Firewallregels voor Azure SQL Database en Azure Synapse IP
van toepassing op:
Azure SQL DatabaseAzure Synapse Analytics-
Wanneer u een nieuwe server maakt in Azure SQL Database of Azure Synapse Analytics met de naam mysqlserver, blokkeert een firewall op serverniveau bijvoorbeeld alle toegang tot het openbare eindpunt voor de server (die toegankelijk is op mysqlserver.database.windows.net). Voor het gemak wordt SQL Database- gebruikt om zowel SQL Database als Azure Synapse Analytics te raadplegen. Dit artikel niet van toepassing op azure SQL Managed Instance. Zie Uw toepassing verbinden met Azure SQL Managed Instancevoor meer informatie over de netwerkconfiguratie.
Notitie
Microsoft Entra ID voorheen Azure Active Directory (Azure AD) werd genoemd.
Hoe de firewall werkt
Verbindingspogingen vanaf internet en Azure moeten de firewall passeren voordat ze uw server of database bereiken, zoals in het volgende diagram wordt weergegeven.
Belangrijk
Azure Synapse ondersteunt alleen IP-firewallregels op serverniveau. Ip-firewallregels op databaseniveau worden niet ondersteund.
IP-firewallregels op serverniveau
Met deze regels kunnen clients toegang krijgen tot uw hele server, dat wil gezegd, alle databases die door de server worden beheerd. De regels worden opgeslagen in de hoofddatabase. Het maximum aantal IP-firewallregels op serverniveau is beperkt tot 256 voor een server. Als u de instelling Azure-services en -resources toegang geeft tot deze server ingeschakeld heeft, telt dit als één firewallregel voor de server.
U kunt IP-firewallregels op serverniveau configureren met behulp van Azure Portal, PowerShell of Transact-SQL instructies.
Notitie
Het maximum aantal IP-firewallregels op serverniveau is beperkt tot 256 bij het configureren met behulp van Azure Portal.
- Als u de portal of PowerShell wilt gebruiken, moet u de eigenaar van het abonnement of een inzender voor het abonnement zijn.
- Als u Transact-SQL wilt gebruiken, moet u verbinding maken met de hoofddatabase als de beheerdersaanmelding op serverniveau of als Microsoft Entra-beheerder. (Er moet eerst een IP-firewallregel op serverniveau worden gemaakt door een gebruiker met machtigingen op Azure-niveau.)
Notitie
Standaard is tijdens het maken van een nieuwe logische SQL-server vanuit de Azure Portal de instelling Toestaan dat Azure-services en -resources toegang krijgen tot deze server ingesteld op Geen.
IP-firewallregels op databaseniveau
Met IP-firewallregels op databaseniveau kunnen clients toegang krijgen tot bepaalde (beveiligde) databases. U maakt de regels voor elke database (inclusief de hoofddatabase database) en ze worden opgeslagen in de afzonderlijke database.
- U kunt alleen IP-firewallregels op databaseniveau maken en beheren voor hoofd- en gebruikersdatabases met behulp van Transact-SQL-instructies en pas nadat u de eerste firewall op serverniveau hebt geconfigureerd.
- Als u een IP-adresbereik opgeeft in de IP-firewallregel op databaseniveau die buiten het bereik van de IP-firewallregel op serverniveau valt, hebben alleen clients met IP-adressen in het bereik op databaseniveau toegang tot de database.
- De standaardwaarde is maximaal 256 IP-firewallregels op databaseniveau voor een database. Zie het voorbeeld verderop in dit artikel voor meer informatie over het configureren van IP-firewallregels op databaseniveau en zie sp_set_database_firewall_rule (Azure SQL Database).
Aanbevelingen voor het instellen van firewallregels
We raden u aan waar mogelijk IP-firewallregels op databaseniveau te gebruiken. Deze procedure verbetert de beveiliging en maakt uw database draagbaarder. Gebruik IP-firewallregels op serverniveau voor beheerders. Gebruik ze ook wanneer u veel databases hebt met dezelfde toegangsvereisten en u niet elke database afzonderlijk wilt configureren.
Notitie
Zie Verificatievereisten voor herstel na noodgevallenvoor informatie over draagbare databases in de context van bedrijfscontinuïteit.
IP-firewallregels op serverniveau versus IP-firewallregels op databaseniveau
Moeten gebruikers van een database volledig worden geïsoleerd van een andere database?
