Bewährte Methoden für die Azure-Netzwerksicherheit

In diesem Artikel werden bewährte Methoden zur Verbesserung der Netzwerksicherheit in Azure beschrieben. Microsoft leitete diese Best Practices aus seinen Erfahrungen mit Azure-Netzwerken und den Erfahrungen von Organisationen wie Ihrer ab.

Diese Best Practices stellen eine Konsensmeinung dar und spiegeln die Fähigkeiten und Funktionen der Azure-Plattform wider, wie sie zum Zeitpunkt der Erstellung dieses Artikels existierten. Meinungen und Technologien ändern sich im Laufe der Zeit. Microsoft aktualisiert diesen Artikel regelmäßig, um diese Änderungen widerzuspiegeln.

Dieser Artikel steht im Einklang mit dem Zero Trust-Sicherheitsmodell von Microsoft, das implizites Vertrauen basierend auf dem Netzwerkstandort beseitigt. Informationen zu präskriptiven Sicherheitskontrollen durch Erzwingung von Azure-Richtlinien finden Sie unter Microsoft Cloud Security Benchmark v2 – Netzwerksicherheit.

Verwenden von starken Netzwerksteuerungen

Sie können virtuelle Azure-Computer (VMs) und Appliances mit anderen Geräten im Netzwerk verbinden, indem Sie sie in Azure Virtual Networks anordnen. Dies ist ein Konstrukt, mit dem Sie virtuelle Netzwerkschnittstellenkarten mit einem virtuellen Netzwerk verbinden können, um die TCP/IP-basierte Kommunikation zwischen netzwerkfähigen Geräten zu ermöglichen. Virtuelle Computer, die mit einem Azure Virtual Network verbunden sind, können eine Verbindung mit Geräten im selben virtuellen Netzwerk, anderen virtuellen Netzwerken, im Internet oder sogar in eigenen lokalen Netzwerken herstellen.

Während Sie Ihr Netzwerk und dessen Sicherheit planen, zentralisieren Sie:

  • Kernnetzwerkfunktionen wie ExpressRoute, virtuelle Netzwerk- und Subnetzbereitstellung sowie IP-Adressierung.
  • Verwaltung von Netzwerksicherheitselementen, wie Funktionen virtueller Netzwerk-Appliances.

Wenn Sie gemeinsame Verwaltungstools zum Überwachen Ihres Netzwerks und der Sicherheit Ihres Netzwerks verwenden, erhalten Sie einen klaren Einblick in beide Aspekte. Eine einfache und einheitliche Sicherheitsstrategie sorgt für weniger Fehler, da sie das menschliche Verständnis und die Zuverlässigkeit der Automatisierung erhöht.

  • Verwenden Sie virtuelle Netzwerk-Flussprotokolle für umfassende Verkehrsübersicht Virtuelle Netzwerk-Flussprotokolle bieten zentrale Verkehrstransparenz in Ihrem virtuellen Netzwerk und ersetzen NSG-Flussprotokolle für eine breitere Überwachungsabdeckung. Weitere Informationen finden Sie unter Übersicht über virtuelle Netzwerkflussprotokolle.

Logische Segmentsubnetze

Virtuelle Azure-Netzwerke ähneln einem LAN in Ihrem lokalen Netzwerk. Virtuelle Azure-Netzwerke basieren auf der Idee, ein Netzwerk mit einem einzigen privaten IP-Adressraum zu erstellen, in dem Sie alle virtuellen Azure-Computer anordnen können. Die verfügbaren privaten IP-Adressräume liegen in den Bereichen der Klasse A (10.0.0.0/8), Klasse B (172.16.0.0/12) und Klasse C (192.168.0.0/16).

Zu den bewährten Methoden für die logische Segmentierung von Subnetzen gehören:

  • Weisen Sie keine Zulassungsregeln mit weiten IP-Bereichen zu, wie z. B. das Zulassen von 0.0.0.0 bis 255.255.255.255. Stellen Sie sicher, dass Fehlerbehebungsverfahren diese Art von Regeln verhindern oder verbieten. Diese Zulassungsregeln führen zu einem falschen Gefühl der Sicherheit, und sie werden häufig von Red Teams gefunden und ausgenutzt.

  • Segmentieren Sie den größeren Adressraum in Subnetze. Verwenden Sie CIDR-basierte Subnetzprinzipien, um Ihre Subnetze zu erstellen.

