Informacje o ustawieniach konfiguracji usługi Azure Bastion

W sekcjach w tym artykule omówiono zasoby i ustawienia usługi Azure Bastion.

Podsieć Azure Bastion

W przypadku wdrażania usługi Azure Bastion przy użyciu dowolnej jednostki SKU z wyjątkiem oferty dla deweloperów usługi Bastion usługa Bastion wymaga dedykowanej podsieci o nazwie AzureBastionSubnet. Tę podsieć należy utworzyć w tej samej sieci wirtualnej, w której chcesz wdrożyć usługę Azure Bastion. Podsieć musi mieć następującą konfigurację:

• Nazwa podsieci musi być azureBastionSubnet.
• Rozmiar podsieci musi być /26 lub większy (/25, /24 itp.).
• W przypadku skalowania hostów zaleca się użycie podsieci /26 lub większej. Użycie mniejszej przestrzeni podsieci ogranicza liczbę jednostek skalowania. Aby uzyskać więcej informacji, zobacz sekcję Skalowanie hostów w tym artykule.
• Podsieć musi znajdować się w tej samej sieci wirtualnej i grupie zasobów co host bastionu.
• Podsieć nie może zawierać innych zasobów.

To ustawienie można skonfigurować przy użyciu następujących metod:

Publiczny adres IP

Wdrożenia usługi Azure Bastion, z wyjątkiem usługi Bastion Developer i Private-only, wymagają publicznego adresu IP. Publiczny adres IP musi mieć następującą konfigurację:

• Jednostka SKU publicznego adresu IP musi mieć wartość Standardowa.
• Metoda przypisania/alokacji publicznego adresu IP musi być statyczna.
• Nazwa publicznego adresu IP to nazwa zasobu, za pomocą której chcesz odwoływać się do tego publicznego adresu IP.
• Możesz użyć już utworzonego publicznego adresu IP, o ile spełnia on kryteria wymagane przez usługę Azure Bastion i nie jest jeszcze używany.

To ustawienie można skonfigurować przy użyciu następujących metod:

Konfigurowanie publicznych adresów IP ze skonfigurowanymi strefami dostępności

Zapoznaj się z poniższą tabelą dotyczącą tworzenia/używania publicznych adresów IP dla wdrożeń usługi Bastion strefowych:

Instancje i skalowanie hostów

Instancja to zoptymalizowana maszyna wirtualna na platformie Azure, która jest tworzona podczas konfigurowania Azure Bastion. Jest ona w pełni zarządzana przez platformę Azure i uruchamia wszystkie procesy wymagane dla usługi Azure Bastion. Wystąpienie jest również nazywane jednostką skalowania. Łączysz się z maszynami wirtualnymi klienta za pośrednictwem wystąpienia Azure Bastion. Podczas konfigurowania usługi Azure Bastion przy użyciu SKU Basic tworzone są dwa wystąpienia. Jeśli używasz jednostki SKU w warstwie Standardowa lub nowszej, możesz określić liczbę wystąpień (z co najmniej dwoma wystąpieniami). Jest to nazywane skalowaniem hostów.

Każde wystąpienie może obsługiwać 20 współbieżnych połączeń RDP i 40 współbieżnych połączeń SSH dla średnich obciążeń (zobacz Limity subskrypcji platformy Azure i limity przydziału , aby uzyskać więcej informacji). Liczba połączeń na instancję zależy od czynności, które są podejmowane podczas połączenia z maszyną wirtualną klienta. Jeśli na przykład wykonujesz operacje intensywnie korzystające z danych, spowoduje to większe obciążenie instancji. Gdy liczba współbieżnych sesji zostanie przekroczona, wymagana jest dodatkowa jednostka skalowania (instancja).

Wystąpienia są tworzone w podsieci "AzureBastionSubnet". Aby umożliwić skalowanie hostów, podsieć AzureBastionSubnet powinna mieć wartość /26 lub większą. Użycie mniejszej podsieci ogranicza liczbę wystąpień, które można utworzyć. Aby uzyskać więcej informacji na temat podsieci AzureBastionSubnet, zobacz sekcję podsieci w tym artykule.

To ustawienie można skonfigurować przy użyciu następujących metod:

Porty niestandardowe

Możesz określić port, którego chcesz użyć do nawiązania połączenia z maszynami wirtualnymi. Domyślnie porty przychodzące używane do nawiązywania połączenia to 3389 dla protokołu RDP i 22 dla protokołu SSH. Jeśli skonfigurujesz niestandardową wartość portu, określ wartość podczas nawiązywania połączenia z maszyną wirtualną.

