Azure-Produktionsnetzwerk

Zu den Nutzern des Azure-Produktionsnetzwerks gehören sowohl externe Kunden, die auf ihre eigenen Azure-Anwendungen zugreifen, als auch interne Azure Support-Mitarbeiter, die das Produktionsnetzwerk verwalten. Dieser Artikel behandelt die Sicherheitszugriffsmethoden und Schutzmechanismen zur Einrichtung von Verbindungen zum Azure-Produktionsnetzwerk.

Internetleitung und Fehlertoleranz

Eine global redundante interne und externe Azure Domain Name Service (DNS)-Infrastruktur, kombiniert mit mehreren primären und sekundären DNS-Serverclustern, bietet Fehlertoleranz. Azure setzt außerdem DDoS-Schutz auf Infrastrukturebene und andere Netzwerksicherheitskontrollen ein, um häufige DDoS-Angriffe auf Netzwerkebene abzuwehren und die Integrität von Azure DNS-Diensten zu schützen.

Die Azure DNS-Server befinden sich an mehreren Rechenzentrumsanlagen. Die Azure DNS-Implementierung integriert eine Hierarchie von sekundären und primären DNS-Servern, um Azure-Kundendomainnamen öffentlich aufzulösen. Die Domänennamen werden in der Regel in eine cloudapp.net-Adresse aufgelöst, die die virtuelle IP-Adresse (VIP) für den Dienst des Kunden umschließt. Eine Besonderheit von Azure ist, dass die Microsoft-Load-Balancer, die für diese VIP verantwortlich sind, die VIP-Adresse in die interne dedizierte IP-Adresse (DIP) des Mandanten übersetzen.

Microsoft hostet Azure in geografisch verteilten Azure-Rechenzentren in den USA. Azure verwendet modernste Routing-Plattformen, die starke, skalierbare Architekturstandards implementieren. Zu den bemerkenswerten Merkmalen gehören:

  • Multiprotocol Label Switching (MPLS)-basierte Verkehrstechnik, die eine effiziente Linknutzung und eine reibungslose Verschlechterung des Dienstes im Falle eines Ausfalls ermöglicht.
  • Microsoft implementiert Netzwerke mit "Bedarf plus Eins" (N+1)-Redundanzarchitekturen oder besser.
  • Extern bedienen dedizierte, hochbandbreite Netzwerkkreise Rechenstellen, die Immobilien redundant mit über 1.200 Internetdienstanbietern weltweit an mehreren Peering-Punkten verbinden. Diese Verbindung bietet mehr als 2.000 Gigabyte pro Sekunde (GBps) Edge-Kapazität.

Da Microsoft eigene Netzwerkverbindungen zwischen Rechenzentren besitzt, helfen diese Eigenschaften dem Azure-Angebot, eine Netzwerkverfügbarkeit von 99,9+ Prozent ohne traditionelle Drittanbieter-Internetdienstanbieter zu erreichen.

Verbindung zum Produktionsnetzwerk und zugehörigen Firewalls

Die Azure-Netzwerk-Internetverkehrsflussrichtlinie leitet den Datenverkehr an das Azure-Produktionsnetzwerk um, das sich im nächstgelegenen regionalen Rechenzentrum in den USA befindet. Da die Azure-Produktionsrechenzentren eine konsistente Netzwerkarchitektur und Hardware pflegen, gilt die folgende Verkehrsflussbeschreibung einheitlich für alle Rechenstellen.

Nachdem der Internetverkehr für Azure zum nächstgelegenen Rechenzentrum weitergeleitet wurde, stellt der Datenverkehr eine Verbindung zu den Zugangsroutern her. Diese Zugangsrouter isolieren den Datenverkehr zwischen Azure-Knoten und kundeninstanziierten VMs. Netzwerkinfrastrukturgeräte an den Zugriffs- und Randstandorten sind die Grenzpunkte, an denen Ein- und Ausgangsfilter angewendet werden. Diese Router verwenden eine gestufte Zugriffskontrollliste (ACL), um unerwünschten Netzwerkverkehr zu filtern und gegebenenfalls Verkehrsratenbegrenzungen anzuwenden. Die ACL leitet zulässigen Datenverkehr an die Load Balancer weiter. Verteilungsrouter erlauben nur von Microsoft genehmigte IP-Adressen, bieten Anti-Spoofing und stellen TCP-Verbindungen her, die ACLs verwenden.

