Proteggere la distribuzione di Azure Load Balancer

Azure Load Balancer offre funzionalità di bilanciamento del carico di livello 4 per distribuire il traffico in ingresso e in uscita tra istanze back-end integre. Poiché Load Balancer opera a livello di trasporto, è necessario combinarlo con controlli di rete, controlli delle identità, monitoraggio e crittografia a livello di carico di lavoro per proteggere la distribuzione completa.

Questo articolo fornisce raccomandazioni sulla sicurezza per Azure Load Balancer. L'implementazione di queste raccomandazioni consente di soddisfare gli obblighi di sicurezza e di migliorare il comportamento di sicurezza complessivo della distribuzione. Per una panoramica dei servizi di sicurezza di rete di Azure e di come interagiscono, vedere Che è Azure sicurezza di rete?.

Le raccomandazioni sulla sicurezza in questo articolo implementano i principi Zero Trust: "Verificare in modo esplicito", "Usare l'accesso con privilegi minimi" e "Presupporre violazione". Per indicazioni complete su Zero Trust, vedere Zero Trust Guidance Center.

Sicurezza della rete

La sicurezza di rete per Azure Load Balancer è incentrata sulla limitazione dell'esposizione in ingresso, sul controllo della connettività in uscita, sulla convalida dell'integrità back-end e sull'integrazione con altri servizi di sicurezza di rete Azure.

• Usare la SKU di Load Balancer Standard: distribuire il Load Balancer Standard per carichi di lavoro di produzione. Load Balancer Standard segue un modello protetto per impostazione predefinita con connessioni in ingresso chiuse, supporta le zone di disponibilità e fornisce un contratto di servizio 99.99%. Il Load Balancer basic è stato ritirato il 30 settembre 2025 e non deve essere usato per le nuove distribuzioni. Per altre informazioni, vedere Panoramica di Azure Load Balancer.

• Implementare gruppi di sicurezza di rete in subnet e interfacce di rete: applicare gruppi di sicurezza di rete (NSG) a subnet back-end e interfacce di rete per consentire in modo esplicito solo porte, protocolli e intervalli IP di origine necessari. Load Balancer Standard non consente il traffico in entrata finché un NSG non lo autorizza esplicitamente. Per altre informazioni, vedere Azure Load Balancer baseline di sicurezza.

• Consentire il traffico del probe di integrità di Azure Load Balancer: assicurarsi che i gruppi di sicurezza di rete, le route definite dall'utente e i criteri del firewall locale consentano il traffico del probe di integrità dall'indirizzo IP 168.63.129.16. Le sonde bloccate causano la rimozione dalla rotazione del traffico di istanze back-end sane e possono provocare interruzioni evitabili. Per altre informazioni, vedere Probe di integrità di Azure Load Balancer.

• Usare il servizio di bilanciamento del carico interno per carichi di lavoro privati: distribuire un servizio di bilanciamento del carico interno con indirizzi IP front-end privati quando il servizio non richiede l'esposizione diretta a Internet. Usa il peering di rete virtuale, VPN, ExpressRoute, Firewall di Azure o schemi di accesso privato per controllare chi può raggiungere il frontend. Per altre informazioni, vedere componenti Azure Load Balancer.

• Proteggere i bilanciatori del carico pubblici con Azure DDoS Protection: Abilitare Azure DDoS Network Protection nella rete virtuale che ospita i bilanciatori del carico pubblici. Protezione DDoS offre funzionalità avanzate di mitigazione e rilevamento DDoS che monitorano gli endpoint per minacce e segni di abuso. Per altre informazioni, vedere Protect your public load balancer with Azure DDoS Protection.

• Usare la connettività in uscita esplicita: non basarsi sull'accesso in uscita predefinito. L'accesso in uscita predefinito è stato dismesso il 30 settembre 2025, quindi usa Gateway NAT di Azure per ottenere indirizzi IP in uscita prevedibili oppure configura regole in uscita esplicite di Load Balancer Standard quando NAT Gateway non è appropriato. Per altre informazioni, vedi Connessioni in uscita in Azure e Panoramica di Gateway NAT di Azure.

