Bastion のサブネットに 適用する NSG の設定例

Last Update: feedback 共有

こんにちは、Azure テクニカル サポート チームの薄井です。
今回は Bastion のサブネットに関連付けることのできる NSG についてご紹介します。

よく Bastion のサブネットへのアクセスに制限をかけたいといったお問い合わせをいただきます。Bastion のサブネットに適用する場合の NSG の設定については公式ドキュメントにも記載がございますが、ここでは具体的な設定例を画像とともにご紹介いたします。

受信セキュリティ規則

以下に掲載しております画像の例では、優先度 120 番にて Bastion にアクセスするクライアントのグローバル IP アドレスのみを許可している例となります。優先度 4096 番に全てを拒否するルールを入れて既定のルールを拒否しています。
受信セキュリティ規則では以下のルールが必須となります。

  • GatewayManager から任意の宛先への TCP の許可
  • AzureLoadBalancer から任意の宛先への TCP の許可
  • Bastion に接続するクライアントの IP アドレスから任意の宛先への HTTPS(TCP ポート 443)の許可。

image-title

送信セキュリティ規則

以下に掲載しております画像の例では、必須となるルールのみを許可している例となります。優先度 4096 番に全てを拒否するルールを入れて既定のルールを拒否しています。
送信セキュリティ規則では以下のルールが必須となります。

  • 任意の送信元から VirtualNetwork への SSH と RDP (TCP ポート 22 と TCP ポート 3389) の許可。どちらか一方のプロトコルしか使わないような場合でも両方必要となります。
  • AzureLoadBalancer から任意の宛先への TCP の許可
  • 任意の送信元から Internet への HTTP (TCP ポート 80) の許可。Bastion のセッション情報の管理に使用されます。

image-title

VM および VM のサブネットの NSG の受信セキュリティ規則

Bastion の接続先となる VM および VM のサブネットに NSG を設定する場合は、VM 側の NSG の受信セキュリティ規則において、Bastion のサブネットから VM のサブネットへの SSH もしくは RDP (TCP ポート 22 もしくは TCP ポート 3389) の許可をするルールが必要となります。

以下に掲載しております画像の例では、優先度 100 番の規則において Bastion のサブネットから Windows の VM に接続するために RDP(TCP ポート 3389) 宛の接続を許可した例となります。

Bastion から Linux の VM に接続をする場合には SSH(TCP ポート 22)宛の接続の許可が必要となります。

image-title

送信セキュリティ規則は特に必要な設定はございません。

その他の Bastion に関連する情報

Bastion のサブネットに関連づける NSG について関連する情報が以下のページにあります。
併せてご参考いただければと思います。


※本情報の内容(添付文書、リンク先などを含む)は、作成日時点でのものであり、予告なく変更される場合があります。