Marcas de serviço de rede virtual

Uma marca de serviço representa um grupo de prefixos de endereço IP de um determinado serviço do Azure. A Microsoft gerencia os prefixos de endereço englobados pela marca de serviço e atualiza automaticamente a marca de serviço em caso de alteração de endereços, minimizando a complexidade de atualizações frequentes das regras de segurança de rede.

É possível usar marcas de serviço para definir os controles de acesso à rede em grupos de segurança de rede, Firewall do Azure e rotas definidas pelo usuário. Use marcas de serviço em vez de endereços IP específicos ao criar regras e rotas de segurança. Ao especificar o nome da marca de serviço, como ApiManagement no campo correto de origem ou destino de uma regra de segurança, você poderá permitir ou negar o tráfego para o serviço correspondente. Ao especificar o nome da marca de serviço no prefixo de endereço de uma rota, você pode rotear o tráfego destinado a qualquer um dos prefixos encapsulados pela marca de serviço para um tipo de próximo salto desejado.

Você pode usar as marcas de serviço para obter o isolamento da rede e proteger os recursos do Azure da Internet em geral ao acessar os serviços do Azure que tenham pontos de extremidade públicos. Crie regras de entrada/saída para o grupo de segurança de rede a fim de negar o tráfego de/para a Internet e permitir o tráfego de/para o AzureCloud ou outras marcas de serviço disponíveis de serviços específicos do Azure.

Marcas de serviço disponíveis

A tabela a seguir inclui todas as marcas de serviço disponíveis para uso em regras do grupo de segurança de rede.

As colunas indicam se a marca:

• É adequada para regras que abrangem o tráfego de entrada ou de saída.
• Dá suporte a um escopo regional.
• Pode ser usado nas regras do Firewall do Azure como regra de destino apenas para tráfego de entrada ou saída.

Por padrão, as marcas de serviço refletem os intervalos para toda a nuvem. Algumas marcas de serviço também permitem um controle mais granular ao restringir os intervalos de IP correspondentes a uma região especificada. Por exemplo, a marca de serviço Armazenamento representa o Armazenamento do Azure para toda a nuvem, mas Storage.WestUS limita o intervalo apenas aos intervalos de endereços IP de armazenamento da região do Oeste dos EUA. A tabela a seguir indica se cada marca de serviço oferece suporte a esse escopo regional e a direção listada para cada marca é uma recomendação. Por exemplo, a marca AzureCloud pode ser usada para permitir o tráfego de entrada. Na maioria dos cenários, não recomendamos permitir o tráfego de todos os IPs do Azure, pois os IPs usados ​​por outros clientes do Azure são incluídos como parte da marca de serviço.

Marcas compatíveis com o modelo de implantação clássico

O modelo de implantação clássico (anterior ao Azure Resource Manager) é compatível com um subconjunto das marcas listadas na tabela anterior. As marcas no modelo de implantação clássico são escritas de modo diferente, conforme mostrado na seguinte tabela:

Marcas sem suporte para UDR (rotas definidas pelo usuário)

Veja a seguir uma lista de marcas atualmente sem suporte para uso com UDR (rotas definidas pelo usuário).

• AzurePlatformDNS

• AzurePlatformIMDS

• AzurePlatformLKM

• VirtualNetwork

• AzureLoadBalancer

• Internet

Marcas de serviço locais

Você pode obter as informações da marca de serviço e dos intervalos atuais para incluir como parte das configurações de firewall local. Essas informações estão na lista pontual atual dos intervalos de IP que correspondem a cada marca de serviço. Você pode obter as informações de forma programática ou por meio do download de um arquivo JSON, como descrito nas seções a seguir.

Usar a API de Descoberta de Marca de Serviço

Você pode recuperar de forma programática a lista atual de marcas de serviço com os detalhes dos intervalos de endereços IP:

• REST

• PowerShell do Azure

• CLI do Azure

Por exemplo, para recuperar todos os prefixos para a Marca de Serviço de Armazenamento, você pode usar os seguintes cmdlets do PowerShell:

$serviceTags = Get-AzNetworkServiceTag -Location eastus2
$storage = $serviceTags.Values | Where-Object { $_.Name -eq "Storage" }
$storage.Properties.AddressPrefixes

Descobrir marcas de serviço usando download de arquivos JSON

Você pode baixar arquivos JSON que contêm a lista atual de marcas de serviço com detalhes de intervalos de endereços IP. Essas listas são atualizadas e publicadas semanalmente. Os locais de cada nuvem são:

• Público do Azure

• Governo dos EUA para Azure

• Microsoft Azure operado pela 21Vianet

• Azure Alemanha

Os intervalos de endereços IP nesses arquivos estão na notação CIDR.

As seguintes marcas AzureCloud não têm nomes regionais formatados de acordo com o esquema normal:

• AzureCloud.centralfrance (FranceCentral)

• AzureCloud.southfrance (FranceSouth)

• AzureCloud.germanywc (GermanyWestCentral)

• AzureCloud.germanyn (GermanyNorth)

• AzureCloud.norwaye (NorwayEast)

• AzureCloud.norwayw (NorwayWest)

• AzureCloud.switzerlandn (SwitzerlandNorth)

• AzureCloud.switzerlandw (SwitzerlandWest)

• AzureCloud.usstagee (EastUSSTG)

• AzureCloud.usstagec (SouthCentralUSSTG)

• AzureCloud.brazilse (BrazilSoutheast)

Próximas etapas

• Saiba como criar um grupo de segurança de rede.