Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
O Azure ExpressRoute oferece conectividade privada e de alto desempenho entre sua infraestrutura local e os serviços em nuvem da Microsoft por meio de um provedor de conectividade ou ExpressRoute Direct. Embora o tráfego ExpressRoute não atravesse a internet pública, você ainda precisa proteger roteamento, acesso gerencial, redes virtuais conectadas, monitoramento de dados e caminhos de recuperação.
Este artigo fornece recomendações de segurança para Azure ExpressRoute. Essas recomendações ajudam você a cumprir suas obrigações de segurança e a melhorar a postura geral de segurança da sua implantação. Para uma visão geral dos serviços de segurança de rede do Azure e como eles funcionam juntos, veja O que é segurança de rede do Azure?
As recomendações de segurança neste artigo implementam os princípios de Confiança Zero: "Verificar explicitamente", "Usar acesso de privilégio mínimo" e "Presumir violação". Para obter diretrizes abrangentes sobre Confiança Zero, consulte o Centro de Diretrizes de Confiança Zero.
Segurança de rede
A segurança de rede para o ExpressRoute foca em proteger a conectividade híbrida, limitar caminhos de tráfego e reduzir o efeito de falhas ou configurações incorretas na rede de ponta a ponta.
Configure a criptografia MACsec para ExpressRoute Direct: Ative o MACsec (Media Controle de Acesso Security) nas conexões ExpressRoute Direct para adicionar criptografia de Camada 2 entre seu equipamento de rede e roteadores de borda da Microsoft. Armazene segredos MACsec no Azure Key Vault. Para obter mais informações, consulte Configurar a criptografia MACsec para o ExpressRoute Direct.
Implante gateways ExpressRoute em sub-redes dedicadas: Coloque gateways virtuais ExpressRoute apenas no necessário
GatewaySubnete não implante cargas de trabalho ou grupos de segurança de rede diretamente nessa sub-rede. Proteja as subredes de carga de trabalho separadamente. Para obter mais informações, consulte About ExpressRoute virtual network gateways.Use endereços IP públicos atribuídos automaticamente para gateways ExpressRoute quando suportados: Deixe que o Azure atribua e gerencie automaticamente o endereço IP público padrão para novos gateways virtuais de rede ExpressRoute quando seu cenário suportar o recurso. Essa abordagem reduz a exposição à gestão de IP pública porque o IP público do gateway é gerenciado internamente pela Microsoft e não é exposto a você. Para obter mais informações, consulte About ExpressRoute virtual network gateways.
Controle o tráfego da carga de trabalho com grupos de segurança de rede: Aplique grupos de segurança de rede às sub-redes de carga que recebem tráfego via ExpressRoute. Permita apenas portas, protocolos e prefixos de origem necessários, e negue tráfego de entrada desnecessário. Para obter mais informações, confira Grupos de segurança de rede.
Inspecione o tráfego com o Firewall do Azure ou appliances virtuais de rede: Use o Firewall do Azure ou appliances virtuais de rede aprovados para inspecionar o tráfego entre redes locais e cargas de trabalho do Azure, aplicar regras de aplicação e coletar logs de tráfego. Para obter mais informações, consulte a visão geral do Firewall do Azure.
Segmentar redes conectadas: Use peering de rede virtual, tabelas de roteamento e designs de spions hub para controlar como o tráfego se move entre cargas de trabalho conectadas ao ExpressRoute. A segmentação limita o movimento lateral e ajuda a isolar aplicações sensíveis. Para mais informações, veja Peering de rede virtual e roteamento de tráfego de rede virtual.
Domínios de roteamento de peering separados: Conecte o peering privado à sua rede central e mantenha o tráfego de peering da Microsoft em uma DMZ ou outro perímetro controlado, pois o peering da Microsoft usa endereçamento IP público para serviços em nuvem da Microsoft. Para mais informações, veja Circuitos ExpressRoute e peering.
Revise os caminhos de roteamento e inspeção do FastPath: Ative o FastPath somente após verificar os tipos de circuitos suportados, SKUs de gateway, comportamento de peering de rede virtual, suporte a rotas definidas pelo usuário e limitações do Link Privado para sua arquitetura. Para mais informações, veja Azure ExpressRoute FastPath.
Use o Servidor de Rota do Azure para troca de rotas suportada: Quando você precisar de troca dinâmica de rotas entre gateways ExpressRoute, gateways VPN e appliances virtuais de rede, implante o Servidor de Rota do Azure na mesma rede virtual do ExpressRoute ou gateway VPN. Planeje o tempo de inatividade ao criar ou excluir o Route Server em uma rede virtual que já contém um gateway de rede virtual. Para obter mais informações, consulte o suporte do Servidor de Rota do Azure para ExpressRoute e VPN do Azure.
