Безопасный трафик в источники Azure Front Door

Вы можете использовать ограничения доступа службы приложений для фильтрации IP-адресов и заголовков. Возможность предоставляется платформой, и вам не требуется изменять приложение или хост.

Шлюз приложений развертывается в виртуальной сети. Настройте правило группы безопасности сети, чтобы разрешить входящий доступ к портам 80 и 443 из тега службы AzureFrontDoor.Backend , а также запретить входящий трафик через порты 80 и 443 из тега службы Интернета .

Используйте настраиваемое правило брандмауэра веб-приложения (WAF), чтобы проверить значение заголовка X-Azure-FDID . Для получения дополнительных сведений см. статью Создание и использование настраиваемых правил брандмауэра веб-приложений версии 2 в шлюзе приложений.

Чтобы настроить маршрутизацию трафика в Службе Azure Kubernetes (AKS) с Шлюзом приложений, настройте правило HTTPRoute для сопоставления входящего трафика из Azure Front Door с помощью заголовка X-Azure-FDID.

apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: http-route
  namespace: {namespace}
spec:
  parentRefs:
  - name: {gateway-name}
  rules:
  - matches:
    - headers:
      - type: Exact
        name: X-Azure-FDID
        value: "xxxxxxxx-xxxx-xxxx-xxxx-xxx"
    backendRefs:
    - name: {backend-name}
      port: {port}

При запуске Microsoft IIS (IIS) на размещенной в Azure виртуальной машине необходимо создать группу безопасности сети в виртуальной сети, на котором размещена виртуальная машина. Настройте правило группы безопасности сети, чтобы разрешить входящий доступ к портам 80 и 443 из тега службы AzureFrontDoor.Backend , а также запретить входящий трафик через порты 80 и 443 из тега службы Интернета .

Используйте файл конфигурации IIS, как в следующем примере, чтобы проверить X-Azure-FDID заголовок в входящих запросах:

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name="Filter_X-Azure-FDID" patternSyntax="Wildcard" stopProcessing="true">
          <match url="*" />
          <conditions>
            <add input="{HTTP_X_AZURE_FDID}" pattern="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" negate="true" />
          </conditions>
          <action type="AbortRequest" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

При запуске AKS с контроллером входящего трафика NGINX необходимо создать группу безопасности сети в виртуальной сети, в которую размещается кластер AKS. Настройте правило группы безопасности сети, чтобы разрешить входящий доступ к портам 80 и 443 из тега службы AzureFrontDoor.Backend , а также запретить входящий трафик через порты 80 и 443 из тега службы Интернета .

Используйте файл конфигурации входящего трафика Kubernetes, как в следующем примере, чтобы проверить X-Azure-FDID заголовок в входящих запросах:

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: frontdoor-ingress
  annotations:
  kubernetes.io/ingress.class: nginx
  nginx.ingress.kubernetes.io/enable-modsecurity: "true"
  nginx.ingress.kubernetes.io/modsecurity-snippet: |
    SecRuleEngine On
    SecRule &REQUEST_HEADERS:X-Azure-FDID \"@eq 0\"  \"log,deny,id:106,status:403,msg:\'Front Door ID not present\'\"
    SecRule REQUEST_HEADERS:X-Azure-FDID \"@rx ^(?!xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx).*$\"  \"log,deny,id:107,status:403,msg:\'Wrong Front Door ID\'\"
spec:
  #section omitted on purpose