Azure Bastion Premium: Conexão Segura a VMs sem IP Público

No gerenciamento de servidores de nuvem, uma das maiores fontes de dor de cabeça para os administradores de rede e gerentes de segurança da informação é a exposição de portas administrativas (como SSH/22 para Linux ou RDP/3389 para Windows) diretamente para a internet pública. Essa exposição resulta em uma avalanche constante de ataques de força bruta automatizados. A Microsoft endereçou essa fraqueza de forma definitiva com o lançamento do Azure Bastion Premium. Esse serviço de gateway gerenciado por PAAS atua como um intermediador seguro, permitindo conexões SSH/RDP diretas a suas máquinas virtuais de forma nativa pela linha de comando corporativa ou portal web, sem exigir que as VMs possuam endereços IP públicos ativos nas suas placas de rede.

A camada Premium adiciona recursos vitais para operações de larga escala corporativas, como monitoramento ativo de sessões, auditoria de vídeo completa de acessos administrativos e suporte nativo a clientes de terminal locais de desenvolvedores.

⟩_ Arquitetura de Túnel Seguro Baseado em Web

Diferente de uma VPN tradicional (que insere a máquina do desenvolvedor dentro do perímetro lógico da rede virtual VNET), o Azure Bastion atua como um proxy seguro na borda. A conexão do cliente com o Bastion é feita via protocolo HTTPS criptografado na porta 443.

Ao solicitar um túnel nativo, a Azure CLI do cliente cria uma conexão em loopback local e roteia o tráfego administrativa por dentro do gateway do Bastion. O Bastion, por sua vez, repassa os pacotes para a VM alvo por IP privado interno na VNET. O desenvolvedor conecta de forma fluida usando seu terminal favorito local, sem expor portas críticas para a internet e sem a necessidade de gerenciar VPNs lentas de terceiros.

⟩_ Conectando via Túnel Nativo SSH com Azure CLI

Abaixo está o comando CLI do Azure para inicializar uma sessão de túnel dinâmico SSH local apontando para uma VM Linux sem IP público usando o Azure Bastion como broker:

# Comando CLI para abrir canal SSH local nativo via Azure Bastion Premium
az network bastion tunnel \
  --name "prod-bastion-host" \
  --resource-group "rg-production" \
  --target-resource-id "/subscriptions/my-sub-id/resourceGroups/rg-production/providers/Microsoft.Compute/virtualMachines/vm-database-prod" \
  --resource-port 22 \
  --port 50022

# Após abrir o túnel acima em segundo plano, o desenvolvedor conecta via SSH nativo:
# ssh michel@127.0.0.1 -p 50022

⟩_ Adoção do Modelo Bastion em Ambientes Produtivos

Adotar o Azure Bastion Premium é uma evolução crítica na arquitetura de governança e segurança de rede na nuvem da sua empresa. Ele simplifica de forma severa as auditorias de conformidade ao garantir que não há rotas de entrada vulneráveis e sem monitoramento direto no datacenters, eliminando custos com servidores bastion intermediários (jumpboxes) e mitigando severamente riscos de infiltrações e movimentações laterais na rede de produção.