Skydda trafiken till Azure Front Door-källor

Du kan använda Åtkomstbegränsningar för App Service för att utföra IP-adressfiltrering samt sidhuvudfiltrering. Funktionen tillhandahålls av plattformen och du behöver inte ändra ditt program eller din värd.

Application Gateway distribueras till ditt virtuella nätverk. Konfigurera en regel för nätverkssäkerhetsgrupp för att tillåta inkommande åtkomst på portarna 80 och 443 från tjänsttaggen AzureFrontDoor.Backend och tillåt inte inkommande trafik på portarna 80 och 443 från internettjänsttaggen .

Använd en anpassad WAF-regel (Web Application Firewall) för att kontrollera X-Azure-FDID rubrikvärdet. Mer information finns i Skapa och använda anpassade regler för Web Application Firewall v2 på Application Gateway.

Konfigurera trafikroutning i Azure Kubernetes Service (AKS) med Application Gateway för containrar genom att ställa in en HTTPRoute-regel som matchar inkommande trafik från Azure Front Door med hjälp av X-Azure-FDID-huvudet.

apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: http-route
  namespace: {namespace}
spec:
  parentRefs:
  - name: {gateway-name}
  rules:
  - matches:
    - headers:
      - type: Exact
        name: X-Azure-FDID
        value: "xxxxxxxx-xxxx-xxxx-xxxx-xxx"
    backendRefs:
    - name: {backend-name}
      port: {port}

När du kör Microsoft Internet Information Services (IIS) på en virtuell Azure-värddator bör du skapa en nätverkssäkerhetsgrupp i det virtuella nätverk som är värd för den virtuella datorn. Konfigurera en regel för nätverkssäkerhetsgrupp för att tillåta inkommande åtkomst på portarna 80 och 443 från tjänsttaggen AzureFrontDoor.Backend och tillåt inte inkommande trafik på portarna 80 och 443 från internettjänsttaggen .

Använd en IIS-konfigurationsfil som i följande exempel för att inspektera X-Azure-FDID rubriken på dina inkommande begäranden:

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name="Filter_X-Azure-FDID" patternSyntax="Wildcard" stopProcessing="true">
          <match url="*" />
          <conditions>
            <add input="{HTTP_X_AZURE_FDID}" pattern="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" negate="true" />
          </conditions>
          <action type="AbortRequest" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

När du kör AKS med en NGINX-ingresskontrollant bör du skapa en nätverkssäkerhetsgrupp i det virtuella nätverk som är värd för AKS-klustret. Konfigurera en regel för nätverkssäkerhetsgrupp för att tillåta inkommande åtkomst på portarna 80 och 443 från tjänsttaggen AzureFrontDoor.Backend och tillåt inte inkommande trafik på portarna 80 och 443 från internettjänsttaggen .

Använd en Kubernetes ingresskonfigurationsfil som i följande exempel för att granska X-Azure-FDID headern på inkommande förfrågningar:

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: frontdoor-ingress
  annotations:
  kubernetes.io/ingress.class: nginx
  nginx.ingress.kubernetes.io/enable-modsecurity: "true"
  nginx.ingress.kubernetes.io/modsecurity-snippet: |
    SecRuleEngine On
    SecRule &REQUEST_HEADERS:X-Azure-FDID \"@eq 0\"  \"log,deny,id:106,status:403,msg:\'Front Door ID not present\'\"
    SecRule REQUEST_HEADERS:X-Azure-FDID \"@rx ^(?!xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx).*$\"  \"log,deny,id:107,status:403,msg:\'Wrong Front Door ID\'\"
spec:
  #section omitted on purpose