Azure Stack HCI için güvenlik duvarı gereksinimleri
Şunlar için geçerlidir: Azure Stack HCI, sürüm 23H2 ve 22H2
Bu makalede, Azure Stack HCI işletim sistemi için güvenlik duvarlarını yapılandırma hakkında yönergeler sağlanır. Giden uç noktalar, iç kurallar ve bağlantı noktaları için güvenlik duvarı gereksinimlerini içerir. Makalede ayrıca azure hizmet etiketlerini Microsoft Defender güvenlik duvarıyla kullanma hakkında bilgi sağlanır.
Ağınız İnternet erişimi için ara sunucu kullanıyorsa bkz. Azure Stack HCI için ara sunucu ayarlarını yapılandırma.
Önemli
Azure Özel Bağlantı, Azure Stack HCI, sürüm 23H2 veya bileşenlerinin herhangi biri için desteklenmez.
Giden uç noktalar için güvenlik duvarı gereksinimleri
Kuruluşunuzun güvenlik duvarında giden ağ trafiği için 443 numaralı bağlantı noktasını açmak, işletim sisteminin Azure ve Microsoft Update'e bağlanması için bağlantı gereksinimlerini karşılar. Giden güvenlik duvarınız kısıtlıysa, bu makalenin Önerilen güvenlik duvarı URL'leri bölümünde açıklanan URL'leri ve bağlantı noktalarını eklemenizi öneririz.
Azure Stack HCI'nin düzenli aralıklarla Azure'a bağlanması gerekir. Erişim yalnızca aşağıdakiler ile sınırlıdır:
- İyi bilinen Azure IP'leri
- Giden yön
- Bağlantı noktası 443 (HTTPS)
Önemli
Azure Stack HCI, HTTPS incelemeyi desteklemez. Bağlantı hatalarını önlemek için Azure Stack HCI ağ yolunuz boyunca HTTPS incelemesinin devre dışı bırakıldığından emin olun.
Aşağıdaki diyagramda gösterildiği gibi, Azure Stack HCI potansiyel olarak birden fazla güvenlik duvarı kullanarak Azure'a erişir.
Bu makalede, izin verilenler listenize dahil olanlar dışında tüm hedeflere giden trafiği engellemek için isteğe bağlı olarak yüksek oranda kilitli bir güvenlik duvarı yapılandırmasının nasıl kullanılacağı açıklanmaktadır.
Gerekli güvenlik duvarı URL'leri
Aşağıdaki tabloda gerekli güvenlik duvarı URL'lerinin listesi sağlanır. Bu URL'leri izin verilenler listenize eklediğinizden emin olun.
Lütfen Azure Stack HCI üzerinde AKS için gerekli güvenlik duvarı gereksinimlerini de izleyin.
Not
Azure Stack HCI güvenlik duvarı kuralları, HciSvc bağlantısı için gereken en düşük uç noktalardır ve joker karakter içermez. Ancak aşağıdaki tabloda şu anda joker karakter URL'leri yer alır ve bu URL'ler gelecekte kesin uç noktalara güncelleştirilebilir.