  • Erstellen von Netzwerkzugriffssteuerelementen zwischen Subnetzen. Das Routing zwischen den Subnetzen wird automatisch durchgeführt, und es ist nicht erforderlich, Routingtabellen manuell zu konfigurieren. Standardmäßig existieren keine Netzwerkzugriffskontrollen zwischen den Subnetzen, die du in einem virtuellen Azure-Netzwerk erstellst. Verwenden Sie eine Netzwerksicherheitsgruppe, um sich vor unerwünschtem Datenverkehr in Azure-Subnetze zu schützen. Bei Netzwerksicherheitsgruppen handelt es sich um einfache zustandsbehaftete Paketuntersuchungseinrichtungen. NSGs verwenden den 5-Tupel-Ansatz (Quell-IP, Quellport, Ziel-IP, Zielport und Protokoll), um Regeln für den Netzwerkverkehr zu erlauben oder abzulehnen. Sie können Datenverkehr für eine einzelne IP-Adresse, mehrere IP-Adressen und gesamte Subnetze in beiden Richtungen zulassen oder verweigern.

Bei der Verwendung von Netzwerksicherheitsgruppen für die Netzwerkzugriffssteuerung zwischen Subnetzen können Sie Ressourcen, die derselben Sicherheitszone oder Rolle angehören, in eigenen Subnetzen anordnen.

  • Vermeiden Sie kleine virtuelle Netzwerke und Subnetze, um Einfachheit und Flexibilität zu gewährleisten. Die meisten Organisationen stellen mehr Ressourcen bereit als ursprünglich geplant, und die Umverteilung von Adressen ist arbeitsintensiv. Kleine Subnetze bieten einen begrenzten Sicherheitswert, und die Zuordnung einer Netzwerksicherheitsgruppe zu jedem Subnetz führt zu Overhead. Subnetze umfassend definieren, um Flexibilität für Wachstum zu gewährleisten.

  • Vereinfachen Sie das Regelmanagement von Netzwerksicherheitsgruppen, indem Sie Anwendungssicherheitsgruppen definieren. Definieren Sie eine Anwendungssicherheitsgruppe für Listen von IP-Adressen, von denen Sie glauben, dass sie sich in Zukunft ändern oder in vielen Netzwerksicherheitsgruppen verwendet werden könnten. Nennen Sie Anwendungssicherheitsgruppen klar, damit andere deren Inhalte und Zweck verstehen können.

Einführen eines Zero Trust-Ansatzes

Perimeterbasierte Netzwerke gehen davon aus, dass allen Systemen innerhalb eines Netzwerks Vertrauen zugeschrieben werden. Heutzutage greifen Mitarbeiter jedoch von jedem Ort aus und über unterschiedliche Geräte und Apps auf ihre Organisationsressourcen zu. Dadurch sind Sicherheitskontrollen auf Basis des Umkreises nicht mehr relevant. Zugriffssteuerungsrichtlinien, die nur darauf basieren, wer auf eine Ressource zugreifen kann, sind nicht ausreichend. Um das Gleichgewicht zwischen Sicherheit und Produktivität zu wahren, müssen Sicherheitsadministratoren auch berücksichtigen, wie auf eine Ressource zugegriffen wird.

Netzwerke müssen sich von traditionellen Schutzmaßnahmen weiterentwickeln, da sie möglicherweise anfällig für Sicherheitsverletzungen sind: Ein Angreifer kann einen einzigen Endpunkt innerhalb der vertrauenswürdigen Grenze gefährden und dann schnell im gesamten Netzwerk Fuß fassen. Zero Trust-Netzwerke setzen das Konzept von Vertrauen anhand des Netzwerkstandorts in einem Umkreis außer Kraft. Stattdessen verwenden Zero Trust-Architekturen Vertrauensansprüche für Geräte und Benutzer, um den Zugriff auf Unternehmensdaten und -ressourcen zu steuern. Übernehmen Sie für neue Szenarien Zero Trust-Ansätze, die die Vertrauenswürdigkeit zum Zeitpunkt des Zugriffs überprüfen.

Bewährte Methoden:

  • Gewähren Sie bedingten Zugang zu Ressourcen basierend auf Gerät, Identität, Sicherung, Netzwerkstandort und mehr.Microsoft Entra Conditional Access hilft Ihnen, die richtigen Zugriffskontrollen anzuwenden, indem automatisierte Zugriffskontrollentscheidungen basierend auf den erforderlichen Bedingungen implementiert werden. Weitere Informationen finden Sie unter Verwalten des Zugriffs auf die Azure-Verwaltung mit bedingtem Zugriff.

  • Aktivieren Sie den Port-Zugriff nur nach der Workflow-Genehmigung. Nutzen Sie Just-in-Time-VM-Zugriff in Microsoft Defender for Cloud, um eingehenden Datenverkehr zu Ihren Azure-VMs zu sperren, wodurch die Angriffsanfälligkeit reduziert wird und gleichzeitig ein einfacher Zugriff auf die Verbindung zu VMs bei Bedarf möglich ist. Weitere Informationen finden Sie unter Just-in-Time-VM-Zugriff in Microsoft Defender for Cloud.

