Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
O Azure ExpressRoute fornece conectividade privada e de alto desempenho entre a sua infraestrutura local e os serviços cloud da Microsoft através de um fornecedor de conectividade ou ExpressRoute Direct. Embora o tráfego ExpressRoute não atravesse a internet pública, ainda precisa de garantir o encaminhamento, o acesso de gestão, redes virtuais ligadas, dados de monitorização e caminhos de recuperação.
Este artigo fornece recomendações de segurança para Azure ExpressRoute. Estas recomendações ajudam-no a cumprir as suas obrigações de segurança e a melhorar a postura geral de segurança da sua implantação. Para uma visão geral dos serviços de segurança de rede da Azure e de como funcionam em conjunto, veja O que é a segurança de rede do Azure?
As recomendações de segurança neste artigo implementam os princípios do Confiança Zero: "Verificar explicitamente", "Usar acesso com privilégios mínimos" e "Assumir violação". Para obter orientações abrangentes sobre Confiança Zero, consulte o Centro de Orientação Confiança Zero.
Segurança de rede
A segurança de rede para o ExpressRoute foca-se na proteção da conectividade híbrida, limitação dos caminhos de tráfego e redução do efeito de falhas ou configurações incorretas na rede de ponta a ponta.
Configure a encriptação MACsec para ExpressRoute Direct: Ative o MACsec (Media Controlo de Acesso Security) nas ligações ExpressRoute Direct para adicionar encriptação de Camada 2 entre o seu equipamento de rede e os routers edge da Microsoft. Armazene segredos MACsec no Azure Key Vault. Para obter mais informações, consulte Configurar a criptografia MACsec para o ExpressRoute Direct.
Implante gateways ExpressRoute em sub-redes dedicadas: Coloque gateways virtuais ExpressRoute apenas no necessário
GatewaySubnet, e não implante cargas de trabalho ou grupos de segurança de rede diretamente nessa subrede. Proteja as subredes de carga de trabalho separadamente. Para mais informações, consulte About ExpressRoute virtual network gateways.Use endereços IP públicos atribuídos automaticamente para gateways ExpressRoute sempre que suportados: Deixe o Azure atribuir e gerir automaticamente o endereço IP público Standard para novos gateways virtuais ExpressRoute quando o seu cenário suportar a funcionalidade. Esta abordagem reduz a exposição à gestão de IP pública porque o IP público do gateway é gerido internamente pela Microsoft e não está exposto a si. Para mais informações, consulte About ExpressRoute virtual network gateways.
Controlar o tráfego da carga de trabalho com grupos de segurança de rede: Aplicar grupos de segurança de rede a sub-redes de carga de trabalho que recebem tráfego através do ExpressRoute. Permitir apenas portas, protocolos e prefixos de origem necessários, e negar tráfego de entrada desnecessário. Para obter mais informações, consulte Grupos de segurança de rede.
Inspecione o tráfego com o Azure Firewall ou appliances virtuais de rede: Use o Azure Firewall ou appliances virtuais de rede aprovados para inspecionar o tráfego entre redes locais e cargas de trabalho Azure, aplicar regras de aplicação e recolher registos de tráfego. Para obter mais informações, consulte Visão geral do Firewall do Azure.
Redes conectadas por segmentos: Utilize peering de rede virtual, tabelas de roteamento e designs de spions hub para controlar como o tráfego se move entre cargas de trabalho ligadas ao ExpressRoute. A segmentação limita o movimento lateral e ajuda a isolar aplicações sensíveis. Para mais informações, consulte Peering de rede virtual e encaminhamento de tráfego de rede virtual.
Domínios de encaminhamento de peering separados: Ligue o peering privado à sua rede central e mantenha o tráfego de peering da Microsoft numa DMZ ou outro perímetro controlado porque o peering da Microsoft usa endereçamento IP público para os serviços cloud da Microsoft. Para mais informações, consulte Circuitos ExpressRoute e peering.
Revise os caminhos de roteamento e inspeção do FastPath: Ative o FastPath apenas depois de verificar os tipos de circuitos suportados, SKUs de gateway, comportamento de peering de rede virtual, suporte de rotas definidas pelo utilizador e limitações do Private Link para a sua arquitetura. Para mais informações, consulte Azure ExpressRoute FastPath.
Use o Azure Route Server para troca de rotas suportada: Quando precisar de troca dinâmica de rotas entre gateways ExpressRoute, gateways VPN e appliances virtuais de rede, implemente o Azure Route Server na mesma rede virtual que o ExpressRoute ou gateway VPN. Planeie o tempo de inatividade quando criar ou eliminar o Route Server numa rede virtual que já contém um gateway de rede virtual. Para obter mais informações, consulte Suporte do Azure Route Server para ExpressRoute e Azure VPN.
