在 Azure 中提供了 Azure VNet Service Endpoint 與 Azure Private Endpoint 兩項服務,用來確保其他 Azure 服務僅能透過 VNet 中的流量訪問,藉此將這些 Azure 服務保護在 VNet 中以提高安全性。
Service Endpoint 與 Private Endpoint 都可以使 VNet 中的私人 IP 到達其他 Azure 服務,而不需要使用到公用 IP,而兩者也存在部分差異,本系列包含以下四篇文章,以最常用的儲存服務 Azure Storage Account 為例,簡單講解這兩項服務。
- 【Azure VNet】服務端點 vs 專用端點
架構說明
以下 Demo 架構供 VNet 中的 VM 透過 Service Endpoint 訪問 Azure Storage :
- Azure Storage 停用外網訪問,並允許僅有特定的 Subnet 才能訪問。
- 保護在 VNet 中的 VM 到達 Azure Storage 時,使用 VNet 中的私人 IP 作為來源 IP。
建立虛擬網路
首先建立最基本的 VNet,沒有太多特別需要注意的地方,這邊在資源群組 charlie-test 中建立名為 charlie-test-vent 的虛擬網路。
建立虛擬網路 |
進到「IP 位址」頁籤,根據架構圖中的 IP 規劃將 VNet 設定為 10.1.0.0/16,其中包含一個 10.1.1.0/24 的子網段。
設定 IP 位址 |
建立虛擬機器
VM 「基本」頁籤中選擇 Windows 方便後續的測試。
建立 Windows VM |
網路部分需要稍微注意,子網路記得選到剛剛建立的 VNet 與 Subnet,另外也需要建立公用 IP,方便後續測試直接 RDP 連線進去 VM。
設定 VM 網路 |
建立 Azure Storage Account
最後就是主角的 Azure Storage Account,不過這邊沒有任何需要特別設定的項目,直接全部預設值建立起來就可以了!建立儲存體 |
啟用服務端點
以上服務都建立完成後,就可以來啟用服務端點了,找到剛剛建立的 VNet 後切換到「服務端點」頁籤點擊新增。
加入服務端點 |
因為這次要連線到的服務是 Storage Account,所以服務這邊就選擇 Microsoft.Storage,而子網路當然就是選到 VM 所在的那個子網路。
稍待幾分鐘等服務端點啟用完成後,就會看到如下畫面:
服務端點啟用完成 |
調整儲存體帳戶的網路設定
Azure Storage Account 剛建立起來時,對於公網的預設存取是完全開放的,可以如下到「網路」頁籤中查看。網路預設對公網開放 |
在「公用網路存取」的選項中預設是使用「已從所有網路啟用」,第一步就是先切到相對安全的「已從選取的虛擬網路和 IP 位址啟用」。
再來點擊「新增現有的虛擬網路」將 VM 所在的 VNet 與 Subnet 加到白名單中,設定完成記得按下儲存。
完成儲存體帳戶的網路設定 |
連線測試
到此我們完成了所有服務的建立與網路設定,而關於測試連線到 Azure Storage Account 的方式有很多種,這邊我們選擇一個不用下載任何 Client,只需要在 Portal 上就能進行測試的方式。在 Storage Account 中隨意建立一個容器並點擊進入,以下是使用正在編寫此篇文章的機器看到的畫面,這台機器當然與 VNet 沒有任何關係。
失敗 |
一樣的頁面我們切換到 VM 中:
成功 |
留言
張貼留言