Konfigurace vkládání hlaviček HTTP ve službě Azure Firewall

Použijte vložení HTTP hlaviček v Azure Firewall k přidání nebo úpravě HTTP hlaviček pro webový provoz. Přizpůsobením hlaviček mohou organizace vynucovat bezpečnostní politiky, vkládat autentizační tokeny a integrovat se se službami backendu. Tato funkce zlepšuje bezpečnost, pomáhá s dodržováním předpisů a optimalizuje řízení provozu, zejména u aplikací, které vyžadují specifické hlavičky pro přístup nebo identifikaci. Nastavte vkládání HTTP hlaviček podle pravidla aplikace. Když provoz odpovídá pravidlu aplikace, které konfigurujete pomocí vložení HTTP hlaviček, Azure Firewall vloží nakonfigurované HTTP hlavičky.

Podporované scénáře a omezení

Funkce vkládání HTTP hlaviček je navržena pro specifické případy použití a má určitá omezení.

Podporované scénáře

• V Premium SKU tato funkce podporuje HTTP provoz a HTTPS provoz, který je dešifrován pomocí TLS inspekce.
• Ve Standardních a Basic SKU tato funkce podporuje HTTP provoz.
• Tuto funkci můžete také nastavit pomocí Azure Firewall Policy Draft + Deployment.

Limitations

Mějte na paměti následující omezení:

• Nemůžete vložit určité rezervované hlavičky jako vlastní HTTP hlavičky do aplikačních pravidel. Následující tabulka uvádí rezervované hlavičky, seskupené podle kategorie.
• Vkládání HTTP hlaviček může snížit celkový počet pravidel ve skupině kolekcí pravidel, proto používejte vkládání HTTP hlaviček s rozmyslem. Pokud dosáhnete limitu JSON ve skupině pro sběr pravidel, vytvořte novou skupinu pro sběr pravidel a přidejte tam pravidla.

Kategorie	Rezervovaná záhlaví
Obecné a připojení	host, connection, content-length, , transfer-encodingupgrade, via, , tetrailer
Autentizace a cookies	proxy-authorization, proxy-authenticate, authorization, , cookieset-cookie
Zabezpečení	content-security-policy, strict-transport-security, , x-content-type-optionsx-frame-options, , referrer-policy, x-xss-protection, , public-key-pins, , expect-ctx-xsrf-token
Forwarding	x-forwarded-for, x-forwarded-proto, , , x-forwarded-port, x-forwarded-schemex-forwarded-hostforwarded
Other	metadata

Kroky konfigurace

Následující sekce poskytují krok za krokem návod pro vkládání HTTP hlaviček.

Tyto kroky předpokládají, že už máte existující Azure Firewall Policy (fw-policyv následujících příkladech). Pokud ji nemáte, podívejte se na Nasadit a nakonfigurovat Azure Firewall Policy.

Note

Stejné kroky proveďte pro HTTPS provoz, který má zapnutou inspekci TLS. Názvy hlaviček mohou mít až 100 znaků. Hodnoty hlaviček mohou mít až 16K (16 000) znaků. Celková maximální délka HTTP hlaviček (součet všech jmen HTTP hlaviček a hodnoty HTTP hlavičky) povolených v každém aplikačním pravidle je 16KB (16 384 bajtů).

Portal

1. V Azure portálu přejděte na existující firewallovou politiku nebo vytvořte novou.

2. Vyberte Pravidla a poté pravidla aplikace.

3. Vytvořte nové aplikační pravidlo nebo upravte stávající.

4. V panelu konfigurace pravidel najděte sekci HTTP Header Insertion .

5. Přidávejte požadované hlavičky zadáním názvu a hodnoty hlavičky. Můžete přidat více hlaviček podle potřeby.

   

6. Uložte pravidlo.

7. Pro ověření, že jsou hlavičky správně nastavené, znovu otevřete pravidlo a ověřte, že sekce HTTP Header Insertion zobrazuje názvy a hodnoty hlaviček, které jste přidali.

