A legfontosabb hálózati koncepciók a Microsoft Azure-ban

A felhőtechnológia forradalmasította az üzleti működést, és a Microsoft Azure az egyik vezető platform, amely rugalmasságot, skálázhatóságot és robusztus infrastruktúrát kínál. Azonban bármely sikeres felhőbevezetés alapja egy jól megtervezett és hatékonyan működő hálózati architektúra. Az Azure-ban a hálózati szolgáltatások széles skáláját találjuk, amelyek lehetővé teszik a virtuális gépek (VM-ek), PaaS szolgáltatások és on-premise rendszerek közötti zökkenőmentes és biztonságos kommunikációt. Ebben a cikkben részletesen áttekintjük az Azure legfontosabb hálózati koncepcióit, amelyek elengedhetetlenek a felhőalapú környezet megértéséhez és hatékony kezeléséhez.

A hálózat alapkövei az Azure-ban

Virtuális hálózatok (Virtual Networks – VNetek)

Az Azure Virtual Network (VNet) az első és legfontosabb fogalom, amelyet meg kell érteni. Ez a logikai hálózat az alapja minden Azure-ban telepített erőforrásnak. Gondoljon rá úgy, mint a saját, izolált adatközpontjára az Azure-ban. A VNetek lehetővé teszik, hogy saját privát IP-címtartományt definiáljon (pl. 10.0.0.0/16), ami garantálja, hogy az Ön hálózata teljesen elkülönül más Azure-ügyfelek hálózataitól. Ezen belül szabadon elhelyezheti virtuális gépeit, adatbázisait és egyéb szolgáltatásait, amelyek biztonságosan kommunikálhatnak egymással. A VNetek biztosítják a hálózati szegmentációt, ami alapvető a biztonság és a megfelelőség szempontjából.

Alhálózatok (Subnets)

Minden VNet-et további kisebb, logikailag elkülönített egységekre, úgynevezett alhálózatokra (subnets) oszthatunk. Az alhálózatok lehetővé teszik a hálózaton belüli finomabb szegmentációt és a forgalom szabályozását. Például létrehozhat egy külön alhálózatot a webes szervereknek, egyet az alkalmazásszervereknek és egyet az adatbázisoknak. Ez a szegmentáció kulcsfontosságú a biztonság szempontjából, mivel minden alhálózatra külön hálózati biztonsági szabályokat (NSG-ket) alkalmazhatunk, korlátozva ezzel az egyes rétegek közötti kommunikációt. Az alhálózatok használatával jobban áttekinthetővé és könnyebben kezelhetővé válik a hálózati infrastruktúra.

IP-címzés

Az Azure-ban az IP-címzés alapvető szerepet játszik a hálózati kommunikációban. Megkülönböztetünk privát IP-címeket, amelyeket a VNet-en belüli erőforrások használnak a belső kommunikációhoz, és nyilvános IP-címeket, amelyek az Azure erőforrásoknak biztosítanak internetről elérhető végpontot. A privát IP-címek lehetnek dinamikusak (alapértelmezett) vagy statikusak, utóbbiakat például egy DNS-rekordhoz való kötés esetén érdemes használni. A nyilvános IP-címek szintén lehetnek dinamikusak vagy statikusak, a statikus IP-címek garantálják, hogy a szolgáltatás mindig ugyanazon a címen érhető el, ami kritikus lehet például tűzfal szabályok vagy harmadik féltől származó integrációk esetén.

Belső hálózati kapcsolatok és biztonság

Hálózati biztonsági csoportok (Network Security Groups – NSG-k)

Az NSG-k (Network Security Groups) az Azure alapvető hálózati tűzfalai, amelyek a Layer 4 (TCP/UDP portok) szintjén működnek. Lehetővé teszik a bejövő és kimenő forgalom szűrését virtuális gépek hálózati interfészeihez (NIC-ekhez) vagy alhálózatokhoz rendelve. NSG szabályokkal meghatározhatja, hogy mely IP-címekről, mely portokra és protokollokkal engedélyezett a hozzáférés, vagy éppen tiltott. Például korlátozhatja az SSH (port 22) hozzáférést csak a cég belső hálózatából érkező IP-címekre. Az NSG-k stateful jellegűek, azaz ha egy kimenő kapcsolatot engedélyeznek, a visszatérő forgalom automatikusan engedélyezett lesz. Ez a rugalmasság lehetővé teszi a hálózati biztonság finomhangolását.

