Руководство. Проверка трафика частной конечной точки с помощью Брандмауэр Azure
Частная конечная точка Azure — ключевой компонент для создания Приватного канала Azure. Частные конечные точки позволяют ресурсам Azure, развернутым в виртуальной сети, конфиденциально взаимодействовать с ресурсами приватного канала.
Частные конечные точки позволяют ресурсам обращаться к службе приватного канала, развернутой в виртуальной сети. Доступ к частной конечной точке через пиринг между виртуальными сетями и локальные сетевые подключения расширяет возможности подключения.
Вам может потребоваться проверка или блокировка трафика от клиентов к службам, предоставляемым через частные конечные точки. Выполняйте эту проверку с помощью Брандмауэра Azure или стороннего сетевого виртуального модуля.
Дополнительные сведения и сценарии, связанные с частными конечными точками и Брандмауэр Azure, см. в Брандмауэр Azure сценариях для проверки трафика, предназначенного для частной конечной точки.
В этом руководстве описано следующее:
- Создайте виртуальную сеть и узел бастиона для тестовой виртуальной машины.
- Создайте виртуальную сеть частной конечной точки.
- Создайте тестовую виртуальную машину.
- Развертывать брандмауэр Azure.
- Создайте базу данных SQL Azure.
- Создайте частную конечную точку для SQL Azure.
- Создайте сетевой пиринг между виртуальной сетью частной конечной точки и тестовой виртуальной машиной.
- Связывание виртуальных сетей с частной зоной DNS.
- Настройте правила приложения в Брандмауэр Azure для SQL Azure.
- Маршрутизация трафика между тестовой виртуальной машиной и SQL Azure через Брандмауэр Azure.
- Проверьте подключение к SQL Azure и проверьте его в журналах Брандмауэр Azure.
Если у вас нет подписки Azure, создайте бесплатную учетную запись, прежде чем приступить к работе.
Необходимые компоненты
Учетная запись Azure с активной подпиской.
Рабочая область Log Analytics. Дополнительные сведения о создании рабочей области Log Analytics см. в статье "Создание рабочей области Log Analytics" в портал Azure.
Войдите на портал Azure
Войдите на портал Azure.
Создание виртуальной сети и узла Бастиона Azure
Следующая процедура создает виртуальную сеть с подсетью ресурсов, подсетью Бастиона Azure и узлом Бастиона:
На портале найдите и выберите "Виртуальные сети".
На странице Виртуальные сети выберите команду + Создать.
На вкладке "Основы" создайте виртуальную сеть, введите или выберите следующие сведения:
Параметр Значение Сведения о проекте Отток подписок Выберите свою подписку. Группа ресурсов Выберите Создать.
Введите test-rg для имени.
Нажмите кнопку ОК.Сведения об экземпляре Имя. Введите vnet-1. Область/регион Выберите регион Восточная часть США 2. 
Нажмите кнопку "Далее ", чтобы перейти на вкладку "Безопасность ".
В разделе "Бастион Azure" выберите "Включить Бастион Azure".
Бастион использует браузер для подключения к виртуальным машинам в виртуальной сети через Secure Shell (SSH) или протокол удаленного рабочего стола (RDP) с помощью частных IP-адресов. Виртуальные машины не нуждаются в общедоступных IP-адресах, клиентском программном обеспечении или специальной конфигурации. Подробные сведения см. в статье Что такое Бастион Azure?
Примечание.
Почасовая цена начинается с момента развертывания Бастиона независимо от использования исходящих данных. Дополнительные сведения см. в разделе "Цены и номера SKU". Если вы развертываете Бастион в рамках руководства или теста, рекомендуется удалить этот ресурс после завершения работы с ним.
В Бастионе Azure введите или выберите следующие сведения:
Параметр Значение Имя узла Бастиона Azure Введите бастион. Общедоступный IP-адрес Бастиона Azure Выберите " Создать общедоступный IP-адрес".
Введите public-ip-бастион в поле "Имя".
Нажмите кнопку ОК.
Нажмите кнопку "Рядом ", чтобы перейти на вкладку IP-адресов .
В поле адресного пространства в подсетях выберите подсеть по умолчанию .
