Secure your Azure ExpressRoute deployment

Azure ExpressRoute biedt private, hoogwaardige connectiviteit tussen uw on-premises infrastructuur en Microsoft clouddiensten via een connectiviteitsprovider of ExpressRoute Direct. Hoewel ExpressRoute-verkeer niet over het publieke internet gaat, heb je toch beveiliging van routering, beheertoegang, verbonden virtuele netwerken, monitoringsdata en herstelroutes nodig.

Dit artikel geeft beveiligingsaanbevelingen voor Azure ExpressRoute. Deze aanbevelingen helpen u om uw beveiligingsverplichtingen na te komen en de algehele beveiligingspositie van uw inzet te verbeteren. Voor een overzicht van Azure's netwerkbeveiligingsdiensten en hoe ze samenwerken, zie Wat is Azure netwerkbeveiliging?

In de aanbevelingen voor beveiliging in dit artikel worden zero Trust-principes geïmplementeerd: 'Expliciet verifiëren', 'Minimale toegang tot bevoegdheden gebruiken' en 'Inbreuk aannemen'. Zie het Zero Trust Guidance Center voor uitgebreide richtlijnen voor Zero Trust.

Netwerkbeveiliging

Netwerkbeveiliging voor ExpressRoute richt zich op het beschermen van hybride connectiviteit, het beperken van verkeerspaden en het verminderen van het effect van storingen of verkeerde configuraties in het end-to-end netwerk.

  • Configureer MACsec-encryptie voor ExpressRoute Direct: Schakel MACsec (Media Access Control Security) in op ExpressRoute Direct-verbindingen om Layer 2-encryptie toe te voegen tussen je netwerkapparatuur en Microsoft edge routers. Bewaar MACsec-geheimen in Azure Key Vault. Zie MACsec-versleuteling configureren voor ExpressRoute Direct voor meer informatie.

  • Deploy ExpressRoute-gateways in dedicated subnets: Plaats ExpressRoute virtuele netwerkgateways alleen in de vereiste GatewaySubnet, en deploy werklasten of netwerkbeveiligingsgroepen niet direct naar dat subnet. Beveilig workload-subnetten apart. Zie About ExpressRoute virtual network gateways voor meer informatie.

  • Gebruik automatisch toegewezen publieke IP-adressen voor ExpressRoute-gateways waar dat ondersteund wordt: Laat Azure automatisch het standaard publieke IP-adres toewijzen en beheren voor nieuwe ExpressRoute virtuele netwerkgateways wanneer jouw scenario de functie ondersteunt. Deze aanpak vermindert de blootstelling aan publiek IP-beheer omdat het publieke IP-adres van de gateway intern door Microsoft wordt beheerd en niet aan jou wordt blootgesteld. Zie About ExpressRoute virtual network gateways voor meer informatie.

  • Beheer workloadverkeer met netwerkbeveiligingsgroepen: Pas netwerkbeveiligingsgroepen toe op werklastsubnetten die verkeer via ExpressRoute ontvangen. Sta alleen vereiste poorten, protocollen en bronprefixen toe, en weiger onnodig inkomend verkeer. Zie Netwerkbeveiligingsgroepen voor meer informatie.

  • Inspecteer verkeer met Azure Firewall of netwerkvirtuele appliances: Gebruik Azure Firewall of goedgekeurde netwerkvirtuele appliances om verkeer tussen on-premises netwerken en Azure-workloads te inspecteren, applicatieregels af te dwingen en verkeerslogboeken te verzamelen. Zie het overzicht van Azure Firewall voor meer informatie.

  • Segmentverbinde netwerken: Gebruik virtuele netwerkpeering, routetabellen en hub-spaakontwerpen om te controleren hoe verkeer beweegt tussen ExpressRoute-verbonden workloads. Segmentatie beperkt laterale beweging en helpt gevoelige toepassingen te isoleren. Voor meer informatie, zie Virtuele netwerkpeering en Virtueel netwerkverkeersroutering.

  • Afzonderlijke peering-routeringsdomeinen: Verbind private peering met je kernnetwerk en houd Microsoft-peeringverkeer in een DMZ of een andere gecontroleerde perimeter, omdat Microsoft-peering publieke IP-adressen gebruikt voor Microsoft clouddiensten. Voor meer informatie, zie ExpressRoute-circuits en peering.

