Melhores práticas de segurança de rede no Azure

Este artigo discute uma coleção de práticas recomendadas do Azure para aprimorar a segurança da rede. A Microsoft derivou estas melhores práticas da sua experiência com redes Azure e das experiências de organizações como a sua.

Estas melhores práticas representam uma opinião consensual e refletem as capacidades e conjuntos de funcionalidades da plataforma Azure tal como existiam na altura em que este artigo foi escrito. As opiniões e tecnologias mudam ao longo do tempo. A Microsoft atualiza este artigo regularmente para refletir essas alterações.

Este artigo está alinhado com o modelo de segurança Confiança Zero da Microsoft, que elimina a confiança implícita baseada na localização da rede. Para controlos de segurança prescritivos com aplicação de políticas Azure, consulte Microsoft Cloud Security Benchmark v2 - Network Security.

Use controles de rede fortes

Você pode conectar máquinas virtuais (VMs) e dispositivos do Azure a outros dispositivos em rede colocando-os em redes virtuais do Azure. Ou seja, você pode conectar placas de interface de rede virtual a uma rede virtual para permitir comunicações baseadas em TCP/IP entre dispositivos habilitados para rede. As máquinas virtuais conectadas a uma rede virtual do Azure podem se conectar a dispositivos na mesma rede virtual, redes virtuais diferentes, na Internet ou em suas próprias redes locais.

Ao planear a sua rede e a sua segurança, centralize:

  • Funções de rede central como ExpressRoute, provisão de redes virtuais e sub-redes, e endereçamento IP.
  • Gestão de elementos de segurança de rede, como funções de dispositivos virtuais de rede.

Se utilizar um conjunto comum de ferramentas de gestão para monitorizar a sua rede e a segurança da sua rede, obterá uma visibilidade clara de ambas. Uma estratégia de segurança simples e unificada reduz os erros porque aumenta a compreensão humana e a confiabilidade da automação.

  • Use registos virtuais de fluxo de rede para uma visibilidade abrangente do tráfego Os registos de fluxo de rede virtual proporcionam visibilidade centralizada do tráfego em toda a sua rede virtual e substituem os registos de fluxo NSG por uma cobertura de monitorização mais ampla. Para mais informações, consulte a visão geral dos registos de fluxo de rede virtual.

Segmentar sub-redes logicamente

As redes virtuais do Azure são semelhantes às LANs na sua rede local. A ideia por trás de uma rede virtual do Azure é que você crie uma rede, com base em um único espaço de endereço IP privado, na qual você pode colocar todas as suas máquinas virtuais do Azure. Os espaços de endereços IP privados disponíveis estão nos intervalos Classe A (10.0.0.0/8), Classe B (172.16.0.0/12) e Classe C (192.168.0.0/16).

As práticas recomendadas para segmentar sub-redes logicamente incluem:

  • Não atribuas regras de permitir com intervalos amplos, como permitir de 0.0.0.0 a 255.255.255.255. Assegure que os procedimentos de resolução de problemas desencorajem ou proíbam a criação deste tipo de regras. Estas regras permitem que conduzam a uma falsa sensação de segurança e são frequentemente encontradas e exploradas por equipas vermelhas.

  • Segmente o espaço de endereçamento maior em sub-redes. Utilize princípios de subdivisão em sub-redes baseados em CIDR para criar as suas sub-redes.

  • Crie controlos de acesso à rede entre sub-redes. O roteamento entre sub-redes acontece automaticamente e você não precisa configurar manualmente as tabelas de roteamento. Por defeito, não existem controlos de acesso à rede entre as sub-redes que crias numa rede virtual do Azure. Use um grupo de segurança de rede para proteger contra tráfego não solicitado para sub-redes do Azure. Os grupos de segurança de rede (NSGs) são dispositivos de inspeção de pacotes simples e com monitoração de estado. Os NSG utilizam a abordagem dos 5 tuplos (IP de origem, porta de origem, IP de destino, porta de destino e protocolo) para criar regras para permitir ou negar tráfego de rede. Você permite ou nega tráfego de e para um único endereço IP, de e para vários endereços IP ou de e para sub-redes inteiras.