Als ja, gebruikt u IP-firewallregels op databaseniveau om toegang te verlenen. Deze methode vermijdt het gebruik van IP-firewallregels op serverniveau, waardoor toegang via de firewall tot alle databases mogelijk is. Dat zou de diepte van uw verdediging verminderen.
Hebben gebruikers op de IP-adressen toegang nodig tot alle databases?
Als ja, gebruikt u IP-firewallregels op serverniveau om het aantal keren te beperken dat u IP-firewallregels moet configureren.
Heeft de persoon of het team die de IP-firewallregels configureert alleen toegang via Azure Portal, PowerShell of de REST API?
Zo ja, dan moet u IP-firewallregels op serverniveau gebruiken. IP-firewallregels op databaseniveau kunnen alleen worden geconfigureerd via Transact-SQL.
Mag de persoon of het team die de IP-firewallregels configureert, geen machtiging op hoog niveau hebben op databaseniveau?
Als dit het probleem is, gebruikt u IP-firewallregels op serverniveau. U heeft minimaal CONTROLE DATABASE machtiging op databaseniveau nodig om IP-firewallregels op databaseniveau te configureren via Transact-SQL.
Beheert de persoon of het team die de IP-firewallregels configureert of controleert, ip-firewallregels centraal voor veel (mogelijk honderden) databases?
In dit scenario worden aanbevolen procedures bepaald door uw behoeften en omgeving. Ip-firewallregels op serverniveau zijn mogelijk eenvoudiger te configureren, maar scripting kan regels op databaseniveau configureren. En zelfs als u IP-firewallregels op serverniveau gebruikt, moet u mogelijk IP-firewallregels op databaseniveau controleren om te zien of gebruikers met de CONTROL- permissie op de database IP-firewallregels aanmaken op databaseniveau.
Kan ik een combinatie van IP-firewallregels op server- en databaseniveau gebruiken?
Ja. Sommige gebruikers, zoals beheerders, hebben mogelijk IP-firewallregels op serverniveau nodig. Andere gebruikers, zoals gebruikers van een databasetoepassing, hebben mogelijk IP-firewallregels op databaseniveau nodig.
Verbindingen vanaf internet
Wanneer een computer verbinding probeert te maken met uw server vanaf internet, controleert de firewall eerst het oorspronkelijke IP-adres van de aanvraag op basis van de IP-firewallregels op databaseniveau voor de database die de verbinding aanvraagt.
- Als het adres binnen een bereik valt dat is opgegeven in de IP-firewallregels op databaseniveau, wordt de verbinding verleend aan de database die de regel bevat.
- Als het adres zich niet binnen een bereik in de IP-firewallregels op databaseniveau bevindt, controleert de firewall de IP-firewallregels op serverniveau. Als het adres zich binnen een bereik bevindt dat zich in de IP-firewallregels op serverniveau bevindt, wordt de verbinding verleend. IP-firewallregels op serverniveau zijn van toepassing op alle databases die door de server worden beheerd.
- Als het adres zich niet binnen een bereik bevindt dat zich in een van de IP-firewallregels op database- of serverniveau bevindt, mislukt de verbindingsaanvraag.
Notitie
Als u toegang wilt krijgen tot Azure SQL Database vanaf uw lokale computer, moet u ervoor zorgen dat de firewall op uw netwerk en lokale computer uitgaande communicatie op TCP-poort 1433 toestaat.
Verbindingen vanuit Azure
Als u wilt toestaan dat toepassingen die worden gehost in Azure verbinding kunnen maken met uw SQL-server, moeten Azure-verbindingen zijn ingeschakeld. Als u Azure-verbindingen wilt inschakelen, moet er een firewallregel zijn met het starten en beëindigen van IP-adressen ingesteld op 0.0.0.0. Deze aanbevolen regel is alleen van toepassing op Azure SQL Database.
Wanneer een toepassing van Azure verbinding probeert te maken met de server, controleert de firewall of Azure-verbindingen zijn toegestaan door te controleren of deze firewallregel bestaat. Dit kan rechtstreeks vanuit het deelvenster Azure Portal worden ingeschakeld door de master database sys.firewall_rules weergave. Gebruik PowerShell of de Azure CLI om een firewallregel te maken met de start- en eind-IP-adressen ingesteld op 0.0.0.0 als u het portal niet gebruikt.
Belangrijk
Met deze optie configureert u de firewall om alle verbindingen vanuit Azure toe te staan, inclusief verbindingen vanuit de abonnementen van andere klanten. Als u deze optie selecteert, moet u ervoor zorgen dat uw aanmeldings- en gebruikersmachtigingen de toegang beperken tot alleen geautoriseerde gebruikers.
