Rede de produção do Azure

Os usuários da rede de produção Azure incluem tanto clientes externos que acessam suas próprias aplicações Azure quanto pessoal interno de Suporte do Azure que gerencia a rede de produção. Este artigo discute os métodos de acesso de segurança e mecanismos de proteção para estabelecer conexões com a rede de produção do Azure.

Roteamento da Internet e tolerância a falhas

Uma infraestrutura global redundante e externa do Azure Domain Name Service (DNS), combinada com múltiplos clusters de servidores DNS primários e secundários, oferece tolerância a falhas. O Azure também aplica proteção DDoS em nível de infraestrutura e outros controles de segurança de rede para ajudar a se defender contra ataques DDoS comuns na camada de rede e proteger a integridade dos serviços DNS do Azure.

Os servidores DNS do Azure estão localizados em várias instalações de data center. A implementação do DNS do Azure incorpora uma hierarquia de servidores DNS secundários e primários para resolver publicamente os nomes de domínio dos clientes do Azure. Os nomes de domínio geralmente são resolvidos para um endereço cloudapp.net, que envolve o endereço IP virtual (VIP) para o serviço do cliente. Exclusividade do Azure: os balanceadores de carga da Microsoft responsáveis ​​por esse VIP traduzem o VIP para o endereço IP dedicado interno (DIP) do locatário.

A Microsoft hospeda o Azure em datacenters Azure geograficamente distribuídos dentro dos EUA. O Azure utiliza plataformas de roteamento de última geração que implementam padrões arquitetônicos fortes e escaláveis. Entre as características notáveis estão:

  • Engenharia de tráfego baseada em Comutação de Rótulos Multiprotocolo (MPLS), que proporciona utilização eficiente do enlace e degradação gradual do serviço em caso de falha.
  • A Microsoft implementa redes com arquiteturas de redundância N+1 ("need plus one") ou superior.
  • Externamente, circuitos de rede dedicados e de alta largura de banda atendem aos datacenters, que conectam as instalações de forma redundante a mais de 1.200 provedores de serviços de internet em todo o mundo, em múltiplos pontos de peering. Essa conexão oferece mais de 2.000 gigabytes por segundo (GBps) de capacidade de borda.

Como a Microsoft possui seus próprios circuitos de rede entre datacenters, esses atributos ajudam a oferta Azure a alcançar 99,9+ por cento de disponibilidade de rede sem a necessidade de provedores de internet terceirizados tradicionais.

Conexão com a rede de produção e firewalls associados

A política de fluxo de tráfego da internet da rede Azure direciona o tráfego para a rede de produção do Azure, localizada no data center regional mais próximo dos EUA. Como os datacenters de produção do Azure mantêm arquitetura de rede e hardware consistentes, a descrição do fluxo de tráfego que segue se aplica consistentemente a todos os datacenters.

Após o tráfego de internet do Azure ser roteado para o data center mais próximo, o tráfego estabelece uma conexão com os roteadores de acesso. Esses roteadores de acesso isolam o tráfego entre nós do Azure e VMs instanciadas pelo cliente. Dispositivos de infraestrutura de rede nos locais de acesso e borda são os pontos de fronteira onde os filtros de entrada e saída se aplicam. Esses roteadores utilizam uma lista de controle de acesso (ACL) em níveis para filtrar o tráfego indesejado da rede e aplicar limites de taxa de tráfego, se necessário. As rotas ACL permitiram o tráfego para os balanceadores de carga. Roteadores de distribuição permitem apenas endereços IP aprovados pela Microsoft, oferecem anti-falsificação e estabelecem conexões TCP que utilizam ACLs.

A Microsoft posiciona dispositivos externos de balanceamento de carga atrás dos roteadores de acesso para realizar a tradução de endereços de rede (NAT) de IPs roteáveis pela internet para IPs internos do Azure. Os dispositivos também encaminham pacotes para IPs e portas internas de produção válidas. Esses dispositivos atuam como um mecanismo de proteção para limitar a exposição do espaço de endereçamento da rede interna de produção.

Por padrão, a Microsoft aplica o Protocolo de Transferência de Hipertexto Seguro (HTTPS) para todo o tráfego transmitido aos navegadores dos clientes, incluindo login e todo o tráfego subsequente. O TLS v1.2 cria um túnel seguro para tráfego. As ACLs nos roteadores de acesso e de núcleo garantem que a origem do tráfego corresponda à origem esperada.

Uma distinção importante nessa arquitetura, quando comparada à arquitetura de segurança tradicional, é que o Azure não possui firewalls de hardware dedicados, dispositivos especializados de detecção ou prevenção de intrusões, ou outros appliances de segurança normalmente esperados antes das conexões ao ambiente de produção do Azure. Os clientes geralmente esperam esses dispositivos firewall de hardware na rede Azure. No entanto, o Azure não emprega esses dispositivos. Quase exclusivamente, esses recursos de segurança estão incorporados ao software que roda o ambiente Azure para fornecer mecanismos de segurança fortes e multicamadas, incluindo capacidades de firewall. Além disso, o software que roda o Azure facilita a gestão e o inventário do limite e da expansão associada dos dispositivos de segurança críticos.