• Configurare la modalità di distribuzione appropriata: selezionare la modalità di distribuzione adatta ai requisiti di sicurezza e dell'applicazione. Usare l'hash a 5 tuple predefinito per la maggior parte dei carichi di lavoro e usare la persistenza della sessione solo quando l'applicazione lo richiede perché la persistenza può creare una distribuzione non uniforme e ridurre la resilienza. Per altre informazioni, vedere modalità di distribuzione del servizio Azure Load Balancer.

• Abilitare la reimpostazione TCP per la gestione delle connessioni più chiare: configurare la reimpostazione TCP sulle regole di bilanciamento del carico in modo che i client e le applicazioni back-end ricevano pacchetti di reimpostazione TCP bidirezionali in caso di timeout di inattività. Uno stato della connessione ben definito aiuta le applicazioni a riprendersi più rapidamente e riduce le connessioni semiaperte ambigue. Per altre informazioni, vedi Azure Load Balancer procedure consigliate.

• Proteggere gli IP flottanti e le architetture di Gateway Load Balancer: quando si utilizza un IP flottante per scenari di alta disponibilità, configurare correttamente le interfacce di loopback e applicare i controlli del firewall dell'host. Per Gateway Load Balancer e le appliance virtuali di rete, separare il traffico attendibile da quello non attendibile su interfacce tunnel distinte e tenere conto del sovraccarico dell'intestazione VXLAN. Per altre informazioni, vedi Azure Load Balancer procedure consigliate.

• Integrate i servizi di ispezione quando necessario: Azure Load Balancer è un servizio di livello 4 e non controlla i payload dell'applicazione. Instrada il traffico tramite Firewall di Azure, appliance virtuali di rete, Application Gateway o Frontdoor di Azure quando sono necessarie funzionalità firewall, un Web Application Firewall o l'ispezione di livello 7. Per altre informazioni, vedi Procedure consigliate per l'architettura di Azure Load Balancer.

Gestione delle identità e degli accessi

Gestione delle identità e degli accessi per Azure Load Balancer controlla chi può creare, aggiornare, eliminare ed esaminare le risorse, le regole, i probe, gli indirizzi IP front-end, i pool back-end e la connettività in uscita.

• Usare Microsoft Entra ID per l'accesso al piano di gestione: richiedere agli amministratori di eseguire l'autenticazione con Microsoft Entra ID quando si usa il portale di Azure, interfaccia della riga di comando di Azure, Azure PowerShell o Azure Resource Manager Api. Applicare controlli di accesso condizionale, ad esempio l'autenticazione a più fattori, i requisiti dei dispositivi conformi e i criteri di rischio di accesso per i ruoli di rete con privilegi. Per altre informazioni, vedere Microsoft Entra Accesso condizionale.

• Implementare il controllo degli accessi in base al ruolo di Azure: assegnare ruoli RBAC di Azure a utenti, gruppi, identità gestite e account di automazione che gestiscono i bilanciatori del carico. Usare ruoli predefiniti, ad esempio Collaboratore rete, solo in cui è necessario l'ambito completo di gestione della rete. Per altre informazioni, vedere Che è Azure controllo degli accessi in base al ruolo?.

• Applica il principio del privilegio minimo: evita assegnazioni ampie dei ruoli Owner o Contributor per le operazioni di routine del servizio di bilanciamento del carico. Creare ruoli personalizzati quando gli operatori necessitano solo di autorizzazioni specifiche per le operazioni di lettura, scrittura, regole, sonde o pool di back-end del servizio di bilanciamento del carico. Per ulteriori informazioni, consultare Ruoli personalizzati in Azure.

• Usare Privileged Identity Management per l'accesso con privilegi elevati: rendere idonei ruoli ad alto impatto anziché assegnare in modo permanente tramite Microsoft Entra Privileged Identity Management (PIM). Richiedi l'approvazione, l'autenticazione a più fattori, la giustificazione e l'attivazione limitata nel tempo per i ruoli che possono modificare i bilanciatori del carico di produzione. Per altre informazioni, vedere Che cos'è Microsoft Entra Privileged Identity Management?.