CLI

1. Přihlaste se do svého Azure účtu spuštěním příkazu az login.

2. Vytvořte skupinu pro sběr pravidel pomocí az network firewall policy-rule-collection-group create.

   az network firewall policy rule-collection-group create \
       --name rcg-c \
       --policy-name fw-policy \
       --resource-group test-rg \
       --priority 10000
   

3. Přidejte kolekci pravidel, která obsahuje aplikační pravidlo s vlastní hlavičkou HTTP, pomocí příkazu az network firewall policy rule-collection-group collection add-filter-collection.

   az network firewall policy rule-collection-group collection add-filter-collection \
       --policy-name "fw-policy" \
       --resource-group "test-rg" \
       --rcg-name "rcg-c" \
       --name "app_collection_1" \
       --collection-priority 10003 \
       --action Allow \
       --rule-name "app_rule_1" \
       --rule-type ApplicationRule \
       --target-fqdns "*.microsoft.com" "*.azure.com" \
       --source-addresses "10.0.0.5" "10.0.0.6" \
       --protocols Http=80 \
       --description "Allow access to Microsoft and Azure domains with header insertion" \
       --http-headers-to-insert "Restrict-Access-To-Tenants=contoso.com,fabrikam.onmicrosoft.com" "Restrict-Access-Context=aaaabbbb-0000-cccc-1111-dddd2222eeee"
   

4. Ověřte, že je pravidlo vytvořeno a hlavičky jsou správně nastaveny pomocí az network firewall policy-rule-collection-group show.

   az network firewall policy rule-collection-group show \
       --policy-name fw-policy \
       --resource-group test-rg \
       --name rcg-c
   

   Tento příkaz vrací plnou konfiguraci skupiny rcg-ckolekcí pravidel . Vyhledejte ve výstupu název svého pravidla (například app_rule_1) a ověřte jeho vlastnosti.

PowerShell

1. Vytvořte nové pravidlo aplikace pomocí New-AzFirewallPolicyApplicationRule.

   $rule = New-AzFirewallPolicyApplicationRule `
       -Name "app_rule_1" `
       -SourceAddress "10.0.0.5", "10.0.0.6" `
       -Protocol "Http:80" `
       -TargetFqdn "*.microsoft.com", "*.azure.com"
   

2. Vytvořte vlastní HTTP hlavičky pomocí New-AzFirewallPolicyApplicationRuleCustomHttpHeader a přidejte je do pravidla.

   $header1 = New-AzFirewallPolicyApplicationRuleCustomHttpHeader -HeaderName "Restrict-Access-To-Tenants" -HeaderValue "contoso.com,fabrikam.onmicrosoft.com"
   $header2 = New-AzFirewallPolicyApplicationRuleCustomHttpHeader -HeaderName "Restrict-Access-Context" -HeaderValue "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   
   $rule.AddCustomHttpHeaderToInsert($header1)
   $rule.AddCustomHttpHeaderToInsert($header2)
   

3. Vytvořte kolekci aplikačních pravidel, která obsahuje pravidlo, pomocí New-AzFirewallPolicyFilterRuleCollection.

   $collection = New-AzFirewallPolicyFilterRuleCollection `
       -Name "app_collection_1" `
       -Priority 10003 `
       -Rule @($rule) `
       -ActionType "Allow"
   

4. Vytvořte skupinu pro sbírku pravidel, která obsahuje tuto sbírku, pomocí New-AzFirewallPolicyRuleCollectionGroup.

   New-AzFirewallPolicyRuleCollectionGroup `
       -Name "rcg-c" `
       -FirewallPolicyName "fw-policy" `
       -ResourceGroupName "test-rg" `
       -Priority 10000 `
       -RuleCollection $collection
   

5. Ověřte, že je pravidlo vytvořeno a hlavičky jsou správně nakonfigurovány pomocí Get-AzFirewallPolicyRuleCollectionGroup.

   Get-AzFirewallPolicyRuleCollectionGroup `
       -AzureFirewallPolicyName "fw-policy" `
       -ResourceGroupName "test-rg" `
       -Name "rcg-c"
   

   Tento příkaz vrací plnou konfiguraci skupiny rcg-ckolekcí pravidel . Vyhledejte ve výstupu název svého pravidla (například app_rule_1) a ověřte jeho vlastnosti.

Další kroky

Aplikační pravidla s SQL FQDN