektir. Azure, ana bilgisayar bölümü için güvenlik duvarı kuralları şablonunu içeren bir makine yapılandırma dosyası kullanır. Ayrıca, VM'lerin ana bileşenlerle, kablo sunucusu ve meta veri sunucusuna belirli protokoller ve portlar aracılığıyla iletişim kurmasına olanak tanıyan bir ana güvenlik duvarı istisnası da mevcuttur.

Misafir güvenlik duvarı: Misafirlerin müşteri VM'lerinde ve depolama alanında yapılandırabileceği konuk işletim sisteminin Windows Firewall bileşenidir.

Azure yeteneklerine entegre edilmiş diğer güvenlik özellikleri şunlardır:

  • Azure, DIP'lerden altyapı bileşenlerine IP adresleri atar. İnternetteki bir saldırgan, bu adreslere trafik gönderemez, çünkü bu adresler Microsoft'a ulaşmaz. İnternet geçit yönlendiricileri, yalnızca dahili adreslere adreslenen paketleri filtreler, böylece bu paketler üretim ağına girmez. VIP'lere yönlendirilen trafiği kabul eden tek bileşenler yük dengeleyicilerdir.

  • Tüm dahili düğümlerde uygulanan güvenlik duvarlarının her senaryo için üç temel güvenlik mimarisi hususu vardır:

    • Güvenlik duvarları yük dengeleyicinin arkasında bulunur ve her yerden paketleri kabul eder. Bu paketler dışarıdan açığa çıkacak şekilde tasarlanmıştır ve geleneksel bir çevre güvenlik duvarındaki açık portlara karşılık gelir.
    • Güvenlik duvarları yalnızca sınırlı bir adres kümesinden gelen paketleri kabul eder. Bu değerlendirme, DDoS saldırılarına karşı savunma stratejisinin bir parçasıdır. Bu tür bağlantılar kriptografik olarak doğrulanır.
    • Sadece belirli dahili düğümler güvenlik duvarlarına erişebilir. Yalnızca Azure ağı içindeki DIP'ler olan, belirlenmiş bir kaynak IP adresleri listesinden gelen paketleri kabul ederler. Örneğin, kurumsal ağa yönelik bir saldırı istekleri bu adreslere yönlendirebilir, ancak Azure, paketin kaynak adresi Azure ağı içindeki numaralandırılmış listede yer alan adreslerden biri değilse bu saldırıları engeller.
      • Sınırdaki erişim yönlendiricisi, Azure ağı içindeki bir adrese adreslenen giden paketleri engeller, çünkü yapılandırılmış statik rotalar vardır.

Sonraki adımlar

Microsoft'un Azure altyapısını güvence altına almak için ne yaptığını daha fazla öğrenmek için bkz:

  • Last updated on