  • Verwenden Sie Azure Bastion für sicheren entfernten VM-Zugriff, ohne öffentliche IP-Adressen freizugeben oder eingehende Ports zu öffnen.Azure Bastion bietet eine sichere RDP/SSH-Verbindung direkt über das Azure-Portal über TLS zu Ihren virtuellen Maschinen. Die Azure Bastion Developer SKU ist jetzt kostenlos in mehr als 35 Azure-Regionen verfügbar, was sie ideal für Entwicklungs- und Testszenarien macht. Diese SKU eliminiert die Notwendigkeit von Jump-Boxen oder das Bereitstellen von VMs ins Internet, verringert Ihre Angriffsfläche und vereinfacht den administrativen Zugriff. Für Produktionsarbeitslasten solltest du auf Standard- oder Premium-SKUs upgraden, um zusätzliche Funktionen wie Host-Skalierung und Session-Aufnahme zu erhalten. Siehe Schnellstart: Verbinden Sie sich mit Azure Bastion Developer, um zu beginnen.

  • Gewähren Sie temporäre Berechtigungen zur Durchführung privilegierter Aufgaben. Diese Praxis verhindert, dass böswillige oder unbefugte Nutzer nach Ablauf der Berechtigungen Zugriff erhalten. Gewähren Sie nur den Zugriff, wenn Nutzer ihn benötigen. Nutzen Sie Just-in-Time-Zugriff in Microsoft Entra Privileged Identity Management oder in einer Drittanbieterlösung, um Berechtigungen für privilegierte Aufgaben zu erteilen.

Zero Trust ist der nächste Entwicklungsschritt bei der Netzwerksicherheit. Die Cyberangriffssituation bringt Organisationen dazu, grundsätzlich von Sicherheitsverletzungen auszugehen, aber dieser Ansatz sollte nicht zu Beschränkungen führen. Zero Trust-Netzwerke schützen Unternehmensdaten und -ressourcen und stellen gleichzeitig sicher, dass Organisationen mithilfe von Technologien, mit denen Mitarbeiter jederzeit, überall und auf jede erdenkliche Weise produktiv arbeiten können, ein modernes Unternehmen schaffen können.

Steuern des Routingverhaltens

Wenn Sie einen virtuellen Computer in einem Azure Virtual Network anordnen, kann die VM eine Verbindung mit jeder anderen VM in demselben virtuellen Netzwerk verbinden, auch wenn sich die anderen VMs in unterschiedlichen Subnetzen befinden. Standard-Systemrouten ermöglichen diese Kommunikation. Diese Standardrouten ermöglichen VMs in demselben virtuellen Netzwerk die Initiierung von Verbindungen untereinander und mit dem Internet (gilt nur für ausgehende Kommunikation mit dem Internet).

Obwohl die Standard-Systemrouten für viele Deployment-Szenarien nützlich sind, möchte man manchmal die Routing-Konfiguration für die eigenen Deployments anpassen. Sie können die nächste Hopadresse konfigurieren, um bestimmte Ziele zu erreichen.

Konfigurieren Sie benutzerdefinierte Routen, wenn Sie ein Sicherheitsgerät für ein virtuelles Netzwerk bereitstellen. Diese Empfehlung erscheint in einem späteren Abschnitt mit dem Titel "Sichere deine kritischen Azure-Service-Ressourcen nur aus deinen virtuellen Netzwerken.

Hinweis

Benutzerdefinierte Routen sind nicht erforderlich, und die Standardsystemrouten funktionieren in der Regel.

Verwenden virtueller Network Appliances

Netzwerksicherheitsgruppen und benutzerdefiniertes Routing können ein gewisses Maß an Netzwerksicherheit in der Netzwerk- und der Transportschicht des OSI-Modells bieten. Aber in einigen Situationen wollen oder müssen Sie die Sicherheit auf hohen Ebenen des Stapels aktivieren. In solchen Situationen sollten virtuelle Netzwerksicherheitsappliances bereitgestellt werden, die von Azure-Partnern bereitgestellt werden.