В разделе "Изменить подсеть" введите или выберите следующие сведения:
Параметр Значение Назначение подсети Оставьте значение по умолчанию по умолчанию. Имя. Введите подсеть-1. IРv4 Диапазон адресов IPv4 Оставьте значение по умолчанию 10.0.0.0/16. Начальный адрес Оставьте значение по умолчанию 10.0.0.0. Размер Оставьте значение по умолчанию /24 (256 адресов). 
Выберите Сохранить.
Выберите "Проверка и создание " в нижней части окна. После завершения проверки нажмите кнопку Создать.
Создание виртуальной сети для частной конечной точки
Следующая процедура создает виртуальную сеть с подсетью.
На портале найдите и выберите "Виртуальные сети".
На странице Виртуальные сети выберите команду + Создать.
На вкладке Основные сведения подменю Создать виртуальную сеть введите или выберите нижеприведенную информацию:
Параметр Значение Сведения о проекте Отток подписок Выберите свою подписку. Группа ресурсов Выбор test-rg Сведения об экземпляре Имя. Введите виртуальную сеть-частную конечную точку. Область/регион Выберите регион Восточная часть США 2. Нажмите кнопку "Далее ", чтобы перейти на вкладку "Безопасность ".
Нажмите кнопку "Рядом ", чтобы перейти на вкладку IP-адресов .
Выберите "Удалить адресное пространство" со значком корзины, чтобы удалить адресное пространство по умолчанию.
Выберите " Добавить адресное пространство IPv4".
Введите 10.1.0.0 и оставьте раскрывающийся флажок по умолчанию /16 (65 536 адресов).
Выберите +Добавить подсеть.
В поле "Добавление подсети" введите или выберите следующие сведения:
Параметр Значение Сведения о подсети Шаблон подсети Оставьте значение по умолчанию по умолчанию. Имя. Введите подсеть-private. Начальный адрес Оставьте значение по умолчанию 10.1.0.0. Размер подсети Оставьте значение по умолчанию /24(256 адресов). Выберите Добавить.
Выберите "Проверка и создание " в нижней части экрана и при прохождении проверки нажмите кнопку "Создать".
Создание тестовой виртуальной машины
Следующая процедура создает тестовую виртуальную машину с именем vm-1 в виртуальной сети.
На портале найдите и выберите "Виртуальные машины".
На виртуальных машинах нажмите кнопку +Создать, а затем виртуальную машину Azure.
На вкладке Основные сведения страницы Создание виртуальной машины введите или выберите следующие значения параметров:
Параметр Значение Сведения о проекте Отток подписок Выберите свою подписку. Группа ресурсов Выберите test-rg. Сведения об экземпляре Virtual machine name Введите vm-1. Область/регион Выберите регион Восточная часть США 2. Параметры доступности Выберите Избыточность инфраструктуры не требуется. Тип безопасности Оставьте значение по умолчанию Стандартный. Изображения Выберите Ubuntu Server 22.04 LTS — x64-го поколения 2-го поколения. Архитектура виртуальной машины Оставьте значение по умолчанию x64. Размер Выберите размер. Учетная запись администратора Тип аутентификации выберите Пароль. Username Введите azureuser. Пароль Введите пароль. Подтверждение пароля Повторно введите пароль. Правила входящего порта Общедоступные входящие порты Выберите Отсутствует. Выберите вкладку "Сеть" в верхней части страницы.
На вкладке Сеть введите или выберите следующие значения параметров:
Параметр Значение Сетевой интерфейс Виртуальная сеть Выберите виртуальную сеть-1. Подсеть Выберите подсеть-1 (10.0.0.0/24). Общедоступный IP-адрес Выберите Отсутствует. Группа безопасности сети сетевого адаптера Выберите Дополнительно. Настройка группы безопасности сети Выберите Создать.
Введите nsg-1 для имени.
Оставьте остальные значения по умолчанию и нажмите кнопку "ОК".Оставьте остальные параметры по умолчанию и нажмите кнопку "Просмотр и создание".
Проверьте параметры и выберите Создать.
Примечание.
