Uw Azure Load Balancer-implementatie beveiligen

Azure Load Balancer biedt laag 4-taakverdelingsmogelijkheden voor het distribueren van inkomend en uitgaand verkeer tussen gezonde back-endinstanties. Omdat Load Balancer op de transportlaag werkt, moet u deze combineren met netwerkbesturingselementen, identiteitsbesturingselementen, bewaking en versleuteling op workloadniveau om de volledige implementatie te beveiligen.

In dit artikel vindt u beveiligingsaanaanveling voor Azure Load Balancer. Door deze aanbevelingen te implementeren, kunt u voldoen aan uw beveiligingsverplichtingen en de algehele beveiligingspostuur van uw implementatie verbeteren. Zie Wat is Azure netwerkbeveiliging? voor een overzicht van de netwerkbeveiligingsservices van Azure en hoe deze samenwerken.

In de aanbevelingen voor beveiliging in dit artikel worden zero Trust-principes geïmplementeerd: 'Expliciet verifiëren', 'Minimale toegang tot bevoegdheden gebruiken' en 'Inbreuk aannemen'. Zie het Zero Trust Guidance Center voor uitgebreide richtlijnen voor Zero Trust.

Netwerkbeveiliging

Netwerkbeveiliging voor Azure Load Balancer is gericht op het beperken van binnenkomende blootstelling, het beheren van de uitgaande connectiviteit, het valideren van de back-endstatus en het integreren met andere Azure netwerkbeveiligingsservices.

• Use Standard Load Balancer SKU: Implementeer Standard Load Balancer voor productieworkloads. Standard Load Balancer volgt een beveiligd standaardmodel met gesloten binnenkomende verbindingen, ondersteunt beschikbaarheidszones en biedt een SLA van 99,99%. Basic Load Balancer is op 30 september 2025 buiten gebruik gesteld en mag niet worden gebruikt voor nieuwe implementaties. Zie het overzicht van Azure Load Balancer voor meer informatie.

• Implementeer netwerkbeveiligingsgroepen op subnetten en netwerkinterfaces: Pas netwerkbeveiligingsgroepen (NSG's) toe op backend-subnetten en netwerkinterfaces om expliciet alleen het vereiste applicatieverkeer toe te staan. Load-balanceringsregels koppelen frontendverkeer aan backendpools, terwijl NSG's onafhankelijk bepalen of dat verkeer is toegestaan. Zie Azure Load Balancer beveiligingsbasislijn voor meer informatie.

• Sta Azure Load Balancer health probe-verkeer toe: Controleer toegang voor health probes afzonderlijk van toegang voor toepassingsverkeer. Sta de AzureLoadBalancer servicetag toe in NSG's en IP-adres 168.63.129.16 in lokale firewall-beleidslijnen zodat probes backend-instanties kunnen bereiken. Zie statuscontroles van Azure Load Balancer voor meer informatie.

• Gebruik interne load balancer voor privéworkloads: Implementeer een interne load balancer met privé-front-end-IP-adressen wanneer de service geen directe internetblootstelling nodig heeft. Gebruik peering van virtuele netwerken, VPN, ExpressRoute, Azure Firewall of privétoegangspatronen om te bepalen wie de front-end kan bereiken. Zie Azure Load Balancer onderdelen voor meer informatie.

• Beveilig openbare load balancers met Azure DDoS Protection: Schakel Azure DDoS Network Protection in op het virtuele netwerk waarop openbare load balancers worden gehost. DDoS Protection biedt verbeterde DDoS-risicobeperkings- en detectiemogelijkheden waarmee eindpunten worden bewaakt op bedreigingen en tekenen van misbruik. Zie Protect your public load balancer with Azure DDoS Protection voor meer informatie.

• Gebruik expliciete uitgaande connectiviteit: vertrouw niet op standaard uitgaande toegang. Voor API-versies die na 31 maart 2026 zijn uitgebracht, gebruiken nieuwe virtuele netwerken standaard privé-subnetten en vereisen ze een expliciete uitgaande methode om publieke eindpunten te bereiken. Bestaande virtuele netwerken worden niet automatisch gewijzigd. Gebruik Azure NAT Gateway voor voorspelbare uitgaande IP-adressen, of configureer expliciete Standard Load Balancer uitgaande regels wanneer NAT Gateway niet geschikt is. Zie Outbound connections in Azure and Azure NAT Gateway overview voor meer informatie.

