Tạo và Cấu Hình Nhóm Bảo Mật Mạng

Giới Thiệu

Trong môi trường đám mây ngày nay, việc kiểm soát lưu lượng mạng là rất quan trọng. Đặc biệt là trong các ứng dụng phức tạp, nơi có nhiều thành phần khác nhau. Bài viết này sẽ hướng dẫn bạn cách tạo và cấu hình nhóm bảo mật mạng (NSG) trong Azure, giúp bạn quản lý lưu lượng mạng hiệu quả và an toàn hơn.

Tình Huống

Tổ chức của bạn yêu cầu kiểm soát chặt chẽ lưu lượng mạng trong mạng ảo (app-vnet). Bạn đã xác định những yêu cầu như sau:

Subnet Frontend: Có máy chủ web có thể truy cập từ internet, cần một nhóm bảo mật ứng dụng (ASG) cho những máy chủ này.
Subnet Backend: Có máy chủ cơ sở dữ liệu sử dụng bởi các máy chủ web phía frontend, cần một NSG để kiểm soát lưu lượng truy cập giữa chúng.

Để kiểm tra, bạn cần cài đặt một máy ảo trong subnet frontend (VM1) và backend (VM2). Nhóm CNTT đã cung cấp một mẫu Azure Resource Manager để triển khai các máy chủ Ubuntu này.

Các Bước Thực Hiện

Tạo Mạng Cơ Sở Hạ Tầng cho Bài Tập

Lưu ý: Bài tập này yêu cầu các mạng ảo và subnet trong Lab 01 đã được cài đặt. Nếu cần, bạn có thể sử dụng mẫu được cung cấp để triển khai các tài nguyên đó.

Sử dụng biểu tượng ở góc trên bên phải để khởi động một phiên Cloud Shell. Hoặc truy cập trực tiếp vào https://shell.azure.com.
Nếu được nhắc chọn giữa Bash hoặc PowerShell, hãy chọn PowerShell.
Không cần lưu trữ cho nhiệm vụ này, hãy chọn đăng ký của bạn và áp dụng các thay đổi.
Sử dụng các lệnh sau để triển khai các máy ảo cần thiết cho bài tập này:
powershell Copy
```
# Lệnh triển khai máy ảo (VM1 và VM2)
```

Tạo Nhóm Bảo Mật Ứng Dụng

Hiểu về Nhóm Bảo Mật Ứng Dụng trong Microsoft Azure

Nhóm Bảo Mật Ứng Dụng (ASGs) trong Microsoft Azure cung cấp khả năng kiểm soát lưu lượng mạng tinh vi, giúp đơn giản hóa và tăng cường bảo mật cho khối lượng công việc trên đám mây.

Nhóm Bảo Mật Ứng Dụng Là Gì?

ASGs là các nhóm logic của các tài nguyên Azure, như máy ảo hoặc giao diện mạng, cho phép bạn định nghĩa các chính sách bảo mật dựa trên vai trò ứng dụng thay vì địa chỉ IP cá nhân. Khi được sử dụng với NSGs, ASGs giúp đơn giản hóa việc quản lý quy tắc bảo mật mạng phức tạp và hỗ trợ khả năng mở rộng.

Mục Đích

ASGs được thiết kế để đơn giản hóa quản lý bảo mật mạng cho các ứng dụng có nhiều thành phần. Việc nhóm các tài nguyên theo vai trò ứng dụng cho phép thiết lập các quy tắc bảo mật đồng nhất cho tất cả các thành viên trong nhóm và giảm độ phức tạp trong việc quản lý địa chỉ IP thay đổi trong các môi trường động.

Lợi Ích Chính:

Quản lý quy tắc đơn giản: Định nghĩa quy tắc một lần cho một ASG, áp dụng cho tất cả tài nguyên liên kết.
Khả năng mở rộng: Tự động áp dụng các chính sách cho các tài nguyên mới được thêm vào ASG.
Tính linh hoạt: Kết hợp với NSGs để tạo ra bảo mật nhiều lớp cho các ứng dụng đa tầng.
Thích ứng động: Xử lý các địa chỉ IP thay đổi trong các môi trường tự động mở rộng hoặc triển khai lại.

Ví Dụ Thực Tế

Thay vì tạo quy tắc NSG cho mỗi địa chỉ IP của máy chủ web, bạn có thể gán tất cả các máy chủ web vào một "Web-ASG" và áp dụng một quy tắc duy nhất cho phép lưu lượng HTTP đến nhóm này.

Các Thành Phần của Nhóm Bảo Mật Ứng Dụng

ASGs là một phần của hệ sinh thái mạng của Azure. Hiểu biết về các thành phần của nó là rất quan trọng để sử dụng hiệu quả:

Tài nguyên ASG: Một tài nguyên Azure độc lập được tạo trong một nhóm tài nguyên, được xác định bởi tên và khu vực.
Tài nguyên liên kết: Các giao diện mạng của VM, các nút Azure Kubernetes Service (AKS), hoặc các tài nguyên tính toán khác được gán cho một ASG.
Nhóm Bảo Mật Mạng (NSG): ASGs được tham chiếu trong các quy tắc NSG để xác định quyền truy cập lưu lượng (ví dụ: nguồn hoặc đích).
Mạng Ảo (VNet): ASGs hoạt động trong một VNet, nơi các tài nguyên chia sẻ một ranh giới mạng chung.
Quy tắc: Các quy tắc NSG sử dụng ASGs như nguồn hoặc đích thay vì địa chỉ IP, với các thuộc tính như giao thức, cổng và độ ưu tiên.