Machtigingen
Als u IP-firewallregels voor de Azure SQL Server wilt maken en beheren, moet u het volgende zijn:
- in de rol inzender van SQL Server
- in de rol van SQL Security Manager
- de eigenaar van de resource die de Azure SQL Server bevat
IP-firewallregels maken en beheren
U maakt de eerste firewallinstelling op serverniveau met behulp van de Azure Portal of programmatisch met behulp van Azure PowerShell-, Azure CLI-of een Azure REST API-. U maakt en beheert aanvullende IP-firewallregels op serverniveau met behulp van deze methoden of Transact-SQL.
Belangrijk
IP-firewallregels op databaseniveau kunnen alleen worden gemaakt en beheerd met behulp van Transact-SQL.
Ter verbetering van de prestaties worden IP-firewallregels op serverniveau tijdelijk in de cache op databaseniveau opgeslagen. Zie DBCC FLUSHAUTHCACHEom de cache te vernieuwen.
Tip
U kunt databasecontrole gebruiken om firewallwijzigingen op server- en databaseniveau te controleren.
Azure Portal gebruiken om IP-firewallregels op serverniveau te beheren
Als u een IP-firewallregel op serverniveau wilt instellen in Azure Portal, gaat u naar de overzichtspagina voor uw database of uw server.
Tip
Zie Een database maken met behulp van de Azure-portalvoor een handleiding.
Op de overzichtspagina van de database
Als u een IP-firewallregel op serverniveau wilt instellen op de overzichtspagina van de database, selecteert u Serverfirewall instellen op de werkbalk, zoals in de volgende afbeelding wordt weergegeven.
De pagina Netwerken voor de server wordt geopend.
Voeg een regel toe in de sectie Firewallregels om het IP-adres toe te voegen van de computer die u gebruikt en selecteer vervolgens Opslaan. Er wordt een IP-firewallregel op serverniveau gemaakt voor uw huidige IP-adres.
Op de overzichtspagina van de server
De overzichtspagina voor uw server wordt geopend. Hier ziet u de volledig gekwalificeerde servernaam (zoals mynewserver20170403.database.windows.net) en biedt u opties voor verdere configuratie.
Als u een regel op serverniveau wilt instellen op deze pagina, selecteert u Netwerken in het menu Instellingen aan de linkerkant.
Voeg een regel toe in de sectie Firewallregels om het IP-adres toe te voegen van de computer die u gebruikt en selecteer vervolgens Opslaan. Er wordt een IP-firewallregel op serverniveau gemaakt voor uw huidige IP-adres.
Gebruik Transact-SQL om IP-firewallregels te beheren
| Catalogusweergave of opgeslagen procedure | Niveau | Beschrijving |
|---|---|---|
| sys.firewall_rules | Server | Geeft de huidige IP-firewallregels op serverniveau weer |
| sp_set_firewall_rule | Server | IP-firewallregels op serverniveau maken of bijwerken |
| sp_delete_firewall_rule | Server | IP-firewallregels op serverniveau verwijderen |
| sys.database_firewall_rules | Databank | Geeft de huidige IP-firewallregels op databaseniveau weer |
| sp_set_database_firewall_rule | Databank | Ip-firewallregels op databaseniveau maken of bijwerken |
| sp_delete_database_firewall_rule | Databases | IP-firewallregels op databaseniveau verwijderen |
In het volgende voorbeeld worden de bestaande regels beoordeeld, wordt een bereik van IP-adressen op de server ingeschakeld Contosoen wordt een IP-firewallregel verwijderd:
SELECT * FROM sys.firewall_rules ORDER BY name;
Voeg vervolgens een IP-firewallregel op serverniveau toe.
EXECUTE sp_set_firewall_rule @name = N'ContosoFirewallRule',
@start_ip_address = '192.168.1.1', @end_ip_address = '192.168.1.10'
Als u een IP-firewallregel op serverniveau wilt verwijderen, voert u de sp_delete_firewall_rule opgeslagen procedure uit. In het volgende voorbeeld wordt de regel ContosoFirewallRuleverwijderd:
EXECUTE sp_delete_firewall_rule @name = N'ContosoFirewallRule'
PowerShell gebruiken om IP-firewallregels op serverniveau te beheren
Notitie
In dit artikel wordt de Azure Az PowerShell-module gebruikt. Dit is de aanbevolen PowerShell-module voor interactie met Azure. Zie Azure PowerShell-installeren om aan de slag te gaan met de Az PowerShell-module. Zie Azure PowerShell migreren van AzureRM naar Azvoor meer informatie over het migreren naar de Az PowerShell-module.
