Firewallregels voor Azure SQL Database en Azure Synapse IP

van toepassing op:Azure SQL DatabaseAzure Synapse Analytics-

Wanneer u een nieuwe server maakt in Azure SQL Database of Azure Synapse Analytics met de naam mysqlserver, blokkeert een firewall op serverniveau bijvoorbeeld alle toegang tot het openbare eindpunt voor de server (die toegankelijk is op mysqlserver.database.windows.net). Voor het gemak wordt SQL Database- gebruikt om zowel SQL Database als Azure Synapse Analytics te raadplegen. Dit artikel niet van toepassing op azure SQL Managed Instance. Zie Uw toepassing verbinden met Azure SQL Managed Instancevoor meer informatie over de netwerkconfiguratie.

Hoe de firewall werkt

Verbindingspogingen vanaf internet en Azure moeten de firewall passeren voordat ze uw server of database bereiken, zoals in het volgende diagram wordt weergegeven.

IP-firewallregels op serverniveau

Met deze regels kunnen clients toegang krijgen tot uw hele server, dat wil gezegd, alle databases die door de server worden beheerd. De regels worden opgeslagen in de master database. Het maximum aantal IP-firewallregels op serverniveau is beperkt tot 256 voor een server. Als u de instelling Azure-services en -resources toegang geeft tot deze server ingeschakeld heeft, telt dit als één firewallregel voor de server.

U kunt IP-firewallregels op serverniveau configureren met behulp van Azure Portal, PowerShell of Transact-SQL instructies.

• Als u de portal of PowerShell wilt gebruiken, moet u de eigenaar van het abonnement of een inzender voor het abonnement zijn.
• Als u Transact-SQL wilt gebruiken, moet u verbinding maken met de master database als de principal-aanmelding op serverniveau of als Microsoft Entra-beheerder. (Er moet eerst een IP-firewallregel op serverniveau worden gemaakt door een gebruiker met machtigingen op Azure-niveau.)

IP-firewallregels op databaseniveau

Met IP-firewallregels op databaseniveau kunnen clients toegang krijgen tot bepaalde (beveiligde) databases. U maakt de regels voor elke database (inclusief de master database) en deze worden opgeslagen in de afzonderlijke database.

• U kunt alleen IP-firewallregels op databaseniveau voor master en gebruikersdatabases maken en beheren met behulp van Transact-SQL instructies en pas nadat u de eerste firewall op serverniveau hebt geconfigureerd.
• Als u een IP-adresbereik opgeeft in de IP-firewallregel op databaseniveau die buiten het bereik van de IP-firewallregel op serverniveau valt, hebben alleen clients met IP-adressen in het bereik op databaseniveau toegang tot de database.
• De standaardwaarde is maximaal 256 IP-firewallregels op databaseniveau voor een database. Zie het voorbeeld verderop in dit artikel voor meer informatie over het configureren van IP-firewallregels op databaseniveau en zie sp_set_database_firewall_rule (Azure SQL Database).

Aanbevelingen voor het instellen van firewallregels

We raden u aan waar mogelijk IP-firewallregels op databaseniveau te gebruiken. Deze procedure verbetert de beveiliging en maakt uw database draagbaarder. Gebruik IP-firewallregels op serverniveau voor beheerders. Gebruik ze ook wanneer u veel databases hebt met dezelfde toegangsvereisten en u niet elke database afzonderlijk wilt configureren.

IP-firewallregels op serverniveau versus IP-firewallregels op databaseniveau

Moeten gebruikers van een database volledig worden geïsoleerd van een andere database?

Als ja, gebruikt u IP-firewallregels op databaseniveau om toegang te verlenen. Deze methode vermijdt het gebruik van IP-firewallregels op serverniveau, waardoor toegang via de firewall tot alle databases mogelijk is. Dat zou de diepte van uw verdediging verminderen.

Hebben gebruikers op de IP-adressen toegang nodig tot alle databases?

Als ja, gebruikt u IP-firewallregels op serverniveau om het aantal keren te beperken dat u IP-firewallregels moet configureren.

Heeft de persoon of het team die de IP-firewallregels configureert alleen toegang via Azure Portal, PowerShell of de REST API?

