Azure'da sanal ağ, ağ güvenlik grubu ve VNet eşleme nasıl yapılandırılır

Azure sanal ağı (VNet) ne işe yarar?

Azure sanal ağı, bulutta kendi özel ağınızı kurmanızı sağlar. Sanal makineler, veritabanları ve diğer kaynaklar bu ağın içinde birbirleriyle özel IP adresleri üzerinden konuşur; internete çıkış ve girişi ise sizin tanımladığınız kurallar belirler. Şirket içi ağınızı buluta bağlamak, hizmetleri izole etmek ve trafiği denetlemek için temel yapı taşıdır.

Sanal ağ bir bölgeye aittir ve bir adres alanı (CIDR bloğu) ile tanımlanır. Ağ, alt ağlara bölünür. Alt ağlar, kaynakları işlevine göre gruplamak için kullanılır: web katmanı, uygulama katmanı, veritabanı katmanı ve yönetim alt ağı gibi. Her alt ağ kendi güvenlik kurallarına ve yönlendirme ayarlarına sahip olabilir.

Ağ planı, bulut mimarisinde sonradan değiştirilmesi en zahmetli kararlardan biridir. Adres alanı çakışması, ağları sonradan bağlamayı imkânsız kılabilir; bu yüzden tasarım baştan dikkatle yapılmalıdır.

Adres planı ve alt ağ tasarımı

Sanal ağ tasarımına şirket genelindeki IP planını inceleyerek başlayın. Şirket içi ağlarda ya da başka sanal ağlarda kullanılan adres aralıklarıyla çakışmayan bir adres alanı seçin; çakışma, ağları bağlamayı veya VPN kurmayı engeller.

Adres alanını geleceğin büyümesine yetecek kadar geniş tutun, ancak alt ağları ihtiyaca göre bölün. Alt ağ boyutunu seçerken Azure'ın her alt ağda ayırdığı adresleri hesaba katın; çok küçük alt ağlar büyüme alanını kısıtlar. Bazı Azure hizmetleri (ağ geçidi, güvenlik duvarı, Bastion gibi) kendine ayrılmış, belirli adlı alt ağlar gerektirir. Bu gereksinimleri belgelerden doğrulayıp adres planına baştan ekleyin.

Alt ağları işlev ve güvenlik ihtiyacına göre ayırmak, ağ güvenlik kurallarını sade tutar. Aynı güven düzeyindeki kaynakları aynı alt ağda toplayın; farklı güven düzeyindekileri ayırıp aralarındaki trafiği kurallarla denetleyin.

Ağ güvenlik grubu (NSG) nasıl çalışır?

Ağ güvenlik grubu, bir alt ağa ya da bir ağ arabirimine bağlanan ve trafiği izin ver ya da engelle kurallarıyla denetleyen bir filtredir. Her kural şu alanlardan oluşur: öncelik, kaynak, hedef, port, protokol ve eylem (izin ver veya reddet). Kurallar öncelik sırasına göre değerlendirilir; trafiğe uyan ilk kural uygulanır ve değerlendirme durur.

NSG'lerde gelen ve giden trafik için ayrı kural kümeleri vardır. Azure her NSG'ye varsayılan kurallar ekler: aynı sanal ağ içi trafiğe ve yük dengeleyiciye izin verilir, dışarıdan gelen diğer trafik varsayılan olarak reddedilir. Kendi kurallarınız varsayılanları geçersiz kılabilir, çünkü öncelikleri daha yüksektir.

Kural yazarken işe yarayan ilkeler şunlardır:

• Gerekli olmayan her şeyi reddedin; yalnızca gereken kaynak, hedef ve portlara izin verin.
• Kaynak adres olarak "herhangi biri" yerine belirli adres aralıkları ya da servis etiketleri kullanın.
• Uygulama güvenlik gruplarıyla kuralları IP adresine değil, uygulama rolüne bağlayın.
• Kurallara anlamlı adlar ve açıklamalar verin.
• Yönetim portlarını (RDP, SSH) internete açmayın.

VNet eşleme (peering) ve ağları birbirine bağlamak

VNet eşleme, aynı veya farklı bölgelerdeki sanal ağları Microsoft'un omurga ağı üzerinden birbirine bağlar. Eşlenen ağlardaki kaynaklar, aynı ağdaymış gibi özel IP adresleriyle birbirine ulaşır. Trafik internete çıkmaz; gecikme düşüktür.

Eşleme önemli sınırlamalar taşır. Adres alanları çakışmamalıdır. Eşleme varsayılan olarak geçişli değildir: A ağı B ile, B ağı C ile eşlenmişse, A ile C doğrudan konuşamaz. Bu durumu çözmek için ya A ile C arasında ayrıca eşleme kurulur ya da merkezi bir güvenlik duvarı veya ağ geçidi üzerinden yönlendirme yapılır.

Büyük kurumlarda yaygın desen merkez-uç (hub-spoke) topolojisidir. Merkez ağda güvenlik duvarı, VPN ağ geçidi ve ortak hizmetler bulunur; her uygulama kendi uç ağında çalışır ve merkezle eşlenir. Böylece güvenlik ve bağlantı yönetimi tek yerde toplanır, uygulama ekipleri kendi ağlarında bağımsız çalışır.