Sicherheitsappliances für Azure-Netzwerke können eine bessere Sicherheit bieten als die auf Netzwerkebene verfügbaren Steuerungen. Netzwerksicherheitsfunktionen, die von Sicherheitsappliances für virtuelle Netzwerke bereitgestellt werden, sind beispielsweise:

  • Firewall
  • Angriffserkennung/Eindringschutz
  • Verwaltung von Sicherheitsrisiken
  • Anwendungssteuerung
  • Netzwerkbasierte Erkennung von Anomalien
  • Webfilterung
  • Virenschutz
  • Botnet-Schutz

Die für ein virtuelles Azure-Netzwerk verfügbaren Sicherheitsappliances finden Sie im Azure Marketplace. Suchen Sie nach den Begriffen „Sicherheit“ und „Netzwerksicherheit“.

Bereitstellen von Umkreisnetzwerken für Sicherheitszonen

Ein Umkreisnetzwerk (auch als DMZ bezeichnet) ist ein physisches oder logisches Netzwerksegment, das als zusätzliche Sicherheitsebene zwischen Ihren Ressourcen und dem Internet dient. Spezielle Geräte für die Netzwerkzugriffssteuerung am Rande eines Umkreisnetzwerks erlauben nur den gewünschten Datenverkehr in Ihrem virtuellen Netzwerk.

Umkreisnetzwerke sind nützlich, da Sie sich bei der Verwaltung, Überwachung, Protokollierung und Berichterstellung für die Netzwerkzugriffssteuerung auf die Geräte am Rand des Azure Virtual Network konzentrieren können. In einem Umkreisnetzwerk aktivieren Sie normalerweise DDoS-Schutz (Distributed Denial of Service), Angriffserkennungs-/Eindringschutzsysteme (IDS/IPS), Firewallregeln und -richtlinien, Webfilterung, Antischadsoftware für das Netzwerk usw. Die Geräte für die Netzwerksicherheit sind zwischen dem Internet und Ihrem Azure Virtual Network angeordnet und verfügen in beiden Netzwerken über eine Schnittstelle.

Obwohl dies der grundlegende Aufbau eines Perimeternetzwerks ist, gibt es viele verschiedene Varianten, darunter „Back-to-Back“, „Tri-Homed“ und „Multihomed“.

Basierend auf dem zuvor erwähnten Zero Trust-Konzept sollten Sie in Erwägung ziehen, für alle hochsicheren Bereitstellungen ein Perimeternetzwerk zu verwenden, um das Maß an Netzwerksicherheit und Zugriffskontrolle für Ihre Azure-Ressourcen zu verbessern. Sie können Azure oder eine Drittanbieterlösung verwenden, um eine zusätzliche Sicherheitsebene zwischen Ihren Ressourcen und dem Internet bereitzustellen:

  • Native Azure-Kontrollen. Azure Firewall und Azure Web Application Firewall bieten grundlegende Sicherheitsvorteile, darunter eine vollständig zustandsbehaftete Firewall als Dienst, integrierte Hochverfügbarkeit, uneingeschränkte Cloud-Skalierbarkeit, FQDN-Filterung, Unterstützung für OWASP-Core-Rule-Sets sowie eine einfache Einrichtung und Konfiguration.
  • Angebote von Drittanbietern. Suchen Sie im Azure Marketplace nach Angeboten für Next-Generation-Firewalls (NGFW) und anderen Drittanbieterangeboten, die vertraute Sicherheitstools und verbesserte Netzwerksicherheit bieten. Die Konfiguration ist möglicherweise komplexer, aber mit einem Angebot eines Drittanbieters können Sie eventuell bereits vorhandene Fähigkeiten und Kenntnisse einsetzen.

Schutz vor DDoS-Angriffen

Der DDoS-Schutz trägt dazu bei, die Verfügbarkeit für über das Internet zugängliche Workloads zu erhalten, indem die Auswirkungen von Volumetric- und Protokollangriffen reduziert werden, bevor sie Ihre öffentlichen Endpunkte überwältigen.

  • Aktivieren Sie den DDoS-Netzwerkschutz in virtuellen Netzwerken mit öffentlich zugänglichen Ressourcen. Wenden Sie DDoS-Netzwerkschutz auf virtuelle Netzwerke an, die öffentliche IP-Ressourcen hosten, damit kritische Workloads von einer ständigen, adaptiven Abstimmung und Antwort profitieren. Weitere Informationen finden Sie in der Übersicht über Azure DDoS Protection.
  • Wählen Sie den DDoS-Schutzplan, der zu Ihrer öffentlichen Belastung passt. Verwenden Sie DDoS Network Protection, wenn Sie mehrere öffentliche IP-Ressourcen in einem virtuellen Netzwerk schützen müssen, und ziehen Sie DDoS IP Protection in Betracht, wenn Sie gezielten Schutz für eine kleinere Anzahl öffentlicher IP-Adressen benötigen. Weitere Informationen finden Sie in der Übersicht über Azure DDoS Protection.
  • Kombinieren Sie DDoS-Schutz mit einer Webanwendungs-Firewall. Kombinieren Sie DDoS-Schutz mit der Azure Web Application Firewall, um volumetrische und protokollbezogene Angriffe auf den Ebenen 3 und 4 zu adressieren und gleichzeitig den Webverkehr der Schicht 7 zu inspizieren. Weitere Informationen finden Sie in der Übersicht über Azure DDoS Protection.
  • Verwenden Sie DDoS-Diagnosen und Warnungen für die Reaktion auf Vorfälle. Streamen Sie DDoS-Telemetrie an Ihre Überwachungstools und konfigurieren Sie Alarme, damit Ihr Sicherheitsteam Angriffe untersuchen und Maßnahmen zur Minderung schnell bestätigen kann. Weitere Informationen finden Sie in der Übersicht über Azure DDoS Protection.

