通过

你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

Azure 网络安全概述

  • 项目

网络安全可以定义为通过对网络流量应用控制来保护资源遭受未经授权的访问或攻击的过程。 目标是确保仅允许合法流量。 Azure 包括可靠的网络基础结构以支持应用程序和服务连接需求。 Azure 中的资源之间、本地资源与 Azure 托管的资源之间，以及 Internet 与 Azure 之间都可能存在网络连接。

本文介绍 Azure 在网络安全方面提供的某些选项。 具体内容：

  • Azure 网络
  • 网络访问控制
  • Azure 防火墙
  • 安全远程访问和跨界连接
  • 可用性
  • 名称解析
  • 外围网络 (DMZ) 体系结构
  • Azure DDoS 防护
  • Azure Front Door
  • 流量管理器
  • 监视和威胁检测

注意

对于 Web 工作负载，强烈建议使用 Azure DDoS 防护和 Web 应用程序防护墙来抵御新兴的 DDoS 攻击。 另一种选择是将 Azure Front Door 与 Web 应用程序防火墙一起部署。 Azure Front Door 提供平台级保护来抵御网络级 DDoS 攻击。

Azure 网络

Azure 要求将虚拟机连接到 Azure 虚拟网络。 虚拟网络是一个构建于物理 Azure 网络结构之上的逻辑构造。 每个虚拟网络与其他所有虚拟网络相互隔离。 这可帮助确保其他 Azure 客户无法访问部署中的流量。

了解详细信息：

网络访问控制

网络访问控制是限制虚拟网络内特定设备或子网之间的连接的行为。 网络访问控制的目的是将对虚拟机和服务的访问权限限制为仅授予已批准的用户和设备。 访问控制基于虚拟机或服务之间的允许或拒绝连接的决策。

Azure 支持多种类型的网络访问控制，例如：

  • 网络层控制
  • 路由控制和强制隧道
  • 虚拟网络安全设备

网络层控制

任何安全部署都需要某种程度的网络访问控制。 网络访问控制的目的是将虚拟机通信限制为必要的系统。 将阻止其他通信尝试。

注意

要了解存储防火墙，请参阅 Azure 存储安全概述一文

网络安全规则 (NSG)

如果需要基本的网络级别访问控制（基于 IP 地址和 TCP 或 UDP 协议），可使用网络安全组 (NSG)。 NSG 是基本的静态数据包筛选防火墙，你可使用它来基于 5 元组控制访问。 NSG 包含的功能可以简化管理，并减少配置错误的可能性：

  • 扩充式安全规则简化了 NSG 规则定义，并允许创建复杂规则，而无需创建多个简单规则来实现相同的结果。
  • 服务标记是 Microsoft 创建的标签，表示一组 IP 地址。 这些标记会动态更新，以包含符合在标签中定义包含项的条件的 IP 范围。 例如，如果你要创建一个应用到东部区域的所有 Azure 存储的规则，可以使用 Storage.EastUS
  • 应用程序安全组可用于将资源部署到应用程序组，并通过创建使用这些应用程序组的规则来控制对这些资源的访问。 例如，如果 Web 服务器已部署到“Webservers”应用程序组，则你可以创建一个规则，以便将允许来自 Internet 的 443 流量的 NSG 应用到“Webservers”应用程序组中的所有系统。

NSG 不提供应用程序层检查或经过身份验证的访问控制。

了解详细信息：

Defender for Cloud – 实时 VM 访问

Microsoft Defender for Cloud 可以管理 VM 上的 NSG，并将 VM 的访问权限锁定到具有相应 Azure 基于角色的访问控制 (Azure RBAC) 权限的用户请求访问为止。 如果成功为该用户授权，则 Defender for Cloud 会对 NSG 进行修改，以允许在指定的时间访问选定的端口。 该时间过后，NSG 将还原到其以前的受保护状态。

了解详细信息：

服务终结点

服务终结点是对流量实施控制的另一种方式。 可以限制为只能在 VNet 中通过直接连接来与支持的服务通信。 从 VNet 发往指定 Azure 服务的流量保留在 Microsoft Azure 主干网络中。