Recursos centrais de segurança e firewall

O Azure implementa recursos fortes de segurança de software e firewall em vários níveis para reforçar recursos de segurança que os clientes normalmente esperam em um ambiente tradicional para proteger o limite central de autorização de segurança.

Recursos de segurança do Azure

O Azure implementa firewalls de software baseados em host dentro da rede de produção. Vários recursos centrais de segurança e firewall residem no ambiente central do Azure. Esses recursos de segurança refletem uma estratégia de defesa aprofundada dentro do ambiente Azure. Os seguintes firewalls protegem os dados dos clientes no Azure:

Firewall do hipervisor (filtro de pacotes): Esse firewall é implementado pelo hipervisor e configurado pelo agente do fabric controller (FC). Esse firewall protege o tenant que roda dentro da VM contra acessos não autorizados. Por padrão, quando uma VM é criada, o Azure bloqueia todo o tráfego, e então o agente FC adiciona regras e exceções no filtro para permitir o tráfego autorizado.

O Azure programa duas categorias de regras:

  • Regras de configuração ou infraestrutura da máquina: Por padrão, o Azure bloqueia toda comunicação. As exceções permitem que uma VM envie e receba comunicações do Protocolo de Configuração Dinâmica de Host (DHCP) e informações de DNS, além de enviar tráfego de saída para a Internet "pública", para outras VMs dentro do cluster FC e para o servidor de ativação do sistema operacional. Como a lista de destinos permitidos das VMs não inclui sub-redes de roteadores do Azure nem outras propriedades da Microsoft, as regras atuam como uma camada de defesa para elas.
  • Regras do arquivo de configuração de funções: Essas regras definem as ACLs de entrada com base no modelo de serviço dos locatários. Por exemplo, se um inquilino tem uma interface web na porta 80 de uma determinada VM, a porta 80 é aberta para todos os endereços IP. Se a VM tiver uma função de trabalho em execução, essa função ficará acessível apenas à VM no mesmo locatário.

Firewall nativo do host: Azure Service Fabric e Armazenamento do Azure rodam em um sistema operacional nativo, que não possui hipervisor e, portanto, os dois conjuntos anteriores de regras configuram o Windows Firewall.

Firewall host: O firewall host protege a partição host, que executa o hipervisor. As regras permitem somente que as jump boxes conversem com a partição do host em uma porta específica. As outras exceções são permitir respostas DHCP e DNS. O Azure usa um arquivo de configuração de máquina, que contém um modelo de regras de firewall para a partição host. Existe também uma exceção de firewall de host que permite que VMs se comuniquem com componentes host, servidor de fios e servidor de metadados, por meio de protocolos e portas específicas.

Firewall convidado: componente do SO convidado, o que pode ser configurado pelo cliente em VMs de cliente e armazenamento Firewall do Windows.

Mais recursos de segurança incorporados às capacidades do Azure incluem:

  • O Azure atribui endereços IP dos DIPs aos componentes de infraestrutura. Um atacante na internet não pode direcionar tráfego para esses endereços porque ele não chegaria à Microsoft. Roteadores gateway de internet filtram pacotes endereçados apenas para endereços internos, para que eles não entrem na rede de produção. Os únicos componentes que aceitam tráfego direcionado para VIPs são os balanceadores de carga.

  • Firewalls implementados em todos os nós internos têm três considerações principais de arquitetura de segurança para qualquer cenário:

    • Firewalls ficam atrás do balanceador de carga e aceitam pacotes de qualquer lugar. Esses pacotes são destinados a serem expostos externamente e corresponderiam às portas abertas em um firewall perimetral tradicional.
    • Firewalls aceitam pacotes apenas de um conjunto limitado de endereços. Essa consideração faz parte da estratégia defensiva de profundidade contra ataques DDoS. Essas conexões são autenticadas criptograficamente.
    • Apenas nós internos selecionados podem acessar firewalls. Eles aceitam pacotes apenas de uma lista enumerada de endereços IP de origem, todos os quais são DIPs dentro da rede Azure. Por exemplo, um ataque à rede corporativa poderia direcionar requisições para esses endereços, mas o Azure bloqueia os ataques, a menos que o endereço de origem do pacote seja um da lista enumerada dentro da rede Azure.
      • O roteador de acesso na borda bloqueia pacotes de saída endereçados a um endereço que está dentro da rede do Azure por causa de suas rotas estáticas configuradas.

Próximas Etapas 

Para saber mais sobre o que a Microsoft faz para proteger a infraestrutura do Azure, veja:

  • Last updated on