Azure 解決方案：如何有效地保護(hù)Azure 資源

Azure VMWare Solution（AVS）是由Azure管理和維護(hù)的經(jīng)過VMWare驗(yàn)證的私有云解決方案，AVS 允許客戶使用一致的操作框架管理和保護(hù)跨VMWare環(huán)境和Microsoft Azure的應(yīng)用程序，它支持工作負(fù)載遷移、VM部署和Azure Service Consumption.
由于AVS私用云運(yùn)行在Azure環(huán)境中，默認(rèn)情況下無(wú)法從Azure或者Internet訪問它，用戶可以使用Express Route Global Reach訪問AVS私有云，這意味著AVS工作負(fù)載虛擬機(jī)被限制在AVS私有云中，不能從Internet訪問。
但是，如果客戶想讓AVS私有云資源可以從Internet訪問，該怎么辦呢？
解決方案：需要部署公網(wǎng)IP，有兩種方案可以滿足需求：
Azure Application Gateway
使用Azure WAN Hub和防火墻的DNAT或者DNAT
Azure Application Gateway是發(fā)布AVS私用云資源的推薦方式，本文將介紹如何通過Azure Application Gateway 在互聯(lián)網(wǎng)上發(fā)布AVS私用云資源。
Azure Application Gateway是一個(gè)7層的負(fù)載均衡器，它支持Web應(yīng)用的流量管理，Application Gateway提供了高級(jí)功能，如基于cookie的會(huì)話關(guān)聯(lián)、基于URL的路由和Web應(yīng)用程序防火墻。
AVS私有云的Application Gateway有哪些好處呢？
提供按需、現(xiàn)收現(xiàn)付的消費(fèi)模式
確保最大吞吐量和最小響應(yīng)時(shí)間，并能應(yīng)對(duì)突發(fā)流量
提供了許多高級(jí)功能，比如Web應(yīng)用防火墻與DDOS保護(hù)等等
下圖演示了如何使用Azure Application Gateway來保護(hù)和發(fā)布AVS私有云資源以及Azure VM規(guī)模集和本地服務(wù)器。
下面的架構(gòu)圖說明了部署在Azure虛擬廣域網(wǎng)中心上的應(yīng)用程序網(wǎng)關(guān)，以及托管在Azure VMWare解決方案環(huán)境中的Web服務(wù)器群，并配置了RFC 1918私有IP地址，Web服務(wù)器可以通過Azure應(yīng)用網(wǎng)關(guān)從互聯(lián)網(wǎng)上訪問，配置了一個(gè)公共IP作為前端，運(yùn)行在AVS私有云上的Web服務(wù)器被配置為后端池。
當(dāng)來自Internet的用戶試圖通過443端口訪問應(yīng)用網(wǎng)關(guān)的公網(wǎng)IP時(shí)，應(yīng)用網(wǎng)關(guān)將次請(qǐng)求發(fā)送給啟用一個(gè)Web服務(wù)器，Web服務(wù)器處理請(qǐng)求并回復(fù)給應(yīng)用為網(wǎng)關(guān)，最后，應(yīng)用程序網(wǎng)關(guān)向用戶做出響應(yīng)，因此，運(yùn)行在AVS私有云上的Web服務(wù)器可以從互聯(lián)網(wǎng)訪問，此外，客戶可以啟用Azure DDos防護(hù)標(biāo)準(zhǔn)，以增加安全性。
說明：通常，多個(gè)后端池在一個(gè)池中可以配置多個(gè)Web服務(wù)器。
接下來介紹一下部署和配置Azure應(yīng)用網(wǎng)關(guān)的細(xì)節(jié)，以及AVS私有云資源可以從Internet訪問。
應(yīng)用網(wǎng)關(guān)部署在Azure虛擬網(wǎng)絡(luò)（VNet）上，VNet可以通過Express Route直接連接到AVS私有云，VNet也可以連接到Azure Virtual WAN Hub，在Azure VMWare私有云上啟用共有IP后，會(huì)自動(dòng)部署一個(gè)安全的虛擬WAN Hub，AVS私有云和安全廣域網(wǎng)集線器之間的連接也可以通過Express Route實(shí)現(xiàn)，本文介紹的是使用安全虛擬廣域網(wǎng)集線器。
部署和配置Application Gateway
先決條件：
o 具有Azure訂閱的賬戶
o 部署并運(yùn)行的Azure VMWare私有云
o Azure VMWare私有云上啟用的公共IP
o 部署Azure VNet，并與Azure VMWare私有云安全廣域網(wǎng)Hub對(duì)等
部署和配置Application Gateway，請(qǐng)?jiān)L問官網(wǎng)部署步驟
AVS私有云資源現(xiàn)在可以通過公網(wǎng)IP從Internet訪問，如下圖所示的應(yīng)用網(wǎng)關(guān)的前端IP地址。