Azure-produktionsnätverk

Användarna av Azure-produktionsnätverket omfattar både externa kunder som har åtkomst till sina egna Azure-program och intern Azure-supportpersonal som hanterar produktionsnätverket. I den här artikeln beskrivs metoder för säkerhetsåtkomst och skyddsmekanismer för att upprätta anslutningar till Azure-produktionsnätverket.

Internetroutning och feltolerans

En globalt redundant intern och extern DNS-infrastruktur (Azure Domain Name Service), kombinerad med flera primära och sekundära DNS-serverkluster, ger feltolerans. Azure tillämpar också DDoS-skydd på infrastrukturnivå och andra nätverkssäkerhetskontroller för att skydda mot vanliga DDoS-attacker på nätverkslager och skydda integriteten hos Azure DNS-tjänster.

Azure DNS-servrarna finns på flera datacenteranläggningar. Azure DNS-implementeringen innehåller en hierarki med sekundära och primära DNS-servrar för att offentligt lösa Azure-kunddomännamn. Domännamnen löses vanligtvis till en cloudapp.net adress, som omsluter den virtuella IP-adressen (VIP) för kundens tjänst. Unikt för Azure är att Microsoft lastbalanserare som ansvarar för den VIP:n översätter VIP:n till hyresgästens interna dedikerade IP-adress (DIP).

Microsoft är värd för Azure i geografiskt distribuerade Azure-datacenter inom USA. Azure använder toppmoderna routningsplattformar som implementerar starka, skalbara arkitekturstandarder. Bland de viktigaste funktionerna finns:

  • Multiprotocol Label Switching (MPLS)-baserad trafikteknik, som möjliggör effektiv länkanvändning och smidig försämring av tjänsten vid avbrott.
  • Microsoft implementerar nätverk med "need plus one" (N+1) redundansarkitekturer eller bättre.
  • Utåt används dedikerade nätverksförbindelser med hög bandbredd för datacenter som med redundans ansluter anläggningar till över 1 200 internetleverantörer globalt via flera peeringpunkter. Denna anslutning ger mer än 2 000 gigabyte per sekund (GBps) edgekapacitet.

Eftersom Microsoft äger sina egna nätverkskretsar mellan datacenter hjälper dessa attribut Azure-erbjudandet att uppnå 99,9 + procent nätverkstillgänglighet utan att behöva traditionella internetleverantörer från tredje part.

Anslutning till produktionsnätverk och tillhörande brandväggar

Azure-nätverkets internettrafikflödesprincip dirigerar trafik till Det Azure-produktionsnätverk som finns i närmaste regionala datacenter i USA. Eftersom Azures produktionsdatacenter har konsekvent nätverksarkitektur och maskinvara gäller beskrivningen av trafikflödet som följer konsekvent för alla datacenter.

Efter att internettrafiken för Azure har dirigerats till närmaste datacenter, upprättar trafiken en anslutning till accessroutrarna. Dessa åtkomstroutrar isolerar trafik mellan Azure-noder och kundinstansierade VM:er. Nätverksinfrastrukturenheter vid åtkomst- och kantplatserna är gränspunkterna där in- och utgående filter gäller. Dessa routrar använder en stegad åtkomstkontrolllista (ACL) för att filtrera oönskad nätverkstrafik och tillämpa trafikhastighetsgränser vid behov. ACL-rutterna tillät trafik till lastbalanserarna. Distributionsroutrar tillåter endast Microsoft-godkända IP-adresser, erbjuder anti-spoofing och etablerar TCP-anslutningar som använder ACL.

Microsoft placerar externa lastbalanseringsenheter bakom åtkomstroutrarna för att utföra nätverksadressöversättning (NAT) från internetroutbara IP-adresser till Azure:s interna IP-adresser. Enheterna routar också paket till giltiga produktionsinterna IP-adresser och portar. Dessa enheter fungerar som en skyddsmekanism för att begränsa exponeringen av det interna produktionsnätverksadressutrymmet.

Som standard tillämpar Microsoft Hypertext Transfer Protocol Secure (HTTPS) för all trafik som överförs till kundernas webbläsare, inklusive inloggning och all trafik därefter. TLS v1.2 skapar en säker tunnel för trafik. ACL:er på åtkomst- och kärnroutrar säkerställer att källan till trafiken matchar den förväntade källan.

En viktig skillnad i denna arkitektur, jämfört med traditionell säkerhetsarkitektur, är att Azure saknar dedikerade hårdvarubrandväggar, specialiserade enheter för intrångsdetektering eller förebyggande eller andra säkerhetsapparater som normalt förväntas innan anslutningar görs till Azure:s produktionsmiljö. Kunder förväntar sig vanligtvis dessa hårdvarubrandväggsenheter i Azure-nätverket. Men Azure använder inte dessa enheter. Nästan uteslutande är dessa säkerhetsfunktioner inbyggda i mjukvaran som kör Azure-miljön för att tillhandahålla starka, flerskiktade säkerhetsmekanismer, inklusive brandväggsfunktioner. Dessutom gör mjukvaran som kör Azure gränsen och tillhörande utbredning av kritiska säkerhetsenheter enklare att hantera och inventera.