Viele Organisationen haben sich für die Hybrid-IT-Route entschieden. Bei Hybrid-IT befinden sich einige Datenressourcen des Unternehmens in Azure, während andere weiterhin lokal gespeichert sind. In vielen Fällen werden einige Komponenten eines Diensts in Azure ausgeführt, während andere Komponenten weiterhin lokal vorhanden sind.

Bei einem Hybrid-IT-Szenario wird normalerweise eine Art von standortübergreifender Konnektivität verwendet. Standortübergreifende Konnektivität ermöglicht es dem Unternehmen, seine lokalen Netzwerke mit Azure Virtual Networks zu verbinden. Es sind zwei Lösungen für standortübergreifende Konnektivität verfügbar:

  • Site-to-Site-VPN. Dies ist eine vertrauenswürdige, zuverlässige und bewährte Technologie, aber die Verbindung erfolgt über das Internet. Die Bandbreite ist mit einem Maximum von ca. 1,25 GBit/s relativ begrenzt. Site-to-Site-VPN ist in einigen Szenarien eine wünschenswerte Option.
  • Azure ExpressRoute. Verwenden Sie ExpressRoute für Ihre standortübergreifende Konnektivität. ExpressRoute hilft Ihnen, Ihre lokalen Netzwerke über eine private Verbindung, die von einem Konnektivitätsanbieter ermöglicht wird, in die Microsoft-Cloud auszuweiten. Mit ExpressRoute können Sie Verbindungen mit Microsoft Cloud Services wie Azure, Microsoft 365 und Dynamics 365 herstellen. ExpressRoute ist ein dedizierter WAN-Link zwischen Ihrem lokalen Standort und einem Microsoft Exchange-Hostinganbieter. Da diese Verbindung eine Telekommunikationsverbindung ist, übertragen sich Ihre Daten nicht über das Internet, sodass sie nicht den potenziellen Risiken von Internetkommunikation ausgesetzt sind.

Der Standort Ihrer ExpressRoute-Verbindung kann sich auf die Firewall-Kapazität, die Skalierbarkeit, die Zuverlässigkeit und die Sichtbarkeit des Netzwerkdatenverkehrs auswirken. Identifizieren Sie, wo ExpressRoute in bestehenden (On-Premises-)Netzwerken terminiert werden soll. Ihre Möglichkeiten:

  • Führen Sie die Beendigung außerhalb der Firewall aus (Umkreisnetzwerkparadigma). Gehen Sie entsprechend dieser Empfehlung vor, wenn Sie Einblick in den Datenverkehr benötigen, eine vorhandene Methode zur Isolation von Rechenzentren weiter anwenden müssen oder ausschließlich Extranet-Ressourcen in Azure integrieren.
  • Führen Sie die Beendigung innerhalb der Firewall aus (Netzwerkerweiterungsparadigma). Diese Option ist die Standardempfehlung. In allen anderen Fällen sollten Sie Azure als ein weiteres Rechenzentrum betrachten.

Optimieren der Betriebszeit und Leistung

Wenn ein Dienst ausgefallen ist, kannst du keine Informationen abrufen. Wenn die Leistung so schlecht ist, dass die Daten nicht genutzt werden können, werden die Daten als nicht verfügbar angesehen. Aus Sicherheitssicht sollten Sie sicherstellen, dass Ihre Dienste optimale Verfügbarkeit und Leistung haben.

Eine beliebte und effektive Methode zum Verbessern der Verfügbarkeit und Leistung ist der Lastenausgleich. Lastverteilung verteilt den Netzwerkverkehr über Server, die Teil eines Dienstes sind. Verwenden Sie zum Beispiel Lastverteilung, um den Datenverkehr auf mehrere Frontend-Webserver zu verteilen, die Teil Ihres Dienstes sind.

