MS LAB 04 50 minutes Lab chính thức Microsoft

Implement Virtual Networking

Cấu hình virtual networks, network security groups và DNS zones. Tìm hiểu kiến thức cơ bản về virtual networking và subnetting, cách bảo vệ mạng bằng NSG và ASG, cũng như cách cấu hình public và private DNS zones.

Giới thiệu Lab

Lab này là bài đầu tiên trong ba bài tập trung vào virtual networking. Trong lab này, bạn sẽ học kiến thức cơ bản về virtual networking và subnetting, cách bảo vệ mạng bằng network security groups và application security groups, cũng như tìm hiểu về DNS zones và records.

Lab này yêu cầu một Azure subscription. Loại subscription của bạn có thể ảnh hưởng đến tính khả dụng của các tính năng trong lab. Bạn có thể thay đổi region, nhưng các bước hướng dẫn được viết sử dụng East US.

Tình huống

Tổ chức toàn cầu của bạn có kế hoạch triển khai virtual networks. Mục tiêu trước mắt là đáp ứng tất cả các tài nguyên hiện có. Tuy nhiên, tổ chức đang trong giai đoạn tăng trưởng và muốn đảm bảo có thêm dung lượng cho sự phát triển đó.

Virtual network CoreServicesVnet có số lượng tài nguyên lớn nhất. Dự kiến tăng trưởng mạnh, vì vậy cần một address space lớn cho virtual network này.

Virtual network ManufacturingVnet chứa các hệ thống phục vụ vận hành cơ sở sản xuất. Tổ chức dự kiến có một lượng lớn thiết bị nội bộ kết nối để truy xuất dữ liệu từ các hệ thống này.

Bạn có biết? Thực hành tốt là tránh các dải địa chỉ IP chồng lấp để giảm sự cố và đơn giản hóa việc xử lý sự cố. Việc chồng lấp là mối lo ngại trên toàn bộ mạng, dù là trên cloud hay on-premises. Nhiều tổ chức thiết kế sơ đồ địa chỉ IP toàn doanh nghiệp để tránh chồng lấp và lên kế hoạch cho sự tăng trưởng trong tương lai.

Kỹ năng

  • Task 1: Tạo virtual network với các subnet bằng portal.
  • Task 2: Tạo virtual network và subnet bằng template.
  • Task 3: Tạo và cấu hình giao tiếp giữa Application Security Group và Network Security Group.
  • Task 4: Cấu hình public và private Azure DNS zones.

Sơ đồ kiến trúc

Virtual Networking Lab Architecture Diagram
1

Task 1: Tạo Virtual Network với Subnet bằng Portal

Tổ chức dự kiến tăng trưởng mạnh cho core services. Trong task này, bạn tạo virtual network và các subnet liên quan để đáp ứng các tài nguyên hiện có và kế hoạch tăng trưởng.

  1. 1

    Đăng nhập vào Azure portal — https://portal.azure.com.

  2. 2

    Tìm kiếm và chọn Virtual Networks.

  3. 3

    Chọn Create trên trang Virtual networks.

  4. 4

    Điền thông tin vào tab Basics cho CoreServicesVnet.

    Option Value
    Resource Groupaz104-rg4 (nếu cần, tạo mới)
    NameCoreServicesVnet
    Region(US) East US
    Lưu ý: Nếu triển khai thất bại do giới hạn dung lượng hoặc quota, hãy điều chỉnh cấu hình hoặc chọn region khác.
  5. 5

    Chuyển sang tab Address space.

    Option Value
    IPv4 address spaceReplace the prepopulated IPv4 address space with 10.20.0.0/16 (separate the entries)
  6. 6

    Chọn + Add a subnet. Điền tên và thông tin địa chỉ cho từng subnet. Nhớ chọn Add sau mỗi subnet mới.

    Lưu ý: Hãy xóa subnet mặc định — trước hoặc sau khi tạo các subnet khác.
    Subnet Option Value
    SharedServicesSubnetSubnet nameSharedServicesSubnet
    Starting address10.20.10.0
    Size/24
    DatabaseSubnetSubnet nameDatabaseSubnet
    Starting address10.20.20.0
    Size/24
    Lưu ý: Mỗi virtual network phải có ít nhất một subnet. Lưu ý rằng năm địa chỉ IP luôn được dự trữ, hãy tính đến điều này khi lên kế hoạch.
  7. 7

    Để hoàn tất tạo CoreServicesVnet và các subnet liên quan, chọn Review + create.

