Latest / M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands / Azure Bastion eenvoudig uitgelegd: veilige RDP- en SSH-toegang zonder openbaar IP, Entra ID en SKU’s vergeleken (AI-nasynchronisatie)

Transcript

Azure Bastion eenvoudig uitgelegd: veilige RDP- en SSH-toegang zonder openbaar IP, Entra ID en SKU’s vergeleken (AI-nasynchronisatie) · M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands

• 0:00
  Speaker 2: Klaar voor 10 dagen Microsoft 365, Copilot, AI, Azure en
• 0:05
  Speaker 2: de mensen die de toekomst van werk vormgeven? Deze januari
• 0:09
  Speaker 2: is M365 komt terug en we pakken groter uit. Doe
• 0:12
  Speaker 2: mee voor livesessies, praktijkdemo's en praktische kennis van MVP's en
• 0:16
  Speaker 2: experts van over de hele wereld. Geen algemene presentaties, geen
• 0:20
  Speaker 2: eindeloze modewoorden. We pakken de echte uitdagingen aan Copilot Studio,
• 0:25
  Speaker 2: AI Agents, Fabric, Beveiliging, Governance en Automatisering. Of je nu IT-professional,
• 0:31
  Speaker 2: ontwikkelaar of zakelijk leider bent, er zijn sessies speciaal voor jou.
• 0:35
  Speaker 2: Met tien volle dagen kun je meerdere technologieën verkennen en
• 0:38
  Speaker 2: contact leggen met een wereldwijde community. Kijk live en neem
• 0:41
  Speaker 2: praktische inzichten mee terug naar je organisatie. Januari 2027, tien dagen,
• 0:47
  Speaker 2: één Microsoft Community. De registratie is nu geopend
• 0:52
  Speaker 2: Ga naar m365com.net en bemachtig vandaag nog je plek
• 0:56
  Speaker 2: Dat is m365com.net. Meld je nu aan op m365con.net en
• 1:03
  Speaker 2: we zien je live in januari. Welkom bij een nieuwe
• 1:05
  Speaker 2: aflevering van Microsoft Knowledge Nuggets hier op M365FM. Ik ben
• 1:09
  Speaker 2: je host Milko Peters. Het onderwerp van vandaag is er
• 1:11
  Speaker 2: een waar bijna iedereen die met Azure werkt tegenaan is gelopen.
• 1:13
  Speaker 2: Je start een nieuwe virtuele machine en de standaard is
• 1:16
  Speaker 2: een openbaar IP-adres met RDP-poort 3389 open naar het internet.
• 1:20
  Speaker 2: Als je dit al een tijdje doet, heb je jezelf
• 1:22
  Speaker 2: waarschijnlijk dezelfde vraag gesteld als ik. Is dit echt de
• 1:25
  Speaker 2: enige manier om op mijn server te komen? Het punt is,
• 1:27
  Speaker 2: elke openstaande poort is een doelwit... En ransomware-bendes scannen voortdurend
• 1:31
  Speaker 2: naar open RDP. Het is niet de vraag of ze
• 1:33
  Speaker 2: het vinden, maar wanneer. Aan het eind van deze aflevering
• 1:36
  Speaker 2: begrijp je wat Azure Bastion precies is en hoe het
• 1:38
  Speaker 2: een betere manier biedt om veilig toegang te krijgen tot
• 1:40
  Speaker 2: je VM's. We kijken naar de oude manier, waarom die
• 1:42
  Speaker 2: gebrekkig is, en de betere manier, plus de nieuwe Entra-ID-integratie
• 1:45
  Speaker 2: die het nog eenvoudiger maakt dan je zou verwachten. De
• 1:47
  Speaker 2: oude manier, jumpboxes en openbare RDP. Laten we dus beginnen
• 1:51
  Speaker 2: met de oude manier. De traditionele opzet werkt als volgt.
• 1:54
  Speaker 2: Je implementeert een VM, geeft deze een openbaar IP en
• 1:56
  Speaker 2: opent RDP-poort 3389. Daarna voeg je een netwerkbeveiligingsgroep regel toe
• 2:00
  Speaker 2: om te beperken wie er toegang heeft. Misschien beperk je
• 2:02
  Speaker 2: het tot je kantoor-IP-bereik of een VP en eindpunt. Dat
• 2:05
  Speaker 2: is het basispatroon, maar er is nog een model dat
• 2:07
  Speaker 2: al jaren bestaat. De jumpbox. Zie het als een veiligheidscontrolepost.
