Azure 新的专用子网

引言

Microsoft Azure 持续发展其云服务，优先考虑用户的安全性和灵活性。最新增加的功能是创建私有子网的能力，这对于任何关心网络安全和高效管理的企业来说都是一项重要功能。在这篇博客文章中，我们将探讨这项新功能、它的好处以及如何在各种场景中实现它。

了解新功能

传统上，当 Azure 中的虚拟机 (VM) 在没有任何显式出站连接的情况下创建时，它们会被分配一个默认的出站公共 IP 地址。这些隐式 IP 地址可能会发生变化，并且不与订阅关联，这在故障排除方面会带来挑战，也不符合 Azure 的“默认安全”模型。此模型可确保强大的安全性，而无需客户采取额外步骤。

弃用隐式连接

Azure 已宣布弃用此类隐式连接，计划于 2025 年 9 月生效。这一转变强调了 Azure 用户适应更安全、更受控的网络配置（如私有子网功能）的重要性。

设置私有子网

在 Azure 中创建私有子网非常简单。设置新子网时，可以通过将“默认出站访问”参数设置为 false 来防止不安全的隐式连接。这样，您就可以选择首选的显式出站连接方法。

深入探讨实现场景

让我们探讨如何在各种 Azure 配置中实现私有子网。

1. 与 NAT 网关关联的子网

在 NAT 网关中创建子网可提供对 Internet 的受控访问。方法如下：

• 在 Azure 门户中，创建一个新的虚拟网络和子网。
• 转到“子网”部分，然后禁用“默认出站访问”。
• 创建一个 NAT 网关并将其与您的子网关联。
• 根据您的要求配置 NAT 规则。

2. 具有出站规则的标准负载均衡器

对于位于标准负载均衡器后端池中的子网：

• 创建一个标准负载均衡器。
• 将子网添加到后端池。
• 定义出站规则以控制流量。

3. 基本公共负载均衡器

与基本公共负载均衡器集成：

• 设置一个基本负载均衡器。
• 将私有子网添加到其后端池。
• 确保已配置出站规则以进行流量管理。

4. 具有显式公共 IP 地址的虚拟机

要在私有子网中将公共 IP 地址显式关联到虚拟机：

• 在您的私有子网中创建虚拟机。
• 分配公共 IP 地址，并将其显式关联到您的虚拟机。

其他资源和文档

有关 Azure 中私有子网和默认出站访问的更多详细信息，请参阅Azure 官方文档。该文档提供了有关不同网络配置的综合指南和示例。

利用 Azure Bicep 进行网络接口配置

在 Azure 中配置私有子网时，利用基础设施即代码 (IaC) 的强大功能可以简化和增强此过程。Azure Bicep 是一种用于 Azure 资源部署的声明性语言，它提供了一种强大而高效的方式来定义和部署网络资源，包括网络接口。

示例：使用 Azure Bicep 定义子网

此示例演示了一个基本 Bicep 脚本，用于在虚拟网络中定义子网。该脚本设置了一个具有特定属性的子网，符合 Azure 的网络安全最佳实践。

resource myVnet 'Microsoft.Network/virtualNetworks@2020-11-01' = {
  name: 'myVirtualNetwork'
  location: resourceGroup().location
  properties: {
    addressSpace: {
      addressPrefixes: [
        '10.0.0.0/16'
      ]
    }
    subnets: [
      {
        name: 'mySubnet'
        properties: {
          addressPrefix: '10.0.0.0/24'
          delegations: []
          privateEndpointNetworkPolicies: 'Enabled'
          privateLinkServiceNetworkPolicies: 'Enabled'
          serviceEndpoints: []
          serviceEndpointPolicies: []
          disableOutboundSnat: true  // Disabling default outbound access
        }
      }
    ]
  }
}

注意：这是一个基本的示例，仅供说明。如需完整且实用的实现，请务必参考官方 Azure Bicep 文档和最新的模板。

示例：使用 Azure Bicep 创建网络接口

以下是您如何使用 Azure Bicep 创建网络接口的概念性示例。此脚本定义了一个基本网络接口，并将其链接到一个指定的虚拟网络和子网。

resource networkInterface 'Microsoft.Network/networkInterfaces@2020-11-01' = {
  name: 'myNetworkInterface'
  location: resourceGroup().location
  properties: {
    ipConfigurations: [
      {
        name: 'ipconfig1'
        properties: {
          subnet: {
            id: resourceId('Microsoft.Network/virtualNetworks/subnets', 'myVirtualNetwork', 'mySubnet')
          }
          privateIPAllocationMethod: 'Dynamic'
        }
      }
    ]
  }
}

注意：此代码是一个简化示例。对于实际实现，您应该参考Azure Bicep 网络接口模块以获取全面的模板和指南。

使用 Azure Bicep 进行网络配置的好处

1. 自动化和效率：Azure Bicep 简化了网络资源的部署，使过程更高效且不易出错。
2. 版本控制和可重用性：Bicep 模板可以进行版本控制和重用，确保跨部署的一致性。
3. 与 Azure 生态系统集成：Bicep 设计用于与其他 Azure 服务和工具无缝协作，为 Azure 网络管理提供一致的体验。

通过将 Azure Bicep 集成到您的网络部署策略中，尤其是在配置私有子网时，您可以在 Azure 环境中实现更大的控制、可伸缩性和安全性。

结论

Azure 的新私有子网功能标志着在增强网络安全和管理方面迈出了重要一步。通过了解和实施此功能，Azure 用户可以确保其虚拟网络安全且符合最新的云网络标准。我们鼓励读者在下面的评论部分分享他们的经验和问题。