• Compiti separati per i team di rete e carico di lavoro: limitare chi può modificare le regole di bilanciamento del carico, le regole NAT in ingresso, le regole in uscita, l'appartenenza al pool back-end e le impostazioni del probe. La separazione dei compiti riduce il rischio che una singola identità compromessa possa esporre un servizio e modificare il carico di lavoro sottostante. Per altre informazioni, vedere Procedure consigliate per il controllo degli accessi in base al ruolo di Azure.

• Verificare le modifiche al piano di gestione: monitorare gli eventi del log attività di Azure relativi alle modifiche della configurazione del bilanciamento del carico, alle assegnazioni di ruolo e alle modifiche delle impostazioni di diagnostica. Avviso relativo ad aggiornamenti imprevisti delle configurazioni IP front-end, delle mappature delle regole, delle regole in uscita o dell'appartenenza al pool di back-end. Per altre informazioni, vedere Monitor Azure Load Balancer.

Protezione dei dati

La protezione dei dati per Azure Load Balancer è incentrata sulla protezione del traffico gestito dai carichi di lavoro back-end e sulla protezione della configurazione e della telemetria perché Load Balancer non archivia i dati delle applicazioni dei clienti.

• Crittografa il traffico dell'applicazione end-to-end: Azure Load Balancer opera al livello 4 e non termina TLS né ispeziona i payload. Configurare TLS nell'applicazione back-end o in un servizio di livello 7 davanti al back-end in modo che il traffico rimanga crittografato se necessario. Per altre informazioni, vedi Procedure consigliate per l'architettura di Azure Load Balancer.

• Usare il servizio corretto per la terminazione TLS: se il carico di lavoro HTTP o HTTPS richiede la terminazione TLS, la gestione dei certificati, il routing URL o l'ispezione web del firewall dell'applicazione, usare gateway applicazione di Azure o Frontdoor di Azure anziché basarsi su Load Balancer per tali funzioni. Per altre informazioni, vedere Panoramica di Azure Load Balancer.

• Protect back-end secrets and certificates: Archiviare certificati TLS, chiavi private e segreti dell'applicazione usati dalle istanze back-end in Azure Key Vault. Usare le identità gestite per i carichi di lavoro back-end anziché incorporare segreti in script, modelli o estensioni vm. Per altre informazioni, vedere Panoramica di Azure Key Vault.

• Destinazioni di dati di diagnostica sicure: le metriche del servizio di bilanciamento del carico, i log dei flussi e la diagnostica archiviata possono includere indirizzi IP, porte e dettagli della topologia. Limita l'accesso alle aree di lavoro Log Analytics, agli account di archiviazione e agli Hub eventi che ricevono i dati di diagnostica e usa chiavi gestite dal cliente per gli account di archiviazione quando i requisiti di conformità lo richiedono. Per altre informazioni, vedere crittografia di Archiviazione di Azure.

• Evitare di esporre la topologia sensibile nei nomi e nei tag: non includere segreti, nomi di progetto interni o dettagli di rete sensibili nei nomi del servizio di bilanciamento del carico, nomi delle regole, etichette DNS IP pubbliche o tag di risorse. Questi valori possono essere visualizzati in log, esportazioni, avvisi e verifiche di accesso. Per altre informazioni, vedere Regole di denominazione e restrizioni per le risorse di Azure.

Registrazione e monitoraggio

La registrazione e il monitoraggio per Azure Load Balancer offre visibilità sulla disponibilità, i probe di integrità, i modelli di traffico e le modifiche alla configurazione in modo che i team possano rilevare rapidamente i problemi di sicurezza e affidabilità.

• Abilita le impostazioni di diagnostica: configurare le impostazioni di diagnostica per inviare le metriche del servizio di bilanciamento del carico e i log supportati a un'area di lavoro Log Analytics, all'account di archiviazione o a Hub eventi per l'analisi e la conservazione. Per altre informazioni, vedere Monitor Azure Load Balancer.

• Use Monitoraggio di Azure Insights: Distribuire Load Balancer Insights per visualizzare dashboard preconfigurati, diagrammi delle dipendenze funzionali, integrità delle risorse e metriche per il monitoraggio proattivo. Per altre informazioni, vedere Usare Insights per monitorare e configurare Azure Load Balancer.

