설명

항목 2, Contoso 사례 연구 2
개요
이것은 사례 연구입니다. 사례 연구는 별도로 시간이 정해지지 않습니다. 각 사례를 완료하고 싶은 만큼 시험 시간을 사용할 수 있습니다. 그러나 이 시험에는 추가적인 사례 연구와 섹션이 있을 수 있습니다. 주어진 시간 내에 이 시험에 포함된 모든 문제를 완료할 수 있도록 시간을 관리해야 합니다.
사례 연구에 포함된 질문에 답하려면 사례 연구에 제공된 정보를 참조해야 합니다. 사례 연구에는 사례 연구에 설명된 시나리오에 대한 자세한 정보를 제공하는 전시물과 기타 리소스가 포함될 수 있습니다. 각 질문은 이 사례 연구의 다른 질문과 독립적입니다.
이 사례 연구가 끝나면 검토 화면이 나타납니다. 이 화면에서는 시험의 다음 섹션으로 이동하기 전에 답변을 검토하고 변경할 수 있습니다. 새 섹션을 시작한 후에는 이 섹션으로 돌아갈 수 없습니다.
사례 연구를 시작하려면
이 사례 연구의 첫 번째 질문을 표시하려면 다음 버튼을 클릭하세요. 질문에 답하기 전에 왼쪽 창에 있는 버튼을 사용하여 사례 연구의 내용을 살펴보세요. 이러한 버튼을 클릭하면 비즈니스 요구 사항, 기존 환경, 문제 설명 등의 정보가 표시됩니다. 사례 연구에 모든 정보 탭이 있는 경우 표시되는 정보는 후속 탭에 표시되는 정보와 동일합니다. 질문에 답할 준비가 되면 질문 버튼을 클릭하여 질문으로 돌아가세요.
기존 환경:
Azure 네트워크 인프라
Contoso에는 contoso.com이라는 Azure AD(Azure Active Directory) 테넌트가 있습니다.
Azure 구독에는 다음 표에 표시된 가상 네트워크가 포함되어 있습니다.

Vnet1에는 GW1이라는 가상 네트워크 게이트웨이가 포함되어 있습니다.
Azure 가상 머신
Azure 구독에는 다음 표에 표시된 대로 Windows Server 2019를 실행하는 가상 머신이 포함되어 있습니다.

NSG는 가상 머신의 네트워크 인터페이스에 연결됩니다. 각 NSG에는 인터넷으로부터의 RDP 연결을 허용하는 하나의 사용자 지정 보안 규칙이 있습니다. 각 가상 머신의 방화벽은 ICMP 트래픽을 허용합니다.
ASG1이라는 애플리케이션 보안 그룹은 VM1의 네트워크 인터페이스에 연결됩니다.
Azure 프라이빗 DNS 영역
Azure 구독에는 다음 표에 표시된 Azure 프라이빗 DNS 영역이 포함되어 있습니다.

Zone1.contoso.com에는 다음 표에 표시된 가상 네트워크 링크가 있습니다.

기타 Azure 리소스
Azure 구독에는 다음 표에 표시된 추가 리소스가 포함되어 있습니다.

