Azure-productienetwerk

De gebruikers van het Azure-productienetwerk omvatten zowel externe klanten die toegang hebben tot hun eigen Azure-toepassingen als interne azure-ondersteuningsmedewerkers die het productienetwerk beheren. In dit artikel worden de beveiligingstoegangsmethoden en beveiligingsmechanismen beschreven voor het tot stand brengen van verbindingen met het Azure-productienetwerk.

Internetroutering en fouttolerantie

Een wereldwijd redundante interne en externe DNS-infrastructuur (Azure Domain Name Service), gecombineerd met meerdere primaire en secundaire DNS-serverclusters, biedt fouttolerantie. Azure past ook infrastructuurniveau DDoS-bescherming en andere netwerkbeveiligingscontroles toe om zich te verdedigen tegen veelvoorkomende DDoS-aanvallen op netwerklaag en de integriteit van Azure DNS-diensten te beschermen.

De Azure DNS-servers bevinden zich op meerdere datacenterfaciliteiten. De Azure DNS-implementatie bevat een hiërarchie van secundaire en primaire DNS-servers om azure-klantdomeinnamen openbaar op te lossen. De domeinnamen worden meestal omgezet naar een cloudapp.net adres, dat het virtuele IP (VIP) adres voor de dienst van de klant omhult. Uniek voor Azure vertalen Microsoft-load balancers die verantwoordelijk zijn voor die VIP, de VIP naar het interne dedicated IP-adres (DIP) van de tenant.

Microsoft host Azure in geografisch verspreide Azure-datacenters binnen de VS. Azure gebruikt geavanceerde routeringsplatforms die sterke, schaalbare architectuurstandaarden implementeren. Onder de opmerkelijke kenmerken zijn:

  • Op Multiprotocol Label Switching (MPLS) gebaseerde traffic-engineering, die zorgt voor een efficiënt gebruik van verbindingen en een geleidelijke afname van het serviceniveau als er een storing optreedt.
  • Microsoft implementeert netwerken met "need plus one" (N+1) redundantiearchitecturen of beter.
  • Extern bedienen dedicated netwerkverbindingen met hoge bandbreedte datacenters die locaties redundant verbinden met meer dan 1.200 internetserviceproviders wereldwijd via meerdere peeringpunten. Deze verbinding levert meer dan 2.000 gigabyte per seconde (GBps) aan randcapaciteit.

Omdat Microsoft eigenaar is van eigen netwerkcircuits tussen datacenters, kunnen deze kenmerken het Azure-aanbod helpen bij het bereiken van 99,9 procent netwerkbeschikbaarheid zonder dat traditionele internetproviders van derden nodig zijn.

Verbinding met productienetwerk en bijbehorende firewalls

Het azure-netwerkverkeersstroombeleid leidt verkeer naar het Azure-productienetwerk dat zich in het dichtstbijzijnde regionale datacenter in de VS bevindt. Omdat de Azure-productiedatacentra consistente netwerkarchitectuur en hardware onderhouden, is de beschrijving van de verkeersstroom die volgt consistent van toepassing op alle datacenters.

Nadat het internetverkeer voor Azure is gerouteerd naar het dichtstbijzijnde datacenter, wordt er een verbinding gelegd met de toegangsrouters. Deze toegangsrouters isoleren verkeer tussen Azure-nodes en door klanten geïnstantieerde VM's. Netwerkinfrastructuurapparaten op de toegangs- en randlocaties zijn de grenspunten waar in- en uitgangsfilters van toepassing zijn. Deze routers gebruiken een gelaagde toegangscontrolelijst (ACL) om ongewenst netwerkverkeer te filteren en indien nodig limieten op verkeerssnelheid toe te passen. ACL-routes lieten verkeer door naar de load balancers. Distributierouters staan alleen door Microsoft goedgekeurde IP-adressen toe, bieden anti-spoofing en leggen TCP-verbindingen tot stand die ACL's gebruiken.

Microsoft plaatst externe load-balancing-apparaten achter de toegangsrouters om netwerkadresvertaling (NAT) uit te voeren van internetrouterbare IP's naar interne Azure-IP's. De apparaten routeren ook pakketten naar geldige interne productie-IP's en poorten. Deze apparaten fungeren als een beschermingsmechanisme om de blootstelling van de interne productienetwerkadresruimte te beperken.

Standaard dwingt Microsoft Hypertext Transfer Protocol Secure (HTTPS) af voor al het verkeer dat wordt verzonden naar webbrowsers van klanten, inclusief aanmelding en al het verkeer daarna. TLS v1.2 creëert een beveiligde tunnel voor verkeer. ACL's op access- en corerouters zorgen ervoor dat de bron van het verkeer overeenkomt met de verwachte bron.

Een belangrijk verschil in deze architectuur, vergeleken met traditionele beveiligingsarchitectuur, is dat Azure geen speciale hardwarefirewalls, gespecialiseerde inbraakdetectie- of -preventieapparatuur, of andere beveiligingsapparaten heeft die normaal gesproken worden verwacht voordat er verbindingen met de Azure-productieomgeving worden gelegd. Klanten verwachten deze hardware-firewallapparaten meestal in het Azure-netwerk. Azure gebruikt deze apparaten echter niet. Bijna uitsluitend zijn die beveiligingsfuncties ingebouwd in de software die de Azure-omgeving draait om sterke, gelaagde beveiligingsmechanismen te bieden, waaronder firewallmogelijkheden. Daarnaast maakt de software die Azure draait de omvang van de grens en de bijbehorende verspreiding van kritieke beveiligingsapparaten gemakkelijker te beheren en te inventariseren.