Şirket içi ağla bağlantı için siteden siteye VPN ya da özel bağlantı hizmetleri kullanılır; hangisinin seçileceği bant genişliği, gecikme ve güvenilirlik gereksinimine bağlıdır.

Örnek: katmanlı bir uygulama için ağ tasarımı

Örneğin bir şirket, web, uygulama ve veritabanı katmanlarından oluşan bir sistemi Azure'a taşıyor. Ağ ekibi, şirket içi adres planıyla çakışmayan bir adres alanı seçiyor ve ağı her katman için ayrı alt ağa bölüyor, ayrıca yönetim erişimi için ayrı bir alt ağ ayırıyor.

NSG kuralları şöyle kuruluyor: web alt ağı yalnızca yük dengeleyiciden gelen web trafiğini kabul ediyor. Uygulama alt ağı yalnızca web alt ağından gelen trafiğe izin veriyor. Veritabanı alt ağı yalnızca uygulama alt ağından veritabanı portuna gelen trafiği kabul ediyor ve internete çıkış yapamıyor. Yönetim erişimi ise yalnızca Bastion alt ağından sağlanıyor.

İleride bir başka ekip kendi ağında benzer bir sistem kurunca, ağlar eşleniyor. Adres alanları baştan çakışmadığı için bağlantı sorunsuz kuruluyor. Ortak hizmetler (DNS, güvenlik duvarı) merkez ağa taşınıyor ve topoloji merkez-uç yapısına evriliyor. İyi bir ilk adres planı, bu evrimi pahalı bir yeniden yapılandırmaya dönüşmekten kurtarıyor.

Sorun giderme: trafik neden geçmiyor?

Ağ sorunları çoğu zaman kural çakışması, yanlış öncelik ya da eksik yönlendirmeden kaynaklanır. Sorun gidermede sistemli ilerlemek zaman kazandırır:

• NSG etkin kurallarına bakın. Bir ağ arabirimine hem alt ağ hem arabirim düzeyinde NSG bağlıysa trafik bu filtrelerin hepsinden geçmek zorundadır; biri engelliyorsa trafik düşer.
• Kural önceliklerini kontrol edin. Düşük numaralı kural önce değerlendirilir; geniş bir reddet kuralı, altındaki izin kurallarını geçersiz kılabilir.
• Yönlendirme tablolarını inceleyin. Özel yönlendirme kuralı trafiği bir güvenlik duvarına yönlendiriyorsa ve güvenlik duvarı izin vermiyorsa bağlantı kopar.
• Eşleme durumunu doğrulayın. Eşleme çift yönde de kurulmalı ve bağlı durumda olmalıdır; erişim ayarlarının (ağ erişimi, iletilen trafik) uygun olduğundan emin olun.
• Azure'ın ağ izleme araçlarını kullanın. Akış günlükleri, bağlantı sorun giderme ve IP akışı doğrulama gibi araçlar, trafiğin hangi kuralda düştüğünü gösterir.
• DNS çözümlemesini unutmayın. Bağlantı sorunu bazen ağ değil, ad çözümlemesidir.

Sık yapılan hatalar

• Adres alanlarını planlamadan seçmek. Varsayılan aralıkları kullanmak, ileride şirket içi ağla ya da başka ağlarla çakışmaya yol açar.
• Tüm kaynakları tek alt ağa koymak. Güvenlik kurallarını ayrıştırmak imkânsızlaşır.
• NSG'de geniş izinler vermek. "Herhangi bir kaynaktan herhangi bir porta" kuralı güvenlik modelini ortadan kaldırır.
• Eşlemenin geçişli olduğunu varsaymak. Doğrudan bağlantı olmayan ağlar birbirine ulaşamaz.
• NSG kurallarını elle ve dokümansız yönetmek. Zamanla çelişkili kurallar birikir; kod olarak altyapı ve düzenli inceleme gerekir.
• Çıkış trafiğini hiç denetlememek. Veri sızıntısı ve zararlı bağlantılar çıkış tarafından da gerçekleşir.
• Ağ günlüklerini açmamak. Sorun yaşandığında neden bulunamaz.

Öğrenme yolu ve Mindset programlarında nerede çalışılır

Başlangıçta IP adresleme, alt ağ mantığı ve temel ağ kavramlarını öğrenin; ardından portal üzerinden sanal ağ ve NSG oluşturun. Orta düzeyde eşleme, kullanıcı tanımlı yönlendirme ve özel bağlantı seçenekleri gelir. İleri düzeyde merkez-uç topolojisi, güvenlik duvarı ve şirket içi bağlantı tasarımı çalışılır.

Mindset kataloğunda Azure Administrator (AZ-104) Hazırlık programı ağ yönetimi modülünü diğer yönetim konularıyla birlikte işler: Azure yönetişimi, sanal makine, depolama, izleme-yedekleme ve kimlik yönetimi. Microsoft Azure Eğitimi "Ağ Yapılandırması & Sanal Ağlar" başlığını bulut temelleri, kaynak yönetimi, kimlik, depolama ve güvenlik konularının yanında ele alır. Ağ, sistem ve bulut operasyon ekipleri bu programları kendi sanal ağ mimarileri üzerinden çalışmayı tercih edebilir.