요구사항:
가상 네트워크 요구 사항
Contoso에는 다음과 같은 가상 네트워크 요구 사항이 있습니다.
* 미국 서부에 다음 리소스와 구성을 포함하는 Vnet6이라는 가상 네트워크를 만듭니다.
Vnet6에 연결되는 두 개의 컨테이너 그룹
Vnet6에 연결되는 세 개의 가상 머신
Vnet6에 대한 VPN 연결 설정을 허용합니다.
Vnet6의 리소스가 Microsoft 백본 네트워크를 통해 KeyVault1, DB1 및 Vnet1에 액세스하도록 허용합니다.
* Vnet4 및 Vnet5의 가상 머신은 Microsoft 백본 네트워크를 통해 통신할 수 있어야 합니다.
* VM-Analyze라는 가상 머신이 Subnet1에 배포됩니다. VM-Analyze는 Subnet2에서 인터넷으로의 아웃바운드 네트워크 트래픽을 검사해야 합니다.
네트워크 보안 요구 사항
Contoso에는 다음과 같은 네트워크 보안 요구 사항이 있습니다.
* P2S(지점 및 사이트 간) VPN 사용자를 위해 Azure AD(Azure Active Directory) 인증을 구성합니다.
* NSG3 및 NSG4에 대해 NSG 흐름 로그를 활성화합니다.
* Vnet1/Subnet1에 연결되고 다음 표에 표시된 사용자 지정 인바운드 보안 규칙을 갖게 되는 NSG10이라는 NSG를 만듭니다.

* Vnet1/Subnet2에 연결되고 다음 표에 표시된 사용자 지정 아웃바운드 보안 규칙을 갖게 되는 NSG11이라는 NSG를 만듭니다.

설명
https://docs.microsoft.com/en-us/azure/application-gateway/rewrite-http-headers-url#limitations