Ao usar grupos de segurança de rede para controle de acesso à rede entre sub-redes, você pode colocar recursos que pertencem à mesma zona de segurança ou função em suas próprias sub-redes.

  • Evite pequenas redes virtuais e sub-redes para garantir simplicidade e flexibilidade. A maioria das organizações adiciona mais recursos do que o inicialmente planeado, e a realocação de endereços é trabalhoso. Sub-redes pequenas acrescentam valor de segurança limitado, e mapear um grupo de segurança de rede para cada sub-rede acrescenta sobrecarga. Defina sub-redes de forma ampla para garantir flexibilidade para o crescimento.

  • Simplifique a gestão de regras dos grupos de segurança de rede definindo grupos de segurança de aplicações. Defina um grupo de segurança de aplicações para listas de endereços IP que acha que podem mudar no futuro ou ser usados em vários grupos de segurança de rede. Nomeie claramente os grupos de segurança das aplicações para que outros possam compreender o seu conteúdo e propósito.

Adote uma abordagem Confiança Zero

As redes baseadas em perímetros operam sob a suposição de que todos os sistemas dentro de uma rede são de confiança. Mas os funcionários de hoje acessam os recursos de sua organização de qualquer lugar em vários dispositivos e aplicativos, o que torna os controles de segurança de perímetro irrelevantes. As políticas de controle de acesso que se concentram apenas em quem pode acessar um recurso não são suficientes. Para dominar o equilíbrio entre segurança e produtividade, os administradores de segurança também precisam considerar como um recurso está sendo acessado.

As redes precisam evoluir das defesas tradicionais porque podem ser vulneráveis a violações: um invasor pode comprometer um único dispositivo dentro do limite confiável e, em seguida, ganhar rapidamente um ponto de apoio em toda a rede. As redes Confiança Zero eliminam o conceito de confiança com base na localização da rede dentro de um perímetro. Em vez disso, as arquiteturas Confiança Zero usam declarações de confiança de dispositivo e usuário para bloquear o acesso a dados e recursos organizacionais. Para novas iniciativas, adote abordagens Confiança Zero que validem a confiança no momento do acesso.

As melhores práticas são:

  • Dê Acesso Condicional a recursos com base no dispositivo, identidade, garantia, localização da rede e mais.O Acesso Condicional do Microsoft Entra ajuda-o a aplicar os controlos de acesso corretos, implementando decisões automáticas de controlo de acesso baseadas nas condições exigidas. Para obter mais informações, consulte Gerir o acesso à gestão do Azure com Acesso Condicional.

  • Ative o acesso à porta apenas após aprovação do fluxo de trabalho. Utilize o acesso just-in-time às VMs no Microsoft Defender para a Cloud para restringir o tráfego de entrada para as suas VMs do Azure, reduzindo a exposição a ataques e permitindo um acesso fácil para estabelecer ligação às VMs quando necessário. Para mais informações, consulte Acesso a VM just-in-time em Microsoft Defender para a Cloud.

  • Use o Azure Bastion para acesso remoto seguro a VMs sem expor endereços IP públicos ou abrir portas de entrada.O Azure Bastion fornece conectividade RDP/SSH segura às suas máquinas virtuais diretamente através do portal Azure via TLS. O Azure Bastion Developer SKU está agora disponível sem custos adicionais em mais de 35 regiões do Azure, tornando-o ideal para cenários de desenvolvimento/teste. Este SKU elimina a necessidade de jump boxes ou de expor VMs à internet, reduzindo a sua superfície de ataque e simplificando o acesso administrativo. Para cargas de trabalho de produção, atualize para SKUs Standard ou Premium para funcionalidades adicionais como escalonamento do host e gravação de sessões. Consulte o Quickstart: Ligue-se ao Azure Bastion Developer para começar.

