Azure SQL Database och Azure Synapse IP-brandväggsregler

Gäller för:Azure SQL DatabaseAzure Synapse Analytics

När du skapar en ny server i Azure SQL Database eller Azure Synapse Analytics med namnet mysqlserver blockerar till exempel en brandvägg på servernivå all åtkomst till den offentliga slutpunkten för servern (som är tillgänglig på mysqlserver.database.windows.net). För enkelhetens skull används SQL Database för att referera till både SQL Database och Azure Synapse Analytics. Den här artikeln gäller inte för Azure SQL Managed Instance. Information om nätverkskonfiguration finns i Anslut ditt program till Azure SQL Managed Instance.

Så här fungerar brandväggen

Anslut ionsförsök från Internet och Azure måste passera genom brandväggen innan de når din server eller databas, vilket visas i följande diagram.

IP-brandväggsregler på servernivå

Dessa regler gör att klienter kan komma åt hela servern, det vill säga alla databaser som hanteras av servern. Reglerna lagras i huvuddatabasen. Det maximala antalet IP-brandväggsregler på servernivå är begränsat till 128 för en server. Om du har aktiverat inställningen Tillåt Azure-tjänster och resurser att få åtkomst till den här servern räknas detta som en enskild brandväggsregel för servern.

Du kan konfigurera IP-brandväggsregler på servernivå med hjälp av Azure-portalen, PowerShell eller Transact-SQL-instruktioner.

• Om du vill använda portalen eller PowerShell måste du vara prenumerationsägare eller prenumerationsdeltagare.
• Om du vill använda Transact-SQL måste du ansluta till huvuddatabasen som huvudkontoinloggning på servernivå eller som Microsoft Entra-administratör. (En IP-brandväggsregel på servernivå måste först skapas av en användare som har behörigheter på Azure-nivå.)

IP-brandväggsregler på databasnivå

IP-brandväggsregler på databasnivå gör att klienter kan komma åt vissa (säkra) databaser. Du skapar reglerna för varje databas (inklusive huvuddatabasen) och de lagras i den enskilda databasen.

• Du kan bara skapa och hantera IP-brandväggsregler på databasnivå för huvud- och användardatabaser med hjälp av Transact-SQL-uttryck och först när du har konfigurerat den första brandväggen på servernivå.
• Om du anger ett IP-adressintervall i IP-brandväggsregeln på databasnivå som ligger utanför intervallet i brandväggsregeln på servernivå kan endast klienter som har IP-adresser som ligger i intervallet som angetts för databasnivån komma åt databasen.
• Standardvärdet är upp till 256 IP-brandväggsregler på databasnivå för en databas. Mer information om hur du konfigurerar IP-brandväggsregler på databasnivå finns i exemplet senare i den här artikeln och se sp_set_database_firewall_rule (Azure SQL Database).

Rekommendationer för hur du anger brandväggsregler

Vi rekommenderar att du använder IP-brandväggsregler på databasnivå när det är möjligt. Den här metoden förbättrar säkerheten och gör din databas mer portabel. Använd IP-brandväggsregler på servernivå för administratörer. Använd dem också när du har många databaser som har samma åtkomstkrav och du inte vill konfigurera varje databas individuellt.

IP-brandväggsregler på servernivå kontra databasnivå

Ska användare av en databas vara helt isolerade från en annan databas?

Om ja använder du IP-brandväggsregler på databasnivå för att bevilja åtkomst. Den här metoden undviker att använda IP-brandväggsregler på servernivå, vilket tillåter åtkomst via brandväggen till alla databaser. Det skulle minska djupet i ditt försvar.

Behöver användare på IP-adresserna åtkomst till alla databaser?

Om ja använder du IP-brandväggsregler på servernivå för att minska antalet gånger som du måste konfigurera IP-brandväggsregler.

Har den person eller det team som konfigurerar IP-brandväggsreglerna endast åtkomst via Azure-portalen, PowerShell eller REST-API:et?

I så fall måste du använda IP-brandväggsregler på servernivå. IP-brandväggsregler på databasnivå kan bara konfigureras via Transact-SQL.

Är den person eller det team som konfigurerar IP-brandväggsreglerna förbjudet att ha behörighet på hög nivå på databasnivå?

I så fall använder du IP-brandväggsregler på servernivå. Du behöver minst kontrolldatabasbehörighet på databasnivå för att konfigurera IP-brandväggsregler på databasnivå via Transact-SQL.

Hanterar den person eller det team som konfigurerar eller granskar IP-brandväggsreglerna centralt IP-brandväggsregler för många (kanske hundratals) databaser?

I det här scenariot bestäms bästa praxis av dina behov och din miljö. IP-brandväggsregler på servernivå kan vara enklare att konfigurera, men skript kan konfigurera regler på databasnivå. Och även om du använder IP-brandväggsregler på servernivå kan du behöva granska IP-brandväggsregler på databasnivå för att se om användare med BEHÖRIGHETSKONTROLL i databasen skapar IP-brandväggsregler på databasnivå.

