1.24 Azure Bastion Subnet

Présentation de la technologie

Azure Bastion Subnet est un sous-réseau spécifique nécessaire pour déployer Azure Bastion, un service de sécurité qui permet d’accéder aux machines virtuelles (VM) via RDP (Remote Desktop Protocol) et SSH (Secure Shell) sans exposer ces ports sur Internet. Le sous-réseau doit être nommé AzureBastionSubnet et doit respecter certaines configurations pour garantir le bon fonctionnement d’Azure Bastion. Ce service renforce la sécurité en centralisant les connexions d’administration à distance et en éliminant les risques liés à l’exposition des ports RDP/SSH.

 Principaux avantages :

• Sécurité accrue : Élimine le besoin d’adresses IP publiques pour les VM, réduisant ainsi la surface d’attaque.
• Accès simplifié : Permet des connexions RDP/SSH directement depuis le portail Azure sans nécessiter de clients externes.
• Gestion centralisée : Facilite l’accès à plusieurs VM dans un réseau virtuel donné.
• Scalabilité : Supporte plusieurs connexions simultanées et peut évoluer selon les besoins.

—

 Mise en place technique

 Étape 1 : Créer un réseau virtuel

1. Connectez-vous au portail Azure.
2. Recherchez « Réseaux virtuels » dans la barre de recherche.
3. Cliquez sur « Créer ».
4. Remplissez les informations nécessaires :

•    Nom : Donnez un nom à votre réseau virtuel.
•    Groupe de ressources : Choisissez un groupe existant ou créez-en un nouveau.
•    Adresse CIDR : Définissez une plage d’adresses (par exemple, 10.0.0.0/16).

5. Cliquez sur « Vérifier + créer », puis sur « Créer ».

 Étape 2 : Créer le sous-réseau AzureBastionSubnet

1. Accédez à votre réseau virtuel nouvellement créé.
2. Dans le menu de gauche, cliquez sur « Sous-réseaux ».
3. Cliquez sur « + Sous-réseau » pour ajouter un nouveau sous-réseau.
4. Remplissez les informations suivantes :

•    Nom du sous-réseau : AzureBastionSubnet
•    Plage d’adresses : Utilisez une plage suffisamment grande (minimum /26, par exemple 10.0.0.0/26).

5. Cliquez sur « Créer » pour ajouter le sous-réseau.

 Étape 3 : Configurer Azure Bastion

1. Recherchez « Bastion » dans le portail Azure et cliquez sur « Créer ».
2. Remplissez les détails :

•    Nom : Donnez un nom à votre instance Bastion.
•    Région : Sélectionnez la même région que votre réseau virtuel.
•    Réseau virtuel : Sélectionnez le réseau contenant AzureBastionSubnet.
•    Adresse IP publique : Créez une nouvelle adresse IP publique ou utilisez-en une existante.

3. Cliquez sur « Vérifier + créer », puis sur « Créer » pour déployer Azure Bastion.

—

 Exploitation technique courante

 Surveillance des connexions

1. Accédez à votre instance Azure Bastion dans le portail Azure.
2. Consultez les journaux d’activité pour suivre les connexions RDP/SSH effectuées via Bastion.
3. Configurez des alertes pour être informé des connexions non autorisées ou suspectes.

 Gestion des règles NSG (Network Security Group)

1. Accédez à votre sous-réseau AzureBastionSubnet.
2. Cliquez sur « Groupes de sécurité réseau » dans le menu de gauche.
3. Créez ou modifiez un NSG pour contrôler le trafic entrant et sortant :

•    Inbound Rules :
•      Autoriser TCP port 443 (accès depuis Internet vers l’adresse IP publique de Bastion).
•      Autoriser RDP/SSH depuis le sous-réseau AzureBastionSubnet vers les sous-réseaux de vos VM.
•    Outbound Rules :
•      Autoriser TCP port 443 vers Internet pour les diagnostics.

 Connexion aux machines virtuelles

1. Accédez à la VM cible dans le portail Azure.
2. Cliquez sur « Connecter », puis sélectionnez « Bastion ».
3. Entrez vos identifiants et cliquez sur « Connecter » pour établir la connexion.

 Maintenance et mise à l’échelle

1. Surveillez l’utilisation du sous-réseau AzureBastionSubnet pour évaluer si une mise à l’échelle est nécessaire.
2. Si vous prévoyez une augmentation du nombre d’utilisateurs, envisagez d’augmenter la taille du sous-réseau (par exemple, passer de /26 à /25).

—

 Bonnes pratiques

1. Planification du sous-réseau :

•    Assurez-vous que le sous-réseau AzureBastionSubnet est configuré correctement avant de déployer Azure Bastion.

2. Sécurité renforcée :

•    Utilisez des NSG pour contrôler strictement le trafic vers et depuis AzureBastionSubnet.

3. Surveillance proactive :

•    Configurez des alertes pour surveiller l’activité des utilisateurs et détecter toute connexion suspecte.

4. Tests réguliers :

•    Effectuez des tests réguliers de connexion via Bastion pour vous assurer que tout fonctionne comme prévu.

5. Documentation et conformité :

•    Tenez à jour la documentation concernant la configuration de votre réseau et des règles NSG associées à Azure Bastion.

En suivant ces étapes et bonnes pratiques, vous serez en mesure d’exploiter efficacement Azure Bastion Subnet pour sécuriser l’accès à vos machines virtuelles tout en simplifiant la gestion des connexions administratives dans votre environnement Azure.