  8. 8

    Xác minh cấu hình đã qua kiểm tra hợp lệ, sau đó chọn Create.

  9. 9

    Chờ virtual network được triển khai, sau đó chọn Go to resource.

  10. 10

    Dành một chút thời gian kiểm tra Address space và Subnets. Lưu ý các tùy chọn khác trong blade Settings.

  11. 11

    Trong mục Automation, chọn Export template và chờ template được tạo ra.

  12. 12

    Chọn tab Template và Download template. Sau đó chuyển sang tab Parameters và lặp lại thao tác Download.

  13. 13

    Trên máy cục bộ, điều hướng đến thư mục Downloads. Trước khi tiếp tục, đảm bảo bạn có file template.json. Bạn sẽ dùng template này để tạo ManufacturingVnet ở task tiếp theo.

2

Task 2: Tạo Virtual Network và Subnet bằng Template

Trong task này, bạn tạo virtual network ManufacturingVnet và các subnet liên quan. Tổ chức dự kiến tăng trưởng cho các văn phòng sản xuất nên các subnet được định kích thước phù hợp. Trong task này, bạn sử dụng template để tạo tài nguyên.

  1. 1

    Tìm file template.json đã xuất ở task trước. File này nằm trong thư mục Downloads của bạn.

  2. 2

    Chỉnh sửa file bằng trình soạn thảo bạn chọn. Nhiều trình soạn thảo có tính năng change all occurrences. Nếu dùng Visual Studio Code, đảm bảo bạn đang làm việc trong trusted window chứ không phải restricted mode. Tham khảo sơ đồ kiến trúc để xác minh thông tin chi tiết.

Thực hiện thay đổi cho virtual network ManufacturingVnet

  1. 3

    Thay thế tất cả các lần xuất hiện của CoreServicesVnet bằng ManufacturingVnet.

  2. 4

    Thay thế tất cả các lần xuất hiện của 10.20.0.0 bằng 10.30.0.0.

Thực hiện thay đổi cho các subnet của ManufacturingVnet

  1. 5

    Thay đổi tất cả các lần xuất hiện của SharedServicesSubnet thành SensorSubnet1.

  2. 6

    Thay đổi tất cả các lần xuất hiện của 10.20.10.0/24 thành 10.30.20.0/24.

  3. 7

    Thay đổi tất cả các lần xuất hiện của DatabaseSubnet thành SensorSubnet2.

  4. 8

    Thay đổi tất cả các lần xuất hiện của 10.20.20.0/24 thành 10.30.21.0/24.

  5. 9

    Đọc lại file và đảm bảo mọi thứ trông đúng. Dùng sơ đồ kiến trúc để đối chiếu tên tài nguyên và địa chỉ IP. Nhớ Save các thay đổi.

  6. 10

    Tìm và chỉnh sửa file parameters.json. Thay thế lần xuất hiện duy nhất của CoreServicesVnet bằng ManufacturingVnet. Save các thay đổi.

    Lưu ý: Các file template đã hoàn chỉnh có sẵn trong thư mục file lab.

Triển khai custom template

  1. 11

    Trong portal, tìm kiếm và chọn Deploy a custom template.

  2. 12

    Chọn Build your own template in the editor rồi chọn Load file. Chọn file template.json với các thay đổi Manufacturing, sau đó chọn Save.

  3. 13

    Chọn Edit parameters, sau đó Load file. Chọn file parameters.json với các thay đổi Manufacturing, rồi chọn Save.

  4. 14

    Đảm bảo resource group az104-rg4 đã được chọn.

  5. 15

    Chọn Review + create rồi Create. Chờ template được triển khai, sau đó xác nhận (trong portal) rằng virtual network và subnet Manufacturing đã được tạo.

    Lưu ý: Nếu phải triển khai nhiều lần, bạn có thể thấy một số tài nguyên đã tạo thành công và việc triển khai bị lỗi. Bạn có thể xóa thủ công các tài nguyên đó và thử lại.
3

Task 3: Tạo và Cấu hình ASG và NSG

Trong task này, chúng ta tạo một Application Security Group và một Network Security Group. NSG sẽ có một inbound security rule cho phép lưu lượng từ ASG. NSG cũng sẽ có một outbound rule từ chối truy cập internet.