• Configurare il monitoraggio con probe di integrità: Implementare probe di integrità che rappresentino accuratamente la prontezza dell'applicazione, non solo la disponibilità dell'host. Monitora lo stato della sonda in modo da rilevare guasti del back-end, blocchi del firewall e interruzioni dell'applicazione prima che gli utenti ne risentano. Per altre informazioni, vedere Gestire i probe di integrità per Azure Load Balancer.

• Monitorare le metriche di connessione e disponibilità: tenere traccia delle metriche, ad esempio disponibilità del percorso dati, stato probe di integrità, numero di connessioni SYN, conteggio connessioni SNAT e porte SNAT allocate. Usare gli avvisi per identificare i back-end non riusciti, i picchi di connessione anomali o l'esaurimento delle porte in uscita. Per altre informazioni, vedi diagnostica di Load Balancer Standard con metriche, avvisi e integrità delle risorse.

• Abilitare i log dei flussi di rete virtuale: configurare i log dei flussi di rete virtuale per analizzare i modelli di traffico nelle subnet back-end e identificare flussi sospetti o imprevisti. Inoltrare i log al sistema SIEM (Security Information and Event Management) per la correlazione con eventi di carico di lavoro e identità. Per altre informazioni, vedere Monitor Azure Load Balancer.

• Configura gli avvisi di sicurezza e operativi: Crea avvisi di Monitoraggio di Azure per probe di integrità non riuscite, bassa disponibilità del percorso dati, aumenti insoliti del traffico, indicatori di esaurimento SNAT e modifiche impreviste al log attività. Includere i collegamenti del runbook e le informazioni sul proprietario nelle azioni di avviso. Per altre informazioni, vedere Monitor Azure Load Balancer.

Conformità e governance

Conformità e governance per Azure Load Balancer consente di garantire configurazioni coerenti, supportabili e controllabili tra sottoscrizioni, aree e ambienti.

• Implementare i criteri di Criteri di Azure: Usare Criteri di Azure per verificare e applicare i requisiti del bilanciatore del carico, ad esempio l'utilizzo dello SKU Standard, le impostazioni di diagnostica, l'assegnazione di tag e le associazioni NSG sulle subnet back-end. Per altre informazioni, vedere Azure Load Balancer baseline di sicurezza.

• Standardizza la distribuzione con l'infrastruttura come codice: Distribuisci bilanciatori del carico, indirizzi IP pubblici, regole, probe, pool di back-end e configurazioni in uscita con modelli ARM, Bicep o altre pipeline approvate di infrastruttura come codice. I modelli controllati dalla versione riducono la deriva e forniscono prove per le verifiche di conformità. Per altre informazioni, vedi Creare un servizio di bilanciamento del carico pubblico con Bicep e Creare un servizio di bilanciamento del carico pubblico con un modello ARM.

• Usare l'assegnazione di tag alle risorse: applicare tag coerenti per il proprietario del carico di lavoro, la classificazione dei dati, l'ambiente, la criticità aziendale e il livello di ripristino di emergenza. I tag supportano la gestione dei costi, il rilevamento della conformità, il routing degli eventi imprevisti e le verifiche di proprietà. Per altre informazioni, vedere Azure guida alle decisioni per la denominazione e l'assegnazione di tag alle risorse.

• Esaminare le configurazioni non supportate e obsolete: inventariare i bilanciatori del carico Basic, le dipendenze implicite in uscita, gli indirizzi IP pubblici non gestiti e la diagnostica mancante. Classificare in ordine di priorità la migrazione alle Load Balancer Standard, al gateway NAT o alle regole in uscita esplicite e alle configurazioni monitorate. Per altre informazioni, vedere Upgrade da Basic a Load Balancer Standard.

• Controllare le modifiche tramite flussi di lavoro approvati: richiedere la revisione delle modifiche per gli indirizzi IP front-end, le regole in ingresso, le regole NAT, le regole in uscita, l'appartenenza al pool back-end, i percorsi dei probe e le impostazioni di timeout di inattività. Usare il log attività di Azure e la cronologia di distribuzione per verificare che le modifiche provengano da identità e pipeline approvate. Per altre informazioni, vedere Azure Resource Manager cronologia di distribuzione.