Виртуальные машины в виртуальной сети с узлом бастиона не требуют общедоступных IP-адресов. Бастион предоставляет общедоступный IP-адрес, а виртуальные машины используют частные IP-адреса для обмена данными в сети. Вы можете удалить общедоступные IP-адреса из любых виртуальных машин в размещенных виртуальных сетях бастиона. Дополнительные сведения см. в разделе "Отсообщение общедоступного IP-адреса" с виртуальной машины Azure.
Примечание.
Azure предоставляет IP-адрес исходящего доступа по умолчанию для виртуальных машин, которые либо не назначены общедоступным IP-адресом, либо находятся в серверном пуле внутренней подсистемы балансировки нагрузки Azure. Механизм IP-адреса исходящего трафика по умолчанию предоставляет исходящий IP-адрес, который нельзя настроить.
IP-адрес исходящего доступа по умолчанию отключен при возникновении одного из следующих событий:
- Общедоступный IP-адрес назначается виртуальной машине.
- Виртуальная машина размещается в серверном пуле стандартной подсистемы балансировки нагрузки с правилами исходящего трафика или без нее.
- Ресурс шлюза NAT Azure назначается подсети виртуальной машины.
Виртуальные машины, созданные с помощью масштабируемых наборов виртуальных машин в гибком режиме оркестрации, не имеют исходящего доступа по умолчанию.
Дополнительные сведения об исходящих подключениях в Azure см. в статье об исходящем доступе по умолчанию в Azure и использовании преобразования исходящих сетевых адресов (SNAT) для исходящих подключений.
Развертывание Брандмауэра Azure
В поле поиска в верхней части портала введите Брандмауэр. Выберите брандмауэры в результатах поиска.
В брандмауэрах нажмите кнопку +Создать.
Введите или выберите следующие сведения на вкладке "Основные сведения" в разделе "Создание брандмауэра".
Параметр Значение Сведения о проекте Отток подписок Выберите свою подписку. Группа ресурсов Выберите test-rg. Сведения об экземпляре Имя. Введите брандмауэр. Область/регион Выберите регион Восточная часть США 2. Availability zone Выберите Отсутствует. Номер SKU брандмауэра Выберите Стандартное. Управление брандмауэром Выберите " Использовать политику брандмауэра" для управления этим брандмауэром. Политика брандмауэра Выберите Добавить.
Введите политику брандмауэра в имя политики.
Выберите восточную часть США 2 в регионе.
Нажмите кнопку ОК.Выберите виртуальную сеть Выберите Создать. имя виртуальной сети; Введите брандмауэр виртуальной сети. Пространство адресов Введите 10.2.0.0/16. Адресное пространство подсети Введите 10.2.1.0/26. Общедоступный IP-адрес Выберите Добавить.
Введите имя общедоступного ip-брандмауэра.
Нажмите кнопку ОК.Выберите Review + create (Просмотреть и создать).
Нажмите кнопку создания.
Дождитесь завершения развертывания брандмауэра, прежде чем продолжить.
Включение журналов брандмауэра
В этом разделе описано, как включить журналы брандмауэра и отправить их в рабочую область Log Analytics.
Примечание.
Чтобы включить журналы брандмауэра, необходимо иметь рабочую область log analytics в подписке. Дополнительные сведения см. в разделе Необходимые условия.
В поле поиска в верхней части портала введите Брандмауэр. Выберите брандмауэры в результатах поиска.
Выберите брандмауэр.
В разделе "Мониторинг" выберите параметры диагностики.
Щелкните команду Добавить параметр диагностики.
В параметре диагностики введите или выберите следующие сведения:
Параметр Значение Имя параметра диагностики Введите параметр диагностики брандмауэр. Журналы Категории Выберите Брандмауэр Azure правило приложения (устаревшая версия Диагностика Azure) и Брандмауэр Azure сетевое правило (устаревшая Диагностика Azure). Сведения о назначении Назначение Выберите Отправить в рабочую область Log Analytics. Отток подписок Выберите свою подписку. Рабочая область Log Analytics Выберите рабочую область Log Analytics. Выберите Сохранить.
Создание базы данных SQL Azure
В поле поиска в верхней части портала введите SQL. Выберите базы данных SQL в результатах поиска.