Diese Verkehrsverteilung erhöht die Verfügbarkeit, denn wenn einer der Webserver nicht verfügbar ist, stoppt der Load Balancer das Senden von Datenverkehr zu diesem Server und leitet ihn zu den noch online befindlichen Servern um. Außerdem trägt der Lastenausgleich zur Steigerung der Leistung bei, da der Mehraufwand für den Prozessor, das Netzwerk und den Arbeitsspeicher zum Verarbeiten von Anforderungen auf alle Server mit Lastenausgleich verteilt wird.

Verwenden Sie, wo immer möglich, Lastenausgleich, sofern dies für Ihre Dienste geeignet ist. Es folgen Szenarien sowohl auf der Ebene des Azure Virtual Network als auch auf der globalen Ebene, zusammen mit den jeweiligen Lastausgleichsoptionen.

Szenario: Sie haben eine Anwendung:

  • Bei denen Anforderungen einer Benutzer-/Clientsitzung den gleichen virtuellen Back-End-Computer erreichen müssen. Beispiele hierfür wären Einkaufswagen-Apps und Web-E-Mail-Server.
  • Dabei ist nur eine sichere Verbindung zulässig. Eine unverschlüsselte Kommunikation mit den Servern ist keine zulässige Option.
  • Für die mehrere HTTP-Anforderungen über die gleiche lange bestehende TCP-Verbindung an verschiedene Back-End-Server weitergeleitet werden bzw. für die dort ein Lastenausgleich erfolgen muss.

Option für den Lastenausgleich: Verwenden Sie Azure Application Gateway, einen Lastenausgleich für HTTP-Web-Datenverkehr. Application Gateway unterstützt die End-to-End-TLS-Verschlüsselung und TLS-Terminierung am Gateway. Webserver können dann vom Verschlüsselungs- und Entschlüsselungsaufwand entlastet werden, und datenverkehr kann unverschlüsselt an die Back-End-Server fließen, obwohl End-to-End-TLS der sicherere Standardwert bleibt, wenn die Back-End-Vertraulichkeit wichtig ist.

Szenario: Sie benötigen für eingehende Verbindungen aus dem Internet einen Lastenausgleich zwischen Ihren Servern in einem Azure Virtual Network. Szenarien sind, wenn Sie:

  • Zustandslose Anwendungen haben, die eingehende Anforderungen aus dem Internet akzeptieren.
  • Keine persistenten Sitzungen oder TLS-Auslagerung benötigen. Persistente Sitzungen sind eine Methode, die für den Anwendungslastenausgleich verwendet wird, um die Serveraffinität zu erreichen.

Option für den Lastenausgleich: Verwenden Sie das Azure-Portal, um einen externen Lastenausgleich zu erstellen, der eingehende Anfragen auf mehrere VMs verteilt, um eine höhere Verfügbarkeit zu gewährleisten.

Szenario: Du musst Verbindungen von VMs ausbalancieren, die nicht im Internet sind. In den meisten Fällen werden die Verbindungen, die für den Lastenausgleich akzeptiert werden, von Geräten in einem Azure Virtual Network initiiert, wie z.B. SQL Server-Instanzen oder interne Webserver. Option für den Lastenausgleich: Verwenden Sie das Azure-Portal, um einen internen Lastenausgleich zu erstellen, der eingehende Anfragen auf mehrere VMs verteilt, um eine höhere Verfügbarkeit zu gewährleisten.

Szenario: Sie benötigen globalen Lastenausgleich, da Sie:

  • Haben Sie eine Cloud-Lösung, die weit über mehrere Regionen verteilt ist und die höchstmögliche Betriebszeit (Verfügbarkeit) benötigt.
  • Ein Höchstmaß an Betriebszeit benötigen, um sicherzustellen, dass Ihr Dienst verfügbar ist, auch wenn ein ganzes Rechenzentrum nicht verfügbar ist.

Option für den Lastenausgleich: Verwenden Sie den Azure Traffic Manager. Traffic Manager ermöglicht Ihnen den Lastenausgleich für Verbindungen mit Ihren Diensten basierend auf dem Standort des Benutzers.

Wenn ein Benutzer Ihren Dienst beispielsweise von einem EU-Standort aus anfordert, wird die Verbindung an Ihre Dienste umgeleitet, die in einem EU-Rechenzentrum angeordnet sind. Mit diesem Teil des globalen Lastenausgleichs von Traffic Manager können Sie die Leistung verbessern, da die Herstellung der Verbindung mit dem nächsten Rechenzentrum schneller als die Verbindung mit weit entfernten Rechenzentren möglich ist.

