Toegang voor developers met een point-to-site VPN¶
Met een zero-trust-aanpak hebben de meeste Azure-resources geen publiek endpoint: ze zijn alleen bereikbaar via een privénetwerk. Toch moeten engineers vanaf hun werkplek bij storage accounts, Key Vaults en databases in hun spokes kunnen. Een point-to-site (P2S) VPN naar de Virtual WAN is een manier om dat te bieden. Deze pagina beschrijft een ontwerp en de redenering erachter. Het is een patroon, geen beschrijving van wat elk platform heeft.
Wat MCP biedt
Het platform kan een point-to-site VPN-gateway aanmaken (create_point_to_site_vpn_gateway, zie
Platformfeatures). De segmentatie per workload die hieronder staat beschreven
(gebruikersgroepen met eigen adrespools, firewallregels per pool) is een ontwerp bovenop dat. Controleer wat je
platform implementeert voordat je het aan teams belooft.
Scope¶
- Toegang vanaf het apparaat van een engineer tot workload spokes: private endpoints, Key Vaults, storage accounts, virtuele machines.
- Niet voor toegang tot on-premises locaties, kantoren van dochterbedrijven of SaaS-services. Houd die buiten de workload-VPN.
- Alleen voor afnemers van het platform.
Principes¶
| Principe | Reden |
|---|---|
| Gebruik een bestaand platform (Virtual WAN) in plaats van een nieuw | Minder platforms betekent minder complexiteit, kosten en onderhoud |
| Meld je aan met Entra ID single sign-on en conditional access | Eén centrale plek voor authenticatie en autorisatiebeleid |
| Laat de dataclassificatie het conditional access-beleid bepalen | De classificatie dicteert de bescherming |
| Configureer de VPN-toegang wanneer de workload wordt aangemaakt | Minder wijzigingsverzoeken |
| Baseer autorisatie op het rollenmodel van de workload, niet op individuele toewijzingen | Minder onderhoud |
| Non-productie-spokes: bereikbaar voor alle afnemers, voor de toegestane protocollen | Eenvoudig, en productie wordt apart beschermd |
| Productiespokes: toegang vraagt een PIM-activatie die door de goedkeurder van de workload is goedgekeurd | Productietoegang is expliciet en gelogd |
| Een productiesessie bereikt slechts één workload | Voorkomt directe gegevensuitwisseling tussen productieworkloads |
Ontwerpkeuzes¶
| Keuze | Reden |
|---|---|
| Een aparte P2S-gateway in de Virtual WAN, niet de site-to-site-gateway | De bandbreedte van de site-verbindingen wordt niet beïnvloed, en hij schaalt onafhankelijk |
| Hoogbeschikbaar, maar eerst klein | P2S-toegang is cruciaal voor support, maar het initiële gebruik is beperkt |
| P2S-configuratie en firewallregels worden in de hub beheerd | Voorkomt misbruik |
| Twee client-adrespools: één voor non-productie, één voor productie, gereserveerd uit het connectivity-bereik | Het bron-IP van een pakket laat dan zien of de gebruiker voor non-productie of voor productie is goedgekeurd |
| Binnen de productiepool één klein subnet per workload (een /28 of /29, afhankelijk van het aantal gebruikers) | Isoleert een productiesessie tot één workload |
| Een productiegebruikersgroep heeft voorrang op de generieke non-productiegroep | Een productiegebruiker houdt de isolatie tot die workload |
| De firewallregel voor non-productie is generiek en hoort bij de platformregels. Firewallregels voor productie maken deel uit van het eigen regelbestand van de workload. | De regel wordt samen met de workload verwijderd of gewijzigd |
Technische opmerkingen¶
- Protocol en clients. OpenVPN is het protocol dat Entra ID-authenticatie en zowel Windows- als macOS-clients ondersteunt. Controleer de actuele clientondersteuning voor andere systemen.
- Gebruikersgroepen. Azure P2S ondersteunt gebruikersgroepen die een Entra ID-identiteit aan een adrespool koppelen. Gebruik één groep voor non-productie en één per workload voor productie.
- Split tunnelling. Alleen verkeer naar Azure gaat via de VPN. Internetverkeer passeert de Azure Firewall niet. Stuur alle DNS naar Azure, zodat private namen worden opgelost (DNS-ontwerp).
- Kosten. Plan de scale unit en de connection units. Een kleine deployment met één scale unit en een handvol verbindingen is goedkoop; dataoverdracht wordt er bovenop berekend.
- Monitoring. Zet alerts op beschikbaarheid van de gateway, bandbreedtegebruik en het aantal gelijktijdige verbindingen.
Conditional access op basis van dataclassificatie¶
| Dataclassificatie | Toegang tot | Gebruikelijk beleid |
|---|---|---|
| Laag (non-productie) | Non-productie-spokes | MFA vereist, sign-in- en gebruikersrisico op medium |
| Gemiddeld (productie) | De productiespoke van de workload | MFA vereist, hogere risicodrempels dan het non-productiebeleid |
| Hoog (productie) | De productiespoke van de workload | Het gemiddelde beleid plus een compliant apparaat en een locatiebeperking |
De niveaus en drempels zijn voorbeelden. Zie Beveiligingsclassificatie.
Processen¶
Wanneer een workload wordt aangemaakt:
- Voeg de gebruikers toe aan de groep voor non-productie-VPN-toegang.
- Maak een Entra ID-groep voor productie-VPN-toegang.
- Zet het PIM-proces voor die groep op.
- Maak de firewallregel voor productietoegang in het regelbestand van de workload.
- Maak de gebruikersgroep in de P2S-configuratie.
Wanneer een spoke aan een workload wordt toegevoegd: pas de firewallregel aan zodat het adresbereik van de spoke erin zit.