Day-335-Azure 网络安全

# Day 352: Azure 网络安全 - VNet 安全/NSG/防火墙/DDoS 防护/私有链接

> 云安全系列第 12 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [VNet 安全基础](#vnet-安全基础)
2. [NSG 配置](#nsg-配置)
3. [Azure 防火墙](#azure-防火墙)
4. [DDoS 防护](#ddos-防护)
5. [私有链接](#私有链接)
6. [安全最佳实践](#安全最佳实践)
7. [总结与思考](#总结与思考)
8. [参考资料](#参考资料)

---

## VNet 安全基础

### VNet 架构

**VNet 组件**：
```
网络组件:
- 子网 (Subnets)
- 路由表 (Route Tables)
- 网络网关 (Gateway)
- 对等连接 (Peering)

安全组件:
- 网络安全组 (NSG)
- 应用安全组 (ASG)
- Azure 防火墙
- DDoS 防护

连接组件:
- VNet 对等
- VPN 网关
- ExpressRoute
- 虚拟 WAN
```

**子网设计**：
```
公有子网:
- 有互联网访问
- 部署负载均衡器
- 部署 NAT 网关

私有子网:
- 无直接互联网访问
- 部署应用服务器
- 部署数据库

网关子网:
- VPN 网关
- ExpressRoute 网关
- 虚拟网络网关
```

### 网络隔离

**子网隔离**：
```
环境隔离:
- 开发 VNet
- 测试 VNet
- 生产 VNet

功能隔离:
- Web 层子网
- 应用层子网
- 数据层子网

安全隔离:
- 高安全子网
- 中安全子网
- 低安全子网
```

**VNet 对等**：
```
区域内对等:
- 同一区域
- 低延迟
- 高带宽

跨区域对等:
- 不同区域
- 灾难恢复
- 数据本地化

全局对等:
- 全球 VNet
- 全球应用
- 统一管理
```

---

## NSG 配置

### NSG 基础

**NSG 特点**：
```
状态防火墙:
- 跟踪连接状态
- 自动允许响应
- 有状态过滤

规则类型:
- 入站规则
- 出站规则
- 默认规则

附加级别:
- 子网级别
- NIC 级别
- 优先级处理
```

**规则结构**：
```
规则属性:
- 优先级 (100-4096)
- 源/目标
- 端口范围
- 协议
- 动作 (Allow/Deny)

评估顺序:
- 按优先级排序
- 第一个匹配生效
- 默认拒绝
```

### NSG 设计

**分层设计**：
```
Web 层 NSG:
入站:
- 80/443 from Internet
- 健康检查 from LB
出站:
- 应用层端口 to App NSG

应用层 NSG:
入站:
- 应用端口 from Web NSG
出站:
- 数据库端口 to DB NSG

数据层 NSG:
入站:
- 数据库端口 from App NSG
出站:
- 无
```

