如何保护您的Azure网络

像Azure这样的云服务直接提供了许多安全功能，尤其是当您使用它们的平台服务时。 但是虚拟基础架构非常类似于物理基础架构，将虚拟机与软件定义的虚拟网络相连。 因此，他们需要与您自己的数据中心和您自己的应用程序基础结构相同的安全性和网络管理工具。

两项服务是保护和管理Azure托管网络的关键，重点放在云旅程的不同部分。

[定义： 什么是无服务器计算 。 | 入门： 无服务器计算的开发人员指南 。 | 现在就建立它们！ 5用于无服务器框架 。 通过InfoWorld的App Dev Report新闻通讯了解编程方面的热门话题。 ]

• Azure防火墙适用于您的第一个应用程序，适用于对您的业务很重要但并不重要的API和基于Web的代码。
• 随着应用程序和服务的增长，以及企业将越来越多的代码从本地迁移到云中，您的需求将发生变化，并且您将需要工具来帮助扩展服务并保护它们。 为此，Azure Front Door结合了安全性和负载平衡功能，使用边缘服务来控制和直接访问全球分布式应用程序。

这两个服务之间没有冲突。 Azure防火墙可以帮助您入门，并且可以使用它来构建应用程序，直到传统的路由和负载平衡技术开始失败。 那就是在您将Front Door添加到体系结构中时，在现有网络工具之上添加一个新层。 它们可以留在原处作为Front Door的备用，或者一旦您对Front Door的操作方式满意后就可以将其卸下。

使用Azure防火墙

Azure防火墙是一种熟悉的现代防火墙的云实现，一旦将其添加到虚拟网络中就可以使用。 它管理往返于公共Internet的传入和传出流量，以及与Azure VPN和ExpressRoute等服务集成。 最后一个选项也许是最重要的选项之一，因为它还可以帮助您管理混合基础架构，保护将本地服务与云链接的流量。

通过在表面上是专用连接的地方添加防火墙，您可以在两个截然不同的操作模式和两个单独的信任区域之间放置一个保险开关。 本地系统可能会随着时间的推移而发展，并且您不会提升和转移那些现有的基础架构。 分离新旧基础结构很有意义，因为它可以确保一个网络不影响另一个网络。

使用Azure防火墙与使用任何基于规则的防火墙管理工具非常相似：您可以使用应用程序和网络控件设置入站和出站规则。 考虑到虚拟基础架构，它专注于保护托管您的虚拟服务器和资源的Azure子网，控制您的基础架构可以访问哪些资源以及对系统的访问。 因此，例如，如果您使用GitHub作为构建管道，则可以授予虚拟服务器访问GitHub的权限，以获取应用程序更新。

一个Azure防火墙实例可以保护多个子网，每个子网都有单独的规则。 这样，您可以为应用程序提供一个面向客户的子网以及管理子网，一个子网可以从任何IP地址访问，另一个子网可以从Azure VPN的地址访问。 可以使用与Azure托管的虚拟网络几乎相同的方式来管理本地子网。

更复杂的场景可能需要使用Cloud Shell，而不是门户，使用PowerShell来管理网络资源和Azure防火墙规则。

使用Azure前门

Azure前门采用了非常不同的方法来管理您的云托管网络和服务。 一种用于将分布式微服务链接到单个全局应用程序的工具，它管理在多个区域中实现的Azure应用程序。 混合路由规则和负载平衡，可将用户定向到将获得最佳性能的区域。 那可能是路由到一个地理上的本地区域，或者是一个不那么繁忙的区域，或者甚至是远离当前发生故障的区域。

通过前门管理的服务被视为池， 路由规则处理来自前门服务的连接。 您还需要配置前端主机名，这是您提供给用户的地址。 池中的服务不需要具有完全自定义的域名； 它们可以保留在默认的azurewebsites.net域上。

路由到池服务可以通过延迟，优先级或流量加权来处理。 还可以选择设置会话关联性规则，以便将用户会话连接到服务后，所有用户流量都将传递到同一服务。

借助对内置Web应用程序防火墙的支持，您的HTTP服务得到了保护。 通过在HTTP流量（包括SSL）进入您的应用程序时对其进行检查，Front Door可以降低应用程序的风险，在提供SSL加速服务的同时在边缘保护它。 还有DDoS保护，可将攻击数据包丢弃在分布式云应用程序的边缘。

尽管Front Door对用户来说是新的，但它并不是一项新服务：它是位于Microsoft自己的服务前面的现有工具的商业化。 通过将其添加到您的应用程序中，您将获得一系列已在Bing，Office 365和Xbox上得到证明的服务的好处，并且只有集成到熟悉的Azure门户中的用户体验。

现代云中的网络管理

在软件定义的网络中，控制平面和数据平面之间的分离正在将过去大量的网络工程师转移到应用程序领域。 Azure的网络工具是此更改的一部分，提供了基于策略的网络，该网络可处理后端混合云流量和面向客户的网络服务。

目前，这几乎是一种混合云方法，客户可以使用MPLS高速专用连接和到Azure的托管VPN连接的混合。 当需要专用连接来管理数据时，MPLS可以很好地工作，而VPN则允许您使用现有的Internet连接。

From: https://www.infoworld.com/article/3313326/how-to-secure-your-azure-network.html