Kan jag använda en blandning av IP-brandväggsregler på servernivå och databasnivå?

Ja. Vissa användare, till exempel administratörer, kan behöva IP-brandväggsregler på servernivå. Andra användare, till exempel användare av ett databasprogram, kan behöva IP-brandväggsregler på databasnivå.

Anslut från Internet

När en dator försöker ansluta till servern från Internet kontrollerar brandväggen först den ursprungliga IP-adressen för begäran mot IP-brandväggsreglerna på databasnivå för den databas som anslutningen begär.

• Om adressen ligger inom ett intervall som anges i IP-brandväggsreglerna på databasnivå beviljas anslutningen till databasen som innehåller regeln.
• Om adressen inte ligger inom ett intervall i IP-brandväggsreglerna på databasnivå kontrollerar brandväggen IP-brandväggsreglerna på servernivå. Om adressen ligger inom ett intervall som finns i IP-brandväggsreglerna på servernivå beviljas anslutningen. IP-brandväggsregler på servernivå gäller för alla databaser som hanteras av servern.
• Om adressen inte ligger inom ett intervall som finns i någon av IP-brandväggsreglerna på databasnivå eller på servernivå misslyckas anslutningsbegäran.

Anslut ions inifrån Azure

Azure-anslutningar måste vara aktiverade för att program som finns i Azure ska kunna ansluta till sql-servern. För att aktivera Azure-anslutningar måste det finnas en brandväggsregel med start- och slut-IP-adresser inställda på 0.0.0.0. Den här rekommenderade regeln gäller endast för Azure SQL Database.

När ett program från Azure försöker ansluta till servern kontrollerar brandväggen att Azure-anslutningar tillåts genom att verifiera att den här brandväggsregeln finns. Detta kan aktiveras direkt från Azure Portal-bladet genom att växla inställningarna Tillåt Azure-tjänster och resurser att komma åt den här servern till PÅ i inställningarna för brandväggar och virtuella nätverk . Om du växlar inställningen till PÅ skapas en inkommande brandväggsregel för IP 0.0.0.0–0.0.0.0 med namnet AllowAllWindowsAzureIps. Regeln kan visas i databasen mastersys.firewall_rules vy. Använd PowerShell eller Azure CLI för att skapa en brandväggsregel med start- och slut-IP-adresser inställda på 0.0.0.0 om du inte använder portalen.

Behörigheter

För att kunna skapa och hantera IP-brandväggsregler för Azure SQL Server måste du ha antingen:

• i rollen SQL Server-deltagare
• i SQL Security Manager-rollen
• ägaren av resursen som innehåller Azure SQL Server

Skapa och hantera IP-brandväggsregler

Du skapar den första brandväggsinställningen på servernivå med hjälp av Azure-portalen eller programmatiskt med hjälp av Azure PowerShell, Azure CLI eller ett Azure REST API. Du skapar och hanterar ytterligare IP-brandväggsregler på servernivå med hjälp av dessa metoder eller Transact-SQL.

För att förbättra prestanda cachelagras IP-brandväggsregler på servernivå tillfälligt på databasnivå. Information om hur du uppdaterar cacheminnet finns i DBCC FLUSHAUTHCACHE.

Använda Azure-portalen för att hantera IP-brandväggsregler på servernivå

Om du vill ange en IP-brandväggsregel på servernivå i Azure-portalen går du till översiktssidan för databasen eller servern.

Från översiktssidan för databasen

1. Om du vill ange en IP-brandväggsregel på servernivå från databasöversiktssidan väljer du Ange serverbrandvägg i verktygsfältet, som följande bild visar.

   

   Sidan Nätverk för servern öppnas.

2. Lägg till en regel i avsnittet Brandväggsregler för att lägga till IP-adressen för den dator som du använder och välj sedan Spara. En IP-brandväggsregel på servernivå skapas för din aktuella IP-adress.

   

Från sidan serveröversikt

Översiktssidan för servern öppnas. Den visar det fullständigt kvalificerade servernamnet (till exempel mynewserver20170403.database.windows.net) och innehåller alternativ för ytterligare konfiguration.

1. Om du vill ange en regel på servernivå från den här sidan väljer du Nätverk på Inställningar-menyn till vänster.

2. Lägg till en regel i avsnittet Brandväggsregler för att lägga till IP-adressen för den dator som du använder och välj sedan Spara. En IP-brandväggsregel på servernivå skapas för din aktuella IP-adress.

Använda Transact-SQL för att hantera IP-brandväggsregler

I följande exempel granskas de befintliga reglerna, ett intervall med IP-adresser på servern Contoso aktiveras och en IP-brandväggsregel tas bort:

SELECT * FROM sys.firewall_rules ORDER BY name;

Lägg sedan till en IP-brandväggsregel på servernivå.