| Hizmet | URL | Bağlantı noktası | Notlar |
|---|---|---|---|
| Azure Stack HCI Güncelleştirmeler indirme | fe3.delivery.mp.microsoft.com | 443 | Azure Stack HCI'yi güncelleştirmek için sürüm 23H2. |
| Azure Stack HCI Güncelleştirmeler indirme | tlu.dl.delivery.mp.microsoft.com | 80 | Azure Stack HCI'yi güncelleştirmek için sürüm 23H2. |
| Azure Stack HCI Güncelleştirmeler bulma | aka.ms | 443 | Azure Stack HCI, sürüm 23H2 ve Çözüm Oluşturucu Uzantısı Güncelleştirmeler bulmak için adresleri çözümlemek için. |
| Azure Stack HCI Güncelleştirmeler bulma | redirectiontool.trafficmanager.net | 443 | aka.ms yeniden yönlendirme bağlantıları için kullanım verileri izleme uygulayan temel hizmet. |
| Azure Stack HCI | login.microsoftonline.com | 443 | Active Directory Yetkilisi için ve kimlik doğrulaması, belirteç getirme ve doğrulama için kullanılır. |
| Azure Stack HCI | graph.windows.net | 443 | Graph için ve kimlik doğrulaması, belirteç getirme ve doğrulama için kullanılır. |
| Azure Stack HCI | management.azure.com | 443 | Resource Manager için ve kayıt amacıyla kümenin Azure'a ilk önyüklemesi sırasında kullanılır ve kümenin kaydını silmek için kullanılır. |
| Azure Stack HCI | dp.stackhci.azure.com | 443 | Tanılama verilerini göndererek Azure portal işlem hattında kullanılan ve faturalama verilerini gönderen veri düzlemi için. |
| Azure Stack HCI | *.platform.edge.azure.com | 443 | Lisanslamada ve uyarı ve faturalama verilerini göndermede kullanılan veri düzlemi için. Yalnızca Azure Stack HCI, sürüm 23H2 için gereklidir. |
| Azure Stack HCI | azurestackhci.azurefd.net | 443 | Veri düzlemi için önceki URL. Bu URL kısa süre önce değiştirildi, bu eski URL'yi kullanarak kümelerini kaydeden müşterilerin de buna izin vermesi gerekir. |
| Azure Stack HCI | hciarcvmscontainerregistry.azurecr.io | 443 | Azure Stack HCI'de Arc VM kapsayıcı kayıt defteri için. Yalnızca Azure Stack HCI, sürüm 23H2 için gereklidir. |
| Sunucular için Arc | aka.ms | 443 | Yükleme sırasında indirme betiğini çözümlemek için. |
| Sunucular için Arc | download.microsoft.com | 443 | Windows yükleme paketini indirmek için. |
| Sunucular için Arc | login.windows.net | 443 | Microsoft Entra ID için |
| Sunucular için Arc | login.microsoftonline.com | 443 | Microsoft Entra ID için |
| Sunucular için Arc | pas.windows.net | 443 | Microsoft Entra ID için |
| Sunucular için Arc | management.azure.com | 443 | Azure Resource Manager Arc Server kaynağını oluşturması veya silmesi için |
| Sunucular için Arc | guestnotificationservice.azure.com | 443 | Uzantı ve bağlantı senaryolarına yönelik bildirim hizmeti için |
| Sunucular için Arc | *.his.arc.azure.com | 443 | Meta veriler ve karma kimlik hizmetleri için |
| Sunucular için Arc | *.guestconfiguration.azure.com | 443 | Uzantı yönetimi ve konuk yapılandırma hizmetleri için |
| Sunucular için Arc | *.guestnotificationservice.azure.com | 443 | Uzantı ve bağlantı senaryolarına yönelik bildirim hizmeti için |
| Sunucular için Arc | azgn*.servicebus.windows.net | 443 | Uzantı ve bağlantı senaryolarına yönelik bildirim hizmeti için |
| Sunucular için Arc | *.servicebus.windows.net | 443 | Windows Admin Center ve SSH senaryoları için |
| Sunucular için Arc | *.waconazure.com | 443 | Windows Admin Center bağlantı için |
| Sunucular için Arc | *.blob.core.windows.net | 443 | Azure Arc özellikli sunucu uzantılarının indirme kaynağı için |
Tüm güvenlik duvarı URL'lerinin kapsamlı listesi için güvenlik duvarı URL'leri elektronik tablosunu indirin.
Önerilen güvenlik duvarı URL'leri
Aşağıdaki tabloda önerilen güvenlik duvarı URL'lerinin listesi sağlanır. Giden güvenlik duvarınız kısıtlıysa, bu bölümde açıklanan URL'leri ve bağlantı noktalarını izin verilenler listenize eklemenizi öneririz.
Not
Azure Stack HCI güvenlik duvarı kuralları, HciSvc bağlantısı için gereken en düşük uç noktalardır ve joker karakter içermez. Ancak, aşağıdaki tabloda şu anda joker karakter URL'leri vardır ve bu URL'ler gelecekte kesin uç noktalara güncelleştirilebilir.