단계별 지침은 아래 설명을 참조하세요.
설명
다음은 VNET2의 호스트가 VNET1 및 VNET3 모두의 호스트에 액세스할 수 있지만 VNET1 및 VNET3의 호스트가 VNET2를 통해 통신할 수 없도록 하기 위한 단계와 설명입니다.
* Azure에서 다양한 가상 네트워크를 연결하려면 가상 네트워크 피어링을 사용해야 합니다. 가상 네트워크 피어링을 사용하면 게이트웨이나 인터넷을 사용하지 않고도 가상 네트워크 간에 대기 시간이 짧은 고대역폭 연결을 만들 수 있습니다1.
* 가상 네트워크 피어링을 만들려면 Azure Portal로 이동하여 가상 네트워크를 선택해야 합니다. 그런 다음 설정에서 피어링을 선택하고 + Add2를 선택합니다.
* 피어링 추가 페이지에서 다음 정보를 입력하거나 선택합니다.
* 이름: 원본 가상 네트워크에서 대상 가상 네트워크로의 피어링에 대한 고유한 이름을 입력합니다.
* 가상 네트워크 배포 모델: 리소스 관리자를 선택합니다.
* 구독: 대상 가상 네트워크가 포함된 구독을 선택합니다.
* 가상 네트워크: 목록에서 대상 가상 네트워크를 선택하거나 해당 리소스 ID를 입력합니다.
* [대상 가상 네트워크]에서 [원본 가상 네트워크]로의 피어링 이름: 대상 가상 네트워크에서 원본 가상 네트워크로의 피어링에 대한 고유한 이름을 입력합니다.
* 가상 네트워크 액세스 설정 구성: 두 가상 네트워크의 리소스가 서로 통신할 수 있도록 하려면 사용을 선택합니다.
* 전달된 트래픽 허용: 피어링된 가상 네트워크 중 하나 외부에서 발생하는 트래픽이 둘 중 하나를 통해 전달되지 않도록 하려면 사용 안 함을 선택합니다.
* 게이트웨이 전송 허용: 피어링된 가상 네트워크 중 하나가 다른 가상 네트워크의 게이트웨이를 사용하지 못하도록 하려면 사용 안 함을 선택합니다.
* 원격 게이트웨이 사용: 피어링된 가상 네트워크 중 하나가 다른 가상 네트워크의 게이트웨이를 다른 네트워크에 대한 전송 지점으로 사용하지 못하도록 하려면 사용 안 함을 선택합니다.
* 추가를 선택하여 피어링2를 생성합니다.
* 이전 단계를 반복하여 VNET2와 VNET1 사이, VNET2와 VNET3 사이에 피어링을 만듭니다. 이렇게 하면 VNET2의 호스트가 VNET1 및 VNET3 모두의 호스트에 액세스할 수 있습니다.
* VNET1 및 VNET3의 호스트가 VNET2를 통해 통신하는 것을 방지하려면 NSG(네트워크 보안 그룹)를 사용하여 서브넷 간의 트래픽을 필터링해야 합니다. NSG는 소스 또는 대상 IP 주소, 포트 또는 프로토콜을 기반으로 인바운드 또는 아웃바운드 트래픽을 허용하거나 거부하는 규칙입니다3.
* NSG를 만들려면 Azure Portal로 이동하여 리소스 만들기를 선택해야 합니다. 네트워크 보안 그룹을 검색하고 네트워크 보안 그룹을 선택합니다. 그런 다음 Create4를 선택합니다.
* 네트워크 보안 그룹 만들기 페이지에서 다음 정보를 입력하거나 선택합니다.
* 구독: 구독 이름을 선택하세요.
* 리소스 그룹: 리소스 그룹 이름을 선택합니다.
* 이름: NSG의 고유한 이름을 입력합니다.
* 지역: 가상 네트워크와 동일한 지역을 선택하세요.
* 검토 + 만들기를 선택한 다음 만들기를 선택하여 NSG4를 만듭니다.
* NSG에 규칙을 추가하려면 Azure Portal의 네트워크 보안 그룹 서비스로 이동하여 NSG를 선택해야 합니다. 그런 다음 설정에서 인바운드 보안 규칙 또는 아웃바운드 보안 규칙을 선택하고 + 추가4를 선택합니다.
* 인바운드 보안 규칙 추가 페이지 또는 아웃바운드 보안 규칙 추가 페이지에서 다음 정보를 입력하거나 선택합니다.
* 원본 또는 대상: CIDR 블록을 선택합니다.
* 원본 CIDR 블록 또는 대상 CIDR 블록: 필터링하려는 원본 또는 대상 서브넷의 IP 주소 범위를 입력합니다. 예를 들어 VNET1 서브넷 1의 경우 10.0.1.0/24,
VNET2 서브넷 1의 경우 10.0.2.0/24, VNET3 서브넷 1의 경우 10.0.3.0/24입니다.
* 프로토콜: 모든 프로토콜에 규칙을 적용하려면 모두를 선택합니다.
* 조치: 소스 또는 대상 서브넷과의 트래픽을 차단하려면 거부를 선택하십시오.
* 우선순위: 이 규칙의 평가 순서를 나타내는 100~4096 사이의 숫자를 입력합니다.
낮은 숫자가 높은 숫자보다 우선순위가 높습니다.
* 이름: 규칙의 고유한 이름을 입력합니다.
* 규칙을 생성하려면 추가를 선택하세요4.
* 이전 단계를 반복하여 VNET1과 VNET3 서브넷 간의 트래픽을 거부하는 NSG에 대한 인바운드 및 아웃바운드 규칙을 만듭니다. 예를 들어 다음으로부터의 트래픽을 거부하는 인바운드 규칙을 생성할 수 있습니다.
10.0.1.0/24(VNET1 서브넷 1) ~ 10.0.3.0/24(VNET3 서브넷 1) 및 트래픽을 거부하는 아웃바운드 규칙
* 10.0.3.0/24(VNET3 서브넷 1)에서 10.0.1.0/24(VNET1 서브넷 1)까지.
* NSG를 서브넷과 연결하려면 Azure Portal의 가상 네트워크 서비스로 이동하여 가상 네트워크를 선택해야 합니다. 그런 다음 설정에서 서브넷을 선택하고 NSG5와 연결할 서브넷을 선택합니다.
* 서브넷 편집 페이지의 네트워크 보안 그룹 아래 드롭다운 목록에서 NSG를 선택합니다. 그런 다음 저장5를 선택합니다.
* 이전 단계를 반복하여 NSG를 서로 격리하려는 VNET1 및 VNET3의 서브넷과 연결합니다.