Giới Thiệu

Trong bối cảnh ngày càng nhiều tổ chức chuyển đổi ứng dụng lên nền tảng đám mây, việc thiết kế một kiến trúc mạng bảo mật và có khả năng mở rộng trở nên vô cùng quan trọng. Bài viết này sẽ hướng dẫn chi tiết từng bước trong việc thiết lập kiến trúc mạng dạng hub-and-spoke trên Microsoft Azure, phù hợp cho việc triển khai ứng dụng web.

Tổng Quan Kịch Bản

Tổ chức của bạn đang chuyển đổi một ứng dụng web lên Azure. Bước đầu tiên là thiết lập các thành phần mạng cơ bản:

Hai mạng ảo: app-vnet và hub-vnet, mô phỏng kiến trúc hub-and-spoke.
app-vnet sẽ chứa ứng dụng, được chia thành:
- frontend-subnet cho máy chủ web
- backend-subnet cho máy chủ cơ sở dữ liệu
hub-vnet sẽ có một firewall-subnet cho bảo mật tập trung.
Cả hai mạng phải được kết nối an toàn để cho phép giao tiếp riêng tư.
Tất cả tài nguyên sẽ nằm trong cùng một khu vực Azure.

Bước 1: Tạo Mạng Ảo Hub và Spoke cùng Các Subnet

Một mạng ảo Azure cho phép nhiều loại tài nguyên Azure giao tiếp với nhau một cách an toàn, với internet và các mạng tại chỗ. Tất cả tài nguyên Azure trong một mạng ảo được triển khai vào các subnet trong mạng ảo đó.

Đăng nhập vào cổng Azure - https://portal.azure.com.
Tìm kiếm và chọn Mạng Ảo.
Chọn + Tạo và hoàn tất cấu hình cho app-vnet. Mạng ảo này yêu cầu hai subnet, frontend và backend.

plaintext Copy

Thuộc tính            Giá trị
Nhóm tài nguyên           RG1
Tên mạng ảo           app-vnet
Khu vực                   West US 3
Không gian địa chỉ IPv4   10.1.0.0/16
Tên subnet          frontend
Phạm vi địa chỉ subnet     10.1.0.0/24
Tên subnet          backend
Phạm vi địa chỉ subnet     10.1.1.0/24

Lưu ý: Để tất cả các cài đặt khác ở mặc định. Khi hoàn thành, chọn “Xem + tạo” và sau đó “Tạo”.

Bên trong mỗi mạng ảo, bạn phân chia thành các subnet:

Trong app-vnet:
- frontend-subnet: cho các máy chủ web xử lý lưu lượng người dùng.
- backend-subnet: cho các máy chủ cơ sở dữ liệu lưu trữ và xử lý dữ liệu.
Trong hub-vnet:
- firewall-subnet: cho việc triển khai Azure Firewall hoặc các thiết bị bảo mật khác.

Tại sao điều này quan trọng: Subnets giúp tổ chức tài nguyên và áp dụng các quy tắc bảo mật. Ví dụ, bạn có thể hạn chế quyền truy cập sao cho chỉ có frontend giao tiếp với backend, và tất cả lưu lượng đều đi qua firewall.

Tạo cấu hình mạng ảo hub-vnet. Mạng ảo này có subnet firewall.

plaintext Copy

Thuộc tính           Giá trị
Nhóm tài nguyên         RG1
Tên                   hub-vnet
Khu vực                 West US 3
Không gian địa chỉ IPv4     10.0.0.0/16
Tên subnet        AzureFirewallSubnet
Phạm vi địa chỉ subnet   10.0.0.0/26

Khi các triển khai hoàn tất, tìm kiếm và chọn các mạng ảo của bạn.
Xác nhận rằng các mạng ảo và subnet của bạn đã được triển khai.

Lưu ý: Chúng ta đã tạo hai mạng ảo riêng biệt:

app-vnet: nơi ứng dụng của bạn sống.
hub-vnet: nơi các dịch vụ chia sẻ như firewall hoặc gateway VPN cư trú.

Tại sao điều này quan trọng: Việc tách biệt này cho phép bạn tập trung hóa bảo mật và định tuyến trong hub, trong khi giữ cho khối lượng công việc ứng dụng được cô lập trong spoke. Nó có khả năng mở rộng, bảo mật và phản ánh kiến trúc cấp doanh nghiệp.

