text: 虚拟机需要网络连接。为了满足该要求，Azure需要虚拟机连接到虚拟网络。Azure虚拟网络是构建在物理Azure网络结构基础之上的逻辑网络。每个逻辑Azure虚拟网络与其他所有Azure虚拟网络隔离。这有助于确保其他Azure客户无法访问部署中的网络流量。
  网络访问控制是指限制与Azure虚拟网络内特定设备或子网之间连接的措施。网络访问控制的目标是确保只有有权限的用户和设备才能访问虚拟机和服务。访问控制基于虚拟机或服务之间的连接的允许或拒绝决策。
  Azure支持多种类型的网络访问控制。其中包括：
  任何安全部署都需要某种程度的网络访问控制。网络访问控制的目标是确保虚拟机以及在这些虚拟机上运行的网络服务只能与它们需要通信的其他网络设备通信，阻止所有其他连接企图。
  如果需要基本的网络级别访问控制（基于IP地址和TCP或UDP协议），则可以使用网络安全组。网络安全组(NSG)是基本的有状态数据包筛选防火墙，它使你能够基于五元组控制访问。NSG不提供应用程序层检查或经过身份验证的访问控制。
  控制Azure虚拟网络上的路由行为是关键的网络安全和访问控制功能。如果路由配置不当，虚拟机上托管的应用程序和服务可能连接到不允许它们连接的设备（包括潜在攻击者拥有或操作的设备）。
  Azure网络支持自定义Azure虚拟网络上网络流量的路由行为的功能。这样，便可以改变Azure虚拟网络中的默认路由表条目。路由行为的控制可帮助确保来自特定设备或一组设备的所有流量都通过特定位置进入或离开Azure虚拟网络。
  例如，Azure虚拟网络上可能有虚拟网络安全设备。用户希望确保与Azure虚拟网络之间的所有流量都通过该虚拟安全设备。为此，可以在Azure中配置用户定义的路由。
  强制隧道是一种机制，可用于确保不允许服务发起与Internet上设备的连接。请注意，这与接受并响应传入连接不同。前端Web服务器需要响应来自Internet主机的请求，因此允许来自Internet的流量进入这些Web服务器，并允许Web服务器做出响应。
  尽管网络安全组和用户定义路由可以在OSI模型的网络和传输层提供某种程度的安全性，但有时，用户想要在高于网络的级别启用安全性。
  例如，安全要求可能包括：
  其他的DDoS防护（除了Azure结构自身提供的DDoS防护以外）
  需要远程进行Azure资源的安装、配置和管理。此外，建议部署包含本地和Azure公有云中组件的混合IT解决方案。这些方案需要安全远程访问权限。
  有时可能想要让单个开发人员或操作人员在Azure中管理虚拟机和服务。例如，需要访问Azure虚拟网络上的虚拟机，但安全策略不允许通过RDP或SSH远程访问单个虚拟机。在此情况下，可以使用点到站点VPN连接。
  用户可能想要将整个企业网络或其组成部分连接到Azure虚拟网络。这种情况在公司要将其本地数据中心扩展到Azure的混合IT方案中很常见。在许多情况下，公司会在Azure中和本地托管服务的各个组成部分（例如，某个解决方案在Azure中包括前端Web服务器，在本地包括后端数据库）。使用此类“跨界”连接，还可以更安全地管理Azure所在的资源，可以实现将ActiveDirectory域控制器扩展到Azure等方案。
  实现此目的的方法之一是使用站点到站点VPN。站点到站点VPN和点到站点VPN之间的区别：点到站点VPN是将单独的一台设备连接到Azure虚拟网络；而站点到站点VPN是将整个网络（如本地网络）连接到Azure虚拟网络。Azure虚拟网络的站点到站点VPN使用高度安全的IPsec隧道模式VPN协议。
  点到站点和站点到站点VPN连接可以有效地启用跨界连接。但是，某些组织认为它们存在以下缺点：
  VPN连接通过Internet移动数据–在通过公共网络移动数据时，可能会使连接曝露在安全风险之下。此外，无法保证Internet连接的可靠性和可用性。
  对于某些应用程序和用途，与Azure虚拟网络建立VPN连接可能会限制带宽，因为它们的最大带宽约为200Mbps。
  需要最高安全性和可用性级别进行其跨界连接的组织通常使用专用WAN链路连接到远程网站。Azure允许使用专用WAN链路将本地网络连接到Azure虚拟网络。这是通过AzureExpressRoute实现的。
  可以使用多个Azure虚拟网络来完成部署。这种做法的原因有很多。其中一个可能的原因是简化管理；另一个可能的原因是安全性。无论将资源放在不同Azure虚拟网络的动机或理由是什么，有时都可能需要将每个网络上的资源彼此连接。
  一个选择是通过Internet以“环回”方式将一个Azure虚拟网络上的服务连接到另一个Azure虚拟网络上的服务。连接从某个Azure虚拟网络开始，经过Internet，并返回到目标Azure虚拟网络。这种做法会使连接曝露在安全风险之下，这是任何基于Internet的通信存在的通病。