  • Conceder permissões temporárias para realizar tarefas privilegiadas. Esta prática impede que utilizadores maliciosos ou não autorizados tenham acesso após o término das permissões. Conceda acesso apenas quando os utilizadores precisarem. Utilize o acesso just-in-time no Microsoft Entra Privileged Identity Management ou numa solução de terceiros para conceder permissões para executar tarefas com privilégios.

Confiança Zero é a próxima evolução na segurança de rede. O estado dos ataques cibernéticos leva as organizações a adotarem a mentalidade de "assumir violação", mas essa abordagem não deve ser limitante. As redes Confiança Zero protegem os dados e recursos corporativos enquanto garantem que as organizações possam construir um local de trabalho moderno usando tecnologias que capacitam os funcionários a serem produtivos a qualquer hora, em qualquer lugar e de qualquer forma.

Controlar o comportamento de roteamento

Quando você coloca uma máquina virtual em uma rede virtual do Azure, a VM pode se conectar a qualquer outra VM na mesma rede virtual, mesmo que as outras VMs estejam em sub-redes diferentes. As rotas padrão do sistema tornam esta comunicação possível. Essas rotas padrão permitem que VMs na mesma rede virtual iniciem conexões entre si e com a Internet (apenas para comunicações de saída para a Internet).

Embora as rotas padrão do sistema sejam úteis em muitos cenários de implantação, por vezes queres personalizar a configuração de roteamento para as tuas implementações. Você pode configurar o endereço do próximo salto para alcançar destinos específicos.

Configure rotas definidas pelo utilizador ao implementar um dispositivo de segurança para uma rede virtual. Esta recomendação aparece numa secção posterior intitulada proteger os seus recursos críticos do serviço Azure apenas a partir das suas redes virtuais.

Nota

As rotas definidas pelo usuário não são necessárias, e as rotas padrão do sistema geralmente funcionam.

Usar dispositivos de rede virtual

Os grupos de segurança de rede e o roteamento definido pelo usuário podem fornecer uma certa medida de segurança de rede nas camadas de rede e transporte do modelo OSI. Mas, em algumas situações, é necessário ou desejável activar a segurança em níveis elevados da pilha. Nessas situações, implemente dispositivos virtuais de segurança de rede fornecidos pelos parceiros Azure.

Os dispositivos de segurança de rede do Azure podem oferecer uma segurança melhor do que a fornecida pelos controles no nível da rede. Os recursos de segurança de rede dos dispositivos de segurança de rede virtual incluem:

  • Implementação de firewall
  • Deteção de intrusão/prevenção de intrusão
  • Gestão de vulnerabilidades
  • Controlo de aplicações
  • Deteção de anomalias baseada em rede
  • Filtragem Web
  • Antivírus
  • Proteção contra botnet

Para encontrar os dispositivos de segurança de rede virtual do Azure disponíveis, vá para o Azure Marketplace e procure por "segurança" e "segurança de rede".

Implantar redes de perímetro para zonas de segurança

Uma rede de perímetro (também conhecida como DMZ) é um segmento de rede física ou lógica que fornece uma camada extra de segurança entre seus ativos e a Internet. Dispositivos especializados de controle de acesso à rede na borda de uma rede de perímetro permitem apenas o tráfego desejado em sua rede virtual.

As redes de perímetro são úteis porque você pode concentrar o gerenciamento, o monitoramento, o registro em log e a geração de relatórios do controle de acesso à rede nos dispositivos na borda da rede virtual do Azure. Uma rede de perímetro é onde você normalmente habilita a proteção distribuída contra negação de serviço (DDoS), sistemas de deteção de intrusão/prevenção de invasões (IDS/IPS), regras e políticas de firewall, filtragem da Web, antimalware de rede e muito mais. Os dispositivos de segurança de rede ficam entre a Internet e sua rede virtual do Azure e têm uma interface em ambas as redes.

Embora este seja o design básico de uma rede perimetral, existem muitos designs diferentes, como back-to-back, tri-homeed e multihomed.