В базах данных SQL нажмите кнопку +Создать.
На вкладке "Основы" создания База данных SQL введите или выберите следующие сведения:
Параметр Значение Сведения о проекте Отток подписок Выберите свою подписку. Группа ресурсов Выберите test-rg. Сведения о базе данных Имя базы данных Введите sql-db. Сервер Выберите Создать.
Введите имя сервера в имя сервера (имена серверов должны быть уникальными, заменять имя сервера уникальным значением).
Выберите (США) Восточная часть США 2 в расположении.
Выберите "Использовать проверку подлинности SQL".
Введите вход и пароль администратора сервера.
Нажмите кнопку ОК.Want to use SQL elastic pool? (Нужно ли использовать эластичный пул баз данных SQL?) Выберите Нет. Среда рабочей нагрузки Оставьте значение по умолчанию в Рабочей среде. Избыточность хранилища резервных копий Избыточность хранилища резервных копий Выберите локально избыточное хранилище резервных копий. Выберите Далее: сеть.
На вкладке "Сеть" База данных SQL введите или выберите следующие сведения:
Параметр Значение Сетевое подключение Метод подключения Выберите Частная конечная точка. Частные конечные точки Нажмите кнопку +Добавить частную конечную точку. Создание частной конечной точки Отток подписок Выберите свою подписку. Группа ресурсов Выберите test-rg. Расположение Выберите регион Восточная часть США 2. Имя. Введите private-endpoint-sql. Целевой подресурс Выберите SqlServer. Сеть Виртуальная сеть Выберите виртуальную сеть-частную конечную точку. Подсеть Выберите подсеть-частную конечную точку. Интеграция с частной зоной DNS Интегрировать с частной зоной DNS Выберите Да. Частная зона DNS Оставьте значение по умолчанию privatelink.database.windows.net. Нажмите ОК.
Выберите Review + create (Просмотреть и создать).
Нажмите кнопку создания.
Установка пирингового подключения между виртуальными сетями
В этом разделе описано, как подключить виртуальные сети к пирингу виртуальной сети. Сети vnet-1 и vnet-private-endpoint подключены к брандмауэру виртуальной сети. Между виртуальной сетью-1 и виртуальной частной конечной точкой не существует прямого подключения.
В поле поиска в верхней части портала введите виртуальные сети. В результатах поиска выберите Виртуальные сети.
Выберите брандмауэр виртуальной сети.
В параметрах выберите пиринги.
В пирингах выберите +Добавить.
В поле "Добавление пиринга" введите или выберите следующие сведения:
Параметр Значение Эта виртуальная сеть Имя пиринговой связи Введите vnet-firewall-to-vnet-1. Трафик в удаленную виртуальную сеть Выберите "Разрешить" (по умолчанию). Трафик, перенаправленный из удаленной виртуальной сети Выберите "Разрешить" (по умолчанию). Route Server или шлюз виртуальной сети Выберите "Нет" (по умолчанию). Удаленная виртуальная сеть Имя пиринговой связи Введите vnet-1-to-vnet-firewall. Модель развертывания виртуальной сети Выберите Resource Manager. Отток подписок Выберите свою подписку. Виртуальная сеть Выберите виртуальную сеть-1. Трафик в удаленную виртуальную сеть Выберите "Разрешить" (по умолчанию). Трафик, перенаправленный из удаленной виртуальной сети Выберите "Разрешить" (по умолчанию). Route Server или шлюз виртуальной сети Выберите "Нет" (по умолчанию). Выберите Добавить.
В пирингах выберите +Добавить.