了解详细信息：

路由控制和强制隧道

能够控制虚拟网络上的路由行为至关重要。 如果路由配置不正确，虚拟机上托管的应用程序和服务可能会连接到未授权的设备，其中包括潜在攻击者所拥有或操作的系统。

Azure 网络支持在虚拟网络上为流量自定义路由行为。 由此可更改 Azure 虚拟网络中的默认路由表条目。 通过控制路由行为，可帮助你确保特定设备或设备组中的所有流量通过特定位置进入或离开虚拟网络。

例如，虚拟网络上可能有虚拟网络安全设备。 想要确保与虚拟网络之间的所有流量都通过该虚拟安全设备。 可以通过在 Azure 中配置用户定义的路由 (UDR) 实现此操作。

强制隧道是一种机制，可用于确保不允许服务启动与 Internet 上设备的连接。 请注意，这与接受并响应传入连接不同。 前端 Web 服务器需要响应来自 Internet 主机的请求，因此允许源自 Internet 的流量传入到这些 Web 服务器，并允许 Web 服务器作出响应。

不想要允许的是前端 Web 服务器发起出站请求。 此类请求可能带来安全风险，因为这些连接可用于下载恶意软件。 即使想要这些前端服务器启动对 Internet 的出站请求，你可能想要强制它们通过本地 Web 代理服务器。 由此可利用 URL 筛选和日志记录。

可以使用强制隧道来避免此问题。 启用强制隧道后，会强制与 Internet 的所有连接通过本地网关。 可以利用 UDR 配置强制隧道。

了解详细信息：

虚拟网络安全设备

当 NSG、UDR 和强制隧道在 OSI 模型的网络层和传输层提供安全级别时，你可能也想要启用级别高于网络的安全性。

例如，安全要求可能包括：

  • 必须经过身份验证和授权才允许访问应用程序
  • 入侵检测和入侵响应
  • 高级别协议的应用程序层检查
  • URL 筛选
  • 网络级别防病毒和反恶意软件
  • 防 Bot 保护
  • 应用程序访问控制
  • 其他 DDoS 防护（除了 Azure 结构自身提供的 DDoS 防护以外）

可以使用 Azure 合作伙伴解决方案来访问这些增强的网络安全功能。 通过访问 Azure 市场并搜索“安全”和“网络安全”，可以找到最新的 Azure 合作伙伴网络安全解决方案。

Azure 防火墙

Azure 防火墙是一种云原生的智能网络防火墙安全服务，用于为 Azure 中运行的云工作负载提供威胁防护。 它是一个服务形式的完全有状态防火墙，具有内置的高可用性和不受限制的云可伸缩性。 它提供东西流量和南北流量检查。

Azure 防火墙提供三种 SKU：标准版、高级版和基本版。 Azure 防火墙标准版直接从“Microsoft 网络安全”提供 L3-L7 筛选和威胁情报源。 Azure 防火墙高级版提供了高级功能，包括基于签名的 IDPS，以允许通过查找特定模式来快速检测攻击。 Azure 防火墙基本版是一个简化的 SKU，提供与标准 SKU 相同的安全级别，但没有高级功能。

了解详细信息：

安全远程访问和跨界连接

安装、配置和管理 Azure 资源需要远程完成。 此外，你可能想要部署在本地和 Azure 公有云中具有组件的混合 IT 解决方案。 这些方案需要安全远程访问权限。

Azure 网络支持以下安全远程访问方案：

  • 将单独的工作站连接到虚拟网络
  • 通过 VPN 将本地网络连接到虚拟网络
  • 通过专用的 WAN 链接将本地网络连接到虚拟网络
  • 将虚拟网络相互连接

将单独的工作站连接到虚拟网络

你可能想要让各个开发者或操作人员在 Azure 中管理虚拟机和服务。 例如，假设需要访问虚拟网络上的虚拟机。 但你的安全策略不允许 RDP 或 SSH 远程访问单独的虚拟机。 在这种情况下，可以使用点到站点 VPN 连接。

点到站点 VPN 连接允许你在用户和虚拟网络之间设置专用的安全连接。 建立 VPN 连接后，用户可通过 VPN 链接将 RDP 或 SSH 连接到虚拟网络上的任何虚拟机。 （假设用户可以进行身份验证并获得授权。）点到站点 VPN 支持以下项：

