الشرح: تصفية حركة المرور الواردة على الإنترنت باستخدام سياسة جدار الحماية في Azure باستخدام بوابة Azure

يمكنك تكوين سياسة جدار الحماية في Azure ترجمة عناوين شبكة الوجهة (DNAT) لترجمة وتصفية حركة الإنترنت الواردة إلى شبكاتك الفرعية. عند تكوين ترجمة عنوان الشبكة الوجهة (DNAT)، يجري تعيين إجراء مجموعة قواعد على DNAT. يمكن بعد ذلك استخدام كل قاعدة في مجموعة قواعد NAT لترجمة عنوان IP العام والمنفذ الخاص بجدار الحماية إلى عنوان IP خاص ومنفذ. تضيف قواعد DNAT ضمنياً قاعدة شبكة مقابلة للسماح بحركة البيانات المترجمة. لأسباب أمنية، النهج الموصى به هو إضافة مصدر محدد للسماح بوصول DNAT إلى الشبكة وتجنب استخدام أحرف البدل. لمعرفة المزيد عن منطق معالجة قاعدة Azure Firewall، راجع منطق معالجة قاعدة Azure Firewall.

يوضح هذا الدرس كيفية نشر خادم ويب باستخدام DNAT.

في هذا البرنامج التعليمي، تتعلم كيفية:

  • إعداد بيئة شبكة اختبار
  • نشر جدار الحماية والنهج
  • إنشاء مسار افتراضي
  • نشر وتكوين خادم ويب
  • تكوين قاعدة DNAT لنشر خادم الويب
  • اختبار جدار الحماية

المتطلبات الأساسية

في حال لم يكن لديك اشتراك Azure، فأنشئ حساباً مجانيّاً قبل البدء.

إنشاء مجموعة موارد

  1. قم بتسجيل الدخول إلى بوابة Azure.
  2. في الصفحة الرئيسية لمدخل Microsoft Azure، حدد مجموعات الموارد، وحدد Add.
  3. بالنسبة لـ "Subscription"، حدد اشتراكك.
  4. بالنسبة إلى Resource group name، اكتب RG-DNAT-Test.
  5. لأجل Region: حدد منطقة. يجب أن تكون جميع الموارد الأخرى التي تقوم بإنشائها في نفس المنطقة.
  6. حدد "Review + create".
  7. حدد إنشاء.

إعداد بيئة شبكة اختبار

في هذا البرنامج التعليمي، يمكنك إنشاء شبكتين ظاهريتين مقترنتين:

  • VNet-Hub - جدار الحماية موجود في الشبكة الظاهرية هذه.
  • Workload-SN - خادم عبء العمل موجود في الشبكة الظاهرية هذه.

أنشئ الشبكات الظاهرية أولاً، ثم قم بإقرانها.

إنشاء محور الشبكة الظاهرية

  1. من الصفحة الرئيسية لمدخل Microsoft Azure، اختر "جميع الخدمات".

  2. ضمن إنشاء الشبكات، حدد Virtual networks.

  3. حدد إضافة.

  4. بالنسبة إلى مجموعة الموارد، حدد RG-DNAT-Test.

  5. بالنسبة إلى الاسم، اكتب VN-Hub.

  6. بالنسبة إلى المنطقة، حدد نفس المنطقة التي استخدمتها سابقاً.

  7. حدد "Next: IP addresses".

  8. لأجل IPv4 Address space، اقبل الافتراضي 10.0.0.0/16.

  9. ضمن اسم الشبكة الفرعية، اختر افتراضي.

  10. حرر اسم الشبكة الفرعية واكتب AzureFirewallSubnet".

    جدار الحماية سيكون في هذه الشبكة الفرعية، واسم الشبكة الفرعية must أن يكون AzureFirewallSubnet.

    إشعار

    حجم الشبكة الفرعية AzureFirewallSubnet هو /26. لمزيد من المعلومات عن حجم الشبكة الفرعية، راجع الأسئلة المتداولة عن Azure Firewall.