Use diversos provedores e caminhos quando apropriado: Reduza dependências de provedor único ou caminho único usando diferentes provedores, diferentes locais de peering ou outros caminhos fisicamente diversos para circuitos redundantes. Para mais informações, veja ExpressRoute locais e provedores de conectividade.
Permita o roteamento ativo-ativo em conexões redundantes: opere as conexões primária e secundária de cada circuito ExpressRoute em modo ativo-ativo para que a Microsoft possa balancear cada fluxo de tráfego e redirecionar o tráfego mais rapidamente durante falhas de conexão. Para mais informações, veja Projetar para alta disponibilidade com Azure ExpressRoute.
Gerenciamento de identidade e acesso
Gerenciamento de identidade e acesso para controles ExpressRoute, que podem criar, modificar, monitorar e excluir circuitos, peerings, gateways e recursos relacionados. O ExpressRoute não fornece autenticação baseada em identidade para tráfego de plano de dados porque opera na camada de rede.
Use o Microsoft Entra ID para acesso ao plano de gerenciamento: Aplique uma política de Acesso Condicional que exija autenticação multifator e condições de dispositivo compatível para identidades que podem criar, modificar ou excluir circuitos ExpressRoute, peerings, gateways virtuais de rede, tabelas de roteamento e material de chave MACsec no Azure Key Vault. Para mais informações, veja Exigir MFA para gerenciamento do Azure.
Atribua funções de privilégio mínimo: Conceda apenas as permissões necessárias para gerenciar circuitos ExpressRoute, peerings, gateways, tabelas de rota, configurações de diagnóstico e recursos de rede conectados do ExpressRoute. Evite atribuições amplas de Proprietário ou Contribuinte quando funções mais restritas ou personalizadas forem suficientes. Para mais informações, veja Sobre papéis e permissões para circuitos e gateways ExpressRoute.
Use Microsoft Entra Privileged Identity Management: Tornar o acesso privilegiado aos recursos ExpressRoute elegível e com prazo limitado em vez de permanentemente ativo. Exigir aprovação e justificativa para funções de alto impacto que podem alterar o roteamento ou eliminar recursos de conectividade. Para obter mais informações, consulte Privileged Identity Management.
Funções separadas para operações de rede e segurança: Atribuir diferentes grupos de funções para provisão de circuitos, configuração de peering, gerenciamento de gateway, monitoramento e revisão de segurança. A separação de funções reduz o risco de que uma conta comprometida possa alterar a conectividade e ocultar evidências. Para mais informações, veja Sobre papéis e permissões para circuitos e gateways ExpressRoute.
Proteja segredos MACsec com controles de acesso ao Azure Key Vault: Armazene chaves de associação de conectividade MACsec e nomes de chaves de associação de conectividade no Key Vault, e limite o acesso ao Key Vault a identidades autorizadas que configuram o ExpressRoute Direct. Para obter mais informações, consulte Configurar a criptografia MACsec para o ExpressRoute Direct.
Proteção de dados
A proteção de dados para ExpressRoute foca na proteção das sessões de roteamento, criptografia do tráfego sensível quando necessário e proteção de segredos e telemetria associados à implantação.
Use MACsec para criptografia de link ExpressRoute Direct: Quando você precisar de criptografia de Camada 2 em portas dedicadas ExpressRoute Direct, configure MACsec e gerencie o material de chave de forma segura. Para obter mais informações, consulte Configurar a criptografia MACsec para o ExpressRoute Direct.
Configure a autenticação MD5 para sessões do Border Gateway Protocol quando necessário: Se sua política de roteamento exigir sessões BGP autenticadas, use um hash MD5 para peering privado ou Microsoft para ajudar a validar mensagens do Border Gateway Protocol (BGP) trocadas entre seus roteadores e os roteadores Microsoft Enterprise Edge (MSEE). Para mais informações, confira Requisitos de roteamento do ExpressRoute.
Criptografar o tráfego sensível de aplicações de ponta a ponta: O ExpressRoute oferece conectividade privada, mas não criptografa todo o tráfego por padrão. Use TLS, IPsec ou criptografia em nível de aplicação para dados sensíveis que atravessam o ExpressRoute. Para obter mais informações, consulte Sobre criptografia parado Azure ExpressRoute.
Proteja os destinos de dados diagnósticos: Logs e métricas do ExpressRoute podem revelar topologia, desempenho e detalhes de roteamento. Restringa o acesso a espaços de trabalho do Log Analytics, contas de armazenamento ou hubs de eventos que recebam dados diagnósticos. Para obter mais informações, consulte Gerenciar acesso a espaços de trabalho do Log Analytics.