Com base no conceito Confiança Zero mencionado anteriormente, considere usar uma rede perimetral para todas as implementações de alta segurança, de modo a melhorar o nível de segurança de rede e controlo de acessos para os seus recursos Azure. Você pode usar o Azure ou uma solução de terceiros para fornecer uma camada extra de segurança entre seus ativos e a Internet:

  • Controles nativos do Azure. Azure Firewall e Firewall de Aplicações Web do Azure oferecem vantagens básicas de segurança, incluindo um firewall totalmente com estado como serviço, alta disponibilidade incorporada, escalabilidade irrestrita na cloud, filtragem FQDN, suporte para conjuntos de regras core OWASP e configuração simples.
  • Ofertas de terceiros. Pesquise no Azure Marketplace por firewall de próxima geração (NGFW) e outras ofertas de terceiros que fornecem ferramentas de segurança familiares e níveis aprimorados de segurança de rede. A configuração pode ser mais complexa, mas uma oferta de terceiros pode permitir que você use os recursos e conjuntos de habilidades existentes.

Proteger contra ataques DDoS

A proteção DDoS ajuda a preservar a disponibilidade para cargas de trabalho orientadas para a internet, reduzindo o impacto de ataques volumétricos e de protocolo antes que sobrecarreguem os seus endpoints públicos.

  • Ative a Proteção de Rede DDoS em redes virtuais com recursos públicos. Aplicar a Proteção de Rede DDoS a redes virtuais que alojam recursos IP públicos para que cargas de trabalho críticas beneficiem de uma afinação e resposta adaptativas sempre ativas. Para obter mais informações, consulte Visão geral da Proteção contra DDoS do Azure.
  • Escolha o plano de proteção DDoS que corresponda à sua exposição pública. Use a Proteção de Rede DDoS quando precisar de proteger múltiplos recursos IP públicos numa rede virtual, e considere a Proteção DDoS de IP quando precisar de proteção direcionada para um número menor de endereços IP públicos. Para obter mais informações, consulte Visão geral da Proteção contra DDoS do Azure.
  • Adicione uma camada de proteção DDoS com um firewall de aplicações web. Combine DDoS Protection com o Firewall de Aplicações Web do Azure para lidar com ataques volumétricos e de protocolo nas camadas 3 e 4, ao mesmo tempo que se inspeciona o tráfego web da camada 7. Para obter mais informações, consulte Visão geral da Proteção contra DDoS do Azure.
  • Use diagnósticos e alertas DDoS para resposta a incidentes. Transmita telemetria DDoS para as suas ferramentas de monitorização e configure alertas para que a sua equipa de segurança possa investigar ataques e confirmar rapidamente as ações de mitigação. Para obter mais informações, consulte Visão geral da Proteção contra DDoS do Azure.

Muitas organizações escolheram a rota de TI híbrida. Com a TI híbrida, alguns dos ativos de informações da empresa estão no Azure e outros permanecem no local. Em muitos casos, alguns componentes de um serviço estão em execução no Azure, enquanto outros componentes permanecem no local.

Em um cenário de TI híbrido, geralmente há algum tipo de conectividade entre locais. A conectividade entre locais permite que a empresa conecte suas redes locais às redes virtuais do Azure. Duas soluções de conectividade entre locais estão disponíveis:

  • VPN de site para site. É uma tecnologia de confiança, fiável e estabelecida, mas a conexão ocorre pela Internet. A largura de banda é limitada a um máximo de cerca de 1,25 Gbps. A VPN site a site é uma opção desejável em alguns cenários.
  • Azure ExpressRoute. Utilize o ExpressRoute para a sua conectividade entre instalações. O ExpressRoute ajuda-o a expandir as suas redes locais para a cloud da Microsoft através de uma ligação privada facilitada por um fornecedor de conectividade. Com a Rota Expressa, você pode estabelecer conexões com serviços de nuvem da Microsoft, como Azure, Microsoft 365 e Dynamics 365. O ExpressRoute é um link WAN dedicado entre seu local local ou um provedor de hospedagem do Microsoft Exchange. Como esta ligação é uma ligação telecom, os seus dados não viajam pela internet, por isso não estão expostos aos potenciais riscos das comunicações na internet.