  11. بالنسبة لـ "Subnet address range"، اكتب "10.0.1.0/26".

  12. حدد حفظ.

  13. حدد "Review + create".

  14. حدد إنشاء.

إنشاء شبكة Spoke الافتراضية

  1. من الصفحة الرئيسية لمدخل Microsoft Azure، اختر "جميع الخدمات".
  2. ضمن إنشاء الشبكات، حدد Virtual networks.
  3. حدد إضافة.
  4. بالنسبة إلى مجموعة الموارد، حدد RG-DNAT-Test.
  5. بالنسبة إلى الاسم، اكتب VN-Spoke.
  6. بالنسبة إلى المنطقة، حدد نفس المنطقة التي استخدمتها سابقاً.
  7. حدد "Next: IP addresses".
  8. بالنسبة إلى مساحة عنوان IPv4، حرر الافتراضي واكتب 192.168.0.0/16.
  9. حدد Add subnet.
  10. بالنسبة إلى اسم الشبكة الفرعية، اكتب SN-Workload.
  11. بالنسبة إلى نطاق عنوان الشبكة الفرعية، اكتب 192.168.1.0/24.
  12. حدد إضافة.
  13. حدد "Review + create".
  14. حدد إنشاء.

نظير الشبكة الظاهرية

الآن قم بإقران الشبكتين الافتراضيتين.

  1. حدد الشبكة الظاهرية VN-Hub.
  2. ضمن الإعدادات، حدد Peerings.
  3. حدد إضافة.
  4. ضمن هذه الشبكة الظاهرية، بالنسبة إلى Peering link name، اكتب Peer-HubSpoke.
  5. Under الشبكة الظاهرية البعيدة، بالنسبة إلى Peering link name، اكتب Peer-SpokeHub.
  6. حدد VN-Spoke باعتبارها شبكة ظاهرية.
  7. اقبل جميع الإعدادات الافتراضية الأخرى، ثم حدد Add.

إنشاء جهاز ظاهري

أنشئ جهازاً ظاهرياً لحمل العمل، وضعه في الشبكة الفرعية Workload-SN.

  1. من قائمة مدخل Azure، حدد إنشاء مورد.
  2. تحت قسم الشعبية، اختر خادم أوبونتو 22.04 LTS.

الأساسيات

  1. بالنسبة لـ "Subscription"، حدد اشتراكك.
  2. بالنسبة إلى مجموعة الموارد، حدد RG-DNAT-Test.
  3. بالنسبة إلى Virtual machine name، اكتب Srv-Workload.
  4. بالنسبة للمنطقة Region، حدد نفس الموقع الذي استخدمته سابقاً.
  5. للصورة، اختر Ubuntu Server 22.04 LTS - x64 Gen2.
  6. بالنسبة للحجم، اختر Standard_B2s.
  7. لنوع المصادقة، اختر مفتاح SSH العام.
  8. لمستخدم المستخدم، اكتب azureuser.
  9. للحصول على مصدر المفتاح العام في SSH، اختر إنشاء زوج مفاتيح جديد.
  10. لاسم زوج المفاتيح، اكتب Srv-Workload_key.
  11. اختر لا خيار فيالمنافذ العامة الواردة.
  12. حدد التالي: الأقراص .

اقراص

  • حدد Next: Networking.

التواصل الشبكي

  1. بالنسبة إلى الشبكة الظاهرية، حدد " VNet-hub".
  2. ضمن الشبكة الفرعية، حدد SN-Workload.
  3. بالنسبة لـPublic IP، اخترNone.
  4. ضمن المنافذ العامة الواردة، حدد None.
  5. اترك الإعدادات الافتراضية الأخرى وحدد Next: Management.

الإدارة

  • قم باختيار Next: Monitoring.

Monitoring

  1. ضمن تشخيصات التمهيد، حدد تعطيل.
  2. حدد "استعراض + إنشاء".

مراجعة + إنشاء

راجع الملخص، ثم حدّد Create.