  更好的做法可能是在Azure虚拟网络之间创建站点到站点VPN。这种Azure虚拟网络之间的站点到站点VPN使用与上述跨界站点到站点VPN连接相同的IPsec隧道模式协议。
  可用性是任何安全程序的重要组件。如果用户和系统无法通过网络访问所要访问的内容，则可以将服务视为已遭入侵。Azure的网络技术支持以下高可用性机制：
  负载均衡是专为在多个设备之间均匀分布连接而设计的机制。负载均衡的目标如下：
  提高性能–在多个设备之间负载均衡连接时，单个设备不需要占用处理器。提供内容的处理和内存需求分散在多个设备之间。
  经常运行Web服务的组织想要在这些Web服务之前使用HTTP负载均衡器，帮助确保提供足够的性能和高可用性级别。与传统的基于网络的负载均衡器相比，HTTP负载均衡器做出的负载均衡决策基于HTTP协议的特征，而不是网络和传输层协议。
  为了向基于Web的服务提供基于HTTP的负载均衡，Azure提供了Azure应用程序网关。Azure应用程序网关支持：
  基于Cookie的会话相关性–此功能确保建立到受该负载均衡器保护的服务器之一的连接，在客户端与服务器之间保持不变。这可确保事务的稳定性。
  SSL卸载–当使用负载均衡器建立客户端连接后，客户端与负载均衡器之间的会话是使用HTTPS(SSL/)协议进行的加密。但是，为了提高性能，可以选择让负载均衡器和该负载均衡器后面的Web服务器之间的连接使用HTTP（未加密）协议。这称为“SSL卸载”，由于受负载均衡器保护的Web服务器没有加密的相关处理器开销，因此应该可以更快地为请求提供服务。
  基于URL的内容路由–此功能使负载均衡器可以根据目标URL来确定在何处转发连接。它提供的弹性大于基于IP地址做出负载均衡决策的解决方案。
  与基于HTTP的负载均衡相比，网络级别负载均衡基于IP地址和端口（TCP或UDP）号做出负载均衡决策。可以使用Azure负载均衡器获取Azure中网络级别负载均衡的优点。Azure负载均衡器的一些重要特征包括：
  某些组织想要尽可能地实现最高级别的可用性。实现此目标的一种方法是在全球分布的数据中心中托管应用程序。应用程序托管在世界各地的数据中心时，即使整个地缘政治区域服务中断，但应用程序仍可正常运行。
  全局负载均衡可以提供这两项优点。在Azure中，使用Azure流量管理器可以获得全局负载均衡的优点。
  网络级别的日志记录是任何网络安全方案的重要功能。在Azure中，可以记录信息，网络安全组可以通过这些信息获取网络级别的日志记录信息。使用NSG日志记录可从以下来源获取信息：
  审核日志–这些日志用于查看提交到Azure订阅的所有操作。这些日志默认已启用，可以在Azure门户中使用。
  事件日志–这些日志提供有关应用了哪些NSG规则的信息。
  计数器日志–通过这些日志可以了解应用每个NSG规则以拒绝或允许流量的次数。
  名称解析是对Azure中托管的所有服务而言至关重要的功能。从安全角度看，入侵名称解析功能可能会导致攻击者将站点的请求重定向到攻击者的站点。安全名称解析是所有云托管服务的要求。
  需要解决两种类型的名称解析：
  内部名称解析–Azure虚拟网络和/或本地网络上的服务使用内部名称解析。通过Internet无法访问用于内部名称解析的名称。为了获取最高安全性，外部用户不能访问内部名称解析方案，这一点非常重要。
  外部名称解析–本地和Azure虚拟网络外部的人员和设备使用外部名称解析。这些是对Internet可见且用于将连接定向到基于云的服务的名称。
  对于内部名称解析，可以使用两个选项：
  对于外部DNS解析，可以使用两个选项：
  许多大型组织都在本地托管其自己的DNS服务器。可以这样做的原因是它们具有相应的网络专业技术，并且在全球运营。
  Azure以AzureDNS的形式提供高度可用的高性能外部DNS解决方案。此外部名称解析解决方案利用全球AzureDNS基础结构。它允许使用与其他Azure服务相同的凭据、API、工具和计费模式，将域托管在Azure中。由于属于Azure的一部分，它还会继承平台内置的强大安全控制。
  许多企业组织使用DMZ对其网络进行分段，以创建Internet及其服务之间的缓冲区域。网络的外围网络部分被视为低安全性区域，不应在该网段中放置高价值资产。通常会看到网络安全设备在外围网络段上有一个网络接口，另有一个网络接口连接到包含接受Internet入站连接的虚拟机和服务的网络。
  外围网络设计和外围网络部署决策有许多变数，如果决定使用外围网络，要使用的外围网络类型应该根据网络安全要求来确定。
  您的浏览器似乎不支援JavaScript语法，但沒关系，这里的JavaScript语法并不会影响到内容的陈述。
  一、基本资格：满18岁，现今大专院校在学生，敬业乐群，懂电脑操作者。