Die Nordlicht Reisen GmbH hat zwei Probleme. Die Administration erreicht ihre Server nur, weil an jeder virtuellen Maschine eine öffentliche IP-Adresse hängt und Port 3389 oder 22 offen ist. Und das Speicherkonto mit den Belegen antwortet jedem im Internet, der den Schlüssel kennt. Sie sollen beides schließen: die Verwaltung der Maschinen über Azure Bastion, den Zugriff auf den Speicher über Dienstendpunkte oder private Endpunkte.
Vorwissen. Was öffentliche und private Endpunkte sind, erklärt „AZ-900 kompakt“, Lektion 2.4. Virtuelle Netze und Subnetze sind Lektion 4.1, Netzwerksicherheitsgruppen Lektion 4.3, die Speicher-Firewall mit ihren Regeln Lektion 2.2, Azure DNS Lektion 4.5. Hier steht, wie Sie die drei Mittel einrichten und wann Sie welches wählen.
Azure Bastion
Azure Bastion ist ein vollständig verwalteter Dienst (PaaS), über den Sie sich per RDP oder SSH mit Ihren virtuellen Maschinen verbinden, aus dem Azure-Portal oder mit dem Client auf Ihrem Rechner. Die Verbindung läuft über TLS auf Port 443. Die Maschinen brauchen keine öffentliche IP-Adresse, keinen Agenten und keine besondere Software; Bastion erreicht sie über ihre private Adresse im virtuellen Netz. Damit verschwindet die offene Verwaltungstür aus dem Internet, und die Maschinen sind vor Portscans geschützt.
Bastion gibt es in vier Stufen (SKU):
| Stufe | Kernpunkte nach Microsoft |
|---|---|
| Developer | kostenlos, gemeinsame Infrastruktur, für Entwicklung und Test, eine VM zur Zeit, nur in ausgewählten Regionen, kein Peering |
| Basic | eigene Bereitstellung mit fester Kapazität, für Produktion mit mäßigem Bedarf |
| Standard | alles aus Basic plus Skalierung und weitere Funktionen: Client auf dem eigenen Rechner (Native Client), teilbare Links, Verbindung per IP-Adresse, eigene Ports, Dateiübertragung |
| Premium | alles aus Standard plus Sitzungsaufzeichnung und rein privater Betrieb ohne öffentliche IP-Adresse |
Wählen Sie keine Stufe, ist der Standard bei az network bastion create die Stufe Standard. Germany West Central steht in Microsofts Liste der Regionen für Bastion Developer; prüfen Sie die Liste vor dem Start, sie ändert sich.
Für eine eigene Bereitstellung (Basic, Standard, Premium) brauchen Sie:
- ein Subnetz mit genau dem Namen AzureBastionSubnet, mindestens /26 groß, ohne Routentabelle und ohne Delegierung. Heißt es anders, wird Bastion nicht bereitgestellt.
- eine öffentliche IP-Adresse der Stufe Standard in derselben Region (nur Premium kann ohne sie arbeiten).
- für die Verbindung zur VM mindestens die Rolle Reader auf der VM und auf der Netzwerkkarte mit der privaten Adresse, dazu in der VM einen offenen Port 3389 (Windows) oder 22 (Linux) aus dem Netz.
Portal-Weg: virtuelles Netz oder VM → Connect → Bastion. Deploy Bastion legt Bastion mit den Standardeinstellungen (Stufe Standard) an, Configure manually lässt Stufe, Zonen und Instanzenzahl wählen; die Bereitstellung dauert laut Microsoft rund zehn Minuten. Verbunden wird an der VM über Connect → Bastion; die Sitzung öffnet sich im Browser. Die Namen im Portal hängen von der Spracheinstellung ab.
Befehle (Microsofts Beispiel mit Stufe Basic):
az network vnet subnet create --name AzureBastionSubnet --resource-group <gruppe> `
--vnet-name <netz> --address-prefix 10.1.1.0/26
az network public-ip create --resource-group <gruppe> --name <ip-name> --sku Standard
az network bastion create --name <bastion-name> --public-ip-address <ip-name> `
--resource-group <gruppe> --vnet-name <netz> --location <region> --sku Basic
Wer die öffentliche IP-Adresse der VM sonst nicht braucht, löst sie von der Netzwerkkarte (Dissociate) und löscht sie danach.
Kosten: Der Stundenpreis läuft ab der Bereitstellung, ob Sie sich verbinden oder nicht; dazu kommt abgehender Datenverkehr (Developer ist kostenlos). Microsoft empfiehlt, Bastion zu Testzwecken nach der Nutzung zu löschen.
Azure Firewall, Web Application Firewall und DDoS Protection gehören wie Bastion zur Dienstgruppe Network Security und stehen nicht auf der Fähigkeitenliste.