  • في مربع الحوار إنشاء زوج مفاتيح جديد ، اختر تحميل المفتاح الخاص وإنشاء مورد. احفظ ملف المفتاح ك Srv-Workload_key.pem.

بعد انتهاء التوزيع، لاحظ عنوان IP الخاص للجهاز الظاهري. سيتم استخدامه لاحقاً عند تكوين جدار الحماية. حدد اسم الجهاز الظاهري، وضمن Settings، حدد Networking للعثور على عنوان IP الخاص.

تثبيت خادم الويب

استخدم ميزة تشغيل أوامر في بوابة Azure لتثبيت خادم ويب على الجهاز الافتراضي.

  1. انتقل إلى الآلة الافتراضية Srv-Workload في بوابة Azure.

  2. تحت العمليات، اختر أمر الجري.

  3. اختر RunShellScript.

  4. في نافذة Run Command Script ، الصق السكربت التالي:

    sudo apt-get update
sudo apt-get install -y nginx
echo "<h1>Azure Firewall DNAT Demo - $(hostname)</h1>" | sudo tee /var/www/html/index.html

  5. حدد تشغيل.

  6. انتظر حتى يكتمل النص. يجب أن يظهر الناتج تثبيت Nginx بنجاح.

نشر جدار الحماية والنهج

  1. من الصفحة الرئيسية للمدخل، حدد Create a resource.

  2. ابحث عن Firewallثم حدد Firewall.

  3. حدد إنشاء.

  4. في صفحة إنشاء Firewall ، استخدم الجدول التالي لتكوين جدار الحماية:

    الإعداد القيمة‬
    الاشتراك <اشتراكك>
    مجموعة الموارد تحديد RG-DNAT-Test
    الاسم اختبار FW-DNAT
    المنطقة حدد الموقع نفسه الذي استخدمته سابقًا
    إدارة جدار الحماية استخدام نهج جدار الحماية لإدارة جدار الحماية هذا
    نهج جدار الحماية أضف الجديد:
    fw-dnat-pol
    منطقتك المحددة
    اختر شبكة ظاهرية استخدم الموجود: VN-Hub
    عنوان IP العام إضافة جديد، الاسم: fw-pip.

  5. قم بإلغاء تحديد المربع بجانب تفعيل NIC لإدارة الجدار الناري.

  6. اقبل الإعدادات الافتراضية الأخرى وحدد Review + create.

  7. راجع الملخص، ثم حدد إنشاء لإنشاء جدار الحماية.

    يستغرق هذا الأمر بضع دقائق للنشر.

  8. بعد اكتمال النشر، انتقل إلى مجموعة موارد RG-DNAT-Test، وحدد جدار الحماية FW-DNAT-test.

  9. لاحظ عناوين IP الخاصة والعامة لجدار الحماية. ستستخدمها لاحقاً عند إنشاء المسار الافتراضي وقاعدة NAT.

إنشاء مسار افتراضي

بالنسبة إلى الشبكة الفرعية SN-Workload، يمكنك تكوين المسار الافتراضي الصادر للانتقال عبر جدار الحماية.

هام

لا تحتاج إلى تكوين مسار صريح مرة أخرى إلى جدار الحماية في الشبكة الفرعية الوجهة. Azure Firewall هو خدمة ذات حالة ويعالج الحزم والجلسات تلقائيا. إذا قمت بإنشاء هذا المسار، فستنشئ بيئة توجيه غير متماثلة تقطع منطق جلسة العمل ذات الحالة المناسبة وتؤدي إلى الحزم والاتصالات التي تم إسقاطها.

  1. من الصفحة الرئيسية لمدخل Microsoft Azure، اختر "جميع الخدمات".

  2. ضمن الشبكات، حدد Route tables.

  3. حدد إضافة.

  4. بالنسبة لـ "Subscription"، حدد اشتراكك.

  5. بالنسبة إلى مجموعة الموارد، حدد RG-DNAT-Test.

  6. بالنسبة للمنطقة Region، حدد نفس المنطقة التي استخدمتها سابقاً.

