Azure 网络安全概述

网络安全通过控制网络流量来保护资源免受未经授权的访问或攻击。 Azure 提供强大的网络基础设施，支持您的应用和服务连接需求，并在每一层都设有安全控制。

本文介绍 Azure 中的关键网络安全功能：

  • 网络访问控制
  • Azure 防火墙
  • 安全远程访问和跨园区连接
  • 可用性和负载均衡
  • 名称解析
  • DDoS 防护
  • Azure Front Door
  • 监视和威胁检测

注意

对于Web工作负载，可以使用Azure的DDoS防护和Web应用防火墙来防御DDoS攻击。 具有 Web 应用程序防火墙的 Azure Front Door 提供针对网络级别 DDoS 攻击的平台级保护。

Azure 虚拟网络

Azure 虚拟网络是 Azure 中专用网络的基本构建基块。 每个虚拟网络与其他虚拟网络隔离，有助于确保其他 Azure 客户无法访问部署中的网络流量。 虚拟网络使 Azure 资源能够安全地相互通信、Internet 和本地网络。

了解详细信息：

网络访问控制

网络访问控制限制虚拟网络中特定设备或子网的连接。 目标是将虚拟机和服务的访问权限限制为已批准的用户和设备。

网络安全组

网络安全组（NSG）基于IP地址和TCP/UDP协议提供基本的有状态数据包过滤。 NSG 使用 5 元组（源 IP、源端口、目标 IP、目标端口、协议）来控制访问。

NSG 包括简化管理的功能：

  • 增强安全规则：创建复杂规则，而非多个简单规则以达到相同效果。
  • 服务标签：Microsoft管理的标签，代表动态更新的IP地址组。
  • 应用安全组：将资源组织成应用组，并根据这些组控制访问。

了解详细信息：

服务终结点

虚拟网络服务终结点通过直接连接将虚拟网络专用地址空间扩展到 Azure 服务。 服务终结点将流量保留在 Azure 主干网络上，并限制与受支持服务的通信，仅限于您的虚拟网络。

了解详细信息：

Azure 专用链接提供从虚拟网络到 Azure PaaS 服务、客户拥有的服务或Microsoft合作伙伴服务的专用连接。 专用链接流量仍保留在 Microsoft Azure 主干网络上，从而消除了对公共 Internet 的暴露。

了解详细信息：

Azure 防火墙

Azure 防火墙是云原生智能网络防火墙安全服务，为云工作负载提供威胁防护。 它是一个服务形式的完全有状态防火墙，具有内置的高可用性和不受限制的云可伸缩性。

Azure 防火墙在三个 SKU 中可用：

  • Azure 防火墙 Basic：为中小企业简化安全。
  • Azure 防火墙 标准：L3-L7 过滤和基于威胁情报的过滤。
  • Azure 防火墙 Premium：高级功能，包括基于签名的IDPS，用于快速攻击检测。

了解详细信息：

安全远程访问和跨园区连接

Azure 支持多种安全的远程访问方案，用于管理 Azure 资源和部署混合 IT 解决方案。

点到站点 VPN

点到站点 VPN 连接使单个用户能够建立与虚拟网络的专用安全连接。 身份验证后，用户可以访问 Azure 中的虚拟机和服务。 点到站点 VPN 支持以下项：

  • 安全套接字隧道协议（SSTP）：基于 SSL 的专有 VPN 协议（Windows 设备）
  • IKEv2 VPN：基于标准的 IPsec VPN 解决方案（Mac 设备）
  • OpenVPN 协议：基于 SSL/TLS 的 VPN 协议（Android、iOS、Windows、Linux 和 Mac 设备）

了解详细信息：

站点到站点 VPN

站点到站点 VPN 网关连接在本地网络与 Azure 虚拟网络之间建立安全的跨界连接。 站点到站点 VPN 使用高度安全的 IPsec 隧道模式 VPN 协议。

VPN 网关对于混合 IT 方案至关重要，其中部分服务同时托管在 Azure 和本地。

了解详细信息：

ExpressRoute

ExpressRoute 提供本地网络与 Microsoft 云服务之间的专用 WAN 链接。 与 Internet 连接相比，ExpressRoute 连接不会遍历公共 Internet，因此提供增强的安全性、可靠性、速度和更低的延迟。

ExpressRoute 支持：

  • ExpressRoute Direct：直接连接Microsoft全球网络。
  • ExpressRoute 全球覆盖：通过 ExpressRoute 电路实现本地站点之间的连接。

了解详细信息：

VNet 对等互连

虚拟网络对等互连连接两个 Azure 虚拟网络，使任一网络中的资源能够相互通信。 VNet 对等互连使用 Microsoft 主干基础结构，绕过公共 internet。 对等互连支持在同一 Azure 区域或不同区域（全局 VNet 对等互连）中的连接。