Zo ja, dan moet u IP-firewallregels op serverniveau gebruiken. IP-firewallregels op databaseniveau kunnen alleen worden geconfigureerd via Transact-SQL.

Mag de persoon of het team die de IP-firewallregels configureert, geen machtiging op hoog niveau hebben op databaseniveau?

Als dit het probleem is, gebruikt u IP-firewallregels op serverniveau. U heeft minimaal CONTROLE DATABASE machtiging op databaseniveau nodig om IP-firewallregels op databaseniveau te configureren via Transact-SQL.

Beheert de persoon of het team die de IP-firewallregels configureert of controleert, ip-firewallregels centraal voor veel (mogelijk honderden) databases?

In dit scenario worden aanbevolen procedures bepaald door uw behoeften en omgeving. Ip-firewallregels op serverniveau zijn mogelijk eenvoudiger te configureren, maar scripting kan regels op databaseniveau configureren. En zelfs als u IP-firewallregels op serverniveau gebruikt, moet u mogelijk IP-firewallregels op databaseniveau controleren om te zien of gebruikers met de CONTROL- permissie op de database IP-firewallregels aanmaken op databaseniveau.

Kan ik een combinatie van IP-firewallregels op server- en databaseniveau gebruiken?

Ja. Sommige gebruikers, zoals beheerders, hebben mogelijk IP-firewallregels op serverniveau nodig. Andere gebruikers, zoals gebruikers van een databasetoepassing, hebben mogelijk IP-firewallregels op databaseniveau nodig.

Verbindingen vanaf internet

Wanneer een computer verbinding probeert te maken met uw server vanaf internet, controleert de firewall eerst het oorspronkelijke IP-adres van de aanvraag op basis van de IP-firewallregels op databaseniveau voor de database die de verbinding aanvraagt.

• Als het adres binnen een bereik valt dat is opgegeven in de IP-firewallregels op databaseniveau, wordt de verbinding verleend aan de database die de regel bevat.
• Als het adres zich niet binnen een bereik in de IP-firewallregels op databaseniveau bevindt, controleert de firewall de IP-firewallregels op serverniveau. Als het adres zich binnen een bereik bevindt dat zich in de IP-firewallregels op serverniveau bevindt, wordt de verbinding verleend. IP-firewallregels op serverniveau zijn van toepassing op alle databases die door de server worden beheerd.
• Als het adres zich niet binnen een bereik bevindt dat zich in een van de IP-firewallregels op database- of serverniveau bevindt, mislukt de verbindingsaanvraag.

Verbindingen vanuit Azure

Als u wilt toestaan dat toepassingen die worden gehost in Azure verbinding kunnen maken met uw SQL-server, moeten Azure-verbindingen zijn ingeschakeld. Als u Azure-verbindingen wilt inschakelen, moet er een firewallregel zijn met het starten en beëindigen van IP-adressen ingesteld op 0.0.0.0. Deze aanbevolen regel is alleen van toepassing op Azure SQL Database.

Wanneer een toepassing van Azure verbinding probeert te maken met de server, controleert de firewall of Azure-verbindingen zijn toegestaan door te controleren of deze firewallregel bestaat. Dit kan rechtstreeks vanuit het deelvenster van de Azure Portal worden ingeschakeld door de Toestaan dat Azure-services en -resources toegang krijgen tot deze server op AAN te zetten in de Firewalls en virtuele netwerken instellingen. Als u overschakelt naar ON, wordt er een binnenkomende firewallregel gemaakt voor IP 0.0.0.0 - 0.0.0 met de naam AllowAllWindowsAzureIps. De regel kan worden weergegeven in de master database sys.firewall_rules weergave. Gebruik PowerShell of de Azure CLI om een firewallregel te maken met de start- en eind-IP-adressen ingesteld op 0.0.0.0 als u het portal niet gebruikt.

Machtigingen

Als u IP-firewallregels voor de Azure SQL Server wilt maken en beheren, moet u het volgende zijn:

• in de SQL Server Bijdrager-rol
• in de rol van SQL Security Manager
• de eigenaar van de resource die de Azure SQL Server bevat

IP-firewallregels maken en beheren

U maakt de eerste firewallinstelling op serverniveau met behulp van de Azure Portal of programmatisch met behulp van Azure PowerShell-, Azure CLI-of een Azure REST API-. U maakt en beheert aanvullende IP-firewallregels op serverniveau met behulp van deze methoden of Transact-SQL.