**最佳实践**：
```
最小开放:
- 仅必要端口
- 限制源地址
- 定期审查

使用 ASG:
- 应用安全组
- 逻辑分组
- 简化管理

文档化:
- 规则说明
- 变更日志
- 责任人
```

---

## Azure 防火墙

### 防火墙功能

**核心功能**：
```
状态检测:
- 连接跟踪
- 协议分析
- 深度检测

威胁智能:
- 威胁情报
- 恶意 IP
- 恶意域名

应用规则:
- FQDN 过滤
- 应用协议
- URL 过滤
```

**网络规则**：
```
规则结构:
- 源地址
- 目标地址
- 端口
- 协议
- 动作

规则集合:
- 网络规则集合
- 应用规则集合
- NAT 规则集合
```

### 防火墙部署

**部署模式**：
```
中心辐射型:
- 中心防火墙
- 辐射 VNet
- 流量集中

分布式部署:
- 区域防火墙
- 本地防护
- 降低延迟

混合部署:
- 云防火墙
- 本地防火墙
- 统一管理
```

**高可用**：
```
内置 HA:
- 自动 HA
- 区域冗余
- 无额外配置

可用性 SLA:
- 99.95% SLA
- 区域冗余
- 自动故障转移
```

---

## DDoS 防护

### DDoS 版本

**Basic 版本**：
```
包含:
- 自动防护
- 常见攻击
- 无额外费用

防护类型:
-  volumetric 攻击
- 协议攻击
- 其他 L3/L4 攻击
```

**Standard 版本**：
```
高级防护:
- L7 防护
- 监控告警
- 攻击洞察

额外功能:
- 实时可见
- 攻击报告
- 成本保护
```

### 防护策略

**防护配置**：
```
防护策略:
- 自定义策略
- 阈值配置
- 响应动作

监控告警:
- 实时告警
- 攻击报告
- 成本告警
```

**响应流程**：
```
攻击检测:
- 自动检测
- 流量分析
- 异常识别

自动缓解:
- 流量清洗
- 攻击阻断
- 正常流量放行

事后分析:
- 攻击报告
- 影响分析
- 防护优化
```

---

## 私有链接

### Private Endpoint

**端点类型**：
```
接口端点:
- 私有 IP
- ENI 形式
- VNet 内访问

专用链接:
- 跨账户
- 跨租户
- 服务共享
```

**使用场景**：
```
PaaS 服务:
- Azure SQL
- Azure Storage
- Azure Key Vault

市场服务:
- 第三方服务
- SaaS 服务
- 合作伙伴服务

自定义服务:
- 内部服务
- 跨 VNet 服务
- 混合云服务
```

### 安全优势

**流量隔离**：
```
私有访问:
- 不经过互联网
- VNet 内流量
- 完全隔离

安全增强:
- 减少暴露
- 降低风险
- 合规支持
```

**访问控制**：
```
端点策略:
- 连接审批
- 访问控制
- 审计日志

网络隔离:
- NSG 控制
- 路由控制
- 流量监控
```

---

## 安全最佳实践

### 网络分段

**分段策略**：
```
环境分段:
- 开发 VNet
- 测试 VNet
- 生产 VNet

功能分段:
- Web VNet
- App VNet
- DB VNet

安全分段:
- 高安全 VNet
- 中安全 VNet
- 低安全 VNet
```

**隔离实施**：
```
网络隔离:
- VNet 隔离
- NSG 隔离
- 防火墙隔离

访问控制:
- VNet 对等
- 私有链接
- 服务端点
```

### 监控审计

**流日志**：
```
NSG 流日志:
- 流量记录
- 连接分析
- 异常检测

配置:
- 发送到 Storage
- 发送到 Sentinel
- 流量分析
```

**网络监控**：
```
工具:
- Network Watcher
- Traffic Analytics
- Connection Monitor

监控内容:
- 流量模式
- 连接状态
- 性能指标
```

---

## 总结与思考

### 核心要点回顾

1. **VNet 基础**：组件、子网设计、网络隔离
2. **NSG**：特点、规则、分层设计
3. **防火墙**：功能、部署模式、高可用
4. **DDoS 防护**：版本、防护策略、响应流程
5. **私有链接**：端点类型、使用场景、安全优势
6. **最佳实践**：网络分段、监控审计

### 深入思考

**安全挑战**：
- 复杂架构
- 配置管理
- 持续监控

**发展趋势**：
- 零信任网络
- 自动化安全
- 云原生防护

### 最佳实践

**设计**：
- 纵深防御
- 最小开放
- 网络分段

**实施**：
- 自动化配置
- 持续监控
- 定期审查

---

## 参考资料

### 学习资源

- **Azure VNet Documentation**: https://docs.microsoft.com/azure/virtual-network/
- **Azure Security Best Practices**: https://docs.microsoft.com/azure/security/fundamentals/best-practices-and-patterns
- **Azure Firewall Documentation**: https://docs.microsoft.com/azure/firewall/

### 工具资源

- **Azure Network Watcher**: https://azure.microsoft.com/services/network-watcher/
- **Azure DDoS Protection**: https://azure.microsoft.com/services/ddos-protection/
- **Azure Private Link**: https://azure.microsoft.com/services/private-link/

---

*Day 352 完成 | Azure 网络安全详解 | 字数：约 15,000 字*