Utilize fornecedores e caminhos diversos quando apropriado: Reduza as dependências de fornecedor único ou caminho único utilizando diferentes fornecedores, diferentes localizações de peering ou outros caminhos fisicamente diversos para circuitos redundantes. Para mais informações, consulte ExpressRoute localizações e fornecedores de conectividade.
Permitir o encaminhamento ativo-ativo em ligações redundantes: Operar as ligações primária e secundária de cada circuito ExpressRoute em modo ativo-ativo para que a Microsoft possa equilibrar cada fluxo de tráfego e redirecionar o tráfego mais rapidamente durante falhas de ligação. Para mais informações, consulte Designing for high availability with Azure ExpressRoute.
Gestão de identidade e acesso
Gestão de identidade e acesso para controlos ExpressRoute que podem criar, modificar, monitorizar e eliminar circuitos, peerings, gateways e recursos relacionados. O ExpressRoute não fornece autenticação baseada em identidade para o tráfego do plano de dados porque opera na camada de rede.
Use o Microsoft Entra ID para acesso ao plano de gestão: Aplique uma política de Acesso Condicional que exija autenticação multifator e condições de dispositivo compatível para identidades que podem criar, modificar ou eliminar circuitos ExpressRoute, peerings, gateways virtuais de rede, tabelas de rotas e material de chave MACsec no Azure Key Vault. Para mais informações, consulte Exigir MFA para gestão do Azure.
Atribuir funções de privilégio mínimo: Conceda apenas as permissões necessárias para gerir circuitos ExpressRoute, peerings, gateways, tabelas de rotas, definições de diagnóstico e recursos de rede conectados. Evite atribuições amplas de Proprietário ou Contribuidor quando funções mais restritas ou personalizadas forem suficientes. Para mais informações, consulte Sobre funções e permissões para circuitos e gateways ExpressRoute.
Utilizar Microsoft Entra Privileged Identity Management: Tornar o acesso privilegiado aos recursos ExpressRoute elegível e com prazos limitados em vez de permanentemente ativo. Exigir aprovação e justificação para funções de alto impacto que possam alterar o encaminhamento ou eliminar recursos de conectividade. Para mais informações, consulte Gestão de Identidade Privilegiada.
Funções separadas para operações de rede e segurança: Atribuir diferentes grupos de funções para provisão de circuitos, configuração de peering, gestão de gateway, monitorização e revisão de segurança. A separação de funções reduz o risco de uma conta comprometida alterar a conectividade e ocultar provas. Para mais informações, consulte Sobre funções e permissões para circuitos e gateways ExpressRoute.
Proteja segredos MACsec com controlos de acesso Azure Key Vault: Armazene as chaves de associação de conectividade MACsec e os nomes das chaves de associação de conectividade no Key Vault, e limite o acesso ao Key Vault a identidades autorizadas que configurem o ExpressRoute Direct. Para obter mais informações, consulte Configurar a criptografia MACsec para o ExpressRoute Direct.
Proteção de dados
A proteção de dados para o ExpressRoute foca-se na proteção das sessões de encaminhamento, encriptação do tráfego sensível quando necessário e proteção de segredos e telemetria associados à implementação.
Use MACsec para encriptação de links ExpressRoute Direct: Quando necessitar de encriptação de Camada 2 em portas dedicadas ExpressRoute Direct, configure MACsec e gere o material de chave de forma segura. Para obter mais informações, consulte Configurar a criptografia MACsec para o ExpressRoute Direct.
Configure a autenticação MD5 para sessões do Border Gateway Protocol quando necessário: Se a sua política de roteamento exigir sessões BGP autenticadas, utilize um hash MD5 para peering privado ou Microsoft para ajudar a validar as mensagens do Border Gateway Protocol (BGP) trocadas entre os seus routers e os routers Microsoft Enterprise Edge (MSEE). Para obter mais informações, consulte Requisitos de roteamento da Rota Expressa.
Encriptar o tráfego sensível de aplicações de ponta a ponta: O ExpressRoute fornece conectividade privada, mas não encripta todo o tráfego por defeito. Use TLS, IPsec ou encriptação ao nível de aplicação para dados sensíveis que atravessam o ExpressRoute. Para obter mais informações, consulte Sobre a criptografia para o Azure ExpressRoute.
Proteger os destinos de dados de diagnóstico: Os registos e métricas do ExpressRoute podem revelar topologia, desempenho e detalhes de roteamento. Restrinja o acesso a espaços de trabalho do Log Analytics, contas de armazenamento ou hubs de eventos que recebam dados de diagnóstico. Para obter mais informações, consulte Gerenciar o acesso a espaços de trabalho do Log Analytics.
