Настройка Бастиона для собственных клиентских подключений

В этой статье показано, как настроить развертывание Бастиона для приема подключений от собственного клиента (SSH или RDP) на локальном компьютере к виртуальным машинам, расположенным в виртуальной сети. Функция собственного клиента позволяет подключаться к целевым виртуальным машинам через Бастион с помощью Azure CLI и развертывать параметры входа, чтобы включить локальную пару ключей SSH и идентификатор Microsoft Entra. Кроме того, можно также передавать файлы в зависимости от типа подключения и клиента.

Эту функцию можно настроить, изменив существующее развертывание Бастиона или развернув Бастион с уже указанной конфигурацией компонентов. Возможности виртуальной машины при подключении через нативный клиент зависят от того, что включено в нативном клиенте. Помните, что в настоящее время запись сеансов недоступна для собственного клиента.

Развертывание Bastion с поддержкой нативного клиента

Если вы еще не развернули Бастион в виртуальной сети, можно развернуть его с помощью функции встроенного клиента, указав ручные настройки при развертывании Бастиона. Инструкции по развертыванию с использованием настроенных вручную параметров смотрите в руководстве Развертывание Бастиона. При развертывании Бастиона укажите следующие параметры.

1. На вкладке Основные сведения выберите для параметра Сведения об экземпляре —> Уровень значение Стандартный. Для поддержки нативного клиента требуется SKU "Стандартный".

2. Перед созданием бастионного узла перейдите на вкладку "Дополнительно" и установите флажок для поддержки локальных клиентов, а также флажки для любых других функций, которые вы хотите развернуть.

   

3. Выберите "Проверить и создать ", чтобы проверить, затем выберите "Создать ", чтобы развернуть хост Бастион.

Модификация существующего развертывания Бастиона

Если вы уже развернули Бастион в виртуальной сети, измените следующие параметры конфигурации:

1. Перейдите на страницу Конфигурация для ресурса Бастиона. Убедитесь, что уровень SKU — Стандарт. Если это не так, выберите Стандартный.
2. Установите флажок Поддержка собственного клиента и примените изменения.

Обеспечение безопасности локального клиентского подключения

Если вы хотите дополнительно защитить собственное клиентское подключение, вы можете ограничить доступ, предоставляя его только к портам 22 и 3389. Чтобы ограничить доступ к портам, необходимо развернуть следующие правила NSG в AzureBastionSubnet, чтобы разрешить доступ к портам и запретить доступ из других портов.

Подключение к виртуальным машинам

После развертывания этой функции существуют различные инструкции по подключению в зависимости от компьютера узла, из которого вы подключаетесь, и клиентской виртуальной машины, к которой вы подключаетесь.

Используйте следующую таблицу, чтобы разобраться, как подключиться из клиентских приложений. Обратите внимание, что различные поддерживаемые сочетания собственных клиентов и целевых виртуальных машин позволяют использовать различные функции и требуют конкретных команд.

Ограничения:

• Вход с помощью закрытого ключа SSH, хранящегося в Azure Key Vault, не поддерживается с этой функцией. Перед входом на виртуальную машину Linux с помощью пары ключей SSH скачайте закрытый ключ в файл на локальном компьютере.
• Подключение с помощью собственного клиента не поддерживается в Cloud Shell.

Следующие шаги

• Подключение из собственного клиента Windows
• Подключение с помощью команды az network bastion tunnel
• Передача файлов