• 2:11
  Speaker 2: Je moet er eerst doorheen voordat je de rest van
• 2:13
  Speaker 2: je netwerk kunt bereiken. Een jumpbox is een enkele VM
• 2:16
  Speaker 2: die fungeert als gateway naar je privé-netwerk. Je maakt eerst
• 2:19
  Speaker 2: via RDP verbinding met die box en vanaf daar spring
• 2:22
  Speaker 2: je naar andere servers in je netwerk. Het is een
• 2:24
  Speaker 2: simpel idee dat jarenlang werkte en vandaag de dag nog
• 2:26
  Speaker 2: steeds werkt in kleine omgevingen. Het addertje onder het gras
• 2:29
  Speaker 2: is dat het alleen werkt als je het beveiligt, patcht,
• 2:31
  Speaker 2: monitoort en nooit een fout maakt. Het probleem is niet
• 2:33
  Speaker 2: dat het niet kan werken, maar dat het voortdurend werk
• 2:35
  Speaker 2: kost om het veilig te houden. Dus, dit is het
• 2:37
  Speaker 2: echte probleem. Jumpboxen zijn gewoon normale VM's. Ze hebben OS-updates, antivirus,
• 2:41
  Speaker 2: beveiligingsbaselines en iemand nodig om dat allemaal te beheren. Ze
• 2:44
  Speaker 2: hebben publieke IP-adressen met RDP of SSH-poorten die openstaan. Zelfs
• 2:48
  Speaker 2: als je die poorten beperkt met NSG-regels, blijven ze vindbaar.
• 2:51
  Speaker 2: Ze worden nog steeds elke dag gescand. Op grote schaal
• 2:55
  Speaker 2: wordt het beheren van jumpboxen snel een rommeltje. Je hebt
• 2:58
  Speaker 2: meerdere VM's in verschillende regio's, inconsistenten configuraties en patchdrift. Het
• 3:02
  Speaker 2: ene team beveiligt hun systemen wel, het andere team niet.
• 3:04
  Speaker 2: En de verborgen kosten waar niemand over praat, zijn de
• 3:06
  Speaker 2: uren aan beheertijd die opgaan aan het patchen, beveiligen en
• 3:08
  Speaker 2: troubleshooten van deze boxen. Ik heb schattingen gezien van ongeveer
• 3:11
  Speaker 2: drie uur per maand alleen al voor onderhoud. Dat is
• 3:13
  Speaker 2: echt geld. Dus, wat als er een service was die
• 3:15
  Speaker 2: dit allemaal voor je regelt? Eén die het publieke eindpunt
• 3:18
  Speaker 2: volledig verwijdert en je een schonere, veiligere ingang biedt. Wat
• 3:21
  Speaker 2: is Azure Bastion? Dus, dit is de simpelste definitie die
• 3:24
  Speaker 2: ik je kan geven. Azure Bastion is een volledig beheerde
• 3:26
  Speaker 2: PaaS-service die je veilige RDP en SSH toegang geeft tot
• 3:29
  Speaker 2: Azure VM's zonder publieke IP's op die VM's bloot te stellen.
• 3:32
  Speaker 2: Dat is het. Geen publieke IP's, geen open poorten, geen
• 3:35
  Speaker 2: blootgestolde beheereindpunten. Zie het als een beveiligde tunnel. Je verbindt
• 3:38
  Speaker 2: via HTTPS met Bastion en Bastion maakt privéverbinding met je
• 3:41
  Speaker 2: VM binnen het virtuele netwerk. Je browser praat met Bastion
• 3:44
  Speaker 2: via poort 443, dezelfde poort die je gebruikt voor veilige websites.
