Azure VNet, subnets en NSG's naar STACKIT

Een VNet met twee subnets, omgezet

Een kleine omgeving die voor deze pagina is opgesteld en op 4 november 2026 door StackToIT is beoordeeld. Links: de invoer. Rechts: de resourceblokken van de STACKIT-Terraform die de engine schreef; de beoordelingsopmerkingen die in het bestand boven elk blok staan, zijn hier weggelaten.

resource "azurerm_virtual_network" "shop" {
  name                = "vnet-shop"
  location            = azurerm_resource_group.net.location
  resource_group_name = azurerm_resource_group.net.name
  address_space       = ["10.30.0.0/16"]
}

resource "azurerm_subnet" "web" {
  name                 = "snet-web"
  resource_group_name  = azurerm_resource_group.net.name
  virtual_network_name = azurerm_virtual_network.shop.name
  address_prefixes     = ["10.30.1.0/24"]
}

resource "azurerm_subnet" "app" {
  name                 = "snet-app"
  resource_group_name  = azurerm_resource_group.net.name
  virtual_network_name = azurerm_virtual_network.shop.name
  address_prefixes     = ["10.30.2.0/24"]
}

resource "stackit_network" "app" {
  project_id       = var.project_id
  name             = "snet-app"
  ipv4_prefix      = "10.30.2.0/24"
  ipv4_nameservers = var.default_ipv4_nameservers
}

resource "stackit_network" "web" {
  project_id       = var.project_id
  name             = "snet-web"
  ipv4_prefix      = "10.30.1.0/24"
  ipv4_nameservers = var.default_ipv4_nameservers
}

• Eén netwerk per subnet

  STACKIT kent geen VNet-container. snet-web en snet-app worden twee STACKIT-netwerken in het project; netwerken die elkaar privé moeten bereiken, sluiten aan op een Network Area.

• Prefixen behouden

  10.30.1.0/24 en 10.30.2.0/24 blijven de prefixen van de nieuwe netwerken, dus het adresplan blijft zoals het is.

• Nameservers ingesteld

  De netwerken lezen hun nameservers uit één variabele. De standaardwaarde is de STACKIT DNS Resolver in eu01, en de code merkt op dat privénamen een eigen DNS-server vereisen.

Een network security group, omgezet

Uit dezelfde run. Links: de invoer. Rechts: de resourceblokken die StackToIT schreef; de beoordelingsopmerkingen boven elk blok en de inactieve HTTPS-regel die het bestand als commentaarblok bevat, zijn hier weggelaten.

resource "azurerm_network_security_group" "web" {
  name                = "nsg-web"
  location            = azurerm_resource_group.net.location
  resource_group_name = azurerm_resource_group.net.name

  security_rule {
    name                       = "allow-https"
    priority                   = 100
    direction                  = "Inbound"
    access                     = "Allow"
    protocol                   = "Tcp"
    source_port_range          = "*"
    destination_port_range     = "443"
    source_address_prefix      = "Internet"
    destination_address_prefix = "*"
  }

  security_rule {
    name                       = "allow-ssh-from-admin"
    priority                   = 110
    direction                  = "Inbound"
    access                     = "Allow"
    protocol                   = "Tcp"
    source_port_range          = "*"
    destination_port_range     = "22"
    source_address_prefix      = "203.0.113.0/24"
    destination_address_prefix = "*"
  }
}

resource "azurerm_subnet_network_security_group_association" "web" {
  subnet_id                 = azurerm_subnet.web.id
  network_security_group_id = azurerm_network_security_group.web.id
}

resource "stackit_security_group" "web" {
  project_id = var.project_id
  name       = "nsg-web"
}

resource "stackit_security_group_rule" "web_allow_ssh_from_admin" {
  project_id        = var.project_id
  security_group_id = stackit_security_group.web.security_group_id
  direction         = "ingress"
  ether_type        = "IPv4"
  ip_range          = "203.0.113.0/24"
  port_range = {
    max = 22
    min = 22
  }
  protocol = {
    name = "tcp"
  }
}

• Regels met adressen worden overgenomen

  De SSH-regel vanaf 203.0.113.0/24 wordt een actieve STACKIT security group-regel voor TCP-poort 22. STACKIT-regels zijn stateful, dus terugkerend verkeer heeft geen eigen regel nodig.

• Servicetags worden een beslissing

  De HTTPS-regel staat de servicetag Internet toe. STACKIT heeft geen selector voor servicetags, dus de code schrijft de regel als inactief blok in het bestand en vraagt uw Security Architect om de adresbereiken.

• Prioriteiten vervallen zonder risico

  STACKIT-regels hebben geen prioriteit. Geen deny-regel in de omgeving weegt zwaarder dan een allow-regel, dus de code laat geen allow-regel vallen en schrijft ze als ongeordende STACKIT-regels.

• Per server gekoppeld

  De NSG zit op snet-web. STACKIT security groups worden gekoppeld aan de netwerkinterface van elke server, dus de groep komt op elke gemigreerde server van dat subnet.

Azure-standaarden die de code benoemt

Elke NSG draagt regels die niemand heeft geschreven. STACKIT start met andere standaarden, en de run noemt elk verschil in het bestand.

• Inkomend vanuit het VNet en de load balancer

  Een nieuwe STACKIT security group staat geen inkomend verkeer toe totdat een regel dat zegt. De code vraagt om expliciete regels waar het verkeer van AllowVnetInBound en AllowAzureLoadBalancerInBound moet blijven stromen.

• Verkeer binnen de groep

  Leden van een door de gebruiker gemaakte STACKIT-groep bereiken elkaar alleen met een expliciete ingress-regel. De code geeft aan waar er een nodig is.

• Standaard egress

  STACKIT maakt op elke nieuwe groep een allow-all IPv4-egressregel aan. De egress van de bron is smaller, dus u beslist of u de standaardregel na de apply verwijdert of de bredere egress accepteert.

• Wijzigingen gelden binnen een minuut

  In negen metingen bereikte een regelwijziging het dataplane 27 tot 50 seconden nadat de API had geantwoord. De code adviseert na een minuut te controleren, niet meteen.

Hoe de netwerkomgeving wordt gekoppeld

Klassen zoals de run ze heeft bepaald. De run noemt acht beslissingen voor deze omgeving, van de servicetag tot de standaard egress, elk vastgelegd in het bestand met beslissingen.

Vragen van netwerkteams

Bronnen

• Microsoft Learn: Wat is Azure Virtual Network?
• Microsoft Learn: overzicht van network security groups
• STACKIT-documentatie: Core Networking
• STACKIT-documentatie: netwerkbeveiliging