Tạo Application Security Group (ASG)

  1. 1

    Trong Azure portal, tìm kiếm và chọn Application security groups.

  2. 2

    Nhấp Create và cung cấp thông tin cơ bản.

    Setting Value
    Subscriptionyour subscription
    Resource groupaz104-rg4
    Nameasg-web
    RegionEast US
  3. 3

    Nhấp Review + create và sau khi xác thực thành công nhấp Create.

    Lưu ý: Tại bước này, bạn sẽ liên kết ASG với (các) máy ảo. Các máy này sẽ bị ảnh hưởng bởi inbound NSG rule bạn tạo trong task tiếp theo.

Tạo Network Security Group và liên kết với CoreServicesVnet

  1. 4

    Trong Azure portal, tìm kiếm và chọn Network security groups.

  2. 5

    Chọn + Create và cung cấp thông tin trong tab Basics.

    Setting Value
    Subscriptionyour subscription
    Resource groupaz104-rg4
    NamemyNSGSecure
    RegionEast US
  3. 6

    Nhấp Review + create và sau khi xác thực thành công nhấp Create. Sau khi NSG được triển khai, nhấp Go to resource.

  4. 7

    Trong mục Settings nhấp Subnets rồi nhấp Associate.

    Setting Value
    Virtual networkCoreServicesVnet (az104-rg4)
    SubnetSharedServicesSubnet

    Nhấp OK để lưu liên kết.

Cấu hình inbound security rule để cho phép lưu lượng ASG

  1. 8

    Tiếp tục làm việc với NSG của bạn. Trong khu vực Settings, chọn Inbound security rules.

  2. 9

    Xem lại các inbound rule mặc định. Lưu ý rằng chỉ có các virtual network và load balancer khác được phép truy cập.

  3. 10

    Chọn + Add.

  4. 11

    Trong blade Add inbound security rule, dùng thông tin sau để thêm inbound port rule. Rule này cho phép lưu lượng ASG. Khi hoàn tất, chọn Add.

    Setting Value
    SourceApplication security group
    Source application security groupsasg-web
    Source port ranges*
    DestinationAny
    ServiceCustom
    Destination port ranges80,443
    ProtocolTCP
    ActionAllow
    Priority100
    NameAllowASG

Cấu hình outbound NSG rule từ chối truy cập Internet

  1. 12

    Sau khi tạo inbound NSG rule, chọn Outbound security rules. Lưu ý rule AllowInternetOutBound. Cũng lưu ý rằng rule này không thể xóa và có priority là 65001.

  2. 13

    Chọn + Add rồi cấu hình outbound rule từ chối truy cập internet. Khi hoàn tất, chọn Add.

    Setting Value
    SourceAny
    Source port ranges*
    DestinationService tag
    Destination service tagInternet
    ServiceCustom
    Destination port ranges*
    ProtocolAny
    ActionDeny
    Priority4096
    NameDenyInternetOutbound
4

Task 4: Cấu hình Azure DNS Zones Public và Private

Trong task này, bạn sẽ tạo và cấu hình các DNS zone public và private.

Cấu hình public DNS zone

Bạn có thể cấu hình Azure DNS để phân giải tên host trong domain public của mình. Ví dụ: nếu bạn đã mua tên miền contoso.xyz từ nhà đăng ký tên miền, bạn có thể cấu hình Azure DNS để host domain contoso.com và phân giải www.contoso.xyz thành địa chỉ IP của web server hoặc web app của bạn.

  1. 1

    Trong portal, tìm kiếm và chọn DNS zones.

  2. 2

    Chọn + Create.

  3. 3

    Cấu hình tab Basics.

    Property Value
    SubscriptionSelect your subscription
    Resource groupaz104-rg4
    Namecontoso.com (this name must be unique, contoso.com is reserved so change to something else.)
    RegionEast US
  4. 4

    Chọn Review + create rồi Create. Chờ DNS zone được triển khai, sau đó chọn Go to resource.