O local da conexão da Rota Expressa pode afetar a capacidade do firewall, a escalabilidade, a confiabilidade e a visibilidade do tráfego de rede. Identificar onde terminar o ExpressRoute em redes existentes (on-premises). Pode:

  • Terminar fora do firewall (o paradigma da rede de perímetro). Use esta recomendação se precisar de visibilidade do tráfego, se precisar continuar uma prática existente de isolamento de datacenters ou se estiver apenas colocando recursos de extranet no Azure.
  • Termine dentro do firewall (o paradigma de extensão de rede). Esta opção é a recomendação padrão. Em todos os outros casos, trate o Azure como outro centro de dados.

Otimize a disponibilidade e o desempenho

Se um serviço estiver em baixo, não pode aceder à informação. Se o desempenho for tão fraco que os dados não possam ser utilizados, você poderá considerá-los inacessíveis. Do ponto de vista da segurança, assegure que os seus serviços têm um tempo de funcionamento e desempenho ótimos.

Um método popular e eficaz para melhorar a disponibilidade e o desempenho é o balanceamento de carga. O balanceamento de carga distribui o tráfego de rede entre servidores que fazem parte de um serviço. Por exemplo, use o balanceamento de carga para distribuir o tráfego entre múltiplos servidores web front-end que fazem parte do seu serviço.

Esta distribuição de tráfego aumenta a disponibilidade porque, se um dos servidores web ficar indisponível, o balanceador de carga deixa de enviar tráfego para esse servidor e redireciona-o para os servidores que ainda estão online. O balanceamento de carga também ajuda no desempenho, porque a sobrecarga do processador, da rede e da memória para atender solicitações é distribuída em todos os servidores com balanceamento de carga.

Use o balanceamento de carga sempre que puder, conforme apropriado para os seus serviços. A seguir estão os cenários no nível de rede virtual do Azure e no nível global, juntamente com opções de balanceamento de carga para cada um.

Cenário: Você tem um aplicativo que:

  • É necessário que as solicitações da mesma sessão de utilizador/cliente alcancem a mesma máquina virtual de back-end. Exemplos disso são aplicativos de carrinho de compras e servidores de web mail.
  • Aceita apenas uma conexão segura, portanto, a comunicação não criptografada com o servidor não é uma opção aceitável.
  • Requer que várias solicitações HTTP na mesma conexão TCP de longa duração sejam roteadas ou balanceadas de carga para diferentes servidores back-end.

Opção de balanceamento de carga: use o Gateway de Aplicações do Azure, um balanceador de carga para tráfego web HTTP. O Application Gateway suporta criptografia TLS de ponta a ponta e terminação TLS no gateway. Os servidores web podem assim ser libertados da sobrecarga de encriptação e descifração, e o tráfego pode fluir sem encriptação para os servidores back-end, embora o TLS de ponta a ponta continue a ser o padrão mais seguro quando a confidencialidade back-end é importante.

Cenário: Você precisa balancear a carga de conexões de entrada da Internet entre seus servidores localizados em uma rede virtual do Azure. Os cenários são aqueles em que:

  • Ter aplicativos sem estado que aceitam solicitações de entrada da Internet.
  • Não exija sessões adesivas ou descarregamento de TLS. As sessões adesivas são um método usado com o balanceamento de carga de aplicação, para alcançar afinidade com um servidor específico.

Opção de balanceamento de carga: use o portal do Azure para criar um balanceador de carga externo que distribui solicitações de entrada em várias VMs para fornecer um nível mais alto de disponibilidade.

Cenário: Precisas de balancear a carga das ligações de VMs que não estão na internet. Na maioria dos casos, as conexões aceitas para balanceamento de carga são iniciadas por dispositivos em uma rede virtual do Azure, como instâncias do SQL Server ou servidores Web internos. Opção de balanceamento de carga: use o portal do Azure para criar um balanceador de carga interno que distribui solicitações de entrada em várias VMs para fornecer um nível mais alto de disponibilidade.