Kernfuncties voor beveiliging en firewall

Azure implementeert sterke softwarebeveiligings- en firewallfuncties op verschillende niveaus om beveiligingsfuncties af te dwingen die klanten normaal gesproken verwachten in een traditionele omgeving om de kernbeveiliging van autorisatiegrens te beschermen.

Azure-beveiligingsfuncties

Azure implementeert op host gebaseerde softwarefirewalls in het productienetwerk. Verschillende kernbeveiligings- en firewallfuncties bevinden zich in de Azure-kernomgeving. Deze beveiligingsfuncties weerspiegelen een diepgaande verdedigingsstrategie binnen de Azure-omgeving. De volgende firewalls beschermen klantgegevens in Azure:

Hypervisor firewall (packet filter): De hypervisor implementeert deze firewall en de fabric controller (FC) agent configureert hem. Deze firewall beschermt de tenant die binnen de virtuele machine wordt uitgevoerd tegen onbevoegde toegang. Standaard blokkeert Azure al het verkeer wanneer een VM wordt aangemaakt, waarna de FC-agent regels en uitzonderingen in het filter voegt om geautoriseerd verkeer toe te staan.

Azure programmeert twee categorieën regels:

  • Machineconfiguratie- of infrastructuurregels: Standaard blokkeert Azure alle communicatie. Uitzonderingen stellen een VM in staat om Dynamic Host Configuration Protocol (DHCP)-communicatie en DNS-informatie te verzenden en te ontvangen en verkeer naar het "publieke" internet te sturen, uitgaande naar andere VM's binnen de FC-cluster en OS-activatieserver. Omdat de toegestane lijst met uitgaande bestemmingen van de VM's geen Azure-routersubnetten en andere Microsoft-eigenschappen bevat, fungeren de regels als een beschermingslaag voor hen.
  • Regels voor rolconfiguratiebestanden: Deze regels definiëren de inkomende ACL's op basis van het servicemodel van de tenants. Als een tenant bijvoorbeeld een webfront-end heeft op poort 80 op een bepaalde VIRTUELE machine, wordt poort 80 geopend voor alle IP-adressen. Als er op de VM een werkrol actief is, wordt de werkrol alleen geopend voor de virtuele machines binnen dezelfde tenant.

Native hostfirewall: Azure Service Fabric en Azure Storage draaien op een native besturingssysteem dat geen hypervisor heeft en daarom de voorgaande twee regelsets Windows Firewall configureren.

Hostfirewall: De hostfirewall beveiligt de hostpartitie, die de hypervisor uitvoert. De regels staan alleen toe dat de FC en jump boxes communiceren met de hostpartitie op een specifieke poort. De andere uitzonderingen zijn om DHCP-antwoord en DNS-antwoorden toe te staan. Azure maakt gebruik van een machineconfiguratiebestand dat een sjabloon met firewallregels voor de hostpartitie bevat. Er bestaat ook een hostfirewall-uitzondering die VM's in staat stelt te communiceren met hostcomponenten, een draadserver en metadataserver via specifieke protocollen en poorten.

Gastfirewall: Het Windows Firewall-onderdeel van het gastbesturingssysteem, dat klanten kunnen configureren op klant-VM's en opslag.

Meer beveiligingsfuncties die in Azure-mogelijkheden zijn ingebouwd, zijn onder andere:

  • Azure wijst IP-adressen toe van DIP's aan infrastructuurcomponenten. Een aanvaller op het internet kan het verkeer naar die adressen niet adresseren omdat het Microsoft niet zou bereiken. Internetgateway-routers filteren pakketten die uitsluitend aan interne adressen zijn gericht, zodat ze niet in het productienetwerk terechtkomen. De enige onderdelen die verkeer accepteren dat wordt omgeleid naar VIP's, zijn load balancers.

  • Firewalls die op alle interne knooppunten zijn geïmplementeerd, hebben drie primaire beveiligingsarchitectuuroverwegingen voor elk scenario:

    • Firewalls zitten achter de load balancer en accepteren pakketten van overal vandaan. Deze pakketten zijn bedoeld om extern beschikbaar te worden gesteld en zouden overeenkomen met de geopende poorten in een traditionele perimeterfirewall.
    • Firewalls accepteren alleen pakketten van een beperkte set adressen. Deze overweging maakt deel uit van de diepgaande verdedigingsstrategie tegen DDoS-aanvallen. Dergelijke verbindingen worden cryptografisch geverifieerd.
    • Alleen geselecteerde interne nodes kunnen firewalls benaderen. Ze accepteren pakketten alleen uit een geïnventariseerd lijst met bron-IP-adressen, die allemaal DIPs binnen het Azure-netwerk zijn. Een aanval op het bedrijfsnetwerk kan bijvoorbeeld verzoeken naar deze adressen sturen, maar Azure blokkeert de aanvallen tenzij het bronadres van het pakket in de opgesomde lijst binnen het Azure-netwerk staat.
      • De toegangsrouter op de perimeter blokkeert uitgaande pakketten die zijn geadresseerd aan een adres dat zich in het Azure-netwerk bevindt vanwege de geconfigureerde statische routes.

Volgende stappen

Zie voor meer informatie over wat Microsoft doet om de Azure-infrastructuur te beveiligen:

  • Last updated on