Microsoft platziert externe Lastausgleichsgeräte hinter den Zugangsroutern, um Netzwerkadressübersetzungen (NAT) von internetroutbaren IPs zu Azure-internen IPs durchzuführen. Die Geräte leiten Pakete auch an gültige interne Produktions-IPs und Ports weiter. Diese Geräte dienen als Schutzmechanismus, um die Exposition des internen Produktionsnetzwerkadressraums zu begrenzen.

Standardmäßig erzwingt Microsoft Hypertext Transfer Protocol Secure (HTTPS) für den gesamten Datenverkehr, der an die Webbrowser der Kunden übertragen wird, einschließlich der Anmeldung und des gesamten darauf folgenden Datenverkehrs. TLS v1.2 erstellt einen sicheren Tunnel für den Datenverkehr. ACLs auf Zugriffs- und Kernroutern stellen sicher, dass die Quelle des Verkehrs mit der erwarteten Quelle übereinstimmt.

Ein wichtiger Unterschied bei dieser Architektur im Vergleich zur traditionellen Sicherheitsarchitektur ist, dass Azure keine dedizitierten Hardware-Firewalls, keine spezialisierten Eindringerkennungs- oder -präventionsgeräte oder andere Sicherheitsgeräte hat, die normalerweise vor der Verbindung zur Azure-Produktionsumgebung erwartet werden. Kunden erwarten in der Regel diese Hardware-Firewall-Geräte im Azure-Netzwerk. Allerdings verwendet Azure diese Geräte nicht. Fast ausschließlich sind diese Sicherheitsfunktionen in die Software integriert, die die Azure-Umgebung betreibt, um starke, mehrschichtige Sicherheitsmechanismen bereitzustellen, einschließlich Firewall-Funktionen. Darüber hinaus erleichtert die Software, die Azure betreibt, den Umfang der Grenze und das zugehörige Spektrum kritischer Sicherheitsgeräte zu verwalten und zu inventarisieren.

Kernsicherheits- und Firewall-Funktionen

Azure implementiert starke Softwaresicherheits- und Firewall-Funktionen auf verschiedenen Ebenen, um Sicherheitsmerkmale durchzusetzen, die Kunden in einer traditionellen Umgebung normalerweise erwarten, um die zentrale Sicherheitsautorisierungsgrenze zu schützen.

Azure-Sicherheitsfunktionen

Azure implementiert hostbasierte Software-Firewalls innerhalb des Produktionsnetzwerks. Mehrere zentrale Sicherheits- und Firewall-Funktionen befinden sich innerhalb der Kernumgebung von Azure. Diese Sicherheitsmerkmale spiegeln eine Verteidigungs-in-Depth-Strategie innerhalb der Azure-Umgebung wider. Die folgenden Firewalls schützen Kundendaten in Azure:

Hypervisor-Firewall (Paketfilter): Der Hypervisor implementiert diese Firewall, und der Fabric Controller (FC)-Agent konfiguriert sie. Diese Firewall schützt den Tenant, der innerhalb der VM läuft, vor unbefugtem Zugriff. Standardmäßig blockiert Azure beim Erstellen einer VM den gesamten Datenverkehr, und dann fügt der FC-Agent Regeln und Ausnahmen im Filter hinzu, um autorisierten Datenverkehr zuzulassen.

