Ga naar inhoud

Inkomende SFTP naar een storage account (firewall DNAT)

Sommige workloads moeten bestanden van een externe partij ontvangen via SFTP. Je storage account gebruikt een private endpoint en heeft publieke toegang uitgeschakeld, dus de externe partij kan er niet rechtstreeks bij. Dat is bewust zo: zie Beperkingen. Voor deze gevallen kan het platform één gecontroleerd toegangspunt openen op de hub firewall: een DNAT-regel op een custom poort.

Overleg met je platformteam

Dit patroon heeft een publiek IP-adres op de hub firewall en een DNAT-regel nodig. Of je platform dit aanbiedt, welke regio's het dekt en wie het goedkeurt, hangt af van je organisatie. Begin met een uitzonderingsaanvraag, niet met code.

Hoe het werkt

DNAT (destination network address translation) herschrijft de bestemming van inkomend verkeer. De externe client maakt verbinding met het publieke IP-adres van de firewall op een custom poort. De firewall vertaalt dat naar het SFTP-endpoint van je storage account op poort 22, en stuurt het door via het private pad.

External client -> firewall public IP : custom port -> DNAT -> storage account FQDN : 22

Elk storage account krijgt een eigen custom poort, zodat de firewall weet waar elke verbinding naartoe moet. De poort is niet 22. Alleen de bronadressen die je in de regel noemt kunnen verbinding maken.

Wanneer gebruik je het

Gebruik dit patroon als aan al deze voorwaarden is voldaan:

  1. Het storage account gebruikt een private endpoint en heeft publieke toegang uitgeschakeld.
  2. SFTP is ingeschakeld op het storage account.
  3. De externe partij staat buiten je private netwerk (die kan geen VPN of private routing gebruiken).

Kan de andere kant je private netwerk wel bereiken, gebruik dan een gewone firewallregel.

Wat je aanvraagt

Veld Beschrijving
Storage account Naam van het storage account, en de omgeving (dev, tst, acc, prd)
Bron Het (de) publieke IP-adres(sen) van de externe partij. Vraag om een vaste, kleine set adressen.
Regio De regio van de firewall waarmee de externe partij verbinding maakt. Heeft je platform een firewall per regio, kies dan de regio die bij je workload past.
Poort Een vrije custom poort. Je platformteam houdt een register van toegewezen poorten bij en geeft je de eerstvolgende vrije.
Motivering Welke partij, welke data, en waarom SFTP nodig is
Reviewdatum Wanneer de regel moet worden beoordeeld of verwijderd

Wat het platformteam doet

Het platformteam voegt een NAT-regel toe aan de firewallregelconfiguratie, in elke platformomgeving die hem moet krijgen, en deployt die. De technische details staan in Firewallregels.

Wat je de externe partij geeft

Stuur de externe partij na het deployen van de regel:

  1. Host: het publieke IP-adres van de firewall in de gekozen regio (je platformteam geeft je deze waarde).
  2. Poort: de custom poort die aan jou is toegewezen.
  3. Protocol: SFTP.
  4. De inloggegevens voor de SFTP-gebruiker van het storage account, via een beveiligd kanaal. Die beheer je zelf.

Test de verbinding vanaf de kant van de externe partij. Verwijder de regel als de gegevensuitwisseling stopt.