Alkalmazás biztonsági csoportok (Application Security Groups – ASG-k)

Az ASG-k (Application Security Groups) az NSG-k kiterjesztései, amelyek egyszerűsítik a biztonsági szabályok kezelését. Ahelyett, hogy egyes IP-címeket kellene kezelni, az ASG-k lehetővé teszik, hogy virtuális gépeket logikai csoportokba rendezzen az alkalmazásfunkciójuk alapján (pl. „Webszerverek”, „Adatbázisok”). Ezután NSG szabályokat hozhat létre ezekre a csoportokra hivatkozva. Például, egy szabály mondhatja azt, hogy a „Webszerverek” csoportból érkező forgalom engedélyezett az „Adatbázisok” csoport felé a 1433-as porton (SQL Server). Ez nagymértékben leegyszerűsíti a nagyszámú virtuális géppel rendelkező környezetek biztonsági adminisztrációját.

Service Endpoints és Private Link

A PaaS (Platform as a Service) szolgáltatások, mint az Azure SQL Database vagy az Azure Storage, alapértelmezetten nyilvános végpontokon keresztül érhetők el. A Service Endpoints és a Private Link lehetőséget biztosítanak ezeknek a szolgáltatásoknak a biztonságos, privát elérésére a VNet-en belülről.
A Service Endpoints kiterjesztik a VNet privát címtartományát az Azure szolgáltatásokra, biztosítva, hogy a forgalom közvetlenül az Azure gerinchálózatán haladjon, és ne az interneten keresztül.
A Private Link ennél is tovább megy: egy privát végpontot hoz létre a VNet-ben az Azure PaaS szolgáltatáshoz (vagy partner, illetve saját szolgáltatáshoz), amelyhez privát IP-cím tartozik. Ezáltal a PaaS szolgáltatás úgy viselkedik, mintha a VNet-en belül helyezkedne el, maximális biztonságot és hálózati izolációt nyújtva.

Útválasztási táblák (Route Tables) és Hálózati virtuális eszközök (NVA-k)

Az Azure VNetek alapértelmezett útválasztással rendelkeznek, amely lehetővé teszi a forgalom irányítását az alhálózatok között és az internetre. Azonban bizonyos esetekben testre szabott útválasztásra van szükség. Itt jönnek képbe az útválasztási táblák (Route Tables), más néven User-Defined Routes (UDRs). Ezekkel felülbírálhatja az alapértelmezett útválasztást, és megadhatja, hogy a forgalom egy adott IP-tartomány felé egy adott „következő ugráson” (next hop) keresztül haladjon. Ez a funkció elengedhetetlen a hálózati virtuális eszközök (Network Virtual Appliances – NVA-k), mint például harmadik féltől származó tűzfalak, terheléselosztók vagy behatolásérzékelő rendszerek integrálásához. Az NVA-k egyedi hálózati funkciókat biztosítanak, amelyek nem részei az Azure alapvető szolgáltatásainak, és segítségükkel bonyolultabb hálózati topológiákat is kialakíthatunk.

Hibrid kapcsolatok: összekötni a világot

VPN Gateway

A VPN Gateway lehetővé teszi a biztonságos, titkosított kapcsolat létrehozását az on-premise hálózat és az Azure VNet között (Site-to-Site VPN), vagy egyedi kliensek (pl. fejlesztők laptopjai) és az Azure között (Point-to-Site VPN). IPsec/IKE titkosítást használ a forgalom védelmére az interneten keresztül. Költséghatékony megoldás kisebb sávszélesség-igényű, de biztonságos hibrid kapcsolatokhoz. Emellett VNet-to-VNet kapcsolatokat is kialakíthatunk, hogy több Azure régióban lévő hálózatokat kössünk össze.

