什么是 Azure Bastion?

Azure Bastion 是你部署的一项服务,借此可使用浏览器和 Azure 门户连接到虚拟机。 Azure Bastion 服务是的一种完全平台管理的 PaaS 服务,可在虚拟网络中进行预配。 可通过 TLS 直接从 Azure 门户实现与虚拟机之间的安全无缝的 RDP/SSH 连接。 通过 Azure Bastion 连接时,虚拟机不需要公共 IP 地址、代理或特殊的客户端软件。

Bastion 为预配它的虚拟网络中的所有 VM 提供安全的 RDP 和 SSH 连接。 使用 Azure Bastion 可防止虚拟机向外部公开 RDP/SSH 端口,同时仍然使用 RDP/SSH 提供安全访问。

显示 Azure Bastion 体系结构的示意图。

主要优点

好处 描述
通过 Azure 门户使用 RDP 和 SSH 可以通过单击无缝体验在 Azure 门户中进行 RDP 和 SSH 会话。
通过 TLS 和防火墙遍历获取 RDP/SSH 远程会话 Azure Bastion 使用基于 HTML5 的 Web 客户端,该客户端自动流式传输到本地设备。 RDP/SSH 会话通过 TLS 在端口 443 上进行。 这使流量能够更安全地遍历防火墙。
Azure VM 无需公共 IP 地址 Azure Bastion 使用 Azure VM 上的专用 IP 地址与 VM 建立 RDP/SSH 连接。 虚拟机无需公共 IP 地址。
无需管理网络安全组 (NSG) 无需向 Azure Bastion 子网应用任何 NSG。 由于 Azure Bastion 通过专用 IP 连接到虚拟机,所以可将 NSG 配置为仅允许来自 Azure Bastion 的 RDP/SSH。 这样消除了每次需要安全地连接到虚拟机时管理 NSG 的麻烦。 有关 NSG 的详细信息,请参阅网络安全组
无需在 VM 上管理单独的堡垒主机 Azure Bastion 是 Azure 提供的完全托管平台 PaaS 服务,其内部进行了加固,以提供安全的 RDP/SSH 连接。
端口扫描防护 由于无需向 Internet 暴露 VM,因此你的 VM 受到保护,使端口免遭未授权和恶意用户扫描。
仅在一个位置强化 Azure Bastion 位于虚拟网络外围,因此你无需担心如何强化虚拟网络中的每个 VM。
防止零日漏洞 Azure 平台通过使 Azure Bastion 保持强化且始终保持最新来防范零天攻击。

SKU

Azure Bastion 有两个可用的 SKU:基本和标准。 有关详细信息(包括如何升级 SKU),请参阅配置设置一文。

下表显示了各种功能及对应的 SKU。

功能 基本 SKU 标准 SKU
连接到对等互连虚拟网络中的目标 VM 可用 可用
访问 Azure Key Vault (AKV) 中的 Linux VM 私钥 可用 可用
主机缩放 空值 可用
指定自定义入站端口 空值 可用
使用 RDP 连接到 Linux VM 空值 可用
使用 SSH 连接到 Windows VM 空值 可用

体系结构

Azure Bastion 部署到虚拟网络并支持虚拟网络对等互连。 具体而言,Azure Bastion 管理 RDP/SSH 与在本地或对等虚拟网络中创建的 VM 之间的连接。

RDP 和 SSH 是连接 Azure 中运行的工作负载的基本方法。 不要通过 Internet 公开 RDP/SSH 端口,这被视为一个严重的威胁面。 这通常是由于协议漏洞造成的。 若要包含此威胁面,可以在外围网络的公共端部署 bastion 主机(也称为跳转服务器)。 Bastion 主机服务器在设计和配置上考虑了抵御攻击。 Bastion 服务器还为位于 bastion 后以及网络内的工作负载提供 RDP 和 SSH 连接。

显示 Azure Bastion 体系结构的示意图。

此图显示了 Azure Bastion 部署体系结构。 在此图中:

  • 堡垒主机部署在虚拟网络中,该网络包含具有最小 /26 前缀的 AzureBastionSubnet 子网。
  • 用户使用任何 HTML5 浏览器连接到 Azure 门户。
  • 用户选择要连接到的虚拟机。
  • 单击一下,在浏览器中打开 RDP/SSH 会话。
  • Azure VM 无需公共 IP。

主机缩放

Azure Bastion 支持手动主机缩放。 你可以配置主机实例(缩放单元)数,以便管理 Azure Bastion 可支持的并发 RDP/SSH 连接数。 增加主机实例数后,Azure Bastion 可以管理更多并发会话。 减少实例数会减少可支持的并发会话数。 Azure Bastion 最多支持 50 个主机实例。 此功能仅适用于 Azure Bastion 标准 SKU。

有关详细信息,请参阅配置设置一文。

定价

Azure Bastion 定价包括基于 SKU、缩放单元和数据传输速率的小时定价组合。 可在 定价 页上找到定价信息。

新增功能

订阅 RSS 源,并在 Azure 更新页面上查看最新的 Azure Bastion 功能更新。

Bastion 常见问题解答

关于常见问题解答,请参阅 Bastion 常见问题解答

后续步骤