Sanal ağ hizmet etiketleri

Hizmet etiketi, belirli bir Azure hizmetinden ip adresi ön ekleri grubunu temsil eder. Microsoft, hizmet etiketiyle kapsadığı adres ön eklerini yönetir ve adresler değiştikçe hizmet etiketini otomatik olarak güncelleştirir ve ağ güvenlik kurallarında sık sık yapılan güncelleştirmelerin karmaşıklığını en aza indirir.

Ağ güvenlik grupları, Azure Güvenlik Duvarı ve kullanıcı tanımlı yollarda ağ erişim denetimleri tanımlamak için hizmet etiketlerini kullanabilirsiniz. Güvenlik kuralları ve yolları oluştururken belirli IP adresleri yerine hizmet etiketlerini kullanın. ApiManagement gibi hizmet etiketi adını bir güvenlik kuralının uygun kaynak veya hedef alanında belirterek, ilgili hizmet için trafiğe izin verebilir veya trafiği reddedebilirsiniz. Bir yolun adres ön ekinde hizmet etiketi adını belirterek, hizmet etiketi tarafından kapsüllenen ön eklerden herhangi birine yönelik trafiği istenen bir sonraki atlama türüne yönlendirebilirsiniz.

Hizmet etiketlerini kullanarak ağ yalıtımı elde edebilir ve genel uç noktaları olan Azure hizmetlerine erişirken Azure kaynaklarınızı genel İnternet'ten koruyabilirsiniz. İnternet'e giden/giden trafiği reddetmek ve Belirli Azure hizmetlerinin AzureCloud veya diğer kullanılabilir hizmet etiketlerine gelen/giden trafiğe izin vermek için gelen/giden ağ güvenlik grubu kuralları oluşturun.

Kullanılabilir hizmet etiketleri

Aşağıdaki tablo, ağ güvenlik grubu kurallarında kullanılabilen tüm hizmet etiketlerini içerir.

Sütunlar etiketin olup olmadığını gösterir:

• Gelen veya giden trafiği kapsayan kurallar için uygundur.
• Bölgesel kapsamı destekler.
• Azure Güvenlik Duvarı kurallarında yalnızca gelen veya giden trafik için hedef kural olarak kullanılabilir.

Hizmet etiketleri varsayılan olarak tüm buluta yönelik aralıkları yansıtır. Bazı hizmet etiketleri, ilgili IP aralıklarını belirtilen bir bölgeyle kısıtlayarak daha ayrıntılı denetime de olanak sağlar. Örneğin, Depolama hizmet etiketi bulutun tamamı için Azure Depolama'yı temsil eder, ancak Storage.WestUS aralığı yalnızca WestUS bölgesindeki depolama IP adresi aralıklarına daraltmaktadır. Aşağıdaki tablo, her hizmet etiketinin bu tür bölgesel kapsamı destekleyip desteklemediğini gösterir ve her etiket için listelenen yön bir öneridir. Örneğin, Gelen trafiğe izin vermek için AzureCloud etiketi kullanılabilir. Çoğu senaryoda, diğer Azure müşterileri tarafından kullanılan IP'ler hizmet etiketinin bir parçası olarak dahil edildiğinden tüm Azure IP'lerinden gelen trafiğe izin vermenizi önermeyiz.

Klasik dağıtım modelinde desteklenen etiketler

Klasik dağıtım modeli (Azure Resource Manager'ın öncesinde), önceki tabloda listelenen etiketlerin küçük bir alt kümesini destekler. Klasik dağıtım modelindeki etiketler, aşağıdaki tabloda gösterildiği gibi farklı yazılır:

Kullanıcı tanımlı yollar (UDR) için desteklenmeyen etiketler

Aşağıda, kullanıcı tanımlı yollar (UDR) ile kullanılmak üzere şu anda desteklenmeyen etiketlerin listesi yer almaktadır.

• AzurePlatformDNS

• AzurePlatformIMDS

• AzurePlatformLKM

• VirtualNetwork

• AzureLoadBalancer

• İnternet

Şirket içi hizmet etiketleri

Şirket içi güvenlik duvarı yapılandırmalarınızın bir parçası olarak eklemek üzere geçerli hizmet etiketini ve aralık bilgilerini alabilirsiniz. Bu bilgiler, her hizmet etiketine karşılık gelen IP aralıklarının geçerli belirli bir noktaya listesidir. Bilgileri program aracılığıyla veya aşağıdaki bölümlerde açıklandığı gibi bir JSON dosya indirmesi aracılığıyla edinebilirsiniz.

Hizmet Etiketi Bulma API'sini kullanma

Geçerli hizmet etiketleri listesini IP adresi aralığı ayrıntılarıyla birlikte program aracılığıyla alabilirsiniz:

• REST

• Azure PowerShell

• Azure CLI

Örneğin, Depolama Hizmeti Etiketi'nin tüm ön eklerini almak için aşağıdaki PowerShell cmdlet'lerini kullanabilirsiniz:

$serviceTags = Get-AzNetworkServiceTag -Location eastus2
$storage = $serviceTags.Values | Where-Object { $_.Name -eq "Storage" }
$storage.Properties.AddressPrefixes

İndirilebilir JSON dosyalarını kullanarak hizmet etiketlerini bulma

Geçerli hizmet etiketleri listesini içeren JSON dosyalarını IP adresi aralığı ayrıntılarıyla birlikte indirebilirsiniz. Bu listeler haftalık olarak güncelleştirilir ve yayımlanır. Her bulut için konumlar şunlardır:

• Azure Genel

• Azure ABD Kamu

• 21Vianet tarafından sağlanan Microsoft Azure

• Azure Almanya

Bu dosyalardaki IP adresi aralıkları CIDR gösterimindedir.

Aşağıdaki AzureCloud etiketlerinin normal şemaya göre biçimlendirilmiş bölgesel adları yoktur:

• AzureCloud.centralfrance (FranceCentral)

• AzureCloud.southfrance (FranceSouth)

• AzureCloud.germanywc (GermanyWestCentral)

• AzureCloud.germanyn (GermanyNorth)

• AzureCloud.norwaye (NorveçEast)

• AzureCloud.norwayw (NorwayWest)

• AzureCloud.switzerlandn (SwitzerlandNorth)

• AzureCloud.switzerlandw (SwitzerlandWest)

• AzureCloud.usstagee (EastUSSTG)

• AzureCloud.usstagec (SouthCentralUSSTG)

• AzureCloud.brazilse (BrazilSoutheast)

Sonraki adımlar

• Ağ güvenlik grubu oluşturmayı öğrenin.