Belangrijk
De Module PowerShell Azure Resource Manager (AzureRM) is afgeschaft op 29 februari 2024. Voor alle toekomstige ontwikkeling moet de Az.Sql-module worden gebruikt. Gebruikers wordt aangeraden om van AzureRM naar de Az PowerShell-module te migreren om ondersteuning en updates te garanderen. De AzureRM-module wordt niet meer onderhouden of ondersteund. De argumenten voor de opdrachten in de Az PowerShell-module en in de AzureRM-modules zijn aanzienlijk identiek. Zie Introductie van de nieuwe Az PowerShell-modulevoor meer informatie over de compatibiliteit.
| Cmdlet | Niveau | Beschrijving |
|---|---|---|
| Get-AzSqlServerFirewallRule | Server | Retourneert de huidige firewallregels op serverniveau |
| New-AzSqlServerFirewallRule | Server | Hiermee maakt u een nieuwe firewallregel op serverniveau |
| Set-AzSqlServerFirewallRule | Server | Hiermee worden de eigenschappen van een bestaande firewallregel op serverniveau bijgewerkt |
| Remove-AzSqlServerFirewallRule | Server | Hiermee verwijdert u firewallregels op serverniveau |
In het volgende voorbeeld wordt PowerShell gebruikt om een IP-firewallregel op serverniveau in te stellen:
New-AzSqlServerFirewallRule -ResourceGroupName "myResourceGroup" `
-ServerName $servername `
-FirewallRuleName "ContosoIPRange" -StartIpAddress "192.168.1.0" -EndIpAddress "192.168.1.255"
Tip
Geef voor $servername de servernaam op en niet de volledig gekwalificeerde DNS-naam, bijvoorbeeld mysqldbserver in plaats van mysqldbserver.database.windows.net
Zie voor PowerShell-voorbeelden in de context van een quickstart DB maken - PowerShell en Een individuele database maken en een IP-firewallregel op serverniveau configureren met behulp van PowerShell.
CLI gebruiken om IP-firewallregels op serverniveau te beheren
| Cmdlet | Niveau | Beschrijving |
|---|---|---|
| az sql server firewall-regel aanmaken | Server | Hiermee maakt u een server-IP-firewallregel |
| az sql server firewall-rule list | Server | Geeft een lijst weer van de IP-firewallregels op een server |
| Toon firewall-regel van SQL-server | Server | Toont de details van een IP-firewallregel |
| az sql server firewall-rule update | Server | Een IP-firewallregel bijwerken |
| az sql server firewall-rule delete | Server | Hiermee verwijdert u een IP-firewallregel |
In het volgende voorbeeld wordt CLI gebruikt om een IP-firewallregel op serverniveau in te stellen:
az sql server firewall-rule create --resource-group myResourceGroup --server $servername \
-n ContosoIPRange --start-ip-address 192.168.1.0 --end-ip-address 192.168.1.255
Tip
Geef voor $servernamede servernaam op en niet de volledig gekwalificeerde DNS-naam. Gebruik bijvoorbeeld mysqldbserver in plaats van mysqldbserver.database.windows.net.
Zie voor een CLI-voorbeeld in de context van een quickstart Db maken - Azure CLI en Een individuele database maken en een IP-firewallregel op serverniveau configureren met behulp van de Azure CLI.