  • Bekijk FastPath-routerings- en inspectiepaden: Schakel FastPath alleen in nadat je ondersteunde circuittypes, gateway-SKU's, virtueel netwerkpeeringgedrag, door gebruikers gedefinieerde route-ondersteuning en Private Link-beperkingen voor je architectuur hebt geverifieerd. Voor meer informatie, zie Azure ExpressRoute FastPath.

  • Gebruik Azure Route Server voor ondersteunde route-uitwisseling: Wanneer je dynamische route-uitwisseling nodig hebt tussen ExpressRoute-gateways, VPN-gateways en netwerk-virtuele appliances, deploy dan Azure Route Server in hetzelfde virtuele netwerk als de ExpressRoute- of VPN-gateway. Plan downtime wanneer je Route Server aanmaakt of verwijdert in een virtueel netwerk dat al een virtuele netwerkgateway bevat. Zie azure Route Server-ondersteuning voor ExpressRoute en Azure VPN voor meer informatie.

  • Gebruik diverse providers en paden waar passend: Verminder afhankelijkheden van één provider of enkelpad-provider door gebruik te maken van verschillende providers, verschillende peeringlocaties of andere fysiek diverse paden voor redundante circuits. Voor meer informatie, zie ExpressRoute-locaties en connectiviteitsaanbieders.

  • Active-active routing inschakelen op redundante verbindingen: Bedien de primaire en secundaire verbindingen van elk ExpressRoute-circuit in actief-actieve modus zodat Microsoft elke verkeersstroom kan balanceren en het verkeer sneller kan herleiden bij verbindingsuitval. Voor meer informatie, zie Ontwerpen voor hoge beschikbaarheid met Azure ExpressRoute.

Identiteits- en toegangsbeheer

Identiteits- en toegangsbeheer voor ExpressRoute bepaalt wie circuits, peers, gateways en gerelateerde bronnen kan aanmaken, wijzigen, monitoren en verwijderen. ExpressRoute biedt geen identiteitsgebaseerde authenticatie voor dataplane-verkeer omdat het op de netwerklaag werkt.

  • Gebruik Microsoft Entra ID voor toegang tot het managementplane: Pas een Conditional Access-beleid toe dat multifactorauthenticatie en conformant-device voorwaarden vereist voor identiteiten die ExpressRoute-circuits, peerings, virtuele netwerkgateways, routetabellen en MACsec-sleutelmateriaal kunnen aanmaken, wijzigen of verwijderen in Azure Key Vault. Voor meer informatie, zie MFA vereisen voor Azure-beheer.

  • Wijs least-privilege rollen toe: Verleen alleen de rechten die nodig zijn om ExpressRoute-circuits, peerings, gateways, routetabellen, diagnostische instellingen en verbonden netwerkbronnen te beheren. Vermijd brede Eigenaar- of Bijdrager-opdrachten wanneer smallere of aangepaste rollen voldoende zijn. Voor meer informatie, zie Over rollen en rechten voor ExpressRoute-circuits en gateways.

  • Gebruik Microsoft Entra Privileged Identity Management: Maak bevoorrechte toegang tot ExpressRoute-bronnen geschikt en tijdgebonden in plaats van permanent actief. Vereist goedkeuring en rechtvaardiging voor rollen met een grote impact die routering kunnen wijzigen of connectiviteitsbronnen kunnen verwijderen. Zie Privileged Identity Management voor meer informatie.

  • Afzonderlijke taken voor netwerk- en beveiligingsoperaties: Wijs verschillende rolgroepen toe voor circuitprovisioning, peeringconfiguratie, gatewaybeheer, monitoring en beveiligingscontrole. Een scheiding van taken vermindert het risico dat één gecompromitteerd account de connectiviteit kan veranderen en bewijs kan verbergen. Voor meer informatie, zie Over rollen en rechten voor ExpressRoute-circuits en gateways.