  5. 5

    Trong blade Overview, lưu ý tên của bốn Azure DNS name server được gán cho zone. Copy một trong các địa chỉ name server. Bạn sẽ cần nó ở bước sau cho lệnh nslookup bên dưới.

  6. 6

    Mở rộng blade DNS Management và chọn Recordsets. Nhấp +Add.

    Property Value
    Namewww
    TypeA
    Alias record setNo
    TTL1
    IP address10.1.1.4
    Lưu ý: Trong tình huống thực tế, bạn sẽ nhập địa chỉ IP public của web server.
  7. 7

    Chọn Add và xác minh domain của bạn có A record set tên là www.

  8. 8

    Mở command prompt và chạy lệnh sau. Nếu bạn đã đổi tên miền, hãy điều chỉnh cho phù hợp.

    Command Prompt 
    nslookup www.contosoxyz104.com <name server name you copied in step 5 above>

    Xác minh rằng tên host www.contosoxyz104.com phân giải thành địa chỉ IP bạn đã cung cấp. Điều này xác nhận việc phân giải tên đang hoạt động đúng.

Cấu hình private DNS zone

Private DNS zone cung cấp dịch vụ phân giải tên trong các virtual network. Private DNS zone chỉ có thể truy cập từ các virtual network được liên kết và không thể truy cập từ internet.

  1. 9

    Trong portal, tìm kiếm và chọn Private dns zones.

  2. 10

    Chọn + Create.

  3. 11

    Trong tab Basics của Create private DNS zone, nhập thông tin bên dưới.

    Property Value
    SubscriptionSelect your subscription
    Resource groupaz104-rg4
    Nameprivate.contoso.com (adjust if you had to rename)
    RegionEast US
  4. 12

    Chọn Review + create rồi Create. Chờ DNS zone được triển khai, sau đó chọn Go to resource.

  5. 13

    Lưu ý trong blade Overview không có bản ghi name server nào.

  6. 14

    Mở rộng blade DNS Management rồi chọn Virtual network links. Cấu hình liên kết.

    Property Value
    Link namemanufacturing-link
    Virtual networkManufacturingVnet

    Chọn Create và chờ liên kết được tạo.

  7. 15

    Từ blade DNS Management chọn + Recordsets. Bây giờ bạn sẽ thêm bản ghi cho mỗi máy ảo cần hỗ trợ phân giải tên private.

    Property Value
    Namesensorvm
    TypeA
    TTL1
    IP address10.1.1.4
    Lưu ý: Trong tình huống thực tế, bạn sẽ nhập địa chỉ IP cho một máy ảo sản xuất cụ thể.

Dọn dẹp tài nguyên

Nếu bạn đang làm việc với subscription của riêng bạn, hãy dành một phút để xóa các tài nguyên lab. Điều này đảm bảo tài nguyên được giải phóng và chi phí được tối thiểu hóa. Cách dễ nhất để xóa tài nguyên lab là xóa resource group của lab.

CLI / PowerShell 
# Azure Portal: select the resource group → Delete the resource group → Enter resource group name → Delete

# Azure PowerShell
Remove-AzResourceGroup -Name az104-rg4

# Azure CLI
az group delete --name az104-rg4

Tổng kết

Virtual network là sự biểu diễn mạng của bạn trong cloud.

Khi thiết kế virtual network, việc tránh các dải địa chỉ IP chồng lấp là một thực hành tốt. Điều này sẽ giảm sự cố và đơn giản hóa việc xử lý sự cố.

Subnet là một dải địa chỉ IP trong virtual network. Bạn có thể chia virtual network thành nhiều subnet để tổ chức và bảo mật.

Network security group chứa các security rule cho phép hoặc từ chối lưu lượng mạng. Có các rule inbound và outbound mặc định mà bạn có thể tùy chỉnh theo nhu cầu.

Application security group được dùng để bảo vệ các nhóm server có chức năng chung, chẳng hạn như web server hoặc database server.

Azure DNS là dịch vụ hosting cho các DNS domain cung cấp khả năng phân giải tên. Bạn có thể cấu hình Azure DNS để phân giải tên host trong domain public của mình. Bạn cũng có thể dùng private DNS zone để gán tên DNS cho các máy ảo (VM) trong Azure virtual network.

MS Lab 03b: ARM Templates MS Lab 05: Intersite Connectivity
Zalo