소프트웨어 벤더인 CloudPatch는 Azure Firewall을 사용하여 수백 대의 Windows 서버에 대한 아웃바운드 OS 업데이트를 관리합니다. 이들은 Windows Update, Microsoft Update 및 Windows Defender 업데이트 트래픽을 허용하고 다른 모든 인터넷 송신을 거부하려고 합니다. FQDN 태그를 사용하는 Azure Firewall 구성 중 가장 유지보수하기 쉽고 안전한 접근 방식은 무엇입니까?

이 접근 방식은 Azure Firewall FQDN 태그를 활용하여 Windows 업데이트 및 관련 서비스를 허용하는 가장 유지보수하기 쉽고 안전한 방법입니다. 'WindowsUpdate' FQDN 태그는 Windows 업데이트에 필요한 모든 FQDN을 동적으로 포함하며, 'AzureActiveDirectory'는 인증에 필요합니다. 이 태그들은 Microsoft에 의해 관리되므로 수동 업데이트가 필요 없어 유지보수 오버헤드를 줄입니다. 다른 모든 트래픽을 거부하는 DENY 규칙은 보안을 강화합니다. 다른 옵션들은 다음과 같은 이유로 최적이 아닙니다. 첫 번째 옵션은 'AzureService' 태그를 포함하여 너무 광범위하며, 0.0.0.0/0을 차단하는 것은 네트워크 규칙 컬렉션에서 더 적합합니다. 세 번째 옵션은 수동으로 FQDN을 나열해야 하므로 유지보수가 어렵고, Microsoft가 FQDN을 변경할 때마다 규칙을 업데이트해야 합니다. 네 번째 옵션은 NSG 규칙에 의존하므로 Azure Firewall의 애플리케이션 계층 필터링 기능을 활용하지 못하고, IP 범위는 자주 변경될 수 있어 유지보수가 어렵습니다.