Bước 2: Cấu Hình Kết Nối Mạng Ảo

Kết nối mạng ảo cho phép bạn kết nối liền mạch hai hoặc nhiều mạng ảo trong Azure. Kết nối mạng ảo giữa app-vnet và hub-vnet cho phép chúng giao tiếp riêng tư qua mạng cốt lõi của Azure.

Tìm kiếm và chọn mạng ảo app-vnet.
Trong bảng cài đặt, chọn Kết Nối.
+ Thêm một kết nối giữa hai mạng ảo.

Thuộc tính	Giá trị
Tên liên kết kết nối từ xa	`app-vnet-to-hub`
Mạng ảo	`hub-vnet`
Tên liên kết kết nối mạng ảo cục bộ	`hub-to-app-vnet`

Lưu ý: Để tất cả các cài đặt khác ở mặc định. Chọn “Thêm” để tạo kết nối mạng ảo.

Khi việc triển khai hoàn tất, xác minh trạng thái Kết Nối là Đã Kết Nối.

Tại sao điều này quan trọng: Kết nối tránh việc cần sử dụng IP công cộng hoặc VPN. Nó nhanh chóng, an toàn và tiết kiệm chi phí. Bạn có thể kiểm soát lưu lượng và thậm chí định tuyến nó qua firewall trong hub.

Thực Hành Tốt Nhất

Đảm bảo rằng không gian địa chỉ VNet (CIDR block) không trùng lặp với các dải mạng khác của tổ chức bạn.
Sử dụng các quy tắc bảo mật để hạn chế quyền truy cập giữa các subnet.
Thường xuyên kiểm tra và cập nhật các chính sách bảo mật liên quan đến firewall.

Cạm Bẫy Thường Gặp

Quá tải subnet: Nếu bạn không phân chia subnet hợp lý, có thể dẫn đến quá tải tài nguyên.
Thiếu kiểm soát truy cập: Không thiết lập các quy tắc bảo mật có thể làm tăng rủi ro bảo mật cho ứng dụng.

Mẹo Tối Ưu Hiệu Suất

Theo dõi lưu lượng giữa các subnet để phát hiện các vấn đề về hiệu suất.
Áp dụng các phương pháp tối ưu hóa cho ứng dụng và cơ sở dữ liệu.

Giải Quyết Vấn Đề

Nếu không thể kết nối giữa các mạng ảo, hãy kiểm tra lại cấu hình kết nối.
Đảm bảo rằng tất cả các cổng cần thiết trên firewall đều được mở.

Kết Luận

Chúc mừng bạn đã hoàn thành bài hướng dẫn! Hãy ghi nhớ những điểm chính sau đây:

Các mạng ảo Azure cung cấp một môi trường mạng bảo mật và cách ly cho các tài nguyên đám mây của bạn. Bạn có thể tạo nhiều mạng ảo cho mỗi khu vực theo mỗi đăng ký.
Khi thiết kế mạng ảo, hãy đảm bảo rằng không gian địa chỉ VNet (CIDR block) không trùng lặp với các dải mạng khác.
Subnet là một phạm vi địa chỉ IP trong VNet. Bạn có thể phân đoạn VNets thành các subnet có kích thước khác nhau.
Một số dịch vụ Azure như Azure Firewall yêu cầu có subnet riêng.
Kết nối mạng ảo cho phép bạn kết nối liền mạch hai mạng ảo Azure.

Câu Hỏi Thường Gặp

1. Mạng ảo Azure là gì?
Mạng ảo Azure là một dịch vụ cho phép các tài nguyên Azure giao tiếp với nhau trong một môi trường bảo mật.

2. Kết nối mạng ảo có an toàn không?
Có, kết nối mạng ảo cho phép giao tiếp riêng tư mà không cần sử dụng IP công cộng.

3. Tôi có thể tạo bao nhiêu mạng ảo trong Azure?
Bạn có thể tạo nhiều mạng ảo tùy thuộc vào đăng ký của mình và khu vực.

Hãy thực hiện ngay các bước trên để thiết lập kiến trúc mạng bảo mật trong Azure cho tổ chức của bạn!

Hướng Dẫn Xây Dựng Kiến Trúc Mạng Bảo Mật Trên Azure