![Azure 中面向 Internet 的端口 443 - 安全问题](https://linux22.com/image/784994/Azure%20%E4%B8%AD%E9%9D%A2%E5%90%91%20Internet%20%E7%9A%84%E7%AB%AF%E5%8F%A3%20443%20-%20%E5%AE%89%E5%85%A8%E9%97%AE%E9%A2%98.png)
我想使用以下堆栈之一在 Azure Ubuntu VM 上部署微服务:docker-compose/AKS,使用 Traeffic 作为反向代理。
我正在寻找最便宜但合理的安全解决方案。
在我的 VM 防火墙中打开端口 443(其余端口将被关闭)并将其转发到 Azure 中的公共 IP 是否会产生重大风险或违反安全规则(它将是测试环境,因此 DDOS 之类的事情不会困扰我)。
使用 AKS,它将 LoadBalancer 服务端口 443 映射到 Azure 公共 IP,因此方法非常相似,但不需要直接控制 VM 防火墙(Kubernetes 管理其他一切)。
NSG 仅允许端口 443 的 Internet 入站。所有微服务都将通过适当的身份验证来确保安全,并且只有最终用户所需的服务才会通过反向代理暴露给公共 Internet。我一直在 Internet 上寻找这种类型的架构,但从未找到任何东西。
答案1
这些问题没有肯定或否定的答案。简而言之,你必须权衡风险和利益。
WAF 可能会使某些攻击变得更加困难。但对于其他攻击,它没有任何区别。它有成本——既有复杂性,也有金钱价值。
通常来说,你做的每一件事都是如此 - 它有成本也有收益。
几年前,在互联网上运行程序还是常见的进行中小型部署的方式;它实际上只随着云环境而改变。