《Windows Azure Platform 系列文章目录》
请注意:我们在Azure上创建的虚拟机,都是可以通过公网IP地址来访问的。(直接通过虚拟机的IP地址:PIP,或者通过负载均衡器的IP地址:VIP)
但是总会有不怀好意的黑客,会攻击这些虚拟机。所以保护Azure虚拟机是非常重要的。
如果是Linux虚拟机,笔者强烈建议使用SSH Key的方式来访问Azure Linux虚拟机,同时需要保护要Key和私钥
Windows Azure Virtual Machine (25) 使用SSH登录Azure Linux虚拟机
这里我简单介绍一下几个客户的案例,分享一下他们是如何保护Azure上的虚拟机的。
A公司是通过第三方VPN软件,来保护Azure虚拟机的
- A公司的NAT设备,有几个固定的公网出口IP地址
- 供应商和项目经理,在访问A公司的虚拟机的时候,首先需要通过VPN软件拨号,访问到A公司的内网,然后再访问Azure上的虚拟机
- Azure上的虚拟机的端口,都设置了客户端访问IP地址 (ASM虚拟机用ACL,ARM虚拟机用NSG, Network Security Group)。只有通过VPN拨号,或者在A公司现场办公,才能访问Azure上的虚拟机
- 优点:通过VPN软件,可以设置用户访问的权限
- 缺点:对于办公环境要求比较搞,一般只有企业级客户才有固定公网IP地址和NAT设备。
- 参考资料:Windows Azure Virtual Network (10) 使用Azure Access Control List(ACL)设置客户端访问权限
B公司是通过Point-To-Site VPN方式,来保护Azure虚拟机的
- 当B公司新建Azure 虚拟机网络的时候,会创建1个VPN Gateway
- 供应商和项目经理,通过在本地Windows Server 2008 R2和Win7 (或以上操作系统),安装Azure VPN软件的方式,来访问Azure上的虚拟机
- 优点:Azure虚拟机有2个IP地址,公网IP地址(PIP, VIP)或者是内网IP地址(Dynamic IP, DIP)。
通过Point-to-Site VPN的方式,就可以直接访问到Azure虚拟机的内网IP地址DIP来管理,Azure上的虚拟机不会暴露任何公网访问端口
- 缺点:创建Azure VPN Gateway会产生一定的费用。另外Azure VPN软件只能支持Windows客户端,MAC或者Linux暂不支持。
C公司是通过跳板机的方式,来保护Azure虚拟机的
关于堡垒机的文档很多,这里我就不详细说明了。
除了以上几种访问方式,我们还需要注意以下几点:
1.一个用户一个账户,不要使用公共账户
2.用户的访问日志一定要开启
3.Linux VM一定要通过SSH Key访问
4.使用Azure Backup Service保护虚拟机,当发生问题的时候可以通过备份回滚
Azure Backup (3) 使用Azure恢复服务,备份Azure虚拟机
5.数据库建议采用数据加密方式(对称加密、非对称加密、透明数据加密等),,保护数据库服务
Windows Azure Virtual Machine (34) 保护Azure虚拟机