Evite endpoints privados nos Key Vaults usados para segredos MACsec: Armazene as chaves de associação de conectividade MACsec e os nomes das chaves de associação de conectividade no Key Vault, mas não coloque esse vault atrás de um endpoint privado porque o plano de gestão do ExpressRoute tem de recuperar os segredos. Para obter mais informações, consulte Configurar a criptografia MACsec para o ExpressRoute Direct.
Registo e monitorização
O registo e monitorização do ExpressRoute fornecem visibilidade sobre o estado do circuito, disponibilidade de roteamento, padrões de tráfego, eventos de manutenção e alterações de configuração.
Ative as definições de diagnóstico para recursos ExpressRoute: Envie logs e métricas de recursos ExpressRoute para Azure Monitor Logs, armazenamento ou hubs de eventos para retenção e análise. Para mais informações, consulte Monitorizar ExpressRoute.
Use o Network Insights para topologia e saúde: Use o Network Insights para visualizar circuitos ExpressRoute, ExpressRoute Direct, Global Reach, peerings, ligações, gateways, disponibilidade, throughput e pacotes drops no Azure Monitor sem necessidade de configuração adicional. Para mais informações, consulte ExpressRoute Network Insights.
Crie alertas para a saúde do circuito e gateway: Configure alertas do Azure Monitor para disponibilidade de ARP, disponibilidade BGP, protocolo de linha, desempenho do gateway, throughput, quebras de pacotes e outras métricas críticas do ExpressRoute. Para mais informações, consulte a referência de monitorização ExpressRoute.
Configure alertas de Service Health para manutenção: Subscreva as notificações do Azure Service Health para problemas de manutenção planeada e serviço no ExpressRoute, para que as equipas de rede possam preparar-se para janelas de manutenção e validar caminhos de failover. Para mais informações, consulte Visualizar e configurar alertas de manutenção do ExpressRoute.
Monitorize a conectividade de ponta a ponta: Use capacidades do Monitor de Ligação ou Observador de Rede para testar a conectividade entre locais locais e cargas de trabalho Azure via ExpressRoute, e para detetar degradação antes que se torne uma falha. Para mais informações, consulte Configurar Monitor de Ligação para ExpressRoute.
Recolha registos de fluxo amostrados com o ExpressRoute Traffic Collector: Use o ExpressRoute Traffic Collector para amostrar fluxos para peering privado e Microsoft e exportar os registos para Log Analytics, Event Hubs, armazenamento ou um SIEM para análise de tráfego. Para mais informações, consulte Azure ExpressRoute Traffic Collector.
Ative registos de fluxo de rede virtual para cargas de trabalho conectadas: Use registos de fluxo de rede virtual em redes virtuais que alojam cargas de trabalho ligadas ao ExpressRoute para capturar fluxos IP permitidos e negados, estados de encriptação e padrões de tráfego que adicionam contexto aos dados de fluxo do circuito ExpressRoute amostrados. Para obter mais informações, consulte Logs de fluxo de rede virtual.
Correlacione eventos ExpressRoute no Microsoft Sentinel: Envie logs ExpressRoute e telemetria de rede relacionada para um espaço de trabalho Log Analytics ativado para Microsoft Sentinel, para que possa correlacionar eventos de roteamento, firewall, identidade e carga de trabalho através do ambiente híbrido. Para obter mais informações, consulte Conectores de dados do Microsoft Sentinel.
Conformidade e governança
A conformidade e a governação do ExpressRoute ajudam a manter os recursos de conectividade inventariados, consistentemente configurados e auditáveis em subscrições e ambientes.
Marque os recursos ExpressRoute de forma consistente: Aplique etiquetas a circuitos, gateways, portas ExpressRoute Direct, tabelas de roteamento e recursos relacionados para identificar proprietários, ambientes, classificações de dados e centros de custos. Para mais informações, consulte Usar etiquetas para organizar recursos do Azure.
Use o Azure Policy para governação: Use o Azure Policy para auditar ou aplicar definições de diagnóstico de circuitos do ExpressRoute (use o Enable logging por grupo de categorias para as políticas de circuitos ExpressRoute para Log Analytics, Event Hub e alvos de armazenamento), localizações de implementação permitidas para circuitos e gateways, e requisitos de etiquetagem para o ExpressRoute recursos. Para obter mais informações, consulte Definições internas da Política do Azure para serviços de rede do Azure.
Manter inventários de atribuição de funções e recursos: Rever regularmente atribuições de funções, funções privilegiadas elegíveis, circuitos, peerings, gateways, ligações, tabelas de roteamento e definições de diagnóstico. Remover o acesso obsoleto e os recursos não utilizados. Para mais informações, consulte Listar atribuições de funções no Azure.