  • 安全套接字隧道协议 (SSTP)，这是一种基于 SSL 的专属协议。 由于大多数防火墙都会打开 TLS/SSL 所用的 TCP 端口 443，因此 SSL VPN 解决方案可以穿透防火墙。 只有 Windows 设备支持 SSTP。 Azure 支持所有采用 SSTP 的 Windows 版本（Windows 7 和更高版本）。

  • IKEv2 VPN，这是一种基于标准的 IPsec VPN 解决方案。 IKEv2 VPN 可用于从 Mac 设备进行连接（OSX 10.11 和更高版本）。

  • OpenVPN

了解详细信息：

通过 VPN 将本地网络连接到虚拟网络

你可能想要将整个企业网络或其中的某些部分连接到虚拟网络。 这是常见的混合 IT 方案，通过该方案组织可以将其本地数据中心扩展到 Azure。 在许多情况下，组织在 Azure 和本地中各托管部分服务。 例如，当解决方案包括 Azure 中的前端 Web 服务器和本地后端数据库时，他们可能会执行此操作。 这些类型的“跨界”连接还使得位于 Azure 的资源的管理更加安全，并且能够启用方案，如将 Active Directory 域控制器扩展到 Azure 中。

实现此目的的方法之一是使用 站点到站点 VPN。 站点到站点 VPN 和点到站点 VPN 的区别在于后者将单个设备连接到虚拟网络。 站点到站点 VPN 将整个网络（如本地网络）连接到虚拟网络。 连接到 Azure 虚拟网络的站点到站点 VPN 使用高度安全的 IPsec 隧道模式 VPN 协议。

了解详细信息：

点到站点和站点到站点 VPN 连接可以有效地启用跨界连接。 但是，某些组织认为它们存在以下缺点：

  • VPN 连接通过 Internet 移动数据。 这会导致这些连接存在通过公用网络移动数据所涉及的潜在安全问题。 此外，不能保证 Internet 连接的可靠性和可用性。
  • 到虚拟网络的 VPN 连接可能没有用于某些应用程序和目的带宽，因为它们达到的最高极限约为 200 Mbps。

需要最高安全性和可用性级别进行其跨界连接的组织通常使用专用 WAN 链路连接到远程网站。 凭借 Azure，可使用专用的 WAN 链接将本地网络连接到虚拟网络。 Azure ExpressRoute、Express Route Direct 和 Express Route Global Reach 实现了此功能。

了解详细信息：

将虚拟网络相互连接

可以将多个虚拟网络用于部署。 这样做的原因可能有很多。 你可能想要简化管理或提高安全性。 无论将资源放在不同的虚拟网络上的动机是什么，可能有时你都会想要将一个网络上的资源与另一个网络相连接。

一个选择是通过 Internet 以“环回”方式将一个虚拟网络上的服务连接到另一个虚拟网络上的服务。 该连接将在一个虚拟网络上开始，通过 Internet，再回到目标虚拟网络。 此选项会导致连接存在任何基于 Internet 的通信所固有的安全问题。

创建两个虚拟网络之间相互连接的站点到站点 VPN 可能是最佳选择。 此方法与上述的跨界站点到站点 VPN 连接使用相同的 IPSec 隧道模式协议。

此方法的优点是通过 Azure 网络结构建立 VPN 连接，而不是通过 Internet 进行连接。 与通过 Internet 连接的站点到站点 VPN 相比，这提供了额外的安全层。

了解详细信息：

连接虚拟网络的另一种方式是使用 VNET 对等互连。 使用此功能可以连接两个 Azure 网络，使两者之间的通信通过 Microsoft 主干基础结构进行，而永远无需通过 Internet。 VNET 对等互连可以连接到同一区域中的两个 VNET，或者两个跨 Azure 区域的 VNET。 可以使用 NSG 来限制不同子网或系统之间的连接。

可用性

可用性是任何安全程序的重要组件。 如果用户和系统无法通过网络访问需要访问的内容，则可以认为服务已遭入侵。 Azure 的网络技术支持以下高可用性机制：

  • 基于 HTTP 的负载均衡
  • 网络级别负载均衡
  • 全局负载均衡

负载均衡是一种机制，旨在将连接平均分布到多个设备。 负载均衡的目标如下：

  • 提高可用性。 在跨多个设备对连接进行负载均衡时，一个或多个设备可能变得不可用，但不影响服务。 在剩余的联机设备上运行的服务可继续提供服务中的内容。
  • 提高性能。 在跨多个设备对连接进行负载均衡时，单个设备不必负责所有处理。 提供内容的处理和内存需求分散在多个设备之间。