ExpressRoute

Az ExpressRoute egy dedikált, privát kapcsolatot biztosít az on-premise infrastruktúra és az Azure adatközpontok között, nem az interneten keresztül. Ez a megoldás magasabb sávszélességet, alacsonyabb késést és garantált szolgáltatásminőséget (QoS) kínál, ami ideálissá teszi kritikus fontosságú alkalmazások, nagy adatátvitel vagy szigorú megfelelőségi követelmények esetén. BGP (Border Gateway Protocol) útválasztást használ a dinamikus útvonalcseréhez, így megbízható és skálázható hibrid hálózatot építhet ki.

Azure Virtual WAN

Az Azure Virtual WAN egy egységes hálózati szolgáltatás, amely számos hálózati, biztonsági és útválasztási funkciót egyesít egyetlen működési felületen. Különösen alkalmas globális elosztott szervezetek számára, amelyek nagyszámú elágazással, felhőbeli erőforrással és hibrid csatlakozási igénnyel rendelkeznek. Lehetővé teszi egy központi hub-and-spoke topológia egyszerű létrehozását az Azure-ban, amelyhez VPN-en, ExpressRoute-on vagy SD-WAN eszközökön keresztül csatlakoztathatja az elágazásokat. Az Virtual WAN leegyszerűsíti a hálózatkezelést és optimalizálja a globális forgalom útválasztását.

Forgalomkezelés és terheléselosztás

Azure Load Balancer

Az Azure Load Balancer egy Layer 4 (TCP/UDP) alapú terheléselosztó, amely egyenlően osztja el a bejövő forgalmat a virtuális gépek (VM-ek) vagy VM-méretezési csoportok között egy VNet-en belül. Két fő típusa van: a Public Load Balancer, amely internetről érkező forgalmat kezel, és az Internal Load Balancer, amely a VNet-en belüli privát forgalmat osztja el. Az Azure Load Balancer elsősorban a magas rendelkezésre állás és a skálázhatóság biztosítására szolgál a háttérbeli alkalmazások számára, egyszerű, de robusztus megoldást nyújtva.

Azure Application Gateway

Az Azure Application Gateway egy Layer 7 (HTTP/HTTPS) alapú terheléselosztó, amely intelligensebb forgalomirányítást tesz lehetővé webes alkalmazások számára. Olyan funkciókat kínál, mint az SSL offloading (a TLS/SSL titkosítás kezelése az átjárón, csökkentve a háttérszerverek terhelését), URL-alapú útválasztás (például egy adott URL-útvonalat más szervercsoportra küld), és beépített Web Application Firewall (WAF). A WAF megvédi a webalkalmazásokat a gyakori webes támadásoktól, például az SQL injectiontől vagy a cross-site scriptingtől, ezzel növelve az alkalmazások biztonságát.

Azure Front Door és Traffic Manager

Az Azure Front Door és az Azure Traffic Manager mindkettő globális terheléselosztási és forgalomirányítási szolgáltatás, de különböző szinteken működnek.
Az Azure Front Door egy Layer 7 globális terheléselosztó és CDN (Content Delivery Network), amely optimalizálja a webes alkalmazások teljesítményét és elérhetőségét a felhasználók számára, a legközelebbi Azure POP (Point of Presence) kiválasztásával. Emellett WAF funkciókat is kínál a globális védelem érdekében.
Az Azure Traffic Manager egy DNS-alapú, Layer 3 globális terheléselosztó. A bejövő kéréseket különböző végpontok (például Azure régiókban lévő szolgáltatások) közé osztja el különböző útválasztási módszerek alapján, mint például teljesítmény, prioritás vagy földrajzi elhelyezkedés. Nincs beépített WAF, és nem cache-el tartalmat, így elsősorban a magas rendelkezésre állás és a gyors katasztrófa-helyreállítás biztosítására szolgál.

