Tag del servizio di rete virtuale

Un tag del servizio rappresenta un gruppo di prefissi di indirizzi IP di un determinato servizio di Azure. Microsoft gestisce i prefissi di indirizzo inclusi nel tag del servizio e aggiorna automaticamente il tag in base alla modifica degli indirizzi, riducendo la complessità degli aggiornamenti frequenti alle regole di sicurezza di rete.

È possibile usare i tag del servizio per definire i controlli di accesso alla rete nei gruppi di sicurezza di rete, in Firewall di Azure e nei percorsi definiti dall’utente. Quando si creano regole di sicurezza e percorsi, usare i tag del servizio anziché gli indirizzi IP specifici. Se si specifica il nome del tag, ad esempio ApiManagement, nel campo di origine o destinazione appropriato di una regola di sicurezza, è possibile consentire o negare il traffico per il servizio corrispondente. Specificando il nome della categoria di servizio nel prefisso dell'indirizzo di un percorso, è possibile instradare il traffico destinato a uno qualsiasi dei prefissi incapsulati dalla categoria di servizio verso il tipo di hop successivo desiderato.

È possibile usare i tag del servizio per ottenere l'isolamento rete e proteggere le risorse di Azure da Internet in generale durante l'accesso ai servizi di Azure con endpoint pubblici. Creare regole del gruppo di sicurezza di rete in ingresso/uscita per negare il traffico da/verso Internet e consentire il traffico da/verso AzureCloud o altri tag del servizio disponibili dei servizi di Azure specifici.

Tag del servizio disponibili

La tabella seguente include tutti i tag del servizio disponibili per l'uso nelle regole del gruppo di sicurezza di rete.

Le colonne indicano se il tag:

• È adatto alle regole che coprono il traffico in ingresso o in uscita.
• Supporta l'ambito regionale.
• È utilizzabile nelle regole di Firewall di Azure come regola di destinazione solo per il traffico in ingresso o in uscita.

Per impostazione predefinita, i tag del servizio riflettono gli intervalli per l'intero cloud. Alcuni tag del servizio consentono un controllo più granulare limitando gli intervalli IP corrispondenti a un'area specificata. Ad esempio, il tag di servizio Archiviazione rappresenta Archiviazione di Azure per l'intero cloud, ma storage.Westus restringe l'intervallo solo agli intervalli di indirizzi IP di archiviazione dall'area WestUS. La tabella seguente indica se ogni categoria di servizio supporta tale ambito a livello di area e se la direzione elencata per ogni categoria è una raccomandazione. Ad esempio, il tag AzureCloud può essere usato per consentire il traffico in ingresso. Nella maggior parte degli scenari, non è consigliabile consentire il traffico da tutti gli indirizzi IP di Azure perché gli indirizzi IP usati da altri clienti di Azure sono inclusi come parte del tag del servizio.

Tag supportati nel modello di distribuzione classica

Il modello di distribuzione classica (prima di Azure Resource Manager) supporta un piccolo subset dei tag elencati nella tabella precedente. Nel modello di distribuzione classica, i tag vengono digitati in modo diverso, come illustrato nella tabella seguente:

Tag non supportati per route definite dall'utente (UDR)

Di seguito è riportato un elenco di tag attualmente non supportati per l'uso con route definite dall'utente (UDR).

• AzurePlatformDNS

• AzurePlatformIMDS

• AzurePlatformLKM

• VirtualNetwork

• AzureLoadBalancer

• Internet

Tag del servizio in locale

È possibile ottenere il tag del servizio e le informazioni sull'intervallo correnti da includere nell'ambito delle configurazioni del firewall locale. Tali informazioni rappresentano l'elenco temporizzato corrente degli intervalli IP che corrispondono a ogni tag del servizio. È possibile ottenere le informazioni a livello di codice o tramite un download di file JSON, come descritto nelle sezioni seguenti.

Usare l’API Individuazione tag del servizio

È possibile recuperare l'elenco corrente dei tag di servizio a livello di codice insieme ai dettagli dell'intervallo di indirizzi IP:

• REST

• Azure PowerShell

• Interfaccia della riga di comando di Azure

Ad esempio, per recuperare tutti i prefissi per il tag del servizio Archiviazione, è possibile usare i cmdlet di PowerShell seguenti:

$serviceTags = Get-AzNetworkServiceTag -Location eastus2
$storage = $serviceTags.Values | Where-Object { $_.Name -eq "Storage" }
$storage.Properties.AddressPrefixes

Individuare i tag del servizio tramite file JSON scaricabili

È possibile scaricare i file JSON che contengono l'elenco corrente dei tag del servizio insieme ai dettagli dell'intervallo di indirizzi IP. Tali elenchi vengono aggiornati e pubblicati settimanalmente. Le località per ogni cloud sono le seguenti:

• Pubblico di Azure

• Azure US Gov

• Microsoft Azure gestito da 21Vianet

• Azure Germania

Gli intervalli di indirizzi IP in questi file si trovano nella notazione CIDR.

I tag AzureCloud seguenti non dispongono di nomi a livello di area formattati in base allo schema normale:

• AzureCloud.centralfrance (FranceCentral)

• AzureCloud.southfrance (FranceSouth)

• AzureCloud.germanywc (GermanyWestCentral)

• AzureCloud.germanyn (GermanyNorth)

• AzureCloud.norwaye (NorwayEast)

• AzureCloud.norwayw (NorwayWest)

• AzureCloud.switzerlandn (SwitzerlandNorth)

• AzureCloud.switzerlandw (SwitzerlandWest)

• AzureCloud.usstagee (EastUSSTG)

• AzureCloud.usstagec (SouthCentralUSSTG)

• AzureCloud.brazilse (BrazilSoutheast)

Passaggi successivi

• Informazioni su come creare un gruppo di sicurezza di rete.