Azure Bastion의 디자인 아키텍처
Azure Bastion은 선택한 SKU 및 옵션 구성에 따라 여러 배포 아키텍처를 제공합니다. 대부분의 SKU의 경우 Bastion은 가상 네트워크에 배포되고 가상 네트워크 피어링을 지원합니다. 특히 Azure Bastion은 로컬 또는 피어링된 가상 네트워크에서 만든 VM에 대한 RDP/SSH 연결을 관리합니다.
RDP 및 SSH는 Azure에서 실행 중인 워크로드에 연결하는 데 사용할 수 있는 기본 수단 중 일부입니다. 인터넷을 통해 RDP/SSH 포트를 노출하는 것은 바람직하지 않으며 중요한 위협 요소로 간주됩니다. 이는 프로토콜 취약성으로 인해 종종 발생합니다. 이 위협 요소를 포함하기 위해 경계 네트워크의 공용 측에 요새 호스트(점프 서버라고도 함)를 배포할 수 있습니다. Bastion 호스트 서버는 공격에 대응하도록 설계 및 구성됩니다. 또한 Bastion 서버는 Bastion 뒤와 네트워크 내부에 있는 워크로드에 RDP 및 SSH 연결을 제공합니다.
Bastion을 배포할 때 선택하는 SKU에 따라 아키텍처와 사용 가능한 기능이 결정됩니다. 더 많은 기능을 지원하기 위해 더 높은 SKU로 업그레이드할 수 있지만 배포 후에는 SKU를 다운그레이드할 수 없습니다. 프라이빗 전용 및 개발자 SKU와 같은 특정 아키텍처는 배포 시 구성해야 합니다.
배포 - 기본 SKU 이상
기본 SKU 이상으로 작업할 때 Bastion은 다음 아키텍처와 워크플로를 사용합니다.
- Bastion 호스트는 최소/26 접두사가 있는 AzureBastionSubnet 서브넷이 포함된 가상 네트워크에 배포됩니다.
- 사용자는 HTML5 브라우저를 사용하여 Azure Portal에 연결하고 연결할 가상 머신을 선택합니다. Azure VM에는 공용 IP 주소가 필요하지 않습니다.
- 한 번 클릭으로 RDP/SSH 세션이 브라우저에서 열립니다.
일부 구성의 경우 사용자는 네이티브 운영 체제 클라이언트를 통해 가상 머신에 연결할 수 있습니다.
구성 단계는 다음을 참조하세요.
배포 - 개발자 SKU
Bastion 개발자 SKU는 가벼운 무료 SKU입니다. 이 SKU는 VM에 안전하게 연결하고 싶지만 추가 Bastion 기능이나 호스트 크기 조정이 필요하지 않은 개발/테스트 사용자에게 이상적입니다. 개발자 SKU를 사용하면 가상 머신 연결 페이지를 통해 한 번에 하나의 Azure VM에 직접 연결할 수 있습니다.
개발자 SKU를 사용하여 Bastion을 배포하는 경우 배포 요구 사항은 다른 SKU를 사용하여 배포할 때와 다릅니다. 일반적으로 베스천 호스트를 만들 때 호스트는 가상 네트워크의 AzureBastionSubnet에 배포됩니다. Bastion 호스트는 사용자 전용입니다. 개발자 SKU를 사용하는 경우 베스천 호스트는 가상 네트워크에 배포되지 않으며 AzureBastionSubnet이 필요하지 않습니다. 그러나 개발자 SKU 베스천 호스트는 전용 리소스가 아닙니다. 대신 공유 풀의 일부입니다.
개발자 SKU 베스천 리소스는 전용이 아니므로 개발자 SKU의 기능이 제한됩니다. SKU별로 나열된 기능은 Bastion 구성 설정 SKU 섹션을 참조하세요. 더 많은 기능을 지원해야 하는 경우 언제든지 개발자 SKU를 더 높은 SKU로 업그레이드할 수 있습니다. SKU 업그레이드를 참조하세요.
개발자 SKU에 대한 자세한 내용은 Azure Bastion 배포 - 개발자 SKU를 참조하세요.
배포 - 프라이빗 전용(미리 보기)
프라이빗 전용 Bastion 배포는 개인 IP 주소 액세스만 허용하는 인터넷으로 라우팅할 수 없는 Bastion 배포를 만들어 워크로드를 엔드투엔드로 잠급니다. 프라이빗 전용 Bastion 배포에서는 공용 IP 주소를 통한 베스천 호스트 연결을 허용하지 않습니다. 이와 대조적으로 일반 Azure Bastion 배포에서는 사용자가 공용 IP 주소를 사용하여 베스천 호스트에 연결할 수 있습니다.
다이어그램은 Bastion 프라이빗 전용 배포 아키텍처를 보여 줍니다. ExpressRoute 개인 피어링을 통해 Azure에 연결된 사용자는 베스천 호스트의 개인 IP 주소를 사용하여 Bastion에 안전하게 연결할 수 있습니다. 그런 다음 Bastion은 개인 IP 주소를 통해 베스천 호스트와 동일한 가상 네트워크 내에 있는 가상 머신에 연결할 수 있습니다. 프라이빗 전용 Bastion 배포에서 Bastion은 가상 네트워크 외부의 아웃바운드 액세스를 허용하지 않습니다.
고려 사항:
프라이빗 전용 Bastion은 배포 시 구성되며 프리미엄 SKU 계층이 필요합니다.
일반 Bastion 배포에서 프라이빗 전용 배포로 변경할 수 없습니다.
이미 Bastion 배포가 있는 가상 네트워크에 프라이빗 전용 Bastion을 배포하려면 먼저 가상 네트워크에서 Bastion을 제거한 다음 가상 네트워크에 프라이빗 전용으로 Bastion을 다시 배포합니다. AzureBastionSubnet을 삭제하고 다시 만들 필요가 없습니다.
엔드투엔드 프라이빗 연결을 만들려면 Azure Portal을 통해 연결하는 대신 네이티브 클라이언트를 사용하여 연결합니다.
클라이언트 컴퓨터가 Azure가 아닌 온-프레미스인 경우 ExpressRoute 또는 VPN을 배포하고 Bastion 리소스에서 IP 기반 연결을 사용하도록 설정해야 합니다.
프라이빗 전용 배포에 대한 자세한 내용은 Bastion을 프라이빗 전용으로 배포를 참조하세요.