WPC066 - Deploying DMZ in Azure networks Andrea Mennuni Senior Systems Engineer - Pulsar IT andrea.mennuni@pulsarit.net

Chi è Andrea Mennuni? Lavoro dal 2000, prima come Sysadmin Unix e VMware, ora su prodotti Microsoft Senior Systems Engineer in Pulsar IT da 5 anni Specializzazioni: Microsoft Exchange (dalla versione 5.5) System Center Office 365 Infrastruttura (Active Directory, Azure, Hyper-V, PKI…) Certificazioni: MCSE (Private Cloud, Messaging, Productivity, Cloud Platform and Infrastructure) MCSA (Windows Server 2012, Office 365) Twitter: @setol0 www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Windows 10 e Enterprise Mobility Enterprise Collaboration Pulsar IT – chi siamo DISEGNO, REALIZZAZIONE E SUPPORTO DI SOLUZIONI COMPLETE Modern DataCenter Windows Server 2016, Hyper-V, System Center, Azure IaaS, Azure Stack Windows 10 e Enterprise Mobility PC e Device Management, Intune, Mobile Application Management Enterprise Collaboration OneDrive, SharePoint, OneNote, Exchange, Outlook & Skype, Office 365 Apps Enterprise Voice Telefonia con Skype for Business & Cloud PBX Secure Productive Enterprise Trusted environment for Smart Working www.pulsarit.net blogs.pulsarit.net Microsoft Excellence since 1995

Agenda Azure networks overview Network Security Groups Azure & DMZ Un caso reale: DMZ per ADFS Farm Best Practice & Troubleshooting www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Azure Classic vs Azure Resource Manager (ARM) www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Oggetti di rete su Azure Virtual Network (VNet) Virtual Network Subnet Virtual Network Gateway Network Interface Public IP Address Load Balancer Network Security Groups (ARM) Oggetti di rete su Azure www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Reti a confronto www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Virtual Network Peering È un meccanismo che connette due reti della stessa region Consente la comunicazione tra le VM delle due reti attarverso la rete privata di Azure Permette di connettere VM di tipo classic alle VM ARM Di default non c’è filtro tra due VNet in peering Permette ad una VNet di utilizzare i gateway associati ad un’altra VNet www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Creazione reti portale e PS New-AzureRmResourceGroup -Name wpc16-RG -Location westeurope $subnet1 = New-AzureRmVirtualNetworkSubnetConfig -Name 'wpc16-net-sub1' -AddressPrefix '10.0.0.0/24' $subnet2 = New-AzureRmVirtualNetworkSubnetConfig -Name 'wpc16-net-sub2' -AddressPrefix '10.0.1.0/24' New-AzureRmVirtualNetwork -Name wpc16-net -ResourceGroupName wpc16-RG -Location westeurope -AddressPrefix 10.0.0.0/16 -Subnet $subnet1,$subnet2 www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

DEMO 1 Azure networks overview Creazione reti da portale e PowerShell www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Azure Network Security www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Strumenti di sicurezza Protezione integrata in Azure Protezione DDoS Service endpoints: viene pubblicato via NAT solo ciò che è richiesto Strumenti a disposizione Network Security Groups (NSGs) e load balancers Network Virtual Appliance * User-defined Route (UDR) * * Firewall, load balancer e IDS/IPS disponibili nell’Azure Marketplace Strumenti di sicurezza www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Network Security Group (NSG) Network Security Group = Access Control List (ACL) È un raggruppamento di ACL Può essere associato ad una o più VM (classic), ad una o più NIC (ARM) o ad una o più subnet Quando viene associato ad una subnet, le regole ACL si applicano a tutte le VM collegate Il traffico per una singola VM può essere limitato ulteriormente associando direttamente un altro NSG Sono “cumulativi”: le ACL di due NSG applicati vengono aggregate ed applicate secondo la priorità Le ACL equivalgono a regole 5-tuple di un firewall Indirizzo sorgente e destinazione, porta sorgente e destinazione, protocollo Se una VM ha un IP pubblico assegnato e non ha NSG associati alla NIC o alla subnet, tutte le porte sono disponibili dall’esterno www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Proprietà Regole ACL Tipo Indirizzo sorgente, indirizzo destinazione Uno tra: Inboud o Outbound Indirizzo sorgente, indirizzo destinazione Uno tra: TAG, IP Address, IP Subnet, * o 0.0.0.0/0 Porta sorgente, porta destinazione Uno tra: Porta, Intervallo di porte o * Protocollo Uno tra: TCP, UDP o * Azione Uno tra: Allow o Deny Priorità Valore consentito: tra 101 e 65000 www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

TAG per gli indirizzi È un’etichetta utilizzabile nell’indirizzo sorgente o destinazione VirtualNetwork Virtual Network Subnets definite su Azure più le subnet ruotate dai gateway o definite nelle peered VNet Internet 0.0.0.0/0 meno VirtualNetwork AzureLoadBalancer Viene popolato automaticamente con gli IP dei bilanciatori utilizzati per le probe www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Default NSG su VM www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

