当报告服务实例与数据库安装在同一虚拟机中时，如何保护（SSRS）报告服务实例？

Question

我正在研究web application与database对话的体系结构。

Web应用程序位于VM1中数据库位于VM2上，如下所示

我遵循以下安全最佳实践，

• VM 1可以接受来自任何来源的流量。该协议将是TCP，它将仅接受端口80（HTTP和443，HTTPS）上的流量。

• DB subnet仅应接受来自Web应用程序的通信，因此，我仅允许来自子网1的通信。协议为TCP，并且我仅接受标准SQL Server端口上的通信，这是1433。

现在的挑战归因于Reporting server 2012，它具有以下缺点。

报告服务和数据库必须位于同一虚拟机中。 [仅在报表服务2017中克服了缺点，我们现在无法负担]，并且需要打开端口80，以便部署在VM1上的web application可以访问web application

现在，我必须在数据库服务器上启用端口80，这对安全性不利。

那么最好的做法是什么？

我正在考虑将SSRS端口从80更改为XXXX，并允许该端口的一种方法。这是正确的方法吗？还是我必须升级到有助于将报告服务移至Web应用程序VM的SSRS 2017？最好的方法是什么？

我正在研究Web应用程序将与数据库进行通信的体系结构。 Web应用程序位于VM1中，数据库位于VM2上，如下所示，我正在遵循以下最佳安全实践，VM 1 ...

Answer 1

默认的http端口80通常由Web应用程序使用，我认为，更改端口易于部署。虚拟网络与虚拟网络之间的流量通过安全的Azure骨干网络进行路由。您可以参考this blog中的这些步骤来更改SSRS端口，并在VM2上NSG的入站规则中更新端口。

如果要使用SSRS 2017，则可能需要升级SQL Server，请参阅this note。