  • Beveilig MACsec-geheimen met Azure Key Vault-toegangscontroles: Sla MACsec-connectiviteitsassociatiesleutels en connectiviteitsassociatiesleutelnamen op in Key Vault, en beperk de toegang van Key Vault tot geautoriseerde identiteiten die ExpressRoute Direct configureren. Zie MACsec-versleuteling configureren voor ExpressRoute Direct voor meer informatie.

Gegevensbescherming

Gegevensbescherming voor ExpressRoute richt zich op het beschermen van routingsessies, het versleutelen van gevoelig verkeer waar nodig, en het beveiligen van geheimen en telemetrie die bij de implementatie horen.

  • Gebruik MACsec voor ExpressRoute Direct linkencryptie: Wanneer je Layer 2-encryptie nodig hebt op speciale ExpressRoute Direct-poorten, configureer dan MACsec en beheer sleutelmateriaal veilig. Zie MACsec-versleuteling configureren voor ExpressRoute Direct voor meer informatie.

  • Configureer MD5-authenticatie voor Border Gateway Protocol-sessies wanneer nodig: Als je routeringsbeleid geauthenticeerde BGP-sessies vereist, gebruik dan een MD5-hash voor private peering of Microsoft-peering om Border Gateway Protocol (BGP)-berichten die tussen je routers en Microsoft Enterprise Edge (MSEE) routers worden uitgewisseld te valideren. Zie ExpressRoute-routeringsvereisten voor meer informatie.

  • Versleutel gevoelig applicatieverkeer van begin tot eind: ExpressRoute biedt privéconnectiviteit, maar versleutelt niet standaard al het verkeer. Gebruik TLS, IPsec of applicatie-niveau encryptie voor gevoelige gegevens die ExpressRoute doorkruisen. Zie Over versleuteling voor Azure ExpressRoutevoor meer informatie.

  • Bescherm de bestemmingen van diagnostische gegevens: ExpressRoute-logs en -metrics kunnen topologie, prestaties en routeringsdetails onthullen. Beperk de toegang tot Log Analytics-werkruimtes, opslagaccounts of event hubs die diagnostische gegevens ontvangen. Zie Toegang tot Log Analytics-werkruimten beheren voor meer informatie.

  • Vermijd private endpoints op Key Vaults die worden gebruikt voor MACsec-geheimen: Sla MACsec connectiviteitsassociationsleutels en connectiviteitsassociatiesleutelnamen op in Key Vault, maar plaats die vault niet achter een privé-endpoint omdat het ExpressRoute-beheervlak de geheimen moet ophalen. Zie MACsec-versleuteling configureren voor ExpressRoute Direct voor meer informatie.

Logboekregistratie en bewaking

Logging en monitoring voor ExpressRoute bieden inzicht in de toestand van het circuit, de beschikbaarheid van routerings, verkeerspatronen, onderhoudsgebeurtenissen en configuratiewijzigingen.

  • Schakel diagnostische instellingen in voor ExpressRoute-bronnen: Stuur ExpressRoute-resourcelogs en -metrics naar Azure Monitor Logs, opslag of event hubs voor behoud en analyse. Voor meer informatie, zie ExpressRoute monitoren.

  • Gebruik Network Insights voor topologie en gezondheid: Gebruik Network Insights om ExpressRoute-circuits, ExpressRoute Direct, Global Reach, peerings, verbindingen, gateways, beschikbaarheid, doorvoer en pakketdrops in Azure Monitor te bekijken zonder extra setup. Voor meer informatie, zie ExpressRoute Network Insights.

  • Maak waarschuwingen voor de gezondheid van circuits en gateways: Configureer Azure Monitor-alerts voor ARP-beschikbaarheid, BGP-beschikbaarheid, lijnprotocol, gatewayprestaties, doorvoer, pakketdrops en andere kritieke ExpressRoute-metrics. Voor meer informatie, zie ExpressRoute-monitoringreferentie.

  • Configureer Service Health-waarschuwingen voor onderhoud: Abonneer je op Azure Service Health-meldingen voor ExpressRoute geplande onderhouds- en serviceproblemen, zodat netwerkteams zich kunnen voorbereiden op onderhoudsvensters en failoverpaden kunnen valideren. Voor meer informatie, zie Bekijk en configureer ExpressRoute-onderhoudsalerts.