DEMO 2 Network Security Groups www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Azure & DMZ www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

DMZ tradizonale vs Azure DMZ www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

DMZ Azure www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Perché fare una DMZ su Azure Se una VM ha un IP pubblico assegnato e non ha NSG associati alla NIC o alla subnet, tutte le porte sono disponibili dall’esterno TAG VirtualNetwork Virtual Network Subnets definite su Azure più le subnet ruotate dai gateway o definite nelle peered VNet www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Public IP & Name resolution Su Azure Resource Manager un indirizzo IP pubblico è una risorsa a sé stante Può essere associato ad una di queste risorse: Virtual machine (VM) External Load Balancer VPN Gateway Application gateway L’allocazione può essere dinamica o statica In caso di allocazione dinamica (default) l’IP viene viene rilasciato quando la risorsa viene fermata (VM, LB) o cancellata (gateway) Non si può “scegliere” un IP statico, viene estratto automaticamente da un pool in base alla region È possibile assegnare un nome DNS all’IP pubblico, che genera un FQDN NomeRisorsa.Region.cloudapp.azure.com In caso di IP dinamico, quando viene modificato (stop e start VM), non richiede modifiche www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Azure Load Balancer Layer 4 Load Balancer (TCP, UDP) Tre modalità di configurazione Bilanciamento del traffico Internet (Internet-facing o external load balancing) Bilanciamento all’interno di una virtual network (Internal load balancing) Forward del traffico Internet verso una VM specifica (NAT) www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Altri metodi di distribuzione del traffico Application gateway Layer 7 (HTTP e HTTPS) È paragonabile ad un reverse proxy Può essere sia Internet-facing che interno Permette SSL Offloading Traffic Manager DNS Level Qualunque tipo di protocollo Solo per servizi pubblici È indipendente dalle region Utile per distribuzione geografica (anche tra Azure e OnPrem) Altri metodi di distribuzione del traffico www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

DEMO 3 Allocazione IP su VM Azure, IP pubblici, DNS, Balancer www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

DMZ e publishing di servizi www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

DMZ Azure www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Azure AD Application Proxy Pubblicazione simile a Web Application Proxy Richiede un connettore OnPrem Può autenticare su Azure AD o fare Passthrough (no autenticazione) Default URL https://”name”-”tenantname”.msappproxy.net/ Si può utilizzare un proprio dominio ma deve essere aggiunto su Azure AD e verificato, e deve essere aggiunto il certificato Inside Corp Net Azure AD Application proxy On-premises connector Published website www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

DEMO 4 Un caso reale: DMZ per ADFS Farm www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Best Practice & Troubleshooting www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Virtual Network Consigli Creare una Virtual Network per applicazione Creare una subnet per ogni strato dell’applicazione Utilizzare reti private con NAT, se possibile Abilitare solo le porte necessarie sui bilanciatori Abilitare il NAT in uscita solo per le VM che lo necessitano Almeno sulle VM con IP pubblico, lasciare associato il NSG che viene creato con la VM Creare i gateway solo se necessario Virtual Network Consigli www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Strumenti di Troubleshooting Effective Security Rules Effective Routes Possono essere eseguiti dal portale ARM In PowerShell (Get-AzureRmEffectiveNetworkSecurityGroup -NetworkInterfaceName VM1-NIC1 -ResourceGroupName RG1).EffectiveSecurityRules | Sort-Object Direction,Access,Priority | Out-GridView Da notare che il TAG VIRTUAL_NETWORK viene popolato automaticamente con le reti ruotate dai gateway o con le reti delle peered VNet www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

DEMO 5 - Azure Networks Troubleshooting www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Tips & Tricks Aggiungere una regola ad un Network Security Group Installazione moduli PS Install-Module AzureRM Install-AzureRM Connessione e selezione subscription Login-AzureRmAccount Select-AzureRmSubscription -SubscriptionName “Nome_Subscription“ Aggiungere una regola ad un Network Security Group Get-AzureNetworkSecurityGroup -Name "NSG" | ` Set-AzureNetworkSecurityRule -Name "Allow-In-DNS" ` -Type Inbound -Priority 100 -Action Allow ` -SourceAddressPrefix VIRTUAL_NETWORK -SourcePortRange '*' ` -DestinationAddressPrefix <VM_IP> ` -DestinationPortRange '53' ` -Protocol * www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Domande e Risposte Q&A www.wpc2016.it – info@wpc2016.it - +39 02 365738.11

Contatti OverNet Education info@overneteducation.it www.overneteducation.it Tel. 02 365738 @overnete www.facebook.com/OverNetEducation www.linkedin.com/company/overnet-solutions www.wpc2016.it Contatti OverNet Education www.wpc2016.it – info@wpc2016.it - +39 02 365738.11