Niestandardowe wartości portów są obsługiwane tylko dla wersji SKU Standardowa lub wyższej.

Link do udostępniania

Funkcja udostępniania linku Bastion umożliwia użytkownikom łączenie się z zasobem docelowym przy użyciu usługi Azure Bastion bez uzyskiwania dostępu do portalu Azure.

Gdy użytkownik bez poświadczeń platformy Azure kliknie link do udostępniania, zostanie otwarta strona internetowa z monitem użytkownika o zalogowanie się do zasobu docelowego za pośrednictwem protokołu RDP lub SSH. Użytkownicy uwierzytelniają się przy użyciu nazwy użytkownika i hasła lub klucza prywatnego, w zależności od tego, co zostało skonfigurowane w witrynie Azure Portal dla tego zasobu docelowego. Użytkownicy mogą łączyć się z tymi samymi zasobami, z którymi można obecnie nawiązać połączenie za pomocą usługi Azure Bastion: maszyn wirtualnych lub zestawu skalowania maszyn wirtualnych.

Tylko prywatne wdrożenie

Wdrożenia usługi Bastion tylko w trybie prywatnym blokują kompleksowe obciążenia, tworząc wdrożenie usługi Bastion bez routingu internetowego, które zezwala tylko na dostęp do prywatnych adresów IP. Wdrożenia usługi Bastion tylko dla prywatnych nie zezwalają na połączenia z hostem bastionu za pośrednictwem publicznego adresu IP. Z kolei regularne wdrażanie usługi Azure Bastion umożliwia użytkownikom łączenie się z hostem bastionu przy użyciu publicznego adresu IP. Aby uzyskać więcej informacji, zobacz Deploy Bastion as private-only (Wdrażanie usługi Bastion jako tylko prywatnie).

Nagrywanie sesji

Po włączeniu funkcji nagrywania sesji usługi Azure Bastion można rejestrować sesje graficzne dla połączeń wykonanych z maszynami wirtualnymi (RDP i SSH) za pośrednictwem hosta bastionu. Po zamknięciu lub rozłączeniu sesji zarejestrowane sesje są przechowywane w kontenerze blob w ramach Twojego konta magazynu, uzyskiwanym za pośrednictwem adresu URL sygnatury dostępu współdzielonego (SAS URL). Po rozłączeniu sesji możesz uzyskać dostęp do zarejestrowanych sesji i wyświetlić je w witrynie Azure Portal na stronie Nagrywanie sesji. Rejestrowanie sesji wymaga jednostki SKU usługi Bastion Premium. Aby uzyskać więcej informacji, zobacz Rejestrowanie sesji Bastion.

Strefy dostępności

Niektóre regiony obsługują możliwość wdrażania usługi Azure Bastion w jednej lub kilku strefach dostępności (w celu redundancji strefowej). Aby wdrożyć strefowo, wdróż usługę Bastion przy użyciu ręcznie określonych ustawień (nie wdrażaj przy użyciu ustawień domyślnych automatycznych). Określ żądane strefy dostępności w czasie wdrażania. Nie można zmienić dostępności strefowej po wdrożeniu usługi Bastion.

Obsługa Strefy dostępności jest obecnie dostępna w wersji zapoznawczej. W wersji zapoznawczej dostępne są następujące regiony:

• Wschodnie stany USA
• Australia Wschodnia
• Wschodnie stany USA 2
• Środkowe stany USA
• Katar Środkowy
• Północna Republika Południowej Afryki
• Europa Zachodnia
• Zachodnie stany USA 2
• Europa Północna
• Szwecja Środkowa
• Południowe Zjednoczone Królestwo
• Kanada Środkowa

Następne kroki

Aby uzyskać często zadawane pytania, zobacz Często zadawane pytania dotyczące usługi Azure Bastion. Wybierz odpowiednią jednostkę SKU usługi Azure Bastion dla Twoich potrzeb, czytając artykuł Wybierz odpowiednie jednostki SKU usługi Azure Bastion, aby spełnić Twoje potrzeby. Zapoznaj się z zaleceniami dotyczącymi optymalizacji kosztów dla usługi Azure Bastion w temacie Optymalizowanie kosztów usługi Azure Bastion.