  • Monitor end-to-end connectiviteit: Gebruik Verbindingsmonitor- of Network Watcher-mogelijkheden om de connectiviteit tussen on-premises locaties en Azure-workloads via ExpressRoute te testen, en om degradatie te detecteren voordat het een storing wordt. Voor meer informatie, zie Configure Verbindingsmonitor voor ExpressRoute.

  • Verzamel bemonsterde stroomlogs met ExpressRoute Traffic Collector: Gebruik ExpressRoute Traffic Collector om stromen te bemonsteren voor private en Microsoft peering en exporteer de records naar Log Analytics, Event Hubs, opslag of een SIEM voor verkeersanalyse. Voor meer informatie, zie Azure ExpressRoute Traffic Collector.

  • Schakel virtuele netwerkstroomlogs in voor verbonden workloads: Gebruik virtuele netwerkstroomlogs op virtuele netwerken die ExpressRoute-verbonden workloads hosten om toegestane en geweigerde IP-stromen, encryptiestatus en verkeerspatronen vast te leggen die context toevoegen aan de bemonsterde ExpressRoute-circuitstroomgegevens. Voor meer informatie, zie Virtuele netwerkstroomlogboeken.

  • Correlate ExpressRoute-gebeurtenissen in Microsoft Sentinel: Stuur ExpressRoute-logs en gerelateerde netwerktelemetrie naar een Log Analytics-werkruimte die is ingeschakeld voor Microsoft Sentinel, zodat je routerings-, firewall-, identiteits- en workloadgebeurtenissen kunt correleren binnen de hybride omgeving. Zie Microsoft Sentinel gegevensconnectors voor meer informatie.

Naleving en bestuur

Compliance en governance voor ExpressRoute helpen om connectiviteitsbronnen geïnformatiseerd, consistent geconfigureerd en auditeerbaar te houden over abonnementen en omgevingen heen.

  • Tag ExpressRoute-bronnen consistent: Pas tags toe op circuits, gateways, ExpressRoute Direct-poorten, routetabellen en gerelateerde bronnen om eigenaren, omgevingen, dataclassificaties en kostencentra te identificeren. Voor meer informatie, zie Gebruik tags om Azure-bronnen te organiseren.

  • Gebruik Azure Policy voor governance: Gebruik Azure Policy om ExpressRoute-circuitdiagnose-instellingen te auditen of af te dwingen (gebruik de ingebouwde Enable logging by category group voor ExpressRoute-circuitbeleid voor Log Analytics, Event Hub en Storage targets), toegestane deploymentlocaties voor circuits en gateways, en tagvereisten voor ExpressRoute bronnen. Zie ingebouwde Azure Policy-definities voor Azure-netwerkservices voor meer informatie.

  • Onderhoud roltoewijzing en resource-inventarissen: Bekijk regelmatig roltoewijzingen, in aanmerking komende bevoorrechte rollen, circuits, peerings, gateways, verbindingen, routetabellen en diagnostische instellingen. Verwijder verouderde toegang en ongebruikte bronnen. Voor meer informatie, zie List Azure roltoewijzingen.

  • Volg het gebruik van circuits en routewijzigingen: Bekijk het bandbreedtegebruik, routeadvertenties, verbindingsgezondheid en wijzigingen in peeringconfiguraties om capaciteitsrisico's, ongebruikelijke activiteit of configuratieafwijking te identificeren. Voor meer informatie, zie ExpressRoute monitoren.

  • Documenteer goedgekeurde routerings- en beveiligingsbaselines: Bijhouden actuele records van circuitinstellingen, peeringconfiguraties, BGP-beleid, routeringsfilters, MACsec-instellingen, firewallpaden en failoverprocedures voor audit en incidentrespons. Zie Routering voor een ExpressRoute-circuit maken en wijzigen voor meer informatie.

Back-up en herstel

Back-up en herstel voor ExpressRoute richten zich op veerkrachtige architectuur, geteste failoverpaden, herstelbare configuratie en geplande onderhoudsgereedheid. Je kunt ExpressRoute-circuits niet back-uppen zoals databronnen, dus herstel hangt af van redundante connectiviteit en gedocumenteerde configuratie.