Grundläggande säkerhets- och brandväggsfunktioner

Azure implementerar starka mjukvarusäkerhets- och brandväggsfunktioner på olika nivåer för att upprätthålla säkerhetsfunktioner som kunder vanligtvis förväntar sig i en traditionell miljö för att skydda den centrala säkerhetsauktorisationsgränsen.

Azure-säkerhetsfunktioner

Azure implementerar värdbaserade programvarubrandväggar i produktionsnätverket. Flera grundläggande säkerhets- och brandväggsfunktioner finns i azure-kärnmiljön. Dessa säkerhetsfunktioner återspeglar en djupskyddsstrategi i Azure-miljön. Följande brandväggar skyddar kunddata i Azure:

Hypervisorbrandvägg (paketfilter): Hypervisorn implementerar denna brandvägg och fabric controller-agenten (FC) konfigurerar den. Den här brandväggen skyddar klientorganisationen som körs i den virtuella datorn från obehörig åtkomst. Som standard, när en VM skapas, blockerar Azure all trafik, och sedan lägger FC-agenten till regler och undantag i filtret för att tillåta auktoriserad trafik.

Azure programmerar två kategorier av regler:

  • Maskinkonfiguration eller infrastrukturregler: Som standard blockerar Azure all kommunikation. Undantag tillåter en VM att skicka och ta emot Dynamic Host Configuration Protocol (DHCP)-kommunikation och DNS-information samt att skicka trafik till det "offentliga" internet utgående till andra VM:er inom FC-klustret och OS-aktiveringsservern. Eftersom VM:ernas tillåtna lista över utgående destinationer inte inkluderar Azure-routersubnät och andra Microsoft-egenskaper, fungerar reglerna som ett skyddslager för dem.
  • Rollkonfigurationsfilregler: Dessa regler definierar de inkommande ACL:erna baserat på hyresgästernas tjänstemodell. Om en klientorganisation till exempel har en webbklientdel på port 80 på en viss virtuell dator öppnas port 80 för alla IP-adresser. Om den virtuella datorn har en arbetsroll igång öppnas arbetsrollen endast för den virtuella datorn i samma hyresgäst.

Inbyggd värdbrandvägg: Azure Service Fabric och Azure Storage körs på ett inbyggt operativsystem, som saknar hypervisor och därför konfigurerar de två föregående regeluppsättningarna Windows-brandväggen.

Värdbrandvägg: Värdbrandväggen skyddar värdpartitionen, som kör hypervisor-programmet. Reglerna tillåter endast FC och jump boxes att kommunicera med värdpartitionen på en specifik port. De andra undantagen är att tillåta DHCP-svar och DNS-svar. Azure använder en datorkonfigurationsfil som innehåller en mall med brandväggsregler för värdpartitionen. Ett undantag för värdbrandväggen finns också som tillåter VM:er att kommunicera med värdkomponenter, trådserver och metadataserver via specifika protokoll och portar.

Gästbrandvägg: Windows-brandväggskomponenten i gästoperativsystemet, som kunder kan konfigurera på kund-VM:ar och lagring.

Fler säkerhetsfunktioner inbyggda i Azure inkluderar:

  • Azure tilldelar IP-adresser från DIPs till infrastrukturkomponenter. En angripare på internet kan inte adressera trafiken till dessa adresser eftersom den inte skulle nå Microsoft. Internet-gateway-routrar filtrerar paket som enbart adresseras till interna adresser, så att de inte går in i produktionsnätverket. De enda komponenter som accepterar trafik som dirigeras till VIP:er är lastbalanserare.

  • Brandväggar som implementeras på alla interna noder har tre huvudsakliga säkerhetsarkitekturöverväganden för varje givet scenario:

    • Brandväggar sitter bakom lastbalanseraren och tar emot paket från var som helst. Dessa paket är avsedda att exponeras externt och motsvarar de öppna portarna i en traditionell perimeterbrandvägg.
    • Brandväggar accepterar endast paket från en begränsad uppsättning adresser. Detta är en del av den defensiva djupgående strategin mot DDoS-attacker. Sådana anslutningar autentiseras kryptografiskt.
    • Endast utvalda interna noder kan komma åt brandväggar. De accepterar endast paket från en uppräknad lista över käll-IP-adresser, som alla är DIP:er i Azure-nätverket. Till exempel kan en attack mot företagsnätverket rikta förfrågningar till dessa adresser, men Azure blockerar attackerna om inte paketets källadress finns i den uppräknade listan inom Azure-nätverket.
      • Åtkomstroutern i perimetern blockerar utgående paket som är adresserade till en adress som finns i Azure-nätverket på grund av dess konfigurerade statiska vägar.

Nästa steg

Mer information om vad Microsoft gör för att skydda Azure-infrastrukturen finns i:

  • Last updated on