Evite endpoints privados em Key Vaults usados para segredos MACsec: Armazene chaves de associação de conectividade MACsec e nomes de chaves de associação de conectividade no Key Vault, mas não coloque esse vault atrás de um endpoint privado porque o plano de gerenciamento do ExpressRoute deve recuperar os segredos. Para obter mais informações, consulte Configurar a criptografia MACsec para o ExpressRoute Direct.
Registro e monitoramento
O registro e o monitoramento do ExpressRoute fornecem visibilidade sobre a saúde do circuito, disponibilidade de roteamento, padrões de tráfego, eventos de manutenção e mudanças de configuração.
Ative configurações de diagnóstico para recursos ExpressRoute: Envie logs e métricas de recursos ExpressRoute para Azure Monitor Logs, armazenamento ou hubs de eventos para retenção e análise. Para mais informações, veja Monitorar o ExpressRoute.
Use o Network Insights para topologia e saúde: Use o Network Insights para visualizar circuitos ExpressRoute, ExpressRoute Direct, Global Reach, peerings, conexões, gateways, disponibilidade, throughput e pacotes drops no Azure Monitor sem necessidade de configuração extra. Para mais informações, veja ExpressRoute Network Insights.
Crie alertas para a saúde do circuito e gateway: Configure alertas do Azure Monitor para disponibilidade de ARP, disponibilidade BGP, protocolo de linha, desempenho do gateway, throughput, quedas de pacotes e outras métricas críticas do ExpressRoute. Para mais informações, veja a referência de monitoramento ExpressRoute.
Configure alertas de Service Health para manutenção: Assine as notificações do Integridade do Serviço do Azure para problemas de manutenção planejada e serviço no ExpressRoute, para que as equipes de rede possam se preparar para janelas de manutenção e validar caminhos de failover. Para mais informações, veja Visualizar e configurar alertas de manutenção do ExpressRoute.
Monitore conectividade ponta a ponta: Use as capacidades do Monitor da Conexão ou Observador de Rede para testar a conectividade entre locais locais e cargas de trabalho do Azure via ExpressRoute, e detectar degradação antes que se torne uma queda de energia. Para mais informações, veja Configurar Monitor da Conexão para ExpressRoute.
Colete logs de fluxo amostrados com o ExpressRoute Traffic Collector: Use o ExpressRoute Traffic Collector para amostrar fluxos para peering privado e Microsoft e exportar os registros para Log Analytics, Event Hubs, armazenamento ou um SIEM para análise de tráfego. Para mais informações, veja Azure ExpressRoute Traffic Collector.
Ative logs de fluxo de rede virtual para cargas de trabalho conectadas: Use logs de fluxo de rede virtual em redes virtuais que hospedam cargas de trabalho conectadas ao ExpressRoute para capturar fluxos de IP permitidos e negados, status de criptografia e padrões de tráfego que adicionam contexto aos dados de fluxo de circuitos amostrados do ExpressRoute. Para obter mais informações, confira Logs de fluxo de rede virtual.
Correlacione eventos ExpressRoute no Microsoft Sentinel: Envie logs ExpressRoute e telemetria de rede relacionada para um espaço de trabalho Log Analytics habilitado para Microsoft Sentinel, para que você possa correlacionar eventos de roteamento, firewall, identidade e carga de trabalho no ambiente híbrido. Para obter mais informações, consulte conectores de dados do Microsoft Sentinel.
Conformidade e governança
Conformidade e governança para o ExpressRoute ajudam a manter os recursos de conectividade inventariados, consistentemente configurados e auditáveis em assinaturas e ambientes.
Marque recursos ExpressRoute de forma consistente: Aplique tags a circuitos, gateways, portas ExpressRoute Direct, tabelas de roteamento e recursos relacionados para identificar proprietários, ambientes, classificações de dados e centros de custo. Para mais informações, veja Usar tags para organizar recursos do Azure.
Use o Azure Policy para governança: Use o Azure Policy para auditar ou aplicar configurações de diagnóstico de circuitos do ExpressRoute (use o Enable logging por grupo de categorias para as políticas de circuitos do ExpressRoute para Log Analytics, Event Hub e alvos de armazenamento), locais permitidos de implantação para circuitos e gateways, e requisitos de marcação para o ExpressRoute recursos. Para obter mais informações, consulte as definições internas do Azure Policy para serviços de rede do Azure.
Manter inventários de atribuição de funções e recursos: Revisar regularmente atribuições de funções, funções privilegiadas elegíveis, circuitos, peerings, gateways, conexões, tabelas de roteamento e configurações de diagnóstico. Remova o acesso obsoleto e os recursos não utilizados. Para mais informações, veja Listar atribuições de papéis no Azure.