  7. بالنسبة إلى الاسم، اكتب RT-FW-route.

  8. حدد "Review + create".

  9. حدد إنشاء.

  10. حدد الانتقال إلى المورد.

  11. حدد الشبكات الفرعية، ثم حدد Associate.

  12. بالنسبة إلى الشبكة الظاهرية، حدد " VNet-hub".

  13. ضمن الشبكة الفرعية، حدد SN-Workload.

  14. حدد موافق.

  15. حدد مسارات، ثم حدد إضافة.

  16. لأجل Route name، اكتب fw-dg.

  17. بالنسبة إلى بادئة العنوان، اكتب 0.0.0.0/0.

  18. بالنسبة إلى Next hop type، حدد Virtual appliance.

    يعد Azure Firewall في الواقع خدمة مُدارة، لكن الجهاز الظاهري يعمل في هذه الحالة.

  19. بالنسبة إلى Next hop address، اكتب عنوان IP الخاص بجدار الحماية الذي لاحظته سابقاً.

  20. حدد موافق.

تكوين قاعدة DNAT

تسمح هذه القاعدة لحركة مرور HTTP الواردة من الإنترنت بالوصول إلى خادم الويب عبر جدار الحماية.

  1. افتح مجموعة الموارد RG-DNAT-Test، وحدد نهج جدار الحماية fw-dnat-pol.
  2. ضمن الإعدادات، حدد قواعد DNAT.
  3. حدد Add a rule collection.
  4. بالنسبة للاسم، اكتب web-access.
  5. لأجل Priority، اكتب 200.
  6. بالنسبة إلى مجموعة جمع القاعدة، حدد DefaultDnatRuleCollectionGroup.
  7. تحت القواعد، للاسم، اكتب http-dnat.
  8. بالنسبة لـ " Source type"، حدد " IP address".
  9. بالنسبة للمصدر (Source)، اكتب * للسماح بحركة المرور من أي مصدر.
  10. بالنسبة لـ Protocol، اختر TCP.
  11. بالنسبة لـ " Destination Ports"، اكتب " 80".
  12. بالنسبة لـ Destination Type، أدخل IP Address.
  13. بالنسبة لوجهة، اكتب عنوان IP العام الخاص بجدار الحماية.
  14. لأجل العنوان المترجم، اكتب عنوان IP الخاص Srv-work.
  15. بالنسبة لمنفذ الترجمة، اكتب النوع 80.
  16. حدد إضافة.

اختبار جدار الحماية

الآن اختبر قاعدة DNAT للتحقق من إمكانية الوصول إلى خادم الويب عبر جدار الحماية.

  1. افتح مستعرض ويب.
  2. انتقل إلى http://<firewall-public-ip> (استخدم عنوان IP العام الخاص بجدار الحماية الذي أشرت إليه سابقا).
  3. يجب أن ترى صفحة الويب التي تعرض: Azure Firewall DNAT Demo - Srv-Workload

تترجم قاعدة DNAT بنجاح طلب HTTP الوارد على عنوان IP العام للجدار الناري إلى عنوان IP الخاص بخادم الويب. هذا يوضح كيف يمكن استخدام حمض نووي جدار الحماية في Azure لنشر تطبيقات الويب مع إبقاء خوادم الخلفية في شبكة فرعية خاصة.

تنظيف الموارد

يمكنك الاحتفاظ بموارد جدار الحماية لديك بالنسبة إلى البرنامج التعليمي التالي، أو إذا لم تعد هناك حاجة إلى هذا، فاحذف مجموعة الموارد RG-DNAT-Test لحذف جميع الموارد المتعلقة بجدار الحماية.

الخطوات التالية

للحصول على سيناريوهات DNAT المتقدمة التي تتضمن شبكات متداخلة أو وصول شبكة غير قابل للتوجيه، راجع:

توزيع Azure Firewall IP DNAT الخاص للشبكات المتداخلة وغير القابلة للتوجيه

  • Last updated on