Windows Azure - ограничение ярости IP-адреса для доступа к WebRole

Question

Можно ли ограничить доступ к Azure WebRole списком диапазонов IP-адресов.Я видел множество статей, объясняющих, как настроить брандмауэр для доступа к экземпляру SQL Azure, но как насчет WebRoles / WorkerRoles?

Спасибо, Люк

Answer 1

Начиная с Azure SDK 2.4 появилась возможность использовать Список контроля доступа (ACL) для применения ограничений IP для облачных служб.Я написал сообщение в блоге об этом: http://www.henrihietala.fi/apply-ip-restrictions-for-azure-cloud-service/

Просто добавьте ACL в ваш ServiceConfiguration.Cloud.cscfg :

<?xml version="1.0" encoding="utf-8"?>
<ServiceConfiguration serviceName="MyWebRole.Azure" xmlns="http://schemas.microsoft.com/ServiceHosting/2008/10/ServiceConfiguration" osFamily="4" osVersion="*" schemaVersion="2014-06.2.4">
  <Role name="MyWebRole">
    ...
  </Role>
  <NetworkConfiguration>
    <AccessControls>
      <AccessControl name="ipRestrictions">
        <Rule action="permit" description="allowed-edu" order="100" remoteSubnet="137.133.228.111/32" />
        <Rule action="permit" description="allowed-test" order="101" remoteSubnet="168.61.66.2/32" />
        <Rule action="permit" description="allowed-prod" order="102" remoteSubnet="168.61.66.131/32" />
        <Rule action="deny" description="Others" order="800" remoteSubnet="0.0.0.0/0" />
      </AccessControl>
    </AccessControls>
    <EndpointAcls>
      <EndpointAcl role="MyWebRole" endPoint="Endpoint1" accessControl="ipRestrictions" />
      <EndpointAcl role="MyWebRole" endPoint="HttpsIn" accessControl="ipRestrictions" />
    </EndpointAcls>
  </NetworkConfiguration>
</ServiceConfiguration>

Будьте осторожны с атрибутами правил.Развертывание завершится неудачно, если вы дважды указали один и тот же номер заказа или описание или неверный IP-адрес в remoteSubnet.

Answer 2

Начиная с версии 1.3 SDK (а теперь и версии 1.4), полная поддержка IIS и задачи запуска доступны для решения этой проблемы.

Я писал об этом http://blog.bareweb.eu/2011/04/restricting-access-by-ip-in-azure-web-role-v1-4/

Вы можете использовать ipSecurity в web.config, но вы также должны выполнить некоторую работу по установке модуля IPSec в IIS.

С уважением Andy

Answer 3

Лично я еще не делал этого в Azure, но вы пытались использовать функцию защиты IP IIS7 через элемент конфигурации system.webServer/security/ipSecurity ?

Answer 4

Microsoft предоставляет рецепт для этого в статье за ​​май 2012 г. http://msdn.microsoft.com/en-us/library/windowsazure/jj154098.aspx.

Вы можете ограничить доступ веб-роли Windows Azure к набору указанных IP-адресов, изменив IIS web.configфайл и создание командного файла, который разблокирует раздел ipSecurity файла ApplicationHost.config.