基于 HTTP 的负载均衡

运行基于 Web 的服务的组织通常希望在这些 Web 服务前面具有基于 HTTP 的负载均衡器。 这可帮助确保足够级别的性能和高可用性。 基于网络的传统负载均衡器依赖于网络和传输层协议。 另一方面，基于 HTTP 的负载均衡器根据 HTTP 协议的特性做出决策。

Azure 应用程序网关为基于 Web 的服务提供了基于 HTTP 的负载均衡。 应用程序网关支持：

  • 基于 Cookie 的会话关联。 此功能可确保建立到负载均衡器后面的某个服务器的连接在客户端和服务器之间保持不变。 此操作确保了事务的稳定性。
  • TLS 卸载。 当客户端与负载均衡器连接时，会话使用 HTTPS (TLS) 协议进行加密。 但是，为了提高性能，可以使用 HTTP（未加密）协议在负载均衡器和该负载均衡器后面的 Web 服务器之间进行连接。 这称为“TLS 卸载”，因为负载均衡器后面的 Web 服务器不会遇到涉及加密的处理器开销。 因此 Web 服务器可更快地为请求提供服务。
  • 基于 URL 的内容路由。 此功能可使负载均衡器决定在哪里转接基于目标 URL 的连接。 它提供的弹性大于基于 IP 地址做出负载均衡决策的解决方案。

了解详细信息：

网络级别负载均衡

与基于 HTTP 的负载均衡相比，网络级别负载均衡基于 IP 地址和端口（TCP 或 UDP）号做出决策。 使用 Azure 负载均衡器，可以在 Azure 中获得网络级别负载均衡的优点。 负载均衡器的一些主要特征包括：

  • 基于 IP 地址和端口号的网络级别负载均衡。
  • 支持任何应用层协议。
  • 对 Azure 虚拟机和云服务角色实例进行负载均衡。
  • 可用于面向 Internet（外部负载均衡）和面向非 Internet（内部负载均衡）的应用程序和虚拟机。
  • 终结点监视，可用于确定负载均衡器后面的任何服务是否已变得不可用。

了解详细信息：

全局负载均衡

某些组织可能想要最高级别的可用性。 实现此目标的方法之一是将应用程序托管到全球分布的数据中心。 在分布于世界各地的数据中心托管应用程序时，即使整个地缘政治区域变得不可用，应用程序也可以启动并运行。

此负载平衡策略也可暂停性能优势。 可直接向距离提出请求的设备最近的数据中心请求服务。

在 Azure 中，使用 Azure 流量管理器可以获得全局负载均衡的优点。

了解详细信息：

名称解析

名称解析是对 Azure 中托管的所有服务而言至关重要的功能。 从安全角度看，入侵名称解析功能可能会导致攻击者将你站点的请求重定向到攻击者的站点。 安全名称解析是所有云托管服务的要求。

需要解决两种类型的名称解析：

  • 内部名称解析。 虚拟网络和/或本地网络上的服务使用此名称解析。 用于内部名称解析的名称无法通过 Internet 访问。 为了获取最高安全性，外部用户不能访问内部名称解析方案，这一点非常重要。
  • 外部名称解析。 本地网络和虚拟网络之外的人员和设备使用此名称解析。 这些是对 Internet 可见且用于将连接定向到基于云的服务的名称。

对于内部名称解析，可以使用两个选项：

  • 虚拟网络 DNS 服务器。 创建新的虚拟网络时，会为你创建 DNS 服务器。 此 DNS 服务器可以解析位于该虚拟网络上的计算机的名称。 此 DNS 服务器是不可配置的，而且由 Azure 结构管理器进行管理，从而帮助对名称解析解决方案进行安全保护。
  • 自带 DNS 服务器。 可选择将自己选择的 DNS 服务器放置在虚拟网络上。 此 DNS 服务器可以是 Active Directory 集成的 DNS 服务器或由 Azure 合作伙伴提供的专用 DNS 服务器解决方案，两者均可从 Azure 市场中获得。