Ter verbetering van de prestaties worden IP-firewallregels op serverniveau tijdelijk in de cache op databaseniveau opgeslagen. Zie DBCC FLUSHAUTHCACHEom de cache te vernieuwen.

Azure Portal gebruiken om IP-firewallregels op serverniveau te beheren

Als u een IP-firewallregel op serverniveau wilt instellen in Azure Portal, gaat u naar de overzichtspagina voor uw database of uw server.

Op de overzichtspagina van de database

1. Als u een IP-firewallregel op serverniveau wilt instellen op de overzichtspagina van de database, selecteert u Serverfirewall instellen op de werkbalk, zoals in de volgende afbeelding wordt weergegeven.

   

   De pagina Netwerken voor de server wordt geopend.

2. Voeg een regel toe in de sectie Firewallregels om het IP-adres toe te voegen van de computer die u gebruikt en selecteer vervolgens Opslaan. Er wordt een IP-firewallregel op serverniveau gemaakt voor uw huidige IP-adres.

   

Vanaf de overzichtspagina van de server

De overzichtspagina voor uw server wordt geopend. Hier ziet u de volledig gekwalificeerde servernaam (zoals mynewserver20170403.database.windows.net) en biedt u opties voor verdere configuratie.

1. Als u een regel op serverniveau wilt instellen op deze pagina, selecteert u Netwerken in het menu Instellingen aan de linkerkant.

2. Voeg een regel toe in de sectie Firewallregels om het IP-adres toe te voegen van de computer die u gebruikt en selecteer vervolgens Opslaan. Er wordt een IP-firewallregel op serverniveau gemaakt voor uw huidige IP-adres.

Gebruik Transact-SQL om IP-firewallregels te beheren

In het volgende voorbeeld worden de bestaande regels beoordeeld, wordt een bereik van IP-adressen op de server ingeschakeld Contosoen wordt een IP-firewallregel verwijderd:

SELECT * FROM sys.firewall_rules ORDER BY name;

Voeg vervolgens een IP-firewallregel op serverniveau toe.

EXECUTE sp_set_firewall_rule @name = N'ContosoFirewallRule',
   @start_ip_address = '192.168.1.1', @end_ip_address = '192.168.1.10'

Als u een IP-firewallregel op serverniveau wilt verwijderen, voert u de sp_delete_firewall_rule opgeslagen procedure uit. In het volgende voorbeeld wordt de regel ContosoFirewallRuleverwijderd:

EXECUTE sp_delete_firewall_rule @name = N'ContosoFirewallRule'

PowerShell gebruiken om IP-firewallregels op serverniveau te beheren

In het volgende voorbeeld wordt PowerShell gebruikt om een IP-firewallregel op serverniveau in te stellen:

New-AzSqlServerFirewallRule -ResourceGroupName "myResourceGroup" `
    -ServerName $servername `
    -FirewallRuleName "ContosoIPRange" -StartIpAddress "192.168.1.0" -EndIpAddress "192.168.1.255"

CLI gebruiken om IP-firewallregels op serverniveau te beheren

In het volgende voorbeeld wordt CLI gebruikt om een IP-firewallregel op serverniveau in te stellen:

az sql server firewall-rule create --resource-group myResourceGroup --server $servername \
-n ContosoIPRange --start-ip-address 192.168.1.0 --end-ip-address 192.168.1.255

Raadpleeg de volgende voorbeelden voor Azure Synapse Analytics:

In het volgende voorbeeld wordt CLI gebruikt om een IP-firewallregel op serverniveau in te stellen in Azure Synapse:

az synapse workspace firewall-rule create --name AllowAllWindowsAzureIps --workspace-name $workspacename --resource-group $resourcegroupname --start-ip-address 0.0.0.0 --end-ip-address 0.0.0.0

Een REST API gebruiken om IP-firewallregels op serverniveau te beheren

Inzicht in de latentie van firewallupdates

Het serververificatiemodel heeft een latentie van vijf minuten voor alle wijzigingen in beveiligingsinstellingen, tenzij de database is opgenomen en zonder een failoverpartner. Wijzigingen die zijn aangebracht in ingesloten databases zonder failoverpartner, zijn onmiddellijk. Voor ingesloten databases met een failoverpartner wordt elke beveiligingsupdate onmiddellijk uitgevoerd op de primaire database, maar de secundaire database kan maximaal vijf minuten duren om de wijzigingen weer te geven.