RDP- und SSH-Zugriff auf virtuelle Maschinen deaktivieren

Es ist möglich, mit dem Remotedesktopprotokoll (RDP) und dem Secure Shell-Protokoll (SSH) eine Verbindung mit virtuellen Azure-Computern herzustellen. Diese Protokolle ermöglichen die Remoteverwaltung von VMs und sind Standard im Rechenzentrum.

Das potenzielle Sicherheitsproblem bei der Verwendung dieser Protokolle über das Internet besteht darin, dass Angreifer Brute-Force-Verfahren einsetzen können, um Zugriff auf virtuelle Azure-Computer zu erlangen. Nachdem sich die Angreifer Zugang verschafft haben, können sie Ihre VM als Ausgangspunkt für die Kompromittierung anderer Computer im virtuellen Netzwerk nutzen oder sogar Netzwerkgeräte außerhalb von Azure angreifen.

Deaktiviere den direkten RDP- und SSH-Zugriff auf deine Azure-virtuellen Maschinen aus dem Internet. Nachdem du den direkten RDP- und SSH-Zugriff aus dem Internet deaktiviert hast, nutze andere Optionen, um auf diese VMs für die Fernverwaltung zuzugreifen.

Szenario: Ein Benutzer kann eine Verbindung mit einem Azure Virtual Network über das Internet herstellen. Option: Point-to-Site-VPN ist ein anderer Ausdruck für eine VPN-Client/Server-Verbindung mit Remotezugriff. Nachdem die Punkt-zu-Standort-Verbindung hergestellt wurde, kann der Benutzer RDP oder SSH verwenden, um sich mit allen VMs im virtuellen Azure-Netzwerk zu verbinden, mit denen der Nutzer über Point-to-Site-VPN verbunden war. Diese Verbindung setzt voraus, dass der Benutzer berechtigt ist, diese VMs zu erreichen.

Eine Point-to-Site-VPN-Verbindung ist sicherer als direkte RDP- oder SSH-Verbindungen, da sich der Benutzer zweimal authentifizieren muss, bevor er die Verbindung mit einer VM herstellen kann. Zunächst muss sich der Benutzer authentifizieren (und berechtigt sein), um die Point-to-Site-VPN-Verbindung herzustellen. Danach muss sich der Benutzer authentifizieren (und berechtigt sein), um die RDP- oder SSH-Sitzung zu erstellen.

Szenario: Ermöglichen Sie es Benutzern in Ihrem lokalen Netzwerk, sich mit VMs in Ihrem Azure Virtual Network zu verbinden. Option: Über eine Site-to-Site-VPN-Verbindung wird ein gesamtes Netzwerk über das Internet mit einem anderen Netzwerk verbunden. Sie können eine Site-to-Site-VPN-Verbindung verwenden, um Ihr lokales Netzwerk mit einem Azure Virtual Network zu verbinden. Benutzer in Ihrem lokalen Netzwerk verbinden sich über das RDP- oder SSH-Protokoll über die Site-to-Site-VPN-Verbindung. Sie müssen keinen direkten RDP- oder SSH-Zugriff über das Internet ermöglichen.

Szenario: Verwenden Sie eine dedizierte WAN-Verbindung, um Funktionalität bereitzustellen, die der Site-to-Site-VPN-Verbindung ähnelt. Option: Verwenden Sie ExpressRoute. ExpressRoute bietet Funktionen ähnlich wie das Site-to-Site-VPN. Im Folgenden werden die Hauptunterschiede erläutert:

  • Die dedizierte WAN-Verbindung verläuft nicht über das Internet.
  • Dedizierte WAN-Verbindungen sind in der Regel stabiler und leistungsfähiger.

Sichern Sie Ihre kritischen Azure-Dienstressourcen ausschließlich über Ihre virtuellen Netzwerke

Verwenden Sie Azure Private Link, um über einen privaten Endpunkt in Ihrem virtuellen Netzwerk auf Azure PaaS-Dienste wie Azure Storage und SQL Database zuzugreifen. Private Endpunkte beschränken den Zugriff auf Ihre kritischen Azure-Serviceressourcen auf Ihre virtuellen Netzwerke. Der Datenverkehr aus Ihrem virtuellen Netzwerk an den Azure-Dienst verbleibt immer im Backbone-Netzwerk von Microsoft Azure. Die Bereitstellung Ihres virtuellen Netzwerks für das öffentliche Internet ist nicht mehr notwendig, um Azure PaaS-Dienste zu nutzen.