Azure programmiert zwei Regelkategorien:

  • Maschinenkonfigurations- oder Infrastrukturregeln: Standardmäßig blockiert Azure alle Kommunikation. Ausnahmen ermöglichen es einer VM, Dynamic Host Configuration Protocol (DHCP)-Kommunikation und DNS-Informationen zu senden und zu empfangen sowie Datenverkehr an das "öffentliche" Internet zu senden, ausgehend an andere VMs innerhalb des FC-Clusters und OS-Aktivierungsservers. Da die erlaubte Liste ausgehender Ziele der VMs keine Azure-Router-Subnetze und andere Microsoft-Eigenschaften enthält, dienen die Regeln als Schutzebene für sie.
  • Rollenkonfigurationsdateiregeln: Diese Regeln definieren die eingehenden ACLs basierend auf dem Servicemodell der Tenants. Wenn zum Beispiel ein Tenant ein Web-Frontend auf Port 80 einer bestimmten VM hat, wird Port 80 auf alle IP-Adressen geöffnet. Wenn die VM eine Workerrolle ausführt, steht diese Workerrolle nur für die VM zur Verfügung, die sich innerhalb desselben Mandanten befindet.

Native Host-Firewall: Azure Service Fabric und Azure Storage laufen auf einem nativen Betriebssystem, das keinen Hypervisor besitzt, und daher konfigurieren die beiden vorangegangenen Regelsätze die Windows-Firewall.

Host-Firewall: Die Host-Firewall schützt die Host-Partition, die den Hypervisor betreibt. Die Regeln erlauben es nur, dass FC und Jump Boxes mit der Host-Partition auf einem bestimmten Port kommunizieren. Die anderen Ausnahmen sind die Erlaubnis von DHCP-Antworten und DNS-Antworten. Azure verwendet eine Maschinenkonfigurationsdatei, die eine Vorlage von Firewall-Regeln für die Host-Partition enthält. Es existiert auch eine Host-Firewall-Ausnahme, die es VMs ermöglicht, über bestimmte Protokolle und Ports mit Host-Komponenten, einem Drahtserver und Metadatenserver zu kommunizieren.

Gast-Firewall: Die Windows-Firewall-Komponente des Gast-Betriebssystems, die Kunden auf Kunden-VMs und -speicher konfigurieren können.

Weitere in Azure-Funktionen integrierte Sicherheitsfunktionen umfassen:

  • Azure weist IP-Adressen von DIPs den Infrastrukturkomponenten zu. Ein Angreifer im Internet kann den Datenverkehr nicht an diese Adressen weiterleiten, weil er Microsoft nicht erreichen würde. Internet-Gateway-Router filtern Pakete, die ausschließlich an interne Adressen adressiert sind, damit sie nicht ins Produktionsnetzwerk gelangen. Die einzigen Komponenten, die Traffic akzeptieren, der an VIPs weitergeleitet wird, sind Load Balancer.

  • Firewalls, die auf allen internen Knoten implementiert sind, haben für jedes Szenario drei Hauptaspekte der Sicherheitsarchitektur:

    • Firewalls sitzen hinter dem Load Balancer und nehmen Pakete von überall an. Diese Pakete sind dafür gedacht, extern freigestellt zu werden und entsprechen den offenen Ports einer traditionellen Perimeter-Firewall.
    • Firewalls akzeptieren Pakete nur von einer begrenzten Anzahl von Adressen. Diese Überlegung ist Teil der defensiven Tiefenstrategie gegen DDoS-Angriffe. Solche Verbindungen sind kryptografisch authentifiziert.
    • Nur ausgewählte interne Knoten können auf Firewalls zugreifen. Sie akzeptieren nur Pakete aus einer aufgelisteten Liste von Quell-IP-Adressen, die alle DIPs innerhalb des Azure-Netzwerks sind. Ein Angriff auf das Unternehmensnetzwerk könnte beispielsweise Anfragen an diese Adressen leiten, aber Azure blockiert die Angriffe, es sei denn, die Quelladresse des Pakets befindet sich in der aufgezählten Liste im Azure-Netzwerk.
      • Der Access Router am Perimeter blockiert ausgehende Pakete, die an eine Adresse innerhalb des Azure-Netzwerks adressiert sind, aufgrund seiner konfigurierten statischen Routen.

Nächste Schritte

Um mehr darüber zu erfahren, was Microsoft zur Sicherung der Azure-Infrastruktur tut, siehe:

  • Last updated on