• Configureer de juiste distributiemodus: selecteer de distributiemodus die past bij uw toepassings- en beveiligingsvereisten. Gebruik de standaardhash van 5 tuples voor de meeste workloads en gebruik alleen sessiepersistentie wanneer de toepassing dit vereist, omdat persistentie ongelijke distributie kan creëren en de tolerantie kan verminderen. Zie Azure Load Balancer distributiemodi voor meer informatie.

• Schakel TCP-reset in voor duidelijkere verwerking van verbindingen: Configureer TCP-reset op taakverdelingsregels, zodat clients en back-endtoepassingen bidirectionele TCP-resetpakketten ontvangen bij time-out voor inactiviteit. De verbindingsstatus wissen helpt toepassingen sneller te herstellen en vermindert dubbelzinnige halfopen verbindingen. Zie Azure Load Balancer best practices voor meer informatie.

• Secure floating IP and Gateway Load Balancer designs: Wanneer u zwevend IP gebruikt voor scenario's met hoge beschikbaarheid, configureert u loopback-interfaces correct en past u hostfirewallbesturingselementen toe. Voor Gateway Load Balancer en virtuele netwerkapparaten: scheid vertrouwd en onvertrouwd verkeer via verschillende tunnelinterfaces en houd rekening met de overhead van de VXLAN-header. Zie Azure Load Balancer best practices voor meer informatie.

• Integreer services voor inspectie wanneer nodig: Azure Load Balancer is een service op laag 4 en inspecteert geen toepassingspayloads. Leid verkeer via Azure Firewall, virtuele netwerktoepassingen, Application Gateway of Azure Front Door wanneer u een firewall, een webtoepassingsfirewall of inspectie op laag 7 nodig hebt. Zie Architecture best practices voor Azure Load Balancer voor meer informatie.

Identiteits- en toegangsbeheer

Identiteits- en toegangsbeheer voor Azure Load Balancer bepaalt wie load balancer-resources, regels, tests, front-end-IP's, back-endpools en uitgaande connectiviteit kan maken, bijwerken, verwijderen en controleren.

• Gebruik Microsoft Entra ID voor toegang tot het beheervlak: Beheerders moeten zich verifiëren met Microsoft Entra ID bij het gebruik van de Azure-portal, Azure CLI, Azure PowerShell of Azure Resource Manager Apis. Pas maatregelen voor voorwaardelijke toegang toe, zoals multifactorauthenticatie, vereisten voor conforme apparaten en beleid voor aanmeldingsrisico, voor bevoorrechte netwerkrollen. Zie Voorwaardelijke toegang Microsoft Entra voor meer informatie.

• Implementing Azure op rollen gebaseerd toegangsbeheer: wijs Azure RBAC-rollen toe aan gebruikers, groepen, beheerde identiteiten en automation-accounts waarmee load balancers worden beheerd. Gebruik ingebouwde rollen, zoals Netwerkbijdrager, alleen waar het volledige bereik voor netwerkbeheer is vereist. Zie Wat is Azure op rollen gebaseerd toegangsbeheer? voor meer informatie.

• Gebruik minimale toegang tot bevoegdheden: vermijd brede toewijzingen van eigenaar of inzender voor routinebewerkingen van load balancer. Maak aangepaste rollen wanneer operators alleen specifieke rechten nodig hebben voor lees-, schrijf-, regel-, probe- of backendpoolbewerkingen van de load balancer. Zie aangepaste Azure-rollen voor meer informatie.

• Gebruik Privileged Identity Management voor verhoogde toegang: Maak rollen met hoge impact in aanmerking in plaats van permanent toegewezen met behulp van Microsoft Entra Privileged Identity Management (PIM). Vereis goedkeuring, multifactorauthenticatie, motivering en tijdgebonden activering voor rollen die productie-load balancers kunnen wijzigen. Zie Wat is Microsoft Entra Privileged Identity Management? voor meer informatie.