Rastreie a utilização do circuito e as mudanças de rota: Revise o uso de largura de banda, anúncios de rota, saúde da conexão e mudanças na configuração de peering para identificar riscos de capacidade, atividades incomuns ou desvios de configuração. Para mais informações, veja Monitorar o ExpressRoute.
Documente linhas de roteamento e segurança aprovadas: Mantenha registros atualizados das configurações de circuito, configurações de peering, políticas BGP, filtros de rota, configurações de MACsec, caminhos de firewall e procedimentos de failover para auditoria e resposta a incidentes. Para obter mais informações, consulte Criar e modificar o roteamento de um circuito do ExpressRoute.
Backup e recuperação
Backup e recuperação para ExpressRoute focam em arquitetura resiliente, caminhos de failover testados, configuração recuperável e prontidão para manutenção planejada. Você não pode fazer backup de circuitos ExpressRoute como recursos de dados, então a recuperação depende de conectividade redundante e configuração documentada.
Configure circuitos duplos em locais de peering geograficamente separados: Para máxima resiliência, implante dois circuitos ExpressRoute em locais distintos de peering e anuncie as mesmas rotas on-premises em ambos os circuitos. Esse design reduz a dependência de um único site de peering. Para mais informações, veja Design e arquitetura Azure ExpressRoute para resiliência.
Use a redundância ExpressRoute Direct para portas dedicadas: Projete o ExpressRoute Direct com seu par de portas redundantes e conectividade ativa-ativa, e preserve a diversidade física na sua rede local e nas conexões cruzadas. Para obter mais informações, veja Sobre o ExpressRoute Direct.
Implante gateways ExpressRoute redundantes por zona: Use SKUs de gateway habilitados por zona de disponibilidade, como ErGw1AZ, ErGw2AZ ou ErGw3AZ. Implante o gateway como redundante de zona quando for suportado. Gateways redundantes de zona melhoram a resiliência da conectividade de rede virtual ao ExpressRoute. Para mais informações, veja Criar um gateway virtual de rede redundante por zona.
Migre gateways existentes para SKUs habilitados por zonas de disponibilidade: Para gateways existentes que não são redundantes por zona, planeje uma migração para um SKU de gateway ExpressRoute habilitado por zona de disponibilidade para melhorar a resiliência regional. Para mais informações, veja Sobre migrar para um gateway virtual de rede ExpressRoute habilitado por zona de disponibilidade.
Configure janelas de manutenção controladas pelo cliente para gateways: Atribua configurações de manutenção controladas pelo cliente aos gateways virtuais de rede ExpressRoute quando precisar que a manutenção da plataforma ocorra durante janelas operacionais aprovadas. Para mais informações, veja Configurar manutenção de gateway controlada pelo cliente para ExpressRoute.
Configure backup de VPN site-to-site quando apropriado: Use VPN site-to-site pela internet como backup para peering privado ExpressRoute quando os requisitos de negócio permitirem limites adicionais de latência e largura de banda. Para cargas de trabalho sensíveis à latência, críticas para a missão ou que consomem muita largura de banda, prefira resiliência ExpressRoute multisite. Para mais informações, veja Usar VPN site-to-site como backup para peering privado ExpressRoute.
Configure a Detecção Bidirecional de Encaminhamento em roteadores de borda: Configure a Detecção de Encaminhamento Bidirecional em roteadores de borda do seu cliente ou provedor para peering privado e da Microsoft para acelerar a detecção de falhas de link. O BFD é configurado por padrão no lado da Microsoft para peerings privados e da Microsoft recém-criados. Para obter mais informações, consulte Configurar BFD no ExpressRoute.
Valide o failover durante janelas de manutenção programadas: Teste caminhos primários e secundários, rotee anúncios, comportamento de pre-espera de caminho AS, backup de VPN e circuitos redundantes durante janelas de manutenção aprovadas ou períodos fora de pico. Para mais informações, veja Avaliar a resiliência de circuitos redundantes ExpressRoute em múltiplos locais e Orientação de manutenção planejada para ExpressRoute.
Exporte templates do Azure Resource Manager ou Bicep para recuperação: Exporte templates ou arquivos Bicep do Azure Resource Manager para circuitos, peerings, gateways, filtros de rota, configurações de diagnóstico e recursos relacionados para que você possa reconstruir a configuração após exclusão acidental ou recuperação do ambiente. Para mais informações, veja Exportar templates ARM no portal Azure e Exportar arquivos Bicep no portal Azure.
Use Insights e validação de Resiliência: Use Insights de Resiliência de Rotas ExpressRoute para avaliar a resiliência de rotas, redundância de zonas de gateway, recomendações e prontidão para validação. Realize testes de validação de resiliência regularmente para confirmar que os objetivos de recuperação permanecem alcançáveis. Para obter mais informações, consulte ExpressRoute Resiliency Insights e ExpressRoute Resiliency Validation.