Zum Inhalt

Eingehendes SFTP auf einen Storage Account (Firewall-DNAT)

Manche Workloads müssen Dateien von einer externen Partei per SFTP empfangen. Dein Storage Account nutzt einen private endpoint und hat den öffentlichen Zugriff deaktiviert, sodass die externe Partei ihn nicht direkt erreichen kann. Das ist gewollt: siehe Einschränkungen. Für diese Fälle kann die Plattform einen kontrollierten Einstiegspunkt auf der hub-firewall öffnen: eine DNAT-Regel auf einem benutzerdefinierten Port.

Mit dem Plattform-Team abstimmen

Dieses Muster braucht eine öffentliche IP-Adresse an der hub-firewall und eine DNAT-Regel. Ob deine Plattform es anbietet, welche Regionen es abdeckt und wer es genehmigt, hängt von deiner Organisation ab. Beginne mit einer Ausnahmeanfrage, nicht mit Code.

So funktioniert es

DNAT (Destination Network Address Translation) schreibt das Ziel eingehenden Verkehrs um. Der externe Client verbindet sich mit der öffentlichen IP-Adresse der firewall auf einem benutzerdefinierten Port. Die firewall übersetzt das auf den SFTP-Endpunkt deines Storage Accounts auf Port 22 und leitet es über den privaten Pfad weiter.

External client -> firewall public IP : custom port -> DNAT -> storage account FQDN : 22

Jeder Storage Account erhält einen eigenen benutzerdefinierten Port, damit die firewall weiß, wohin sie jede Verbindung schicken soll. Der Port ist nicht 22. Nur die Quelladressen, die du in der Regel nennst, können sich verbinden.

Wann du es nutzt

Nutze dieses Muster, wenn alle diese Punkte zutreffen:

  1. Der Storage Account nutzt einen private endpoint und hat den öffentlichen Zugriff deaktiviert.
  2. SFTP ist auf dem Storage Account aktiviert.
  3. Die externe Partei befindet sich außerhalb deines privaten Netzwerks (sie kann kein VPN und kein privates Routing nutzen).

Kann die Gegenseite dein privates Netzwerk erreichen, nutze stattdessen eine normale Firewallregel.

Was du anfragen musst

Feld Beschreibung
Storage Account Name des Storage Accounts und die Umgebung (dev, tst, acc, prd)
Quelle Die öffentliche(n) IP-Adresse(n) der externen Partei. Bitte sie um einen festen, kleinen Satz von Adressen.
Region Die Region der firewall, mit der sich die externe Partei verbindet. Hat deine Plattform eine firewall pro Region, wähle die Region, die zu deinem Workload passt.
Port Ein freier benutzerdefinierter Port. Dein Plattform-Team führt ein Register der vergebenen Ports und nennt dir den nächsten freien.
Begründung Welche Partei, welche Daten und warum SFTP nötig ist
Review-Datum Wann die Regel geprüft oder entfernt werden soll

Was das Plattform-Team tut

Das Plattform-Team fügt der Konfiguration der Firewallregeln eine NAT-Regel hinzu, in jeder Plattform-Umgebung, die sie erhalten soll, und deployt sie. Die technischen Details stehen unter Firewallregeln.

Was du der externen Partei gibst

Sende der externen Partei, nachdem die Regel deployt ist:

  1. Host: die öffentliche IP-Adresse der firewall in der gewählten Region (diesen Wert nennt dir dein Plattform-Team).
  2. Port: der dir zugewiesene benutzerdefinierte Port.
  3. Protokoll: SFTP.
  4. Die Zugangsdaten des SFTP-Benutzers des Storage Accounts, über einen sicheren Kanal. Du verwaltest sie selbst.

Teste die Verbindung von der Seite der externen Partei aus. Entferne die Regel, wenn der Datenaustausch endet.