  • Configureer dubbele circuits over geografisch gescheiden peeringlocaties: Voor maximale veerkracht zet u twee ExpressRoute-circuits in op verschillende peeringlocaties en adverteren zij dezelfde on-premises routes over beide circuits. Dit ontwerp vermindert de afhankelijkheid van één peeringsite. Voor meer informatie, zie Design and architect Azure ExpressRoute for resilience.

  • Gebruik ExpressRoute Direct redundantie voor dedicated poorten: Ontwerp ExpressRoute Direct met zijn redundante poortpaar en actief-actieve connectiviteit, en behoud de fysieke diversiteit in je on-premises netwerk en crossconnects. Zie About ExpressRoute Direct (Over ExpressRoute Direct) voor meer informatie.

  • Deploy zone-redundante ExpressRoute-gateways: Gebruik beschikbaarheidzone-enabled gateway-SKU's zoals ErGw1AZ, ErGw2AZ of ErGw3AZ. Rol de gateway als zone-redundant uit waar dat ondersteund wordt. Zone-redundante gateways verbeteren de veerkracht voor virtuele netwerkconnectiviteit met ExpressRoute. Voor meer informatie, zie Create a zone-redundant virtueel netwerkgateway.

  • Migreer bestaande gateways naar beschikbaarheidszone-enabled SKU's: Plan voor bestaande niet-zone-redundante gateways een migratie naar een availability-zone-enabled ExpressRoute gateway SKU om de regionale veerkracht te verbeteren. Voor meer informatie, zie Over migreren naar een ExpressRoute-virtuele netwerkgateway met beschikbaarheidszone.

  • Configureer door de klant gecontroleerde onderhoudsvensters voor gateways: Wijs door de klant gecontroleerde onderhoudsconfiguraties toe aan ExpressRoute virtuele netwerkgateways wanneer je platformonderhoud nodig hebt tijdens goedgekeurde operationele vensters. Voor meer informatie, zie Configureer klantgestuurd gatewayonderhoud voor ExpressRoute.

  • Configureer site-to-site VPN-back-up wanneer dat passend is: Gebruik site-to-site VPN via het internet als back-up voor ExpressRoute private peering wanneer zakelijke vereisten de extra latentie en bandbreedtelimieten toestaan. Voor latency-gevoelige, missiekritische of bandbreedte-intensieve workloads geef je de voorkeur aan multisite ExpressRoute-resilience. Voor meer informatie, zie Gebruik site-to-site VPN als back-up voor ExpressRoute private peering.

  • Configureer Bidirectional Forwarding Detection op edge-routers: Configureer Bidirectional Forwarding Detection op de edge routers van je klant of provider voor private en Microsoft-peering om de detectie van linkfouten te versnellen. BFD is standaard geconfigureerd aan de Microsoft-kant voor nieuw aangemaakte private en Microsoft-peerings. Zie BFD configureren via ExpressRoute voor meer informatie.

  • Valideer failover tijdens geplande onderhoudsvensters: Test primaire en secundaire paden, route-advertenties, AS-pad prepending gedrag, VPN-back-up en redundante circuits tijdens goedgekeurde onderhoudsvensters of buiten piekuren. Voor meer informatie, zie Evaluate the resilience of multisite redundant ExpressRoute-circuits en Planning maintenance guidance for ExpressRoute.

  • Exporteer Azure Resource Manager- of Bicep-sjablonen voor herstel: Exporteer Azure Resource Manager-sjablonen of Bicep-bestanden voor circuits, peerings, gateways, routefilters, diagnostische instellingen en gerelateerde bronnen, zodat je de configuratie kunt herbouwen na per ongeluk verwijderen of omgevingsherstel. Voor meer informatie, zie Export ARM-sjablonen in het Azure-portaal en Export Bicep-bestanden in het Azure-portaal.

  • Gebruik Resiliency Insights en validatie: Gebruik ExpressRoute Resiliency Insights om route-veerkracht, gateway-zone-redundantie, aanbevelingen en validatiegereedheid te beoordelen. Voer regelmatig validatietests voor veerkracht uit om te bevestigen dat hersteldoelstellingen haalbaar blijven. Zie ExpressRoute Resiliency Insights en ExpressRoute Resiliency Validation voor meer informatie.

Volgende stappen

  • Last updated on