了解详细信息：

对于外部名称解析，有两个选项：

  • 在本地托管自己的外部 DNS 服务器。
  • 通过服务提供程序托管自己的外部 DNS 服务器。

许多大型组织在本地托管自己的 DNS 服务器。 可以这样做的原因是它们具有相应的网络专业技术，并且在全球运营。

在大多数情况下，最好在服务提供商那里托管 DNS 名称解析服务。 这些服务提供商具有网络专业技术并在全球运营，可确保名称解析服务具有极高的可用性。 可用性是 DNS 服务所必需的，因为如果名称解析服务失败，则任何人都将无法访问面向 Internet 的服务。

Azure 以 Azure DNS 的形式提供一个高可用性且高性能的外部 DNS 解决方案。 此外部名称解析解决方案利用全球 Azure DNS 基础结构。 由此可使用与其他 Azure 服务相同的凭据、API、工具和计费在 Azure 中托管域。 由于属于 Azure 的一部分，它还会继承平台内置的强大安全控制。

了解详细信息：

外围网络体系结构

许多大型组织使用外围网络对其网络进行分段，并在 Internet 及其服务之间创建缓冲区域。 网络的外围部分被视为一个低安全区域，而且不会将重要的资产放在该网络段中。 通常会看到在外围网络段上具有网络接口的网络安全设备。 将另一个网络接口连接到具有接受来自 Internet 的入站连接的虚拟机和服务的网络。

可通过多种不同的方式设计外围网络。 部署外围网络的决策以及决定使用哪种类型的外围网络取决于你的网络安全需求。

了解详细信息：

Azure DDoS 防护

分布式拒绝服务 (DDoS) 攻击是将应用程序移动到云的客户所面临的一些最大的可用性和安全性问题。 DDoS 攻击尝试耗尽应用程序的资源，使应用程序对于合法用户不可用。 DDoS 攻击可能会将任何可通过 Internet 公开访问的终结点作为目标。

DDoS 防护功能包括：

  • 本机平台集成：本机集成到 Azure 中。 包括通过 Azure 门户进行配置。 DDoS 防护了解你的资源和资源配置。
  • 统包保护：启用 DDoS 防护后，简化后的配置会立即保护虚拟网络上的所有资源。 要求没有干预或用户定义。 检测到攻击后，DDoS 防护会立即自动缓解攻击。
  • 始终可用的流量监控：应用程序流量模式将全天候受到监控，以寻找 DDoS 攻击的迹象。 将在超出保护策略范围时执行缓解措施。
  • 攻击缓解报表 攻击缓解报表使用聚合的网络流数据提供有关针对你的资源的攻击的详细信息。
  • 攻击缓解流日志 通过攻击缓解流日志，可在活动 DDoS 攻击期间近乎实时地查看丢弃的流量、转发的流量和其他攻击数据。
  • 自适应优化： 智能流量分析了解一段时间的应用程序流量，并选择和更新最适合服务的配置文件。 当流量随时间变化时，配置文件将进行调整。 第 3 层到第 7 层保护：与 Web 应用程序防火墙配合使用时，提供完整的堆栈 DDoS 保护。
  • 广泛的缓解规模：可以使用全球容量缓解超过 60 种不同攻击类型，从而防止最大的已知 DDoS 攻击。
  • 攻击指标：可以通过 Azure Monitor 访问每个攻击的汇总指标。
  • 攻击警报： 可以使用内置攻击指标在攻击开始和停止时以及攻击持续期间配置警报。 警报会集成到操作软件中，如 Microsoft Azure Monitor 日志、Splunk、Azure 存储、电子邮件和 Azure 门户。
  • 成本保证：记录的 DDoS 攻击的数据传输和应用程序横向扩展服务信用度。
  • DDoS 快速响应 DDoS 防护客户可以在攻击正在进行时联系“快速响应”团队。 DRR 可以帮助进行攻击调查，在攻击发生期间定制缓解措施以及进行攻击后分析。

