Как настроить веб-приложения так, чтобы к ним нельзя было получить прямой доступ? - PullRequest
0 голосов
/ 19 июня 2020

По сути, разрешать запросы / ответы только на / от Azure Front Door. Существуют разные варианты, однако мне сложно найти подробную информацию о реализации и лучших практиках. Я думаю, что правильным решением было бы создать виртуальную сеть для интеграции этих двух сервисов.

Существует один нюанс: в веб-приложениях есть промежуточные слоты, для которых может потребоваться другое решение, поскольку они используют Azure Active Directory для предотвращения доступа publi c к предварительному производству.

Я обнаружил немного больше информации здесь , но все же это немного сбивает с толку.

Кажется, что если у меня есть собственный домен с поддоменами с входной дверью, должен быть простой способ предотвратить прямое доступ к внутренним адресам веб-приложений и разрешен только через настраиваемый DNS и входную дверь.

Это было полезно , однако я все еще получаю 403 с парадной двери, поэтому Мне, должно быть, чего-то не хватает в настройке.

Промежуточное ПО? Это тоже было полезно, но, похоже, указывает на то, что это может быть выполнено только с помощью промежуточного программного обеспечения, и я использую Node / Express нет. NET Core. Правда ли, что это можно сделать только с помощью кода промежуточного программного обеспечения?

В этом также упоминаются те же детали.

Что отсутствует? Как настроить это в разных стеках приложений.

Ответы [ 2 ]

1 голос
/ 22 июня 2020

В документации неточно указано: <Чтобы заблокировать приложение для приема трафика c только с вашего c Front Door, вам нужно будет настроить списки ACL IP для вашего бэкэнда, а затем ограничить трафик c на вашем бэкэнде к указанному c значению заголовка 'X- Azure -FDID', отправляемому Front Door. Эти шаги подробно описаны ниже: </p>

Для этого требуется либо настроить списки контроля доступа IP для вашего бэкэнда, либо реализовать код промежуточного программного обеспечения для условного соответствия указанному вами значению заголовка c для 'X- Azure -FDID'. Оба могут не потребоваться, документация неясна.

Снимок экрана с работающими ограничениями IP

0 голосов
/ 24 августа 2020

Я думаю, вам ОБЯЗАТЕЛЬНО нужны списки IP ACL и проверка заголовка X- Azure -FDID. (У меня sh не понадобилось ...). Если вы используете только ограничение IP, ваша серверная часть по-прежнему будет открыта для всех Front Doors по всему миру, а также для других клиентов Azure. И если вы используете только проверку заголовка 'X- Azure -FDID', вы открыты для злоумышленников, пытающихся угадать заголовок с помощью грубой силы. Только комбинация IP ACL и проверки заголовка защитит вашу внутреннюю часть, потому что тогда вы можете быть уверены, что заголовок 'X- Azure -FDID' действительно был добавлен реальной службой входной двери, а не подделан.

См. Также этот пост , где это ясно объяснено.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...