В поле "Добавление пиринга" введите или выберите следующие сведения:
Параметр Значение Эта виртуальная сеть Имя пиринговой связи Введите виртуальную сеть-брандмауэр —частную конечную точку виртуальной сети. Разрешить "vnet-1" получить доступ к "виртуальной сети-частной конечной точке" Сохраните значение выбрано, которое подставляется по умолчанию. Разрешить "vnet-1" получать перенаправленный трафик из "виртуальной сети-частной конечной точки" Установите флажок. Разрешить шлюзу в "vnet-1" перенаправить трафик в "виртуальную сеть-частную конечную точку" Оставьте значение по умолчанию очищенным. Включение "vnet-1" для использования удаленного шлюза vnet-private-endpoint Оставьте значение по умолчанию очищенным. Удаленная виртуальная сеть Имя пиринговой связи Введите vnet-private-endpoint-to-vnet-firewall. Модель развертывания виртуальной сети Выберите Resource Manager. Отток подписок Выберите свою подписку. Виртуальная сеть Выберите виртуальную сеть-частную конечную точку. Разрешить "vnet-private-endpoint" получить доступ к "vnet-1" Сохраните значение выбрано, которое подставляется по умолчанию. Разрешить "vnet-private-endpoint" получать переадресованный трафик из "vnet-1" Установите флажок. Разрешить шлюзу в "виртуальной сети-частной конечной точке" пересылать трафик в "vnet-1" Оставьте значение по умолчанию очищенным. Включите "виртуальную сеть-частную конечную точку" для использования удаленного шлюза "vnet-1" Оставьте значение по умолчанию очищенным. Выберите Добавить.
Убедитесь, что состояние пиринга отображается для обоих сетевых одноранговых узлов.
Привязка виртуальных сетей к частной зоне DNS
Частная зона DNS, созданная во время создания частной конечной точки в предыдущем разделе, должна быть связана с виртуальными сетями виртуальной сети-1 и виртуальными сетями брандмауэра .
В поле поиска в верхней части портала введите Частная зона DNS зону. Выберите Частная зона DNS зоны в результатах поиска.
Выберите privatelink.database.windows.net.
В разделе "Параметры" выберите ссылки виртуальной сети.
Выберите Добавить.
В поле "Добавить ссылку виртуальной сети" введите или выберите следующие сведения:
Параметр Значение Связь виртуальной сети Имя связи виртуальной сети Введите ссылку на виртуальную сеть-1. Отток подписок Выберите свою подписку. Виртуальная сеть Выберите vnet-1 (test-rg). Настройка Оставьте значение по умолчанию без флажка для включения автоматической регистрации. Нажмите ОК.
Выберите Добавить.
В поле "Добавить ссылку виртуальной сети" введите или выберите следующие сведения:
Параметр Значение Связь виртуальной сети Имя связи виртуальной сети Введите ссылку на брандмауэр виртуальной сети. Отток подписок Выберите свою подписку. Виртуальная сеть Выберите vnet-firewall (test-rg). Настройка Оставьте значение по умолчанию без флажка для включения автоматической регистрации. Нажмите ОК.
Создание маршрута между виртуальной сетью-1 и виртуальной частной конечной точкой
Сетевой канал между виртуальной сетью-1 и виртуальной частной конечной точкой не существует. Необходимо создать маршрут, чтобы разрешить трафик между виртуальными сетями через Брандмауэр Azure.
Маршрут отправляет трафик из виртуальной сети-1 в адресное пространство виртуальной сети виртуальной сети-частной конечной точки через Брандмауэр Azure.
В поле поиска в верхней части портала введите таблицы route. Выберите таблицы route в результатах поиска.
Выберите + Создать.
На вкладке "Основы" таблицы "Создать маршрут" введите или выберите следующие сведения:
Параметр Значение Сведения о проекте Отток подписок Выберите свою подписку. Группа ресурсов Выберите test-rg. Сведения об экземпляре Область/регион Выберите регион Восточная часть США 2. Имя. Введите vnet-1-to-vnet-firewall. Распространение маршрутов шлюза Не изменяйте значение по умолчанию Да. Выберите Review + create (Просмотреть и создать).
Нажмите кнопку создания.
В поле поиска в верхней части портала введите таблицы route. Выберите таблицы route в результатах поиска.
Выберите vnet-1-to-vnet-firewall.
В разделе "Параметры" выберите "Маршруты".
Выберите Добавить.
В поле "Добавить маршрут" введите или выберите следующие сведения:
Параметр Значение Имя маршрута Введите подсеть-1 —подсеть-private-endpoint. Тип назначения Выберите IP-адреса. Диапазоны IP-адресов назначения или CIDR Введите 10.1.0.0/16. Тип следующего прыжка Выберите Виртуальный модуль. Адрес следующего прыжка Введите 10.2.1.4. Выберите Добавить.
