Verkeer beveiligen naar Azure Front Door-bronnen

U kunt App Service-toegangsbeperkingen gebruiken om IP-adresfilters en headerfilters uit te voeren. De mogelijkheid wordt geleverd door het platform en u hoeft uw toepassing of host niet te wijzigen.

Application Gateway wordt geïmplementeerd in uw virtuele netwerk. Configureer een regel voor een netwerkbeveiligingsgroep om binnenkomende toegang toe te staan op poort 80 en 443 vanuit de servicetag AzureFrontDoor.Backend en om binnenkomend verkeer op poorten 80 en 443 vanaf de internetservicetag niet toe te staan.

Gebruik een aangepaste WAF-regel (Web Application Firewall) om de X-Azure-FDID headerwaarde te controleren. Zie Aangepaste regels voor Web Application Firewall v2 maken en gebruiken in Application Gateway voor meer informatie.

Om verkeersroutering te configureren in Azure Kubernetes Service (AKS) met Application Gateway for Containers, stelt u een HTTPRoute-regel in om inkomend verkeer van Azure Front Door te matchen met behulp van de X-Azure-FDID-header.

apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: http-route
  namespace: {namespace}
spec:
  parentRefs:
  - name: {gateway-name}
  rules:
  - matches:
    - headers:
      - type: Exact
        name: X-Azure-FDID
        value: "xxxxxxxx-xxxx-xxxx-xxxx-xxx"
    backendRefs:
    - name: {backend-name}
      port: {port}

Wanneer u Microsoft Internet Information Services (IIS) uitvoert op een door Azure gehoste virtuele machine, moet u een netwerkbeveiligingsgroep maken in het virtuele netwerk dat als host fungeert voor de virtuele machine. Configureer een regel voor een netwerkbeveiligingsgroep om binnenkomende toegang toe te staan op poort 80 en 443 vanuit de servicetag AzureFrontDoor.Backend en om binnenkomend verkeer op poorten 80 en 443 vanaf de internetservicetag niet toe te staan.

Gebruik een IIS-configuratiebestand, zoals in het volgende voorbeeld om de X-Azure-FDID header op uw binnenkomende aanvragen te controleren:

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name="Filter_X-Azure-FDID" patternSyntax="Wildcard" stopProcessing="true">
          <match url="*" />
          <conditions>
            <add input="{HTTP_X_AZURE_FDID}" pattern="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" negate="true" />
          </conditions>
          <action type="AbortRequest" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

Wanneer u AKS uitvoert met een NGINX-ingangscontroller, moet u een netwerkbeveiligingsgroep maken in het virtuele netwerk dat als host fungeert voor het AKS-cluster. Configureer een regel voor een netwerkbeveiligingsgroep om binnenkomende toegang toe te staan op poort 80 en 443 vanuit de servicetag AzureFrontDoor.Backend en om binnenkomend verkeer op poorten 80 en 443 vanaf de internetservicetag niet toe te staan.

Gebruik een kubernetes-configuratiebestand voor inkomend verkeer, zoals in het volgende voorbeeld om de X-Azure-FDID header op uw binnenkomende aanvragen te inspecteren:

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: frontdoor-ingress
  annotations:
  kubernetes.io/ingress.class: nginx
  nginx.ingress.kubernetes.io/enable-modsecurity: "true"
  nginx.ingress.kubernetes.io/modsecurity-snippet: |
    SecRuleEngine On
    SecRule &REQUEST_HEADERS:X-Azure-FDID \"@eq 0\"  \"log,deny,id:106,status:403,msg:\'Front Door ID not present\'\"
    SecRule REQUEST_HEADERS:X-Azure-FDID \"@rx ^(?!xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx).*$\"  \"log,deny,id:107,status:403,msg:\'Wrong Front Door ID\'\"
spec:
  #section omitted on purpose