LINUX ON AZURE 安全建议

转载 zjy  2017-02-23 14:46  阅读 442 次 评论 0 条
行云管家,新手有礼

1.1 概述介绍

Linux系统是全世界最流行的服务器操作系统之一,采用开源方式,灵活方便,版本更新快,但是因为分支较多,免费的社区版本非商业运作,缺少售后服务和安全保障,安全漏洞较多,这是困扰很多Linux用户的一大难题。

微软云计算平台----Windows Azure(简称Azure)运行了大量的Linux虚机,如何保障这些云端服务器的安全性是一个比较热门的技术话题,本文主要针对Linux on Azure 安全加固和最佳实践方面给出一些建议。

1.2 适用范围

本文主要针对Linux on Azure进行讨论,Linux自身安全加固手段不全部包含在本文中,Linux自身加固大部分在Linux on Azure上均为通用,本文主要是结合Azure平台的设计特性来讨论安全加固问题。

1.3 免责声明

本文为安全加固建议书,供客户参考,不对客户真实环境做出任何安全承诺。

 

2 重要的第一步—网络安全规划

网络安全规划的工作是所有安全加固的基础,仔细规划Linux虚机所处网络以及未来需要和这台虚机进行通讯的内部、外部以及来自Internet的机器,有助于后期设置相关的安全策略。

2.1 VNet概念

Azure 虚拟网络 (VNet) 是用户自己的网络在云中的表示形式。它是对专用于用户订阅的 Azure 云进行的逻辑隔离。用户可以完全控制该网络中的 IP 地址块、DNS 设置、安全策略和路由表。你还可以进一步将 VNet 细分成各个子网,设置不同的NSG(网络安全组,会在后面专题讨论)。

2.2 VNet优点和特点

隔离。VNet 彼此之间完全隔离。这使你可以为使用相同 CIDR 地址块的开发、测试和生产创建单独的网络。

访问公共 Internet。默认情况下,VNet 中的所有 IaaS VM 和 PaaS 角色实例都可以访问公共 Internet。可以通过使用网络安全组 (NSG) 来控制访问。

访问 VNet 中的 VM。PaaS 角色实例和 IaaS VM 可以在同一虚拟网络中启动,并可使用专用 IP 地址互相连接(即使它们位于不同子网),而无需配置网关或使用公共 IP 地址。

名称解析。Azure 为部署在 VNet 中的 IaaS VM 和 PaaS 角色实例提供内部名称解析。你还可以部署自己的 DNS 服务器,并将 VNet 配置为使用这些服务器。

安全性。进出虚拟机的流量以及 VNet 中的 PaaS 角色实例都可使用网络安全组进行控制。

连接。可以使用网关或 VNet 对等互连使 VNet 相互连接。VNet 可以通过站点到站点 VPN 网络或 Azure ExpressRoute 连接到本地数据中心。

2.3 子网和NSG规划

在以下情况下,你应考虑在 VNet 中创建多个子网:

用于子网中的所有 NIC 的专用 IP 地址不足。如果你的子网地址空间未包含子网中的 NIC 数所对应的足够 IP 地址,则需要创建多个子网。请记住,Azure 保留每个子网中的 5 个专用 IP 地址,这些 IP 地址不能使用:地址空间的第一个和最后一个地址(用于子网地址和多播)和 3 个要内部使用的地址(用于 DHCP 和 DNS 目的)。

安全性。你可以使用子网将 VM 组彼此分离以用于具有多层结构的工作负荷,并对这些子网应用不同的网络安全组 (NSG)。

混合连接。你可以使用 VPN 网关和到 ExpressRoute 线路来将 VNet 彼此连接,并连接到本地数据中心。VPN 网关和 ExpressRoute 线路需要创建其自己的子网。

虚拟设备。可以在 Azure VNet 中使用虚拟设备,如防火墙、WAN 加速器或 VPN 网关。这样做时,需要路由流量到这些设备,并将其隔离在它们自己的子网中。

2.5 规划考虑的问题(建议)

ü  你将使用哪些 Azure 位置来托管 VNet?

ü  你是否需要在这些 Azure 位置之间提供通信?

ü  你是否需要在 Azure VNet 和在本地数据中心之间提供通信?

ü  你需要将多少基础结构即服务 (IaaS) VM、云服务角色和 Web 应用用于你的解决方案?

ü  是否需要基于 VM 组(即前端 Web 服务器和后端数据库服务器)隔离流量?

ü  是否需要使用虚拟设备来控制数据流?

ü  用户对于不同 Azure 资源是否需要不同权限控制?

2.4 子网和 NSG 设计模式

下表显示了使用子网的一些常用设计模式。

方案

优点

缺点

每个应用每个应用程序层单个子网、多个 NSG 只需要管理一个子网。 要隔离每个应用程序,需要多个 NSG。
每个应用一个子网,每个应用程序层多个 NSG 需要管理更少 NSG。 需要管理多个子网。
每个应用程序层一个子网,每个应用多个 NSG 在子网数和 NSG 数之间取得平衡。 最多 100 个 NSG。如果每个应用需要 2 个不同的 NSG,则为 50 个应用。
每个应用每个应用程序层一个子网,每个子网多个 NSG 可能 NSG 数更少。 需要管理多个子网。

 

2.5 规划原则

ü  根据应用设计情况,尽可能减少VNet和子网数量;

ü  每个应用程序彼此完全隔离;

ü  推荐每个应用程序层一个子网,每个应用多个 NSG的方式。

2.6 网络规划示范

如上图所示,独立完整的应用(前后端)部署在一个VNet中,将应用层,数据层的部署在不同的子网,设置不同的NSG或者ACL(访问控制)。

3 Linux软件安装

3.1 安装步骤

图示

 

通过Portal创建虚拟机

 

 

 

选择密钥或者密码方式,密钥方式可以用Putty去生成密钥对,如果用密码请使用复杂密码且不易猜到或易被暴力破解的密码。

SSH key可以增加安全性。

 

 

 

 

设置NSG,类似于外部防火墙,也可以后期根据情况再调整,如前文所述,NSG设置与网络规划关系比较大

 

最后查看一下Summary,没有问题点击OK创建虚机

 

 

3.2 查看已安装软件和进程等

查看已经安装的软件列表:

dpkg -l

查看当前进程:

ps -al

查看端口使用情况:

netstat -an

提示:停止并删除不需要的软件

 

转载来源:博客园   原文链接:http://www.cnblogs.com/taosha/p/6399554.html
本文地址:https://www.cloudbility.com/club/1620.html
关注我们:请关注一下我们的微信公众号:扫描二维码,公众号:cloudbility
版权声明:版权归原作者所有,欢迎分享本文,转载请保留出处!

发表评论


表情