了解详细信息：

可用性和负载均衡

负载均衡跨多个设备分配连接以提高可用性和性能。 Azure 提供了多个负载均衡选项。

Azure 负载均衡器

Azure 负载均衡器为所有 UDP 和 TCP 协议提供高性能、低延迟的第 4 层负载均衡。 负载均衡器根据配置的规则和运行状况探测将入站流量分发到后端实例。

负载均衡器功能包括：

  • 支持内部和外部负载均衡方案
  • 区域冗余和区域部署
  • TCP 和 UDP 应用程序支持
  • 用于确定后端实例可用性的运行状况探测

了解详细信息：

Azure 应用程序网关

Azure 应用程序网关是一个 Web 流量负载均衡器（第 7 层），用于管理发到 Web 应用程序的流量。 应用程序网关基于 HTTP 请求属性（如 URI 路径或主机标头）做出路由决策。

应用程序网关功能包括：

  • 用于集中保护的 Web 应用程序防火墙 （WAF）
  • TLS 终止以减少 Web 服务器上的加密开销
  • 基于 Cookie 的会话关联
  • 基于 URL 的内容路由
  • 自动缩放和区域冗余

了解详细信息：

Azure 流量管理器

Azure 流量管理器是基于 DNS 的流量负载均衡器，可将流量以最佳方式分发到全球 Azure 区域的服务。 流量管理器通过基于流量路由方法和终结点运行状况将客户端请求路由到最合适的服务终结点来提供高可用性和响应能力。

流量管理器支持多种路由方法，包括优先级路由、加权路由、性能路由、地理路由、多值路由和子网路由。

了解详细信息：

名称解析

安全名称解析对于所有云托管服务至关重要。 泄露的名称解析函数可以将请求重定向到恶意站点。

Azure DNS

Azure DNS 使用 Microsoft Azure 基础结构提供高度可用且高性能的名称解析。 Azure DNS 支持：

  • Azure 全局基础结构上托管的公共 DNS 域
  • 用于在虚拟网络内部和跨虚拟网络进行名称解析的专用 DNS 区域
  • 对于同一域名根据专用和公共查询以不同方式解析的双视域 DNS 场景

了解详细信息：

DDoS 防护

分布式拒绝服务（DDoS）攻击是组织将应用迁移到云端时面临的最大可用性和安全问题之一。 Azure DDoS 防护可保护 Azure 资源免受 DDoS 攻击。

Azure DDoS 防护 SKU：

  • DDoS基础设施保护：默认在所有Azure属性上启用基础保护，无需额外费用。
  • DDoS网络保护：虚拟网络中的资源高级保护，具备自适应调优、缓解策略和监控功能。

DDoS 网络保护功能包括：

  • 通过 Azure 门户进行本机平台集成配置
  • 持续的流量监视和实时缓解
  • 攻击分析，包括缓解报告和流日志
  • 基于应用程序流量模式的自适应优化
  • 成本保证，包括数据传输和应用程序横向扩展服务额度

了解详细信息：

Azure Front Door

Azure Front Door 是可缩放的全局入口点，它使用 Microsoft 全局边缘网络来创建快速、安全且可大规模缩放的 Web 应用程序。 Front Door 提供第 7 层负载均衡、TLS 终止、基于 URL 的路由和集成安全性。

Front Door 功能包括：

  • 使用即时故障转移进行全局 HTTP 负载均衡
  • 网络边缘的 TLS 终止
  • 基于 URL 路径的路由
  • 基于 Cookie 的会话关联
  • Web 应用程序防火墙保护
  • 平台级 DDoS 保护
  • 用于保护后端源的专用链接集成

了解详细信息：

监视和威胁检测

Azure 提供了用于监视网络安全和检测威胁的工具。

Azure 网络观察程序

Azure 网络观察程序提供用于监视、诊断和深入了解 Azure 中的网络的工具。

网络观察程序功能包括：

  • 连接监视器：监控 Azure 资源与端点之间的连接。
  • NSG 流日志：记录通过网络安全组流经 IP 流量的信息。
  • 数据包捕获：捕获虚拟机之间的网络流量。
  • VPN故障排查：诊断VPN网关和连接的问题。
  • 网络诊断：验证网络配置并识别安全问题。

了解详细信息：

Microsoft Defender for Cloud

Microsoft Defender for Cloud 可帮助防止、检测和响应威胁，并增强对 Azure 资源安全性的可见性和控制。 Defender for Cloud 提供网络安全建议、监视网络安全配置，并向基于网络的威胁发出警报。

了解详细信息：

后续步骤

  • Last updated on