| Hizmet | URL | Bağlantı noktası | Notlar |
|---|---|---|---|
| Azure Stack HCI üzerinde Azure Avantajları | crl3.digicert.com | 80 | Azure Stack HCI'deki platform kanıtlama hizmetinin, VM'lerin Gerçekten Azure ortamlarında çalıştığından emin olmak için bir sertifika iptal listesi denetimi gerçekleştirmesini sağlar. |
| Azure Stack HCI üzerinde Azure Avantajları | crl4.digicert.com | 80 | Azure Stack HCI'deki platform kanıtlama hizmetinin, VM'lerin Gerçekten Azure ortamlarında çalıştığından emin olmak için bir sertifika iptal listesi denetimi gerçekleştirmesini sağlar. |
| Azure Stack HCI | *.powershellgallery.com | 443 | Küme kaydı için gereken Az.StackHCI PowerShell modülünü edinmek için. Alternatif olarak, Az.StackHCI PowerShell modülünü PowerShell Galerisi'dan el ile indirip yükleyebilirsiniz. |
| Küme Bulut Tanığı | *.blob.core.windows.net | 443 | Azure blob kapsayıcısına güvenlik duvarı erişimi için, küme tanığı olarak bir bulut tanığı kullanmayı seçerseniz bu isteğe bağlıdır. |
| Microsoft Update | windowsupdate.microsoft.com | 80 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
| Microsoft Update | download.windowsupdate.com | 80 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
| Microsoft Update | *.download.windowsupdate.com | 80 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
| Microsoft Update | download.microsoft.com | 443 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
| Microsoft Update | wustat.windows.com | 80 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
| Microsoft Update | ntservicepack.microsoft.com | 80 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
| Microsoft Update | go.microsoft.com | 80 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
| Microsoft Update | dl.delivery.mp.microsoft.com | 80, 443 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
| Microsoft Update | *.delivery.mp.microsoft.com | 80, 443 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
| Microsoft Update | *.windowsupdate.microsoft.com | 80, 443 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
| Microsoft Update | *.windowsupdate.com | 80 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
| Microsoft Update | *.update.microsoft.com | 80, 443 | İşletim sisteminin güncelleştirmeleri almasını sağlayan Microsoft Update için. |
Ek Azure hizmetleri için güvenlik duvarı gereksinimleri
HCI'de etkinleştirdiğiniz ek Azure hizmetlerine bağlı olarak ek güvenlik duvarı yapılandırma değişiklikleri yapmanız gerekebilir. Her Azure hizmeti için güvenlik duvarı gereksinimleri hakkında bilgi için aşağıdaki bağlantılara bakın:
- Azure Stack HCI üzerinde AKS
- Azure Arc özellikli sunucular
- Azure Arc kaynak köprüsü ağ gereksinimleri
- Azure İzleyici Aracısı
- Azure portalı
- Azure Site Recovery
- Azure Sanal Masaüstü
- Microsoft Defender
- Microsoft Monitoring Agent (MMA) ve Log Analytics Aracısı
- Qualys
- Uzaktan destek
- Windows Yönetim Merkezi
- Azure portal'da Windows Admin Center
İç kurallar ve bağlantı noktaları için güvenlik duvarı gereksinimleri
Hem bir site içindeki hem de esnetilmiş kümeler için siteler arasında tüm sunucu düğümleri arasında doğru ağ bağlantı noktalarının açık olduğundan emin olun (esnetilmiş küme işlevselliği yalnızca Azure Stack HCI, sürüm 22H2'de kullanılabilir.) Kümedeki tüm sunucular arasında ICMP, SMB (iWARP RDMA kullanıyorsanız Doğrudan Erişimli SMB için bağlantı noktası 445 ve bağlantı noktası 5445) ve WS-MAN (bağlantı noktası 5985) trafiğine izin vermek için uygun güvenlik duvarı kurallarına ihtiyacınız vardır.
Kümeyi oluşturmak için Windows Admin Center'de Küme Oluşturma sihirbazını kullanırken, sihirbaz kümedeki her sunucuda Yük Devretme Kümelemesi, Hyper-V ve Depolama Çoğaltması için uygun güvenlik duvarı bağlantı noktalarını otomatik olarak açar. Her sunucuda farklı bir güvenlik duvarı kullanıyorsanız, bağlantı noktalarını aşağıdaki bölümlerde açıklandığı gibi açın:
Azure Stack HCI işletim sistemi yönetimi
Lisanslama ve faturalama dahil olmak üzere Azure Stack HCI işletim sistemi yönetimi için şirket içi güvenlik duvarınızda aşağıdaki güvenlik duvarı kurallarının yapılandırıldığından emin olun.