In de volgende tabel wordt de latentie van beveiligingsinstellingen beschreven op basis van het databasetype en de failoverconfiguratie:

Firewallregels handmatig vernieuwen

Als u wilt zien dat firewallregels sneller zijn bijgewerkt dan de latentie van 5 minuten, kunt u de firewallregels handmatig vernieuwen. Log in op het database-exemplaar waarvoor de regels moeten worden bijgewerkt en voer DBCC FLUSHAUTHCACHE uit. Dit zorgt ervoor dat het database-exemplaar de lokale cache leegmaakt en firewallregels vernieuwt.

DBCC FLUSHAUTHCACHE[;]

Problemen met de databasefirewall oplossen

Houd rekening met de volgende punten wanneer de toegang tot Azure SQL Database niet werkt zoals verwacht.

• lokale firewallconfiguratie:

  Voordat uw computer toegang heeft tot Azure SQL Database, moet u mogelijk een firewall-uitzondering maken op uw computer voor TCP-poort 1433. Als u verbindingen wilt maken binnen de grenzen van de Azure-cloud, moet u mogelijk extra poorten openen. Voor meer informatie, zie de sectie "SQL Database: Buiten versus binnen" van "Poorten voorbij 1433 voor ADO.NET 4.5".

• Netwerkadresvertaling:

  Vanwege NAT (Network Address Translation), kan het IP-adres dat door uw computer wordt gebruikt om verbinding te maken met Azure SQL Database afwijken van het IP-adres in de IP-configuratie-instellingen van uw computer. Ga als volgt te werk om het IP-adres weer te geven dat uw computer gebruikt om verbinding te maken met Azure:

  1. Meld u aan bij de portal.
  2. Ga naar het tabblad Configureren op de server waarop uw database wordt gehost.
  3. De huidige client-IP-adres wordt weergegeven in de sectie Toegestane IP-adressen. Selecteer Toevoegen voor Toegestane IP-adressen, om deze computer toegang te geven tot de server.

• Wijzigingen in de acceptatielijst zijn nog niet doorgevoerd:

  Het kan tot vijf minuten duren voordat wijzigingen in de Azure SQL Database-firewallconfiguratie van kracht worden.

• De aanmelding is niet geautoriseerd of er is een onjuist wachtwoord gebruikt:

  Als een aanmelding geen machtigingen heeft op de server of het wachtwoord onjuist is, wordt de verbinding met de server geweigerd. Als u een firewallinstelling maakt, krijgen klanten alleen een kans om verbinding te maken met uw server. De client moet nog steeds de benodigde beveiligingsreferenties opgeven. Zie Databasetoegang tot SQL Database, SQL Managed Instance en Azure Synapse Analytics autoriseren voor meer informatie over het voorbereiden van aanmeldingen.

• dynamisch IP-adres:

  Als u een internetverbinding hebt die gebruikmaakt van dynamische IP-adressering en u problemen ondervindt bij het doorlopen van de firewall, kunt u een van de volgende oplossingen proberen:

  • Vraag uw internetprovider om het IP-adresbereik dat is toegewezen aan uw clientcomputers die toegang hebben tot de server. Voeg dat IP-adresbereik toe als een IP-firewallregel.
  • Haal in plaats daarvan statische IP-adressering op voor uw clientcomputers. Voeg de IP-adressen toe als IP-firewallregels.

Verwante inhoud

• IP-bereiken van Microsoft Azure-datacenter
• een individuele database maken in Azure SQL Database
• Snelle start-codevoorbeelden voor Azure SQL Database clients
• Poorten boven 1433 voor ADO.NET 4.5
• Een overzicht van de beveiligingsmogelijkheden van Azure SQL Database en SQL Managed Instance