Các Bước Tạo và Liên Kết Nhóm Bảo Mật Ứng Dụng

Trong cổng Azure, tìm kiếm và chọn Nhóm bảo mật ứng dụng.
Chọn + Tạo và cấu hình nhóm bảo mật ứng dụng.
Chọn Kiểm tra + tạo và sau đó chọn Tạo.

Lưu ý: Bạn đang tạo nhóm bảo mật ứng dụng trong cùng khu vực với mạng ảo hiện có.

Liên Kết Nhóm Bảo Mật Ứng Dụng với Giao Diện Mạng của VM

Trong cổng Azure, tìm kiếm và chọn VM1.
Trong phần Networking, chọn Nhóm bảo mật ứng dụng và sau đó chọn Thêm nhóm bảo mật ứng dụng.
Chọn app-frontend-asg và sau đó chọn Thêm.

Tạo và Liên Kết Nhóm Bảo Mật Mạng

Nhóm Bảo Mật Mạng (NSG)

Nhóm bảo mật mạng (NSGs) bảo vệ lưu lượng mạng trong một mạng ảo. NSGs cho phép tạo ra các "Quy tắc" bảo mật mạng. Lưu ý rằng các thuộc tính vào và ra của quy tắc mạng không khả dụng với quy tắc bảo mật ứng dụng, và bảo mật ứng dụng sử dụng các quy tắc bảo mật được thiết lập trên quy tắc bảo mật mạng. Tuy nhiên, nó có thể được liên kết với quy tắc bảo mật mạng để áp dụng cho tất cả các máy ảo kết nối với mạng.

Trong cổng, tìm kiếm và chọn Nhóm bảo mật mạng.
Chọn + Tạo và cấu hình nhóm bảo mật mạng.

Liên Kết NSG với Subnet Backend của app-vnet

NSGs có thể được liên kết với các subnet và/hoặc các giao diện mạng riêng lẻ gắn với các máy ảo Azure.

Chọn Đi tới tài nguyên hoặc điều hướng đến tài nguyên app-vnet-nsg.
Trong phần Settings, chọn Subnets.
Chọn + Liên kết.
Chọn app-vnet (RG1) và sau đó là Subnet Backend. Chọn OK.

Tạo Quy Tắc Nhóm Bảo Mật Mạng

Một NSG sử dụng các quy tắc bảo mật để lọc lưu lượng mạng vào và ra.

Trong ô tìm kiếm ở đầu cổng, nhập Nhóm bảo mật mạng. Chọn Nhóm bảo mật mạng trong kết quả tìm kiếm.
Chọn app-vnet-nsg từ danh sách các nhóm bảo mật mạng.
Trong phần Settings, chọn Quy tắc bảo mật vào.
Chọn + Thêm và cấu hình một quy tắc bảo mật vào.

Thực Hành Tốt Nhất

Sử dụng các quy tắc chung: Tạo quy tắc bảo mật chung cho tất cả các máy chủ trong một ASG để giảm thiểu sự phức tạp.
Giám sát lưu lượng mạng: Sử dụng Azure Monitor để theo dõi hiệu suất và lưu lượng mạng.
Thường xuyên xem xét quy tắc bảo mật: Đảm bảo rằng các quy tắc bảo mật luôn cập nhật và phù hợp với nhu cầu của tổ chức.

Những Cạm Bẫy Thường Gặp

Quy tắc quá phức tạp: Tránh tạo quá nhiều quy tắc bảo mật, điều này có thể dẫn đến sự nhầm lẫn và khó khăn trong quản lý.
Không kiểm tra quy tắc: Đảm bảo rằng bạn luôn kiểm tra các quy tắc bảo mật sau khi tạo để đảm bảo chúng hoạt động như mong đợi.

Mẹo Tối Ưu Hiệu Suất

Sử dụng các nhóm bảo mật ứng dụng: Giúp đơn giản hóa việc quản lý và cải thiện hiệu suất.
Tối ưu hóa quy tắc bảo mật: Đảm bảo rằng các quy tắc bảo mật không quá phức tạp để không làm chậm lưu lượng mạng.

Khắc Phục Sự Cố

Kiểm tra nhật ký lưu lượng: Sử dụng Azure Network Watcher để kiểm tra lưu lượng mạng và xác định vấn đề.
Sử dụng công cụ diagnostics: Azure cung cấp các công cụ để giúp bạn xác định và khắc phục sự cố mạng.

Kết Luận

Việc tạo và cấu hình nhóm bảo mật mạng trong Azure là một phần thiết yếu trong quản lý bảo mật mạng. Bằng cách áp dụng các nguyên tắc tốt nhất và cẩn thận xem xét các quy tắc bảo mật, bạn có thể bảo vệ tốt hơn cho ứng dụng của mình. Hãy bắt đầu thực hiện ngay hôm nay để nâng cao khả năng bảo mật cho hệ thống của bạn!

Câu Hỏi Thường Gặp (FAQ)

Nhóm bảo mật ứng dụng là gì?
Nhóm bảo mật ứng dụng (ASG) là các nhóm logic của các tài nguyên Azure, cho phép bạn định nghĩa các chính sách bảo mật dựa trên vai trò ứng dụng.
Tôi có thể liên kết NSG với những gì?
NSGs có thể được liên kết với các subnet và giao diện mạng riêng lẻ gắn với các máy ảo Azure.
Có cần kiểm tra quy tắc bảo mật không?
Có, bạn luôn nên kiểm tra các quy tắc bảo mật sau khi tạo để đảm bảo chúng hoạt động như mong đợi.

Tạo và cấu hình nhóm bảo mật mạng trong Azure