| Kural | Eylem | Kaynak | Hedef | Hizmet | Bağlantı noktaları |
|---|---|---|---|---|---|
| Küme sunucularında Azure Stack HCI hizmetine gelen/giden trafiğe izin ver | İzin Ver | Küme sunucuları | Küme sunucuları | TCP | 30301 |
Windows Yönetim Merkezi
Aşağıdaki güvenlik duvarı kurallarının Windows Admin Center için şirket içi güvenlik duvarınızda yapılandırıldığından emin olun.
| Kural | Eylem | Kaynak | Hedef | Hizmet | Bağlantı noktaları |
|---|---|---|---|---|---|
| Azure ve Microsoft Update'e erişim sağlama | İzin Ver | Windows Yönetim Merkezi | Azure Stack HCI | TCP | 445 |
| Windows Uzaktan Yönetimi (WinRM) 2.0'ı kullanma komutları çalıştırmak için HTTP bağlantıları için uzak Windows sunucularında |
İzin Ver | Windows Yönetim Merkezi | Azure Stack HCI | TCP | 5985 |
| HTTPS bağlantıları çalıştırmak için WinRM 2.0 kullanma uzak Windows sunucularındaki komutlar |
İzin Ver | Windows Yönetim Merkezi | Azure Stack HCI | TCP | 5986 |
Not
Windows Admin Center yüklerken WinRM'yi yalnızca HTTPS üzerinden kullan ayarını seçerseniz 5986 numaralı bağlantı noktası gerekir.
Yük Devretme Kümelemesi
Yük Devretme Kümelemesi için şirket içi güvenlik duvarınızda aşağıdaki güvenlik duvarı kurallarının yapılandırıldığından emin olun.
| Kural | Eylem | Kaynak | Hedef | Hizmet | Bağlantı noktaları |
|---|---|---|---|---|---|
| Yük Devretme Kümesi doğrulamasına izin ver | İzin Ver | Yönetim sistemi | Küme sunucuları | TCP | 445 |
| RPC dinamik bağlantı noktası ayırmaya izin ver | İzin Ver | Yönetim sistemi | Küme sunucuları | TCP | En az 100 bağlantı noktası 5000 numaralı bağlantı noktasının üzerinde |
| Uzaktan Yordam Çağrısına İzin Ver (RPC) | İzin Ver | Yönetim sistemi | Küme sunucuları | TCP | 135 |
| Küme Yöneticisine İzin Ver | İzin Ver | Yönetim sistemi | Küme sunucuları | UDP | 137 |
| Küme Hizmetine İzin Ver | İzin Ver | Yönetim sistemi | Küme sunucuları | UDP | 3343 |
| Küme Hizmetine İzin Ver (Şu süre boyunca gereklidir: sunucu birleştirme işlemi.) |
İzin Ver | Yönetim sistemi | Küme sunucuları | TCP | 3343 |
| ICMPv4 ve ICMPv6'ya İzin Ver Yük Devretme Kümesi doğrulaması için |
İzin Ver | Yönetim sistemi | Küme sunucuları | yok | yok |
Not
Yönetim sistemi, Windows Admin Center, Windows PowerShell veya System Center Virtual Machine Manager gibi araçları kullanarak kümeyi yönetmeyi planladığınız tüm bilgisayarları içerir.
Hyper-V
Hyper-V için şirket içi güvenlik duvarınızda aşağıdaki güvenlik duvarı kurallarının yapılandırıldığından emin olun.
| Kural | Eylem | Kaynak | Hedef | Hizmet | Bağlantı noktaları |
|---|---|---|---|---|---|
| Küme iletişimlerine izin ver | İzin Ver | Yönetim sistemi | Hyper-V sunucusu | TCP | 445 |
| RPC Uç Nokta Eşleyicisi ve WMI'ya İzin Ver | İzin Ver | Yönetim sistemi | Hyper-V sunucusu | TCP | 135 |
| HTTP bağlantısına izin ver | İzin Ver | Yönetim sistemi | Hyper-V sunucusu | TCP | 80 |
| HTTPS bağlantısına izin ver | İzin Ver | Yönetim sistemi | Hyper-V sunucusu | TCP | 443 |
| Dinamik Geçişe İzin Ver | İzin Ver | Yönetim sistemi | Hyper-V sunucusu | TCP | 6600 |
| VM Yönetim Hizmetine İzin Ver | İzin Ver | Yönetim sistemi | Hyper-V sunucusu | TCP | 2179 |
| RPC dinamik bağlantı noktası ayırmaya izin ver | İzin Ver | Yönetim sistemi | Hyper-V sunucusu | TCP | En az 100 bağlantı noktası 5000 numaralı bağlantı noktasının üzerinde |
Not
RPC dinamik bağlantı noktası ayırmaya izin vermek için 5000 numaralı bağlantı noktasının üzerinde bir bağlantı noktası aralığı açın. 5000'in altındaki bağlantı noktaları diğer uygulamalar tarafından zaten kullanılıyor olabilir ve DCOM uygulamalarıyla çakışmalara neden olabilir. Önceki deneyim, birkaç sistem hizmeti birbiriyle iletişim kurmak için bu RPC bağlantı noktalarına bağlı olduğundan en az 100 bağlantı noktasının açılması gerektiğini gösteriyor. Daha fazla bilgi için bkz . Rpc dinamik bağlantı noktası ayırmayı güvenlik duvarlarıyla çalışacak şekilde yapılandırma.
