我需要使用Azure的iptables吗？

Question

我想知道是否需要在Microsoft Azure上使用我的Linux VM安装iptables。他们可以在端点上工作，我可以打开我需要打开的端口，其他端口保持关闭状态，我的虚拟机对于外部是安全的，但我想知道是否仍需要为内部流量设置iptables（Azure中的另一台虚拟机是否可以到达我的VM？）还是我的VM屏蔽了其他VM？

Answer 1

是的，你仍然应该保护个人虚拟机的正常主机安全，就像你对传统基础设施，甚至更多。

Azure支持network isolation，但内部网络上的任何其他虚拟机或服务都可以访问您的Linux VM。 Azure边缘防火墙也存在风险（不太可能，但如果您的虚拟机足够重要，那么您的威胁模型应该包括它）。

我不认为任何系统管理员会建议让本地服务器保持打开状态，这就是当您对网络进行物理控制时。当其他人为你托管东西时，我一定会保护它。

Answer 2

库中的Linux映像不会在Linux虚拟机内启用IPtables防火墙。因此，在创建新VM时，默认情况下防火墙未启用（创建Windows VM的主要区别）。但IPtables防火墙可以配置为提供额外的过滤。

另外，我想分享一些与Azure安全相关的关键点。

IDS/IPS运行微软云属性数量的微软GFS数据中心使用IDS/IPS来保护微软云资产。看看http://www.globalfoundationservices.com/security-and-compliance.aspx

DDOS防范
Azure中使用标准的检测和缓解技术，如SYN cookies和连接限制。 Microsoft Azure使用DHCP速率限制器，主机操作系统数据包筛选和IP地址ACL。 VM不能发送DHCP响应，只能发送DHCP请求。

硬件防火墙（由Microsoft GFS提供 - 用于Microsoft Web资产的数量的主机）与阻断经由虚拟网络交叉租户通信分组过滤器微软Azure主机级防火墙

主机防火墙。

虚拟机防火墙数据包过滤器控制同一虚拟机中虚拟机之间的流量。虚拟机无法监听不适合他们的流量。

隔离 - Azure为具有多个执行点的每个部署提供网络隔离。