Azure 防火墙 - 在产品和非产品之间共享或每个环境单独使用？

Question

根据 Azure 中的中心辐射网络拓扑一文中的 Microsoft 图表，中心网络和 Azure 防火墙在生产和非生产辐射虚拟网络之间共享。

从历史上看，我将产品与非产品资源分开。我不清楚为什么我不会为防火墙这样做，除了成本之外。

假设 Azure 防火墙没有成本因素，我是否有理由不想遵循文章中的设计并为每个环境拥有单独的集线器/防火墙？

谢谢你

Answer 1

没有严格的技术限制阻止您为每个环境（生产和非生产）拥有单独的 Azure 防火墙实例。以下是需要考虑的要点—— 如果您有共享防火墙

• 通过一套集中的规则简化管理。
• 由于您运行和管理的资源更少，因此可以节省成本。
• 可能更容易在所有环境中应用一致的安全态势。

如果您有单独的防火墙

• 通过环境隔离增强安全性。
• 降低了影响生产的错误配置风险。
• 能够根据不同的需求自定义每个环境的规则和设置。
• 更容易遵守可能需要分离的某些法规。

应根据组织的运营和合规性需求来决定选择共享还是单独的 Azure 防火墙设置。

参考资料：

• Azure 防火墙管理器体系结构选项有哪些？
• 中心辐射型网络拓扑
• Azure DDoS 防护参考架构