• 3:48
  Speaker 2: Bastion praat vervolgens met je VM via RDP of SSH,
• 3:51
  Speaker 2: maar dat verkeer blijft binnen je virtuele netwerk. De buitenwereld
• 3:54
  Speaker 2: ziet het nooit. Dit is nu het belangrijkste verschil met
• 3:56
  Speaker 2: een jumpbox. Bastion is geen VM. Het is niet iets
• 3:59
  Speaker 2: wat je hoeft te patchen of te onderhouden. Microsoft regelt
• 4:01
  Speaker 2: dat allemaal voor je. De OS-updates, de beveiligingshardening, de schaling,
• 4:04
  Speaker 2: het wordt allemaal voor je verzorgd. Je implementeert het gewoon
• 4:06
  Speaker 2: en gebruikt het. Voor basisgebruik maak je verbinding vanuit de
• 4:09
  Speaker 2: Azure Portal direct in je browser. Geen extra client software nodig,
• 4:12
  Speaker 2: geen VPN-client om te installeren, geen RDP-client om te configureren.
• 4:15
  Speaker 2: Alleen je browser en je Azure login. Je VM's blijven privé,
• 4:18
  Speaker 2: geen publiek IP nodig, geen RDP-port blootgesteld aan het internet.
• 4:21
  Speaker 2: En dit is het punt met moderne beveiligingsmodellen. Bastion past
• 4:24
  Speaker 2: in een Zero Trust raamwerk. Toegang wordt beheerd door identiteit
• 4:27
  Speaker 2: en beleid, niet door netwerklocatie. Je krijgt geen toegang omdat
• 4:30
  Speaker 2: je je in de juiste IP-reeks bevindt. Je krijgt toegang
• 4:32
  Speaker 2: omdat je de juiste persoon bent met de juiste rechten.
• 4:34
  Speaker 2: Laten we bespreken hoe het onder de motorkap werkt, want
• 4:37
  Speaker 2: de architectuur is eenvoudiger dan je misschien denkt. Hoe Azure
• 4:39
  Speaker 2: Bastion werkt. Bastion wordt geïmplementeerd in een toegewezen subnet in
• 4:43
  Speaker 2: je virtuele netwerk. Dat Azure Bastion subnet moet heten met
• 4:46
  Speaker 2: een 26 adresruimte of groter, minimaal 64 IP-adressen, wat ruimte
• 4:51
  Speaker 2: biedt voor de werking en schaalbaarheid van de service. Dat
• 4:53
  Speaker 2: subnet is exclusief voor Bastion, dus er kan niets anders
• 4:56
  Speaker 2: in draaien. Geen VM's, geen andere services, niets. Dit houdt
• 4:59
  Speaker 2: alles overzichtelijk en veilig. en je weet precies wat er
• 5:02
  Speaker 2: in dat subnet staat en wat het doet. Wanneer je
• 5:03
  Speaker 2: verbinding maakt via de portal, opent je browser een TLS-sessie
• 5:06
  Speaker 2: naar het openbare IP-adres van Bastion op poort 443, versleuteld
• 5:09
  Speaker 2: zodat niemand kan zien wat je doet. Vervolgens initieert Bastion,
• 5:11
  Speaker 2: RDP of SSH naar je doel VM via het privé-netwerk,
• 5:14
  Speaker 2: zodat de VM de verbinding ziet als afkomstig van binnen
• 5:17
  Speaker 2: het virtuele netwerk, niet vanaf het internet. En de VM
• 5:19
  Speaker 2: weet niet eens dat de buitenwereld bestaat. Bastion kan VM's
• 5:22
  Speaker 2: in hetzelfde VNet en gekoppelde VNets bedienen, en met de
• 5:24
  Speaker 2: juiste SKU zelfs on-premises machines die verbonden zijn via ExpressRoute
• 5:27
  Speaker 2: of VPN. Dat betekent dat je één Bastion-implementatie kunt gebruiken
• 5:31
  Speaker 2: om VM's in meerdere netwerken te bereiken, zolang ze maar
• 5:33
  Speaker 2: verbonden zijn en in dezelfde tenant zitten. Een slimme manier
• 5:35
  Speaker 2: om de boel verder te vergrendelen, is door netwerkbeveiligingsgroepen te
• 5:38
  Speaker 2: gebruiken die alleen RDP en SSH vanuit het Bastion-subnet toestaan.