• Afzonderlijke taken voor netwerk- en workloadteams: beperk wie taakverdelingsregels, inkomende NAT-regels, uitgaande regels, lidmaatschap van back-endpool en testinstellingen kan wijzigen. Scheiding van taken vermindert het risico dat een enkele gecompromitteerde identiteit zowel een service beschikbaar kan maken als de werkbelasting daarachter kan wijzigen. Zie best practices voor Azure RBAC voor meer informatie.

• Controleren van wijzigingen in het beheervlak: Bewaak gebeurtenissen in het Azure-activiteitenlogboek voor wijzigingen in de configuratie van de load balancer, roltoewijzingen en wijzigingen in diagnostische instellingen. Waarschuwing over onverwachte updates voor front-end-IP-configuraties, regeltoewijzingen, uitgaande regels of lidmaatschap van back-endpool. Zie Monitor Azure Load Balancer voor meer informatie.

Gegevensbescherming

Gegevensbescherming voor Azure Load Balancer is gericht op het beveiligen van verkeer dat wordt verwerkt door back-endworkloads en het beveiligen van configuratie en telemetrie, omdat Load Balancer geen gegevens van de klanttoepassing opslaat.

• Versleutel toepassingsverkeer van begin tot eind: Azure Load Balancer werkt op laag 4 en beëindigt TLS niet en inspecteert geen payloads. Configureer TLS in de back-endtoepassing of op een Laag 7-service vóór de back-end, zodat verkeer waar nodig versleuteld blijft. Zie Architecture best practices voor Azure Load Balancer voor meer informatie.

• Gebruik de juiste service voor TLS-beëindiging: als voor uw HTTP- of HTTPS-workload TLS-beëindiging, certificaatbeheer, URL-routering of webtoepassingsfirewallinspectie is vereist, gebruikt u Azure Application Gateway of Azure Front Door in plaats van te vertrouwen op Load Balancer voor deze functies. Zie het overzicht van Azure Load Balancer voor meer informatie.

• Beveilig back-endgeheimen en -certificaten: Sla TLS-certificaten, privésleutels en toepassingsgeheimen die door back-endinstanties worden gebruikt op in Azure Key Vault. Gebruik beheerde identiteiten voor back-endworkloads in plaats van geheimen in scripts, sjablonen of VM-extensies in te sluiten. Zie het overzicht van Azure Key Vault voor meer informatie.

• Veilige doelen voor diagnostische gegevens: metrische gegevens van load balancer, stroomlogboeken en gearchiveerde diagnostische gegevens kunnen IP-adressen, poorten en topologiegegevens bevatten. Beperk de toegang tot Log Analytics werkruimten, opslagaccounts en Event Hubs die diagnostische gegevens ontvangen en gebruik door de klant beheerde sleutels voor opslagaccounts wanneer aan uw nalevingsvereisten wordt gevraagd. Zie Azure Storage-versleuteling voor meer informatie.

• Vermijd het blootstellen van gevoelige topologie in namen en tags: neem geen geheimen, interne projectnamen of gevoelige netwerkdetails op in load balancer-namen, regelnamen, openbare IP DNS-labels of resourcetags. Deze waarden kunnen worden weergegeven in logboeken, exports, waarschuwingen en toegangsbeoordelingen. Zie Naamgevingsregels en -beperkingen voor Azure-resourcesvoor meer informatie.

Logboekregistratie en bewaking

Logboekregistratie en bewaking voor Azure Load Balancer biedt inzicht in beschikbaarheid, statustests, verkeerspatronen en configuratiewijzigingen, zodat teams snel beveiligings- en betrouwbaarheidsproblemen kunnen detecteren.

• Diagnose-instellingen: configureer diagnostische instellingen om metrische gegevens van de load balancer en ondersteunde logboeken te verzenden naar een Log Analytics werkruimte, opslagaccount of Event Hubs voor analyse en retentie. Zie Monitor Azure Load Balancer voor meer informatie.