Backup e ripristino

Il backup e il ripristino per Azure Load Balancer sono incentrati sulla conservazione della configurazione, sulla documentazione delle dipendenze e sulla progettazione di topologie resilienti che mantengono il flusso del traffico durante errori di istanza, zona o area.

• Esporta e crea una versione della configurazione del bilanciatore del carico: esporta la configurazione di Load Balancer Standard come modello ARM o file Bicep e archiviala nel sistema di controllo del codice sorgente. Acquisire configurazioni IP front-end, risorse IP pubbliche, pool back-end, regole di bilanciamento del carico, regole NAT in ingresso, regole in uscita, probe di integrità e dipendenze in modo da poter ripristinare o ricreare rapidamente la distribuzione. Per altre informazioni, vedere modelli Export nel portale di Azure e Esporta modelli con interfaccia della riga di comando di Azure.

• Documenta la topologia prima delle modifiche: registra gli indirizzi IP frontend, i nomi DNS, i membri del pool backend, le associazioni tra regole e probe, le associazioni NAT, la configurazione della connettività in uscita, le dipendenze degli NSG, le tabelle di routing e i team responsabili prima delle modifiche pianificate. La documentazione attuale riduce i tempi di ripristino quando è necessario un rollback o una ricostruzione regionale. Per altre informazioni, vedere componenti Azure Load Balancer.

• Usare un servizio di bilanciamento del carico tra aree geografiche per il failover multi-area geografica: distribuire Cross-region Load Balancer, noto anche come Global Load Balancer, quando si ha bisogno di un unico front-end globale che distribuisca il traffico tra bilanciatori del carico regionali. Abbinarlo al monitoraggio regionale dello stato e a procedure di failover testate. Per altre informazioni, vedi Bilanciamento del carico tra aree e Distribuzione di un bilanciamento del carico tra aree tramite un modello ARM.

• Usare interfacce front-end con ridondanza della zona per garantire la resilienza tra zone di disponibilità: usare Load Balancer Standard con configurazioni IP front-end con ridondanza della zona nelle aree in cui sono supportate le zone di disponibilità. Lo SKU Standard include il supporto integrato per la ridondanza della zona e un frontend con ridondanza della zona contribuisce a mantenere disponibile il percorso dei dati in caso di guasto di una zona. Per altre informazioni, vedi Azure Load Balancer procedure consigliate.

• Distribuire i pool back-end tra le zone: Posizionare istanze back-end in più zone di disponibilità usando set di scalabilità di macchine virtuali o macchine virtuali a livello di zona. I pool di backend con ridondanza della zona riducono la probabilità che un guasto di una singola zona rimuova dal servizio tutte le istanze funzionanti. Per ulteriori informazioni, consulta Eseguire la migrazione di Load Balancer al supporto delle zone di disponibilità.

• Configurazione delle probe di integrità per il failover automatico all'interno dell'area geografica: le probe di integrità determinano quali istanze di backend ricevono il traffico. Configurate le probe per gli endpoint dell'applicazione pronti, scegliete intervalli e soglie appropriati e testate il comportamento delle probe durante la manutenzione, in modo che il traffico venga automaticamente reindirizzato alle istanze integre all'interno della regione. Per altre informazioni, vedere Gestire i probe di integrità per Azure Load Balancer.

• Testare regolarmente il failover: esercitare scenari di failover dell'istanza, della zona e della regione secondo una pianificazione definita. Verificare che le sonde rimuovano le istanze non integre, che il Cross-region Load Balancer o il routing DNS inviino il traffico alla regione secondaria, che la connettività in uscita continui a funzionare e che gli avvisi di monitoraggio raggiungano i destinatari corretti. Per altre informazioni, vedi Azure Load Balancer procedure consigliate.

Passaggi successivi

• Azure Load Balancer baseline di sicurezza
• Che cos'è la sicurezza di rete di Azure?