Acompanhar a utilização do circuito e as alterações de rota: Analise o uso de largura de banda, anúncios de rota, saúde da ligação e alterações na configuração de peering para identificar riscos de capacidade, atividades invulgares ou desvios de configuração. Para mais informações, consulte Monitorizar ExpressRoute.
Documentar as linhas de encaminhamento aprovadas e de segurança: Manter registos atualizados das definições de circuitos, configurações de peering, políticas BGP, filtros de rota, definições MACsec, caminhos de firewall e procedimentos de failover para auditoria e resposta a incidentes. Para obter mais informações, veja Criar e modificar o encaminhamento de um circuito do ExpressRoute.
Backup e recuperação
O backup e recuperação do ExpressRoute focam-se na arquitetura resiliente, caminhos de failover testados, configuração recuperável e prontidão para manutenção planeada. Não podes fazer backup dos circuitos ExpressRoute como recursos de dados, por isso a recuperação depende da conectividade redundante e da configuração documentada.
Configure circuitos duplos em locais de peering geograficamente separados: Para máxima resiliência, implemente dois circuitos ExpressRoute em locais de peering distintos e anuncie as mesmas rotas on-premises em ambos os circuitos. Este design reduz a dependência de um único site de peering. Para mais informações, consulte Design and architect Azure ExpressRoute para resiliência.
Use a redundância ExpressRoute Direct para portas dedicadas: Projete o ExpressRoute Direct com o seu par de portas redundantes e conectividade ativo-ativa, e preserve a diversidade física na sua rede local e nas ligações cruzadas. Para obter mais informações, veja Sobre o ExpressRoute Direct.
Implementar gateways ExpressRoute redundantes por zona: Utilize SKUs de gateway habilitados por zona de disponibilidade, como ErGw1AZ, ErGw2AZ ou ErGw3AZ. Implemente o gateway como redundante de zona onde for suportado. Gateways redundantes por zona melhoram a resiliência à conectividade de rede virtual ao ExpressRoute. Para mais informações, consulte Criar um gateway virtual de rede redundante por zona.
Migre gateways existentes para SKUs habilitados por zonas de disponibilidade: Para gateways existentes que não são redundantes por zona, planeie uma migração para um SKU de gateway ExpressRoute habilitado por zona de disponibilidade para melhorar a resiliência regional. Para mais informações, consulte Sobre migrar para um gateway virtual ExpressRoute com zona de disponibilidade.
Configure janelas de manutenção controladas pelo cliente para gateways: Atribua configurações de manutenção controladas pelo cliente aos gateways virtuais de rede ExpressRoute quando precisar que a manutenção da plataforma ocorra durante janelas operacionais aprovadas. Para mais informações, consulte Configurar a manutenção do gateway controlado pelo cliente para o ExpressRoute.
Configure backups de VPN site-to-site quando apropriado: Use VPN site-to-site pela internet como backup para peering privado ExpressRoute quando os requisitos empresariais permitem os limites adicionais de latência e largura de banda. Para cargas de trabalho sensíveis à latência, críticas para a missão ou que consumem largura de banda, prefira resiliência ExpressRoute multisite. Para mais informações, consulte Usar VPN site-to-site como backup para peering privado ExpressRoute.
Configure a Deteção de Encaminhamento Bidirecional em routers de borda: Configure a Deteção de Encaminhamento Bidirecional nos routers de borda do seu cliente ou fornecedor para peering privado e Microsoft, para acelerar a deteção de falhas de ligação. O BFD está configurado por defeito do lado da Microsoft para peerings privados e Microsoft recém-criados. Para obter mais informações, consulte Configurar a BFD através do ExpressRoute.
Validar o failover durante as janelas de manutenção programadas: Testar caminhos primários e secundários, encaminhar anúncios, comportamento de pré-espera de caminhos AS, backup da VPN e circuitos redundantes durante janelas de manutenção aprovadas ou períodos fora de ponta. Para mais informações, consulte Avaliar a resiliência dos circuitos redundantes ExpressRoute em múltiplos locais e Orientação de manutenção planeada para ExpressRoute.
Exporte templates do Azure Resource Manager ou Bicep para recuperação: Exporte templates do Azure Resource Manager ou ficheiros Bicep para circuitos, peerings, gateways, filtros de rota, definições de diagnóstico e recursos relacionados para que possa reconstruir a configuração após eliminação acidental ou recuperação do ambiente. Para mais informações, consulte Exportar templates ARM no portal Azure e Exportar ficheiros Bicep no portal Azure.
Use o Resiliency Insights e validação: Use o ExpressRoute Resiliency Insights para avaliar a resiliência da rota, redundância da zona gateway, recomendações e prontidão para validação. Realize regularmente testes de validação de resiliência para confirmar que os objetivos de recuperação permanecem alcançáveis. Para obter mais informações, consulte ExpressRoute Resiliency Insights e ExpressRoute Resiliency Validation.