Cenário: Você precisa de balanceamento de carga global porque:

  • Tenha uma solução cloud amplamente distribuída por várias regiões e que exija o mais alto nível possível de disponibilidade.
  • Precisa do mais alto nível de disponibilidade possível para garantir que o seu serviço esteja disponível mesmo que um datacenter inteiro fique indisponível.

Opção de balanceamento de carga: use o Gerenciador de Tráfego do Azure. O Traffic Manager possibilita o balanceamento de carga das conexões com seus serviços com base na localização do usuário.

Por exemplo, se o utilizador fizer um pedido ao seu serviço a partir da UE, a ligação é direcionada para os seus serviços localizados num centro de dados da UE. Essa parte do balanceamento de carga global do Gerenciador de Tráfego ajuda a melhorar o desempenho porque a conexão com o datacenter mais próximo é mais rápida do que a conexão com datacenters distantes.

Desativar o acesso RDP e SSH às máquinas virtuais

É possível aceder às máquinas virtuais do Azure com o protocolo RDP (Ambiente de Trabalho Remoto Protocol) e com o protocolo SSH (Secure Shell). Estes protocolos ativam as VMs de gestão a partir de localizações remotas e são o padrão na computação de datacenters.

O potencial problema de segurança com o uso desses protocolos pela Internet é que os invasores podem usar técnicas de força bruta para obter acesso às máquinas virtuais do Azure. Após os atacantes obterem acesso, podem utilizar a VM como um ponto de partida para comprometer outros computadores na rede virtual ou até mesmo atacar dispositivos em redes fora do Azure.

Desative o acesso direto RDP e SSH às suas máquinas virtuais Azure a partir da internet. Depois de desativar o acesso direto RDP e SSH a partir da internet, use outras opções para aceder a estas VMs para gestão remota.

Cenário: permita que um único usuário se conecte a uma rede virtual do Azure pela Internet. Opção: VPN ponto-a-site é outro termo para uma conexão cliente/servidor de acesso remoto via VPN. Depois de estabelecida a ligação ponto-para-local, o utilizador pode usar RDP ou SSH para se ligar a quaisquer VMs localizadas na rede virtual Azure à qual se tenha ligado através de VPN ponto-para-local. Esta ligação assume que o utilizador está autorizado a aceder a essas VMs.

A VPN ponto a site é mais segura do que conexões RDP ou SSH diretas porque o usuário precisa se autenticar duas vezes antes de se conectar a uma VM. Primeiro, o usuário precisa se autenticar (e ser autorizado) para estabelecer a conexão VPN ponto a site. Em segundo lugar, o usuário precisa autenticar (e ser autorizado) para estabelecer a sessão RDP ou SSH.

Cenário: permita que os usuários em sua rede local se conectem a VMs em sua rede virtual do Azure. Opção: Uma VPN site a site conecta uma rede inteira a outra rede pela Internet. Você pode usar uma VPN site a site para conectar sua rede local a uma rede virtual do Azure. Os usuários em sua rede local se conectam usando o protocolo RDP ou SSH pela conexão VPN site a site. Você não precisa permitir acesso direto RDP ou SSH pela internet.

Cenário: use um link WAN dedicado para fornecer funcionalidade semelhante à VPN site-a-site. Opção: Use a Rota Expressa. O ExpressRoute oferece funcionalidades semelhantes à VPN site-to-site. As principais diferenças são:

  • O link WAN dedicado não atravessa a internet.
  • Os links WAN dedicados são normalmente mais estáveis e têm um melhor desempenho.

Proteja os seus recursos críticos de serviço Azure apenas das suas redes virtuais

Use o Azure Private Link para aceder a serviços Azure PaaS, como Armazenamento do Azure e SQL Database, através de um endpoint privado na sua rede virtual. Endpoints privados restringem o acesso aos seus recursos críticos de serviços Azure às suas redes virtuais. O tráfego da sua rede virtual para o serviço do Azure permanece sempre na rede de backbone do Microsoft Azure. Expor a sua rede virtual à internet pública já não é necessário para consumir os serviços PaaS do Azure.