了解详细信息：

Azure Front Door

使用 Azure Front Door 服务，你可以定义、管理和监视 Web 流量的全局路由。 它可以优化流量的路由以实现最佳性能和高可用性。 Azure Front Door 允许编写自定义 Web 应用程序防火墙 (WAF) 规则进行访问控制，以基于客户端 IP 地址、国家/地区代码和 http 参数来防范 HTTP/HTTPS 工作负荷遭到恶意利用。 此外，使用 Front Door 还可以创建速率限制规则来对付恶意的机器人流量，它包括 TLS 卸载和每 HTTP/HTTPS 请求以及应用程序层处理。

Front Door 平台本身受 Azure 基础结构级 DDoS 防护的保护。 若要进一步提供保护，可在 VNET 中启用 Azure DDoS 网络保护，并通过自动优化和缓解措施来防范资源遭到网络层 (TCP/UDP) 攻击。 Front Door 是第 7 层反向代理，它仅允许 Web 流量通过后端服务器，默认会阻止其他类型的流量。

注意

对于 Web 工作负载，强烈建议使用 Azure DDoS 防护和 Web 应用程序防护墙来抵御新兴的 DDoS 攻击。 另一种选择是将 Azure Front Door 与 Web 应用程序防火墙一起部署。 Azure Front Door 提供平台级保护来抵御网络级 DDoS 攻击。

了解详细信息：

Azure 流量管理器

Azure 流量管理器是一种基于 DNS 的流量负载均衡器，可以在全球 Azure 区域内以最佳方式向服务分发流量，同时提供高可用性和响应性。 流量管理器根据流量路由方法和终结点的运行状况，使用 DNS 将客户端请求定向到最合适的服务终结点。 终结点可以是托管在 Azure 内部或外部的任何面向 Internet 的服务。 流量管理器对终结点进行监视，并且不会将流量定向到不可用的任何终结点。

了解详细信息：

监视和威胁检测

Azure 提供相关功能来帮助在此关键领域中进行早期检测、监视，并收集和查看流量。

Azure 网络观察程序

Azure 网络观察程序 可帮助进行排除故障，并提供一套全新的工具来协助识别安全问题。

安全组视图有助于审核以及符合虚拟机的安全要求。 使用此功能执行编程审核，将组织定义的基线策略与每台 VM 的有效规则进行比较。 这有助于识别任何配置偏移。

通过数据包捕获可以捕获流向和流出虚拟机的网络流量。 可收集网络统计信息并对应用程序问题进行故障排除，这对调查网络入侵非常有用。 此功能还可与 Azure Functions 一起使用，使其根据特定 Azure 警报启动网络捕获。

若要深入了解网络观察程序以及如何开始测试实验室中的一些功能，请参阅 Azure 网络观察程序监视概述。

注意

有关此服务可用性和状态方面的最新通知，请参阅 Azure 更新页。

Microsoft Defender for Cloud

Microsoft Defender for Cloud 可帮助你预防、检测和响应威胁，同时提高对 Azure 资源的可见性和安全可控性。 它提供对 Azure 订阅的集成安全监视和策略管理，帮助检测可能被忽略的威胁，且适用于大量的安全解决方案。

Defender for Cloud 通过以下方式来帮助优化和监视网络安全：

  • 提供网络安全建议。
  • 监视网络安全配置的状态。
  • 在终结点和网络级别发出基于网络的威胁警报。

了解详细信息：

虚拟网络 TAP

通过 Azure 虚拟网络 TAP（终端接入点），可让你持续将虚拟机网络流量流式传输到网络数据包收集器或分析工具。 收集器或分析工具是由网络虚拟设备合作伙伴提供的。 你可以使用相同的虚拟网络 TAP 资源来聚合来自相同或不同订阅的多个网络接口的流量。

了解详细信息：

日志记录

网络级别的日志记录是任何网络安全方案的重要功能。 在 Azure 中，可以记录针对 NSG 获得的信息，以获取网络级别的日志记录信息。 使用 NSG 日志记录可从以下来源获取信息：

  • 活动日志。 使用这些日志查看提交到 Azure 订阅的所有操作。 默认情况下，这些日志已启用并可在 Azure 门户中使用。 这些日志以前称为审核或操作日志。
  • 事件日志。 这些日志提供有关应用了哪些 NSG 规则的信息。
  • 计数器日志。 通过这些日志，可知道所应用每个 NSG 规则拒绝或允许流量的次数。

还可以使用功能强大的数据可视化工具 Microsoft Power BI 来查看和分析这些日志。 了解详细信息：