• Use Azure Monitor Insights: Implementeer Load Balancer Insights om vooraf geconfigureerde dashboards, functionele afhankelijkheidsdiagrammen, resourcestatus en metrische gegevens weer te geven voor proactieve bewaking. Zie Use Insights voor het bewaken en configureren van Azure Load Balancer voor meer informatie.

• Statustestbewaking configureren: implementeer statustests die de gereedheid van toepassingen nauwkeurig vertegenwoordigen, niet alleen host beschikbaarheid. Controleer de teststatus zodat back-endfouten, firewallblokken en toepassingsstoringen worden gedetecteerd voordat gebruikers worden beïnvloed. Zie Statustests voor Azure Load Balancer beheren voor meer informatie.

• Metrische gegevens over verbinding en beschikbaarheid bewaken: metrische gegevens bijhouden, zoals beschikbaarheid van gegevenspaden, statustest, SYN-telling, aantal SNAT-verbindingen en toegewezen SNAT-poorten. Gebruik waarschuwingen om backendfouten, abnormale pieken in verbindingen of uitputting van uitgaande poorten te identificeren. Zie diagnosegegevens voor Standard Load Balancer met metrische gegevens, waarschuwingen en de status van resources voor meer informatie.

• Schakel stroomlogboeken voor virtuele netwerken in: Configureer stroomlogboeken voor virtuele netwerken om verkeerspatronen rond back-endsubnetten te analyseren en verdachte of onverwachte stromen te identificeren. Logboeken doorsturen naar uw SIEM-systeem (Security Information and Event Management) voor correlatie met workload- en identiteitsevenementen. Zie Monitor Azure Load Balancer voor meer informatie.

• Waarschuwingen voor beveiliging en bewerkingen instellen: maak Azure Monitor waarschuwingen voor mislukte statustests, lage beschikbaarheid van gegevenspaden, ongebruikelijke verkeersverhogingen, SNAT-uitputtingsindicatoren en onverwachte wijzigingen in activiteitenlogboeken. Voeg runbookkoppelingen en eigenaargegevens toe aan waarschuwingsacties. Zie Monitor Azure Load Balancer voor meer informatie.

Naleving en bestuur

Naleving en governance voor Azure Load Balancer zorgt voor consistente, ondersteunings- en controlebare configuraties in abonnementen, regio's en omgevingen.

• Implementeer Azure Policy-beleidscontroles: Gebruik Azure Policy om load balancer-vereisten te controleren en af te dwingen, zoals het gebruik van Standard SKU, diagnostische instellingen, tags en NSG-koppelingen op back-endsubnetten. Zie Azure Load Balancer beveiligingsbasislijn voor meer informatie.

• Standaardiseer implementatie met infrastructuur als code: Implementeer load balancers, openbare IP-adressen, regels, sondes, backendpools en uitgaande configuraties met ARM-sjablonen, Bicep of andere goedgekeurde infrastructuur-als-code-pijplijnen. Versiebeheerde sjablonen verminderen drift en bieden bewijs voor nalevingsbeoordelingen. Zie Maak een openbare load balancer met behulp van Bicep en Maak een openbare load balancer met behulp van een ARM-sjabloon voor meer informatie.

• Gebruik resourcetags: pas consistente tags toe voor de eigenaar van de workload, gegevensclassificatie, omgeving, bedrijfskritiek en herstel na noodgevallen. Tags ondersteunen kostenbeheer, nalevingstracking, incidentroutering en eigendomsbeoordelingen. Zie Azure handleiding voor beslissingen over naamgeving en taggen van resources voor meer informatie.

• Controleer niet-ondersteunde en verouderde configuraties: Basic Load Balancers inventariseren, impliciete uitgaande afhankelijkheden, niet-beheerde openbare IP-adressen en ontbrekende diagnostische gegevens. Prioriteit geven aan migratie naar Standard Load Balancer, NAT Gateway of expliciete uitgaande regels en bewaakte configuraties. Zie Upgrade van Basic naar Standard Load Balancer voor meer informatie.