• 5:41
  Speaker 2: Op die manier kan iemand, zelfs als diegene op de
• 5:43
  Speaker 2: een of andere manier in je virtuele netwerk terechtkomt, nog
• 5:45
  Speaker 2: steeds niet bij die beheerpoorten. Ze moeten via Bastion gaan,
• 5:48
  Speaker 2: wat betekent dat ze eerst de juiste identiteit en rechten
• 5:50
  Speaker 2: moeten hebben. Dit alleen is al een grote verbetering ten
• 5:52
  Speaker 2: opzichte van Jump Hosts, maar er is een nieuwe functie
• 5:55
  Speaker 2: die het nog verder brengt, en die draait volledig om identiteit.
• 5:58
  Speaker 2: De Entra-ID-integratie. Dit verandert alles. Jarenlang was er één nadeel
• 6:03
  Speaker 2: aan Bastion dat veel mensen dwarsjaat. Je had nog steeds
• 6:06
  Speaker 2: lokale VM-accounts, gebruikersnamen, wachtwoorden of SSH-sleutels nodig die je op
• 6:10
  Speaker 2: elke machine moest beheren. Dus, hoewel Bastion het netwerkbeveiligingsprobleem oploste,
• 6:15
  Speaker 2: zat je nog steeds met het oude identiteitsprobleem. Verschillende wachtwoorden
• 6:18
  Speaker 2: op verschillende VM's, accounts die nooit werden opgeschoond als iemand
• 6:20
  Speaker 2: het team verliet. De hele romp slom. Toen, in 2025,
• 6:23
  Speaker 2: veranderde Microsoft dat. Ze vroeg de native EntraID-verificatie voor Bastion
• 6:27
  Speaker 2: toe en dat veranderde alles. Nu kun je via Bastion
• 6:30
  Speaker 2: inloggen op een Windows VM met je werkidentiteit, zonder lokaal
• 6:32
  Speaker 2: account en zonder wachtwoord om te onthouden. Gewoon je EntraID-inloggegevens.
• 6:36
  Speaker 2: Dezelfde gebruikersnaam en hetzelfde wachtwoord als voor je e-mail, Teams
• 6:39
  Speaker 2: en SharePoint. Dat is alles. EntraID brengt MFA en voorwaardelijke
• 6:43
  Speaker 2: toegangsbeleidsregels naar je VM log in. Dus, hetzelfde beleid dat
• 6:46
  Speaker 2: je e-mail en apps beschermt, beveiligt nu ook je servers.
• 6:48
  Speaker 2: Als je bedrijf MFA vereist voor gevoelige data, verschijnt diezelfde
• 6:52
  Speaker 2: MFA-prompt zodra je via RDP inlogt op een VM. En
• 6:56
  Speaker 2: als je beleid voor voorwaardelijke toegang inlogpogingen vanaf onbetrouwbare locaties blokkeert,
• 7:00
  Speaker 2: geldt dat ook hier. Je servers erven dezelfde beveiligingsstatus als
• 7:03
  Speaker 2: de rest van je omgeving. Er zijn een paar vereisten
• 7:05
  Speaker 2: waar je rekening mee moet houden. De VM moet draaien
• 7:07
  Speaker 2: op Windows 10.2.0 H2 of Nieuwer of Windows Server 2022
• 7:11
  Speaker 2: en je hebt de AD-login-extensie nodig op de VM. Je
• 7:14
  Speaker 2: moet ook de juiste RBAC-rollen toewijzen aan je gebruikers. Er
• 7:17
  Speaker 2: zijn hier twee rollen, Virtual Machine User Login voor standaard
• 7:20
  Speaker 2: toegang en Virtual Machine Administrator Login voor beheerdersrecht. Het is
• 7:24
  Speaker 2: een duidelijke scheiding waarmee je mensen precies de toegang geeft
• 7:26
  Speaker 2: die ze nodig hebben, niets meer. Als alles correct is ingesteld,
• 7:30
  Speaker 2: verschijnt Entra ID als standaard type voor authenticatie in de
• 7:33
  Speaker 2: Bastion verbindingsplate. Je bent met één klik binnen. Geen gebruikersnaam typen,
• 7:36
  Speaker 2: geen wachtwoord zoeken, geen SSH-sleutel kopiëren, gewoon klikken en verbinden.
