我需要使用Azure的iptables嗎？

Question

我想知道是否需要在Microsoft Azure上使用我的Linux VM安裝iptables。他們可以在端點上工作，我可以打開我需要打開的端口，其他端口保持關閉狀態，我的虛擬機對於外部是安全的，但我想知道是否仍需要爲內部流量設置iptables（Azure中的另一臺虛擬機是否可以到達我的VM？）還是我的VM屏蔽了其他VM？

Answer 1

是的，你仍然應該保護個人虛擬機的正常主機安全，就像你對傳統基礎設施，甚至更多。

Azure支持network isolation，但內部網絡上的任何其他虛擬機或服務都可以訪問您的Linux VM。 Azure邊緣防火牆也存在風險（不太可能，但如果您的虛擬機足夠重要，那麼您的威脅模型應該包括它）。

我不認爲任何系統管理員會建議讓本地服務器保持打開狀態，這就是當您對網絡進行物理控制時。當其他人爲你託管東西時，我一定會保護它。

Answer 2

庫中的Linux映像不會在Linux虛擬機內啓用IPtables防火牆。因此，在創建新VM時，默認情況下防火牆未啓用（創建Windows VM的主要區別）。但IPtables防火牆可以配置爲提供額外的過濾。

另外，我想分享一些與Azure安全相關的關鍵點。

IDS/IPS運行微軟雲屬性數量的微軟GFS數據中心使用IDS/IPS來保護微軟雲資產。看看http://www.globalfoundationservices.com/security-and-compliance.aspx

DDOS防範
Azure中使用標準的檢測和緩解技術，如SYN cookies和連接限制。 Microsoft Azure使用DHCP速率限制器，主機操作系統數據包篩選和IP地址ACL。 VM不能發送DHCP響應，只能發送DHCP請求。

硬件防火牆（由Microsoft GFS提供 - 用於Microsoft Web資產的數量的主機）與阻斷經由虛擬網絡交叉租戶通信分組過濾器微軟Azure主機級防火牆

主機防火牆。

虛擬機防火牆數據包過濾器控制同一虛擬機中虛擬機之間的流量。虛擬機無法監聽不適合他們的流量。

隔離 - Azure爲具有多個執行點的每個部署提供網絡隔離。