Теги службы виртуальной сети

Тег службы представляет группу префиксов IP-адресов из данной службы Azure. Корпорация Майкрософт управляет префиксами адресов, входящих в тег службы, и автоматически обновляет этот тег при изменении адресов, сводя к минимуму сложность частых обновлений правил сетевой безопасности.

Теги служб можно использовать для определения элементов управления доступом к сети в группах безопасности сети, брандмауэре Azure и определяемых пользователем маршрутах. Используйте теги служб вместо определенных IP-адресов при создании правил безопасности и маршрутов. Указав имя тега службы, например ApiManagement, в соответствующем исходном или целевом поле правила безопасности, можно разрешить или запретить трафик соответствующей службы. Указав служебный тег в адресном префиксе маршрута, можно перенаправить трафик, предназначенный для любого из префиксов, охваченных служебным тегом, на необходимый тип следующего перехода.

Теги служб можно использовать для обеспечения сетевой изоляции и защиты ресурсов Azure от общего Интернета при доступе к службам Azure с общедоступными конечными точками. Создайте правила группы безопасности сети для входящего и исходящего трафика, чтобы запретить трафик из Интернета и разрешить трафик из AzureCloud или других доступных тегов служб Azure.

Доступные теги служб

В следующей таблице перечислены все теги служб, доступные для использования в правилах группы безопасности сети .

Столбцы указывают, является ли тег:

• Подходит для правил, охватывающих входящий или исходящий трафик.
• Поддерживает региональную область.
• Используется в правилах брандмауэра Azure в качестве правила назначения только для входящего или исходящего трафика.

По умолчанию теги служб отражают диапазоны для всего облака. Некоторые теги служб также позволяют более детально контролировать, ограничив соответствующие диапазоны IP-адресов указанным регионом. Например, служебный тег Storage обозначает службу Azure Storage для всего облака, а Storage.WestUS ограничивает диапазон только диапазонами IP-адресов хранилища в регионе WestUS. В следующей таблице указывается, поддерживает ли каждый тег службы такую региональную область, а направление, указанное для каждого тега, является рекомендацией. Например, тег AzureCloud может использоваться для разрешения входного трафика. В большинстве случаев мы не рекомендуем разрешать трафик со всех IP-адресов Azure, так как IP-адреса, используемые другими клиентами Azure, включаются в тег службы.

Теги, поддерживаемые в классической модели развертывания

Классическая модель развертывания (до Azure Resource Manager) поддерживает небольшое подмножество тегов, перечисленных в предыдущей таблице. Теги в классической модели развертывания написаны по-другому, как показано в следующей таблице:

Теги, неподдерживаемые для определяемых пользователем маршрутов (UDR)

Ниже приведен список тегов, которые в настоящее время не поддерживаются для использования с пользовательскими маршрутами (UDR).

• AzurePlatformDNS

• AzurePlatformIMDS

• AzurePlatformLKM

• Виртуальная сеть

• Балансировщик нагрузки Azure

• Интернет

Служебные теги в локальной инфраструктуре

Вы можете получить текущие сведения о теге службы и диапазоне, чтобы включить их в конфигурации локального брандмауэра. Эта информация представляет собой текущий список диапазонов IP-адресов, соответствующих каждому тегу службы. Информацию следует получить программным способом или с помощью скачивания JSON-файла, как описано в следующих разделах.

Использование API обнаружения тегов службы

Вы можете программно получить текущий список тегов служб вместе с сведениями о диапазоне IP-адресов:

• ОТДЫХ

• Azure PowerShell

• Azure CLI

Например, чтобы получить все префиксы для тега службы хранилища, можно использовать следующие командлеты PowerShell:

$serviceTags = Get-AzNetworkServiceTag -Location eastus2
$storage = $serviceTags.Values | Where-Object { $_.Name -eq "Storage" }
$storage.Properties.AddressPrefixes

Обнаружение тегов службы с помощью скачиваемых JSON-файлов

Вы можете скачать JSON-файлы, содержащие текущий список тегов служб, а также сведения о диапазоне IP-адресов. Эти списки обновляются и публикуются еженедельно. Расположения для каждого облака:

• Общедоступная служба Azure

• Azure для государственных организаций США

• Microsoft Azure, управляемый 21Vianet

• Azure Германия

Диапазоны IP-адресов в этих файлах находятся в нотации CIDR.

Следующие теги AzureCloud не имеют региональных имен, отформатированных в соответствии с обычной схемой:

• AzureCloud.centralfrance (FranceCentral)

• AzureCloud.southfrance (FranceSouth)

• AzureCloud.germanywc (ГерманияWestCentral)

• AzureCloud.germanyn (GermanyNorth)

• AzureCloud.НорвегияВосток

• AzureCloud.норвегияв (НорвегияЗапад)

• AzureCloud.switzerlandn (ШвейцарияНорт)

• AzureCloud.switzerlandw (ШвейцарияЗапад)

• AzureCloud.usstagee (EastUSSTG)

• AzureCloud.usstagec (SouthCentralUSSTG)

• AzureCloud.бразилияюговосток (БразилияЮго-Восток)

Дальнейшие шаги

• Узнайте, как создать группу безопасности сети.