O Azure Private Link fornece os seguintes benefícios:

  • Melhore a segurança dos seus recursos de serviço Azure. Ao usar o Azure Private Link, pode proteger os recursos dos serviços Azure na sua rede virtual usando endpoints privados. Proteger recursos de serviço para um endpoint privado numa rede virtual melhora a segurança ao remover o acesso público à internet aos recursos e permitir tráfego apenas a partir de endpoints privados na sua rede virtual.
  • Aceda de forma privada aos recursos dos serviços do Azure na plataforma Azure. Ligue a sua rede virtual a serviços no Azure usando endpoints privados. Não precisas de um endereço IP público. A plataforma Private Link gere a conectividade entre consumidores e serviços através da rede Azure backbone.
  • Aceda a serviços a partir de redes locais e emparelhadas. Aceda a serviços em execução no Azure a partir das instalações locais através do emparelhamento privado do ExpressRoute, de túneis VPN e de redes virtuais emparelhadas, utilizando pontos finais privados. Não precisas de configurar o peering ExpressRoute Microsoft nem de atravessar a internet para aceder ao serviço. O Private Link fornece uma maneira segura de migrar cargas de trabalho para o Azure.
  • Proteja-se contra fugas de dados. Um endpoint privado é mapeado para uma instância de um recurso PaaS em vez de para o serviço completo. Os consumidores só podem ligar-se ao recurso específico, e o acesso a qualquer outro recurso do serviço é bloqueado. Este mapeamento oferece proteção contra riscos de fuga de dados.
  • Estender o acesso privado entre regiões. Ligue-se de forma privada a serviços em funcionamento noutras regiões. A rede virtual do consumidor pode estar na região A e ligar-se a serviços na região B.
  • Simplificar a implementação e operações em endpoints privados. Já não precisa de endereços IP públicos reservados nas suas redes virtuais para proteger os recursos do Azure através de um firewall IP. Não precisas de dispositivos NAT ou gateways para configurar endpoints privados. Os endpoints privados são configurados através de um fluxo de trabalho simples e, do lado do serviço, também pode gerir pedidos de ligação no seu recurso de serviço Azure com facilidade. O Azure Private Link funciona para consumidores e serviços que pertencem a diferentes inquilinos do Microsoft Entra.
  • Desative o acesso à rede pública após ativar os endpoints privados. Quando um serviço o suporta, desligue o acesso à rede pública depois de validar a conectividade do endpoint privado para que o recurso aceite tráfego apenas através de caminhos privados aprovados. Para obter mais informações, consulte Azure Private Link.
  • Desenhe zonas DNS privadas por serviço. Use a zona DNS privada recomendada para cada serviço Azure e ligue essa zona às redes virtuais que alojam os seus endpoints privados para que a resolução dos nomes se mantenha consistente. Para obter mais informações, consulte Valores da zona DNS privado do Ponto Final Privado do Azure.
  • Aplicar NSGs em sub-redes de pontos finais privados quando tal for suportado. Ative políticas de rede para pontos finais privados e utilize NSGs na sub-rede de alojamento para aplicar os requisitos de filtragem este-oeste e de tráfego de entrada nos cenários suportados. Para obter mais informações, consulte Gerir políticas de rede para endpoints privados.
  • Use o Perímetro de Segurança de Rede para isolamento de rede gerido. Avalie o Perímetro de Segurança de Rede quando precisar de um limite de isolamento gerido mais recente para recursos PaaS que reduza a exposição pública sem depender apenas de restrições baseadas em IP. Para mais informações, consulte os conceitos do Perímetro de Segurança de Rede.

Para mais informações sobre endpoints privados e os Azure serviços e regiões para os quais estes estão disponíveis, consulte Azure Private Link.

Próximos passos

  • Last updated on