mcpField
A
azure-network-security-design

azure-network-security-design

github.com/vinayaklatthe安全17876 次安装19 周前更新
代码仓库

关于 azure-network-security-design

为 Azure landing zone 和工作负载设计网络拓扑与安全控制，面向负责云网络架构的团队。内容涵盖分段、私有连接和集中出口，并依据环境规模选择 hub-spoke 或 Virtual WAN。

主要功能

  1. 01选择 hub-spoke 或 Virtual WAN
  2. 02规划地址空间与网络分段
  3. 03配置 NSG 和 ASG 微分段
  4. 04使用 Private Endpoint 连接 PaaS
  5. 05集中管理出口、DNS 和管理访问

适用场景

  1. 01设计 Azure landing zone 网络
  2. 02规划跨区域或分支网络拓扑
  3. 03为 PaaS 配置私有连接
  4. 04限制工作负载出口并阻止公网 RDP/SSH

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill azure-network-security-design

安装后在 Claude Code 中输入/azure-network-security-design确认已加载。

详细介绍

Azure 网络安全设计

Azure 安全网络会将零信任应用于网络支柱：划分网络分段、明确控制流量、优先采用专用连接，并检查 / 过滤出站流量，假设网络是不可信的。最终形成中心辐射型（或 Virtual WAN）拓扑，采用 NSG 微分段、专用终结点和单一受控出站路径。

适用场景

为 Azure 着陆区或工作负载设计网络拓扑和控制措施。使用此技能来选择拓扑、设计网络分段并部署控制措施。

请勿将此技能用于防火墙产品本身（azure-firewall）、VM 加固（defender-for-cloud-hardening）或单项服务的网络配置（azure-key-vault）。

选择拓扑

环境规模拓扑备注
单个区域，少量订阅中心辐射型（单区域）大多数情况的默认选择
多区域，辐射网络 / 分支站点较多Virtual WAN由 Microsoft 管理的传输网络
全新部署的企业级环境Azure 着陆区 (CAF) - VWAN 或中心辐射型使用 CAF 蓝图
本地环境 + Azure 占比高中心辐射型 + ExpressRoute / VPN 网关中心网络承载网关 + 防火墙
小型 / 单工作负载单个 VNet，不设中心网络避免过度设计

经验法则： 大多数企业采用中心辐射型；多区域分支规模的环境采用 Virtual WAN。中心网络承载共享服务（防火墙、网关、DNS、Bastion）；工作负载位于辐射网络中。不要将工作负载放在中心网络中。

方法

  1. 拓扑和地址规划 — 选择中心辐射型或 Virtual WAN。为每个区域 / 辐射网络分配互不重叠的 RFC 1918 地址范围；在中心网络中预留网关子网、防火墙子网和 Bastion 子网。 验证：已记录地址规划；与本地地址范围不重叠；各区域之间不重叠。

  2. 使用 NSG 和 ASG 进行网络分段 — 在子网级别配置 NSG（优先于按 NIC 配置）。 使用应用程序安全组 (ASG) 对工作负载分组，而不是使用静态 IP 列表 — ASG 可适应扩缩容事件。按层进行微分段：Web / 应用 / 数据。 验证：NSG 流日志已启用并发送到 Log Analytics 工作区；存在默认拒绝规则；VM 组使用 ASG，而不是基于 IP 的源 / 目标规则。

  3. 为 PaaS 使用专用终结点 — 对敏感的 PaaS（Storage、SQL、Key Vault、Cosmos DB）使用专用终结点 / Private Link。流量始终通过 Microsoft 骨干网。禁用 PaaS 资源本身的公共网络访问。 验证：资源上的 publicNetworkAccess = Disabled；专用终结点通过专用 DNS 区域解析为专用 IP。

  4. 通过 Azure Firewall 集中管理出站流量 — 在辐射网络上配置 UDR：0.0.0.0/0 的下一跃点 = 防火墙专用 IP。所有出站流量都通过防火墙，以便进行 FQDN 过滤和日志记录。 验证：辐射网络 NIC 的有效路由显示下一跃点 = 防火墙；没有辐射网络使用自己的公共 IP 出站。

  5. 为面向公网的服务启用 DDoS + WAF — 在具有公共 IP 的 VNet 上启用 Azure DDoS Network Protection。将公共 Web 应用置于Front Door 或启用了 WAF 的 Application Gateway之后，并将其设为“防护”模式。 验证：已关联 DDoS 计划；生产环境中的 WAF 规则设为“防护”（而非“检测”）。

  6. 集中管理 DNS — 将专用 DNS 区域从中心网络链接到各辐射网络；辐射网络通过这些区域自动解析 PaaS 专用终结点。不要让每个辐射网络各自运行 DNS。

  7. 阻止通过互联网访问管理平面 — 不允许从互联网直接通过 RDP / SSH 访问 VM。使用Azure Bastion（位于中心网络中）或 Defender for Cloud 即时 VM 访问。 验证：所有 VM 子网的 NSG 均阻止来自互联网的 3389 / 22 端口流量；Bastion 已部署在中心网络中。

安全护栏

  • 对于敏感的 PaaS 数据平面，优先使用专用终结点，而非服务终结点。 服务终结点会让 PaaS 资源保持公开；专用终结点才能真正实现私有访问。
  • NSG 默认拒绝；记录每条允许规则的用途。 缺乏规范时，允许列表会逐渐变成“允许所有”。使用 ASG 并添加注释。
  • 不要将管理端口（RDP/SSH）暴露到互联网——使用 Bastion / 即时访问。 暴露在互联网的 3389 / 22 端口可能在数小时内遭到入侵。
  • DNS 是网络安全的一部分。 不可信的 DNS 解析会削弱专用终结点的隔离效果。
  • DDoS Network Protection 按 VNet 启用，按月计费。 对面向公众的 VNet 来说，这是成本低廉的保障；不要在每个 VNet 上都一律启用。
  • 将 NSG 流日志发送到工作区。 没有这些日志，发生事件时就无法进行网络取证。

常见反模式

  • “工作负载放在中心辐射式网络的中心——反正只有一个 VNet”——中心只承载共享服务。将工作负载放在辐射网络中，以限制影响范围。
  • “服务终结点比专用终结点便宜，所以用服务终结点”——服务终结点不会让 PaaS 成为私有服务，只会改变路由。敏感数据应使用专用终结点。
  • “每台 VM 的每个 NIC 都配置一个 NSG”——难以管理。使用子网 NSG + ASG。
  • “WAF 永远处于检测模式”——它会记录攻击，但不会阻止攻击。完成调优后，切换到防护模式。
  • “每个辐射网络都有自己的出站公网 IP”——没有集中检查，也没有出站日志记录。让流量经过中心防火墙。
  • “以后再部署 Bastion——暂时通过 VPN 使用 RDP”——VPN 凭据被盗会导致横向移动。从第一天起就使用 Bastion + 即时访问。

示例提示词

  • 为 Azure 登陆区域设计一个包含网络分段和专用终结点的中心辐射式网络。
  • 如何将零信任原则应用于 Azure 虚拟网络？
  • 为安全 VNet 规划 NSG 和 ASG 规则以及 DDoS 防护。
  • 控制辐射网络之间的出站流量和专用连接。
  • 用 Bastion 和 VM 即时访问取代暴露在互联网的 RDP。
  • 对于我们的多区域环境，应该使用中心辐射式网络还是 Virtual WAN？

Microsoft Learn

评论

支持 Markdown