• Wijzigingen beheren via goedgekeurde werkstromen: wijzigingsbeoordeling vereisen voor front-end-IP-adressen, binnenkomende regels, NAT-regels, uitgaande regels, lidmaatschap van back-endpool, testpaden en time-outinstellingen voor inactiviteit. Gebruik Azure activiteitenlogboek en implementatiegeschiedenis om te controleren of wijzigingen afkomstig zijn van goedgekeurde identiteiten en pijplijnen. Zie Azure Resource Manager implementatiegeschiedenis voor meer informatie.

Back-up en herstel

Back-up en herstel voor Azure Load Balancer richt zich op het behouden van de configuratie, het documenteren van afhankelijkheden en het ontwerpen van veerkrachtige topologieën waardoor het verkeer blijft doorstromen bij uitval van exemplaren, zones of regio’s.

• Exporteer en versie van de load balancer-configuratie: exporteer de Standard Load Balancer-configuratie als een ARM-sjabloon of Bicep bestand en sla het op in broncodebeheer. Leg front-end-IP-configuraties, openbare IP-resources, back-endpools, taakverdelingsregels, binnenkomende NAT-regels, uitgaande regels, statustests en afhankelijkheden vast, zodat u de implementatie snel kunt herstellen of opnieuw kunt maken. Zie Sjablonen exporteren in de Azure-portal en Exportsjablonen met Azure CLI voor meer informatie.

• Documenteer de topologie voordat wijzigingen worden aangebracht: Leg frontend-IP-adressen, DNS-namen, leden van de backendpool, toewijzingen van regels aan probes, NAT-toewijzingen, het ontwerp van de uitgaande connectiviteit, NSG-afhankelijkheden, routetabellen en verantwoordelijke teams vast vóór geplande wijzigingen. De huidige documentatie vermindert de hersteltijd wanneer een terugdraaibewerking of regionale herbouw nodig is. Zie Azure Load Balancer onderdelen voor meer informatie.

• Gebruik load balancer voor failover in meerdere regio's: Implementeer Load Balancer tussen regio's, ook wel global Load Balancer genoemd, wanneer u één globale front-end nodig hebt die verkeer over regionale load balancers distribueert. Koppel deze aan regionale statuscontrole en geteste failoverprocedures. Zie Load Balancer voor meerdere regio's en implementeer een load balancer voor meerdere regio's met behulp van een ARM-sjabloon voor meer informatie.

• Gebruik zone-redundante front-ends voor tolerantie van beschikbaarheidszones: gebruik Standard Load Balancer met zone-redundante FRONT-end-IP-configuraties waar beschikbaarheidszones worden ondersteund. Standard-SKU bevat ingebouwde ondersteuning voor zoneredundantie en een zone-redundante front-end helpt het gegevenspad beschikbaar te houden als een zone uitvalt. Zie Azure Load Balancer best practices voor meer informatie.

• Distribute back-endpools over zones: plaats back-endinstanties in meerdere beschikbaarheidszones met behulp van Virtual Machine Scale Sets of zonegebonden virtuele machines. Zone-redundante back-endpools verminderen de kans dat één zonefout alle gezonde exemplaren uit rotatie verwijdert. Zie Load Balancer migreren naar ondersteuning voor beschikbaarheidszones voor meer informatie.

• Configureer statuscontroles voor automatische failover binnen de regio: statuscontroles bepalen naar welke backend-instanties verkeer wordt doorgestuurd. Configureer statuscontroles voor toepassingsklare eindpunten, kies de juiste intervallen en drempelwaarden en test het gedrag van de statuscontroles tijdens onderhoud, zodat verkeer automatisch overschakelt naar gezonde exemplaren binnen de regio. Zie Statustests voor Azure Load Balancer beheren voor meer informatie.

• Test failover regelmatig: Oefen instance-, zone- en regionale failoverscenario's volgens een vastgesteld schema. Controleer of tests beschadigde exemplaren verwijderen, Load Balancer of DNS-routering verkeer naar de secundaire regio verzendt, uitgaande connectiviteit nog steeds werkt en bewakingswaarschuwingen de juiste responders bereiken. Zie Azure Load Balancer best practices voor meer informatie.

Volgende stappen 

• Azure Load Balancer beveiligingsbasislijn
• Wat is Azure-netwerkbeveiliging?