• 7:41
  Speaker 2: Hier valt het oude Jumpbox-model echt door de mand, want
• 7:43
  Speaker 2: met Bastion en Entra ID samen krijg je iets wat
• 7:46
  Speaker 2: een Jumpbox nooit kan bieden. Identiteitsgebaseerde toegang ondersteund door je
• 7:49
  Speaker 2: volledige security-stack, Niet slechts een lokaal account op een VM.
• 7:53
  Speaker 2: SKU prijzen en de werkelijkheid. Laten we het dus over
• 7:56
  Speaker 2: geld hebben. Iedereen wil weten wat Bastion werkelijk kost. Er
• 7:59
  Speaker 2: zijn vier niveaus. Developer, Basic, Standard en Premium. Developer is gratis.
• 8:03
  Speaker 2: Dit is bedoeld voor testen, niet voor echt werk. Je
• 8:05
  Speaker 2: kunt slechts één VM tegelijk verbinden en het draait op
• 8:07
  Speaker 2: gedeelde infrastructuur. Geweldig om te leren, maar zet er niets
• 8:10
  Speaker 2: belangrijks op. Basic begint rond de 19 cent per uur,
• 8:13
  Speaker 2: ongeveer 140 dollar per maand. Het werkt voor kleine opstellingen,
• 8:16
  Speaker 2: maar je mist een paar zaken. Geen native client ondersteuning,
• 8:19
  Speaker 2: geen bestend subload of download, geen deelbare links. Prima voor
• 8:22
  Speaker 2: basis toegang via de portal, maar niets bijzonders. Standard kost
• 8:25
  Speaker 2: 29 cent per uur, ongeveer 210 dollar per maand. Dat
• 8:28
  Speaker 2: is standaard inclusief twee instanties. En dit is waar je
• 8:30
  Speaker 2: de echt goede functies krijgt. Native Client ondersteuning, zodat je
• 8:33
  Speaker 2: je normale RDP of SSH-client kunt gebruiken in plaats van
• 8:36
  Speaker 2: de browser. Deelbare links voor tijdelijke toegang. Bestanden uploaden en downloaden.
• 8:40
  Speaker 2: IP-gebaseerde verbindingen om on-premises machines te bereiken via ExpressRoute of VPN.
• 8:44
  Speaker 2: Premium kost 27 cent per uur, ongeveer 200 dollar per maand,
• 8:48
  Speaker 2: ook met twee instances. Het is per uur iets goedkoper
• 8:51
  Speaker 2: dan standaard. Premium voegt sessieopname en een puur private implementatie toe.
• 8:54
  Speaker 2: Dat betekent dat Bastion zelf geen publiek IP-adres nodig heeft.
• 8:57
  Speaker 2: Dat is erg belangrijk voor omgevingen met strenge compliance-eisen. Nu
• 9:00
  Speaker 2: volgt de vergelijking die er echt toe doet. Een Jumpbox
• 9:02
  Speaker 2: VM kost je misschien maar 35 dollar tot 50 dollar
• 9:04
  Speaker 2: per maand aan rekenkracht en opslag, maar dat zijn niet
• 9:06
  Speaker 2: de werkelijke kosten. De verborgen kosten voor patchen, beveiligen, monitoren
• 9:10
  Speaker 2: en beheren van die VM drijven het totaal vaak boven
• 9:13
  Speaker 2: de 200 dollar per maand. Drie uur aan beheertijd tegen
• 9:15
  Speaker 2: 60 dollar per uur is al 180 dollar. Tel daar
• 9:18
  Speaker 2: de VM-kosten bij op en je zit op 220 dollar
• 9:21
  Speaker 2: of meer. Dus Bastion standaard voor 210 dollar per maand
• 9:24
  Speaker 2: ziet er redelijk uit als je meer rekent waar je
• 9:26
  Speaker 2: niet meer voor betaalt. Voor de meeste productieomgevingen is standaard
• 9:29
  Speaker 2: of premium de juiste keuze. Het prijsverschil tussen hen en
• 9:32
  Speaker 2: een goed onderhouden jumpbox is klein, terwijl de beveiligings- en
• 9:35
  Speaker 2: operationele winst enorm is. Laten we alles op een rij
• 9:38
  Speaker 2: zetten en kijken hoe deze onderdelen in eenduidelijk beeld passen.