Azure Private Link bietet folgende Vorteile:

  • Verbessern Sie die Sicherheit Ihrer Azure-Serviceressourcen. Mit Azure Private Link können Sie Azure-Dienstressourcen über private Endpunkte für Ihr virtuelles Netzwerk absichern. Die Sicherung von Serviceressourcen an einem privaten Endpunkt in einem virtuellen Netzwerk verbessert die Sicherheit, indem der öffentliche Internetzugang zu Ressourcen entfernt und Verkehr nur noch von privaten Endpunkten in Ihrem virtuellen Netzwerk zulässt.
  • Greifen Sie privat auf Azure-Serviceressourcen auf der Azure-Plattform zu. Verbinden Sie Ihr virtuelles Netzwerk mit Diensten in Azure, indem Sie private Endpunkte verwenden. Du brauchst keine öffentliche IP-Adresse. Die Private Link-Plattform behandelt die Konnektivität zwischen Verbrauchern und Diensten über das Azure Backbone-Netzwerk.
  • Zugang zu Diensten von lokalen und peerbasierten Netzwerken. Greifen Sie mithilfe privater Endpunkte von On-Premises über ExpressRoute-Privatpeering, VPN-Tunnel und gekoppelte virtuelle Netzwerke auf in Azure ausgeführte Dienste zu. Sie müssen ExpressRoute nicht Microsoft Peering konfigurieren oder das Internet durchlaufen, um den Dienst zu erreichen. Private Link ist eine sichere Möglichkeit, um Workloads zu Azure zu migrieren.
  • Schützen Sie sich gegen Datenlecks. Ein privater Endpunkt wird einer Instanz einer PaaS-Ressource zugeordnet, anstatt dem gesamten Service. Verbraucher können nur eine Verbindung mit der jeweiligen Ressource herstellen, und der Zugriff auf jede andere Ressource im Dienst wird blockiert. Dieses Mapping bietet Schutz vor Datenleckrisiken.
  • Erweitern Sie den privaten Zugang über Regionen hinweg. Verbinden Sie sich privat mit Diensten, die in anderen Regionen laufen. Das virtuelle Netzwerk des Verbrauchers kann sich in Region A befinden und eine Verbindung mit Diensten in Region B herstellen.
  • Vereinfacht die Bereitstellung und den Betrieb privater Endgeräte. Sie benötigen keine reservierten öffentlichen IP-Adressen mehr in Ihren virtuellen Netzwerken, um Azure-Ressourcen über eine IP-Firewall zu sichern. Man braucht keine NAT- oder Gateway-Geräte, um private Endpunkte einzurichten. Private Endpunkte werden über einen einfachen Workflow konfiguriert, und auf der Serviceseite können Sie auch Verbindungsanfragen auf Ihrer Azure-Service-Ressource problemlos verwalten. Azure Private Link funktioniert für Verbraucher und Dienste, die zu verschiedenen Microsoft Entra-Tenants gehören.
  • Deaktiviere den öffentlichen Netzwerkzugriff, nachdem du private Endpunkte aktiviert hast. Wenn ein Dienst dies unterstützt, schalten Sie den öffentlichen Netzwerkzugang aus, nachdem Sie die Verbindung des privaten Endpunkts überprüft haben, sodass die Ressource nur den Datenverkehr über genehmigte private Pfade akzeptiert. Weitere Informationen finden Sie unter Azure Private Link.
  • Entwickle private DNS-Zonen pro Dienst. Verwenden Sie für jeden Azure-Dienst die empfohlene private DNS-Zone und verknüpfen Sie diese Zone mit den virtuellen Netzwerken, die Ihre privaten Endpunkte hosten, damit die Namensauflösung konsistent bleibt. Weitere Informationen finden Sie unter Private DNS-Zonenwerte von Azure Private Endpoint.
  • Wenden Sie NSGs auf Subnetze mit privaten Endpunkten an, wo sie unterstützt werden. Aktivieren Sie Netzwerkrichtlinien für private Endpunkte und verwenden Sie NSGs im Hosting-Subnetz, um Ost-West- und Inbound-Filteranforderungen für unterstützte Szenarien durchzusetzen. Weitere Informationen finden Sie unter Verwalten von Netzwerkrichtlinien für private Endpunkte.
  • Verwenden Sie Network Security Perimeter für die verwaltete Netzwerkisolation. Bewerten Sie Network Security Perimeter, wenn Sie eine neuere verwaltete Isolationsgrenze für PaaS-Ressourcen benötigen, die die öffentliche Exposition reduziert, ohne sich nur auf IP-basierte Einschränkungen zu verlassen. Weitere Informationen finden Sie unter Netzwerksicherheitsperimeterkonzepte.

Weitere Informationen zu privaten Endpunkten und den Azure Diensten und Regionen, für die private Endpunkte verfügbar sind, finden Sie unter Azure Private Link.

Nächste Schritte

  • Last updated on