Теги службы виртуальной сети

Тег службы представляет группу префиксов IP-адресов из определенной службы Azure. Корпорация Майкрософт управляет префиксами адресов, входящих в тег службы, и автоматически обновляет этот тег при изменении адресов, сводя к минимуму сложность частых обновлений правил сетевой безопасности.

Теги службы можно использовать, чтобы определить элементы управления доступом к сети для групп безопасности сети, Брандмауэра Azure и определяемых пользователем маршрутов. Теги службы можно использовать вместо определенных IP-адресов при создании правил безопасности и маршрутов. Указав имя тега службы (например, ApiManagement) в соответствующем поле источника или назначения для правила безопасности, можно разрешить или запретить трафик для соответствующей службы. Указав имя тега службы в префиксе адреса маршрута, можно маршрутизировать трафик, предназначенный для любого из префиксов, инкапсулированных тегом службы, в нужный тип следующего прыжка.

Теги службы можно использовать для обеспечения изоляции сети и защиты ресурсов Azure от общего доступа через Интернет при доступе к службам Azure, имеющим общедоступные конечные точки. Создайте правила группы безопасности сети для входящих и исходящих подключений, чтобы запретить передачу трафика Интернета и разрешить входящий и исходящий трафик AzureCloud или других доступных тегов служб Azure.

Доступные теги службы

В следующей таблице перечислены все теги службы, доступные для использования в правилах группы безопасности сети.

Столбцы указывают на следующее:

• Подходит ли тег для правил, охватывающих входящий или исходящий трафик.
• Поддерживает ли тег региональные области.
• Можно ли использовать в правилах Брандмауэра Azure только в качестве правила назначения для входящего или исходящего трафика.

По умолчанию теги службы отображают диапазоны для всего облака. Некоторые теги службы также обеспечивают более детализированный контроль за счет запрета соответствующих диапазонов IP-адресов для указанного региона. Например, тег службы Storage представляет службу хранилища Azure для всего облака, тогда как тег Storage.WestUS ограничивает диапазон только диапазонами IP-адресов хранилища из региона WestUS. В приведенной ниже таблице показано, поддерживает ли каждый тег службы такую региональную область, а направление, указанное для каждого тега, является рекомендацией. Например, тег AzureCloud может использоваться для разрешения входящего трафика. В большинстве сценариев мы не рекомендуем разрешать трафик со всех IP-адресов Azure, так как IP-адреса, используемые другими клиентами Azure, включены в тег службы.

Поддерживаемые теги в классической модели развертывания

В классической модели развертывания (до Azure Resource Manager) поддерживается небольшое подмножество тегов, перечисленных в предыдущей таблице. Теги в классической модели развертывания написаны по-другому, как показано в таблице ниже.

Теги, неподдерживаемые для определяемых пользователем маршрутов (UDR)

Ниже приведен список тегов, которые в настоящее время не поддерживаются для использования с пользовательскими маршрутами (UDR).

• AzurePlatformDNS

• AzurePlatformIMDS

• AzurePlatformLKM

• Виртуальная сеть

• AzureLoadBalancer

• Интернет

Теги служб в локальной среде

Вы можете получить текущий тег службы и сведения о диапазоне, которые будут включены в конфигурации локального брандмауэра. Эта информация является актуальным списком точек во времени для диапазонов IP-адресов, соответствующих каждому тегу службы. Эти сведения можно получить программно или скачав файл JSON, как описано в следующих разделах.

Использование API обнаружения тегов служб

Актуальный список тегов служб вместе со сведениями о диапазоне IP-адресов можно получить программным способом:

• REST

• Azure PowerShell

• Azure CLI

Например, чтобы получить все префиксы для тега службы хранилища, можно использовать следующие командлеты PowerShell:

$serviceTags = Get-AzNetworkServiceTag -Location eastus2
$storage = $serviceTags.Values | Where-Object { $_.Name -eq "Storage" }
$storage.Properties.AddressPrefixes

Обнаружение тегов службы с помощью скачиваемых файлов JSON

Вы можете скачать файлы JSON, которые содержат актуальный список тегов служб вместе со сведениями о диапазоне IP-адресов. Эти списки обновляются и публикуются еженедельно. Расположения для каждого облака:

• Azure Public

• Azure для US Gov организаций.

• Microsoft Azure, управляемый 21Vianet

• Azure для Германии

Диапазоны IP-адресов в этих файлах даны в нотации CIDR.

В следующих тегах AzureCloud имена регионов имеют формат, отличающийся от обычной схемы.

• AzureCloud.centralfrance (FranceCentral)

• AzureCloud.southfrance (FranceSouth)

• AzureCloud.germanywc (GermanyWestCentral)

• AzureCloud.germanyn (GermanyNorth)

• AzureCloud.norwaye (NorwayEast)

• AzureCloud.norwayw (NorwayWest)

• AzureCloud.switzerlandn (SwitzerlandNorth)

• AzureCloud.switzerlandw (SwitzerlandWest)

• AzureCloud.usstagee (EastUSSTG)

• AzureCloud.usstagec (SouthCentralUSSTG)

• AzureCloud.бразилия (БразилияSoutheast)

Следующие шаги

• Узнайте, как создать группу безопасности сети.