В разделе "Параметры" выберите подсети.
Нажмите + Связать.
В подсети "Связать" введите или выберите следующие сведения:
Параметр Значение Виртуальная сеть Выберите vnet-1(test-rg). Подсеть Выберите подсеть-1. Нажмите ОК.
Настройка правила приложения в Брандмауэр Azure
Создайте правило приложения, чтобы разрешить обмен данными из виртуальной сети-1 в частную конечную точку сервера SQL Azure server-name.database.windows.net. Замените имя сервера именем сервера SQL Azure.
В поле поиска в верхней части портала введите Брандмауэр. Выберите политики брандмауэра в результатах поиска.
В политиках брандмауэра выберите политику брандмауэра.
В разделе "Параметры" выберите правила приложения.
Выберите + Добавить коллекцию правил.
В поле "Добавление коллекции правил" введите или выберите следующие сведения:
Параметр Значение Имя. Введите rule-collection-sql. Тип коллекции правил Оставьте выбор приложения. Приоритет Введите 100. Действие коллекции правил Выберите Разрешить. Группа коллекции правил Оставьте значение по умолчанию DefaultApplicationRuleCollectionGroup. Правила Правило 1 Имя. Введите SQLPrivateEndpoint. Тип источника Выберите IP-адрес. Исходный код Введите 10.0.0.0/16 Протокол Введите mssql:14333 Тип назначения Выберите полное доменное имя. Назначение Введите server-name.database.windows.net. Выберите Добавить.
Проверка подключения к SQL Azure из виртуальной машины
В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.
Выберите vm-1.
В операциях выберите Бастион.
Введите имя пользователя и пароль виртуальной машины.
Нажмите Подключиться.
Чтобы проверить разрешение имен частной конечной точки, введите следующую команду в окне терминала:
nslookup server-name.database.windows.netВы получите сообщение, аналогичное следующему примеру. Возвращенный IP-адрес — это частный IP-адрес частной конечной точки.
Server: 127.0.0.53 Address: 127.0.0.53#53 Non-authoritative answer: sql-server-8675.database.windows.netcanonical name = sql-server-8675.privatelink.database.windows.net. Name:sql-server-8675.privatelink.database.windows.net Address: 10.1.0.4Установите средства командной строки SQL Server из установки средств командной строки SQL Server sqlcmd и bcp в Linux. Выполните следующие действия после завершения установки.
Используйте следующие команды, чтобы подключиться к серверу SQL Server, созданному на предыдущих шагах.
Замените <администратора> сервера именем администратора, введенным во время создания SQL Server.
Замените <пароль> администратора паролем администратора, введенным во время создания SQL Server.
Замените имя сервера именем сервера SQL Server.
sqlcmd -S server-name.database.windows.net -U '<server-admin>' -P '<admin-password>'Командная строка SQL отображается при успешном входе. Введите exit, чтобы выйти из инструмента sqlcmd.
Проверка трафика в журналах Брандмауэр Azure
В поле поиска в верхней части портала введите Log Analytics. Выберите Log Analytics в результатах поиска.
Выберите рабочую область Log Analytics. В этом примере рабочая область называется log-analytics-workspace.
В параметрах "Общие" выберите "Журналы".
В примере запросов в поле поиска введите правило приложения. В возвращаемых результатах в сети нажмите кнопку "Запустить " для данных журнала правил приложения.
В выходных данных запроса журнала убедитесь , что server-name.database.windows.net указан в разделе FQDN и SQLPrivateEndpoint перечислены в разделе "Правило".
Завершив использование созданных ресурсов, можно удалить группу ресурсов и все ее ресурсы.
Войдите на портал Azure; найдите в поиске и выберите Группы ресурсов.
На странице групп ресурсов выберите группу ресурсов test-rg.
На странице test-rg выберите "Удалить группу ресурсов".
Введите test-rg в поле Ввод имени группы ресурсов, чтобы подтвердить удаление, а затем нажмите кнопку "Удалить".
Следующие шаги
Перейдите к следующей статье, чтобы узнать, как использовать частную конечную точку с частным сопоставительом Azure: