Azure

Azure - 仮想ネットワークとネットワーク(NSG)

投稿日:2019年4月30日 更新日:

仮想ネットワークは、オンプレでいうところのサーバラックとスイッチであり、ネットワークセキュリティグループがFWだ。そして仮想ネットワークは、AWSでいうところのVPCである。

仮想ネットワーク(Vnet)

ポイント

仮想ネットワークはネットワークアドレスやサブネットを決める部分である。

ネットワークに疎いエンジニアは多いかと思う。昨今新規でネットワークを作ることが少ないからだ。しかし、クラウドを使うときに、このネットワーク知識は必須である。必ず、慣れるように勉強することが大切だ。

参考になる本を挙げておく。

  • ネットワーク技術&設計入門(SB Creative みやたひろし)
  • 図解ネットワーク仕事で使える基本の知識(技術評論社)
  • イラスト図解式 セキュリティの基本(SB Creative)

 

ネットワークアドレスとサブネットの決め方

システムのアドレス体系の内、サブネットが何個必要か?を考えること。アプリケーションサーバ、データベース層で使用するIPアドレスは何個必要か?ということも考えないといけない。

これには、さまざまなサイトがあるためこのページでの詳細説明は割愛する。苦手な人は以下を参考に。

参考例:

Vnetを192.168.100/24とする。

サブネットは4個必要(AP二つ、データベース二つ)であり、拡張性は考えないとすると以下のようになる。/28とすると.00000000の左側の組み合わせの数だけサブネットアドレスに使える。

192.168.100.16/28

192.168.100.32/28

192.168.100.64/28

192.168.100.128/28

.....

 

設計のポイント

ポイント

サーバ間の階層でちゃんとサブネットを分けましょう。

WEB3層システムと似ています。クラウドは防御が大事です。インバウンドとアウトバウンドをしっかり設定しましょう。ここが本当に、セキュリティで大事なポイントになります。

ネットワークセキュリティグループ(NSG)

デフォルトの画像は上記のとおりである。このままではすべてのネットワーク通信を許可してします。

ポイント

NSGで絶対に受信と宛先ポート、ソースIPは絞りましょう

。追加を押せば画面のように設定追加ができます。

クラウドは、そのサービス特性上インターネットにさらした瞬間に、外部から攻撃を受けることになります。ポートスキャンだったり、パスワードが弱かったらリモートデスクトップ接続でサーバごと乗っ取られる可能性があります。

なお、NSGを作成したら、かならずサブネットと紐づけを行いましょう。

専用線接続 (Express Route)

一番良い方法は、グローバルIPを持たないことです。専用線(AzureであればExpress Route)でシステムを構築することです。しかし、これは利用料が高いです。また、クラウドを使う上では、やはり、インターネット接続はさけては通れません。お客様に提案し、お金よりもセキュリティという話になれば、Express Routeを使用しましょう。

NSGフローログ

ポイント

フローログも必ずオンにしましょう。

これは、障害調査にも役立ちますし、外部からどういった攻撃(接続)があるのか理解するとこにも役立ちます。

まだ、クラウド利用に慣れていない場合は、固有データを使わずに、フローログをオンにして、NSGで防御策をしっかりとった後、外部にさらしてみてください。どこかしらの国からアタックされていることがわかります。

 

フローログを有効にできない場合

デフォルトでは、microsoft.insightsが有効になっていないため、フローログを有効にできません。下記画面を参考にサブスクリプションサービスから有効にしましょう。

さいごに

クラウドは怖いからと利用を避けるのではなく、今までの経験を活かし、クラウドの仕組みを正しく理解し、防御策を整えることでクラウドを活用しましょう。

おすすめ記事

1

敬愛してやまない大芸人であるコウメ太夫様が毎日実施されているツイート(#まいにちチクショー)を元に、機械学習初心者がPythonのプログラミングでデータ収集と学習を行い、コウメ太夫様っぽい文章を自動生 ...

2

正直私も最初はUdemyなんて聞いたことないし怪しいなと思いました。でも、今では実際に25講座ほど購入済みです。そんな私がUdemyの評判やお得な講座購入方法について書いていきます。   目次 Ude ...

3

先日AWSソリューションアーキテクトアソシエイト(AWS SAA)に一発で合格しました。スコアは800点台の後半でした。 世の中にはたくさんAWS SAAの合格体験記がありますが、私もこのサイトに合格 ...

4

この記事は、技術系ブログ運営の実情と運営するメリットについて詳しく書いていく。これから技術系ブログを始めたいと思っている人は、よく読んで参考にしていってください。そして、この記事を参考に技術系ブログを ...

-Azure

Copyright© CLOUD IT FUTURE , 2020 All Rights Reserved.