• 9:41
  Speaker 2: Het grote geheel, hoe alles met elkaar verbonden is. Laten
• 9:44
  Speaker 2: we uitzoomen en zien hoe dit allemaal samenkomt. Het oude
• 9:47
  Speaker 2: model zag er zo uit. Een publiek IP op je VM,
• 9:49
  Speaker 2: een open RDP-poort, een jumpbox die constante zorg vereiste en
• 9:53
  Speaker 2: lokale accounts verspreidt over elke machine. Elk onderdeel was een
• 9:56
  Speaker 2: apart probleem dat je moest oplossen. Netwerkbeveiliging, patch. identiteitsbeheer, inloggegevens, roteren.
• 10:02
  Speaker 2: Dat zijn veelbewegende delen. En als er eentje faalde, had
• 10:05
  Speaker 2: je een inbreuk. Kijk nu naar het nieuwe model met Bastion.
• 10:08
  Speaker 2: Geen publieke IP-adressen op je VM's, geen open poorten, een
• 10:11
  Speaker 2: beheerdedienst die Microsoft patcht en beveiligt, en identiteitsgebaseerde toegang met
• 10:15
  Speaker 2: MFA en voorwaardelijke toegang. Plotseling neemt de complexiteit enorm af.
• 10:18
  Speaker 2: Hier is hoe de onderdelen het werk verdelen. Bastion regelt
• 10:21
  Speaker 2: de netwerkbeveiligingslaag. Het is de manier waarop je binnenkomt. Het
• 10:24
  Speaker 2: zorgt ervoor dat je VM's onzichtbaar zijn voor het internet
• 10:27
  Speaker 2: en dat elke verbinding via een veilige, beheerde tunnel verloopt.
• 10:30
  Speaker 2: Entra ID regelt de identiteitslaag. Het draait om wie je
• 10:33
  Speaker 2: bent en of je toestemming hebt. Het zorgt ervoor dat
• 10:35
  Speaker 2: alleen de juiste mensen met de juiste rechten en de
• 10:37
  Speaker 2: juiste apparaat statusverbinding kunnen maken. Samen bieden ze iets wat
• 10:40
  Speaker 2: geen enkele jumpbox kan evenaren. Een scherpe scheiding tussen netwerktoegang
• 10:43
  Speaker 2: en identiteitscontrole. Je hoeft het netwerk niet te vertrouwen. Je
• 10:46
  Speaker 2: hoeft het IP-adres niet te vertrouwen. Je vertrouwt de identiteit.
• 10:50
  Speaker 2: En die identiteit wordt ondersteund door je volledige security stack.
• 10:53
  Speaker 2: Dit is de richting die Microsoft opgaat. En dat is
• 10:55
  Speaker 2: de richting die cloudbeveiliging opgaat. De echte kracht zit niet
• 10:58
  Speaker 2: in één product, maar in hoe ze samenwerken. Je eerste stappen,
• 11:02
  Speaker 2: aan de slag met Bastion. Dus, waar begin je? Ik
• 11:04
  Speaker 2: geef je een eenvoudig pad. Eerst moet je beslissen of
• 11:07
  Speaker 2: je opnieuw begint of migreert vanaf bestaande jumpboxen. Als je
• 11:10
  Speaker 2: opnieuw begint, heb je de beste uitgangspositie. Maar maak je
• 11:13
  Speaker 2: geen zorgen als je migreert. Bastion kan naast je huidige
• 11:16
  Speaker 2: setup bestaan terwijl je alles overzet. Kies vervolgens je SKU.
• 11:20
  Speaker 2: De developer SKU is gratis en ideaal om te testen,
• 11:22
  Speaker 2: maar kies voor productiestandaard of premium. Het prijsverschil met Basic
• 11:26
  Speaker 2: is klein en je krijgt functies die je echt gebruikt.
• 11:28
  Speaker 2: Daarna implementeer je Bastion in je virtuele netwerk. Maak het
• 11:31
  Speaker 2: Azure Bastion subnet met een...