Hálózati biztonság és védelem

Azure Firewall

Az Azure Firewall egy felhőalapú, állapotfüggő hálózati tűzfal szolgáltatás, amely központosított hálózati házirendeket biztosít a VNetekre és az alhálózatokra kiterjedően. Ez a szolgáltatás nagyszerűen kiegészíti az NSG-ket, mivel sokkal kifinomultabb funkciókat kínál, mint például fenyegetésfelderítés (threat intelligence) alapú szűrés, FQDN (Fully Qualified Domain Name) alapú szabályok és központi menedzsment. Az Azure Firewall segítségével könnyedén implementálhatunk peremhálózati biztonságot, biztosítva az észak-déli (VNet-en belüli) és kelet-nyugati (VNet-en kívüli) forgalom védelmét.

DDoS Protection

A DDoS (Distributed Denial of Service) Protection alapvető védelmet nyújt az Azure platformon belül az alapértelmezett, ingyenes „Basic” szinten, amely automatikusan védelmet biztosít az alapvető, volumenalapú támadások ellen. Azonban kritikus fontosságú alkalmazásokhoz érdemes a DDoS Protection Standard szolgáltatást használni. Ez az előfizetés-szintű védelem további funkciókat kínál, mint például adaptív tuning (az alkalmazás forgalmi mintáihoz igazodó védelem), részletes telemetria, riasztások és egyedi szabályok konfigurálásának lehetősége, maximális védelmet biztosítva a kifinomultabb DDoS támadások ellen.

Azure Bastion

Az Azure Bastion egy PaaS szolgáltatás, amely biztonságos és zökkenőmentes RDP (Remote Desktop Protocol) és SSH (Secure Shell) hozzáférést biztosít a virtuális gépekhez közvetlenül az Azure portálról, SSL-en keresztül. Ennek legnagyobb előnye, hogy a virtuális gépeknek nem kell nyilvános IP-címmel rendelkezniük. Ez jelentősen csökkenti a támadási felületet, mivel a VM-ek privát hálózaton maradnak, és nincs szükség jump box-okra vagy a portok megnyitására az internet felé. Az Azure Bastion egy modern és biztonságos módja a felhőbeli VM-ekhez való hozzáférésnek.

Monitorozás és diagnosztika

Azure Network Watcher

Az Azure Network Watcher egy átfogó szolgáltatáscsomag, amelyet az Azure hálózati erőforrások monitorozására, diagnosztizálására és elemzésére terveztek. Eszközöket biztosít, mint például a kapcsolatfigyelő (Connection Monitor) az end-to-end kapcsolódási problémák azonosítására, az NSG Flow Logs a hálózati forgalmi minták elemzésére, a VPN diagnosztika a VPN kapcsolatok hibaelhárítására, vagy a csomag rögzítés (Packet Capture) a hálózati adatforgalom részletes vizsgálatára. Az Network Watcher nélkülözhetetlen a hálózati teljesítmény problémáinak felderítéséhez és a biztonsági incidensek kivizsgálásához.

Összefoglalás

Ahogy láthatjuk, a Microsoft Azure hálózati szolgáltatások széles és mély spektrumát kínálja, amelyek a legegyszerűbb VNet-ektől a komplex globális terheléselosztó és biztonsági megoldásokig terjednek. A VNetek és alhálózatok képezik az alapot, míg az NSG-k és az Azure Firewall a biztonságot szavatolják. A hibrid kapcsolatokhoz a VPN Gateway és az ExpressRoute nyújtanak megoldást, a forgalomkezelésben pedig a Load Balancer, az Application Gateway és a Front Door játszanak kulcsszerepet. Végül a Network Watcher segít a folyamatos monitorozásban és hibaelhárításban. Ezen koncepciók alapos megértése kulcsfontosságú ahhoz, hogy robusztus, biztonságos és skálázható felhőmegoldásokat építsünk és üzemeltessünk az Azure-ban. A felhő folyamatosan fejlődik, ezért az ismeretek naprakészen tartása elengedhetetlen a sikerhez.