EXECUTE sp_set_firewall_rule @name = N'ContosoFirewallRule',
   @start_ip_address = '192.168.1.1', @end_ip_address = '192.168.1.10'

Om du vill ta bort en IP-brandväggsregel på servernivå kör du den sp_delete_firewall_rule lagrade proceduren. I följande exempel tas regeln ContosoFirewallRule bort:

EXECUTE sp_delete_firewall_rule @name = N'ContosoFirewallRule'

Använda PowerShell för att hantera IP-brandväggsregler på servernivå

I följande exempel används PowerShell för att ange en IP-brandväggsregel på servernivå:

New-AzSqlServerFirewallRule -ResourceGroupName "myResourceGroup" `
    -ServerName $servername `
    -FirewallRuleName "ContosoIPRange" -StartIpAddress "192.168.1.0" -EndIpAddress "192.168.1.255"

Använda CLI för att hantera IP-brandväggsregler på servernivå

I följande exempel används CLI för att ange en IP-brandväggsregel på servernivå:

az sql server firewall-rule create --resource-group myResourceGroup --server $servername \
-n ContosoIPRange --start-ip-address 192.168.1.0 --end-ip-address 192.168.1.255

För Azure Synapse Analytics kan du läsa följande exempel:

I följande exempel används CLI för att ange en IP-brandväggsregel på servernivå i Azure Synapse:

az synapse workspace firewall-rule create --name AllowAllWindowsAzureIps --workspace-name $workspacename --resource-group $resourcegroupname --start-ip-address 0.0.0.0 --end-ip-address 0.0.0.0

Använda ett REST-API för att hantera IP-brandväggsregler på servernivå

Felsöka databasbrandväggen

Tänk på följande när åtkomsten till Azure SQL Database inte fungerar som förväntat.

• Lokal brandväggskonfiguration:

  Innan datorn kan komma åt Azure SQL Database kan du behöva skapa ett brandväggsfel på datorn för TCP-port 1433. Om du vill upprätta anslutningar inom Azure-molngränsen kan du behöva öppna ytterligare portar. Mer information finns i avsnittet "SQL Database: Outside vs inside" i Portar utöver 1433 för ADO.NET 4.5 och Azure SQL Database.

• Översättning av nätverksadress:

  På grund av nätverksadressöversättning (NAT) kan IP-adressen som används av datorn för att ansluta till Azure SQL Database skilja sig från IP-adressen i datorns IP-konfigurationsinställningar. Så här visar du IP-adressen som datorn använder för att ansluta till Azure:

  1. Logga in i portalen.
  2. Gå till fliken Konfigurera på den server som är värd för din databas.
  3. Den aktuella klientens IP-adress visas i avsnittet Tillåtna IP-adresser . Välj Lägg till för Tillåtna IP-adresser för att tillåta den här datorn att komma åt servern.

• Ändringar i listan över tillåtna har inte börjat gälla än:

  Det kan ta upp till fem minuter innan ändringar i Azure SQL Database-brandväggskonfigurationen börjar gälla.

• Inloggningen är inte auktoriserad eller så användes ett felaktigt lösenord:

  Om en inloggning inte har behörighet på servern eller om lösenordet är felaktigt nekas anslutningen till servern. Om du skapar en brandväggsinställning kan klienterna bara försöka ansluta till servern. Klienten måste fortfarande ange nödvändiga säkerhetsautentiseringsuppgifter. Mer information om hur du förbereder inloggningar finns i Kontrollera och bevilja databasåtkomst.

• Dynamisk IP-adress:

  Om du har en Internetanslutning som använder dynamisk IP-adressering och du har problem med att komma igenom brandväggen kan du prova någon av följande lösningar:

  • Be internetleverantören om det IP-adressintervall som har tilldelats till dina klientdatorer som får åtkomst till servern. Lägg till IP-adressintervallet som en IP-brandväggsregel.
  • Hämta statisk IP-adressering i stället för dina klientdatorer. Lägg till IP-adresserna som IP-brandväggsregler.

Nästa steg

• Bekräfta att företagsnätverksmiljön tillåter inkommande kommunikation från beräknings-IP-adressintervallen (inklusive SQL-intervall) som används av Azure-datacenter. Du kan behöva lägga till dessa IP-adresser i listan över tillåtna adresser. Se IP-intervall för Microsoft Azure-datacenter.
• Se vår snabbstart om att skapa en enkel databas i Azure SQL Database.
• Hjälp med att ansluta till en databas i Azure SQL Database från program med öppen källkod eller program från tredje part finns i Kodexempel för klients snabbstart till Azure SQL Database.
• Information om ytterligare portar som du kan behöva öppna finns i avsnittet "SQL Database: Outside vs inside" i Portar utöver 1433 för ADO.NET 4.5 och SQL Database
• En översikt över Azure SQL Database-säkerhet finns i Skydda din databas.