Depolama Çoğaltması (esnetilmiş küme)
Depolama Çoğaltması (esnetilmiş küme) için şirket içi güvenlik duvarınızda aşağıdaki güvenlik duvarı kurallarının yapılandırıldığından emin olun.
| Kural | Eylem | Kaynak | Hedef | Hizmet | Bağlantı noktaları |
|---|---|---|---|---|---|
| Sunucu İleti Bloğuna İzin Ver (SMB) protokolü |
İzin Ver | Esnetilmiş küme sunucuları | Esnetilmiş küme sunucuları | TCP | 445 |
| Web Services-Management izin ver (WS-MAN) |
İzin Ver | Esnetilmiş küme sunucuları | Esnetilmiş küme sunucuları | TCP | 5985 |
| ICMPv4 ve ICMPv6'ya izin ver ( Test-SRTopologyPowerShell cmdlet'i) |
İzin Ver | Esnetilmiş küme sunucuları | Esnetilmiş küme sunucuları | yok | yok |
Microsoft Defender güvenlik duvarını güncelleştirme
Bu bölümde, bir hizmet etiketiyle ilişkili IP adreslerinin işletim sistemiyle bağlanmasına izin vermek için Microsoft Defender güvenlik duvarının nasıl yapılandırılır gösterilmektedir. Hizmet etiketi, belirli bir Azure hizmetinden bir grup IP adresini temsil eder. Microsoft, hizmet etiketine dahil edilen IP adreslerini yönetir ve güncelleştirmeleri en düşük düzeyde tutmak için IP adresleri değiştikçe hizmet etiketini otomatik olarak güncelleştirir. Daha fazla bilgi edinmek için bkz. Sanal ağ hizmet etiketleri.
Aşağıdaki kaynaktan JSON dosyasını işletim sistemini çalıştıran hedef bilgisayara indirin: Azure IP Aralıkları ve Hizmet Etiketleri – Genel Bulut.
JSON dosyasını açmak için aşağıdaki PowerShell komutunu kullanın:
$json = Get-Content -Path .\ServiceTags_Public_20201012.json | ConvertFrom-Json"AzureResourceManager" hizmet etiketi gibi belirli bir hizmet etiketi için IP adresi aralıklarının listesini alın:
$IpList = ($json.values | where Name -Eq "AzureResourceManager").properties.addressPrefixesİzin verilenler listesi kullanıyorsanız IP adreslerinin listesini dış şirket güvenlik duvarınıza aktarın.
IP adresi aralıkları listesine giden 443 (HTTPS) trafiğe izin vermek için kümedeki her sunucu için bir güvenlik duvarı kuralı oluşturun:
New-NetFirewallRule -DisplayName "Allow Azure Resource Manager" -RemoteAddress $IpList -Direction Outbound -LocalPort 443 -Protocol TCP -Action Allow -Profile Any -Enabled True
Sonraki adımlar
Daha fazla bilgi için ayrıca bkz:
- Windows Uzaktan Yönetimi için yükleme ve yapılandırma bölümünün Windows Güvenlik Duvarı ve WinRM 2.0 bağlantı noktaları bölümü
Geri Bildirim
Çok yakında: 2024 boyunca, içerik için geri bildirim mekanizması olarak GitHub Sorunları’nı kullanımdan kaldıracak ve yeni bir geri bildirim sistemiyle değiştireceğiz. Daha fazla bilgi için bkz. https://aka.ms/ContentUserFeedback.
Gönderin ve geri bildirimi görüntüleyin