Raadpleeg de volgende voorbeelden voor Azure Synapse Analytics:
| Cmdlet | Niveau | Beschrijving |
|---|---|---|
| az synapse workspace firewall-rule create | Server | Een firewallregel maken |
| Voer de opdracht 'az synapse workspace firewall-rule delete' uit om een firewallregel in de Synapse-werkruimte te verwijderen. | Server | Een firewallregel verwijderen |
| az synapse werkruimte firewall-regel lijst | Server | Alle firewallregels weergeven |
| az synapse workspace firewall-rule show | Server | Een firewallregel ophalen |
| az synapse workspace firewall-rule update | Server | Een firewallregel bijwerken |
| az synapse werkruimte firewallregel wachten | Server | Plaats de CLI in een wachtstatus totdat aan een voorwaarde van een firewallregel wordt voldaan |
In het volgende voorbeeld wordt CLI gebruikt om een IP-firewallregel op serverniveau in te stellen in Azure Synapse:
az synapse workspace firewall-rule create --name AllowAllWindowsAzureIps --workspace-name $workspacename --resource-group $resourcegroupname --start-ip-address 0.0.0.0 --end-ip-address 0.0.0.0
Een REST API gebruiken om IP-firewallregels op serverniveau te beheren
| API | Niveau | Beschrijving |
|---|---|---|
| Lijst firewallregels op | Server | Geeft de huidige IP-firewallregels op serverniveau weer |
| firewallregels maken of bijwerken | Server | IP-firewallregels op serverniveau maken of bijwerken |
| firewallregels verwijderen | Server | IP-firewallregels op serverniveau verwijderen |
| firewallregels ophalen | Server | Hiermee haalt u IP-firewallregels op serverniveau op |
Problemen met de databasefirewall oplossen
Houd rekening met de volgende punten wanneer de toegang tot Azure SQL Database niet werkt zoals verwacht.
lokale firewallconfiguratie:
Voordat uw computer toegang heeft tot Azure SQL Database, moet u mogelijk een firewall-uitzondering maken op uw computer voor TCP-poort 1433. Als u verbindingen wilt maken binnen de grenzen van de Azure-cloud, moet u mogelijk extra poorten openen. Zie de sectie SQL Database: Buiten versus binnen van Poorten buiten 1433 voor ADO.NET 4.5 en Azure SQL Databasevoor meer informatie.
Netwerkadresvertaling:
Vanwege NAT (Network Address Translation) kan het IP-adres dat door uw computer wordt gebruikt om verbinding te maken met Azure SQL Database afwijken van het IP-adres in de IP-configuratie-instellingen van uw computer. Ga als volgt te werk om het IP-adres weer te geven dat uw computer gebruikt om verbinding te maken met Azure:
- Meld u aan bij de portal.
- Ga naar het tabblad Configureren op de server waarop uw database wordt gehost.
- De huidige client-IP-adres wordt weergegeven in de sectie Toegestane IP-adressen. Selecteer Toevoegen voor Toegestane IP-adressen, om deze computer toegang te geven tot de server.
Wijzigingen in de acceptatielijst zijn nog niet doorgevoerd:
Het kan tot vijf minuten duren voordat wijzigingen in de Azure SQL Database-firewallconfiguratie van kracht worden.
De aanmelding is niet geautoriseerd of er is een onjuist wachtwoord gebruikt:
Als een aanmelding geen machtigingen heeft op de server of het wachtwoord onjuist is, wordt de verbinding met de server geweigerd. Als u een firewallinstelling maakt, krijgen klanten alleen een kans om verbinding te maken met uw server. De client moet nog steeds de benodigde beveiligingsreferenties opgeven. Zie Beheren en verlenen van databasetoegangvoor meer informatie over het voorbereiden van aanmeldingen.
dynamisch IP-adres:
Als u een internetverbinding hebt die gebruikmaakt van dynamische IP-adressering en u problemen ondervindt bij het doorlopen van de firewall, kunt u een van de volgende oplossingen proberen:
- Vraag uw internetprovider om het IP-adresbereik dat is toegewezen aan uw clientcomputers die toegang hebben tot de server. Voeg dat IP-adresbereik toe als een IP-firewallregel.
- Haal in plaats daarvan statische IP-adressering op voor uw clientcomputers. Voeg de IP-adressen toe als IP-firewallregels.
Volgende stappen
- Controleer of uw bedrijfsnetwerkomgeving binnenkomende communicatie toestaat vanuit de IP-adresbereiken van het rekenproces (inclusief SQL-bereiken) die worden gebruikt door de Azure-datacenters. Mogelijk moet u deze IP-adressen toevoegen aan de acceptatielijst. Zie IP-bereiken van Microsoft Azure-datacenter.
- Zie onze quickstart over het creëren van een enkele database in Azure SQL Database.
- Zie voor hulp bij het maken van verbinding met een database in Azure SQL Database vanuit opensource- of externe toepassingen Client-quickstartcodevoorbeelden voor Azure SQL Database.
- Zie de sectie SQL Database: Outside vs inside van Ports beyond 1433 for ADO.NET 4.5 and SQL Database voor meer poorten die u mogelijk moet openen.
- Zie Uw database beveiligenvoor een overzicht van azure SQL Database-beveiliging.