Sady pravidel služby Azure Firewall Policy
Zásady brány firewall jsou prostředek nejvyšší úrovně, který obsahuje nastavení zabezpečení a provozu pro službu Azure Firewall. Zásady brány firewall můžete použít ke správě sad pravidel, které Azure Firewall používá k filtrování provozu. Zásady brány firewall uspořádají, upřednostňují a zpracovávají sady pravidel na základě hierarchie s následujícími komponentami: skupiny kolekcí pravidel, kolekce pravidel a pravidla.
Skupiny kolekcí pravidel
Skupina kolekcí pravidel se používá k seskupení kolekcí pravidel. Jsou první jednotkou, která se má zpracovat službou Azure Firewall a na základě hodnot se řídí pořadím priority. Existují tři výchozí skupiny kolekcí pravidel a jejich hodnoty priority jsou podle návrhu přednastavené. Zpracovávají se v následujícím pořadí:
| Název skupiny kolekcí pravidel | Priorita |
|---|---|
| Výchozí skupina kolekcí pravidel DNAT (Destination Network Address Translation) | 100 |
| Výchozí skupina kolekce pravidel sítě | 200 |
| Výchozí skupina kolekcí pravidel aplikace | 300 |
I když nemůžete odstranit výchozí skupiny kolekcí pravidel ani upravit jejich hodnoty priority, můžete s jejich pořadím zpracování manipulovat jiným způsobem. Pokud potřebujete definovat pořadí priority, které se liší od výchozího návrhu, můžete vytvořit vlastní skupiny kolekcí pravidel s požadovanými hodnotami priority. V tomto scénáři nepoužíváte vůbec výchozí skupiny kolekcí pravidel a k přizpůsobení logiky zpracování použijete jenom ty, které vytvoříte.
Skupiny kolekcí pravidel obsahují jednu nebo více kolekcí pravidel, které mohou být typu DNAT, sítě nebo aplikace. Můžete například seskupit pravidla patřící do stejných úloh nebo virtuální sítě ve skupině kolekce pravidel.
Informace o omezeních velikosti skupin kolekcí pravidel najdete v tématu Limity, kvóty a omezení předplatného a služeb Azure.
Kolekce pravidel
Kolekce pravidel patří do skupiny kolekcí pravidel a obsahuje jedno nebo více pravidel. Jsou druhou jednotkou zpracovávanou bránou firewall a řídí se pořadím priority na základě hodnot. Kolekce pravidel musí mít definovanou akci (povolit nebo odepřít) a hodnotu priority. Definovaná akce se vztahuje na všechna pravidla v kolekci pravidel. Hodnota priority určuje pořadí zpracování kolekcí pravidel.
Existují tři typy kolekcí pravidel:
- DNAT
- Síť
- Aplikace
Typy pravidel musí odpovídat kategorii nadřazené kolekce pravidel. Například pravidlo DNAT může být součástí kolekce pravidel DNAT.
Pravidla
Pravidlo patří do kolekce pravidel a určuje, který provoz je ve vaší síti povolený nebo zakázaný. Jedná se o třetí jednotku, kterou má brána firewall zpracovat, a neřídí se pořadím priority na základě hodnot. Logika zpracování pravidel se řídí přístupem shora dolů. Veškerý provoz procházející bránou firewall se vyhodnocuje definovanými pravidly pro shodu povolení nebo zamítnutí. Pokud neexistuje žádné pravidlo, které povoluje provoz, provoz se ve výchozím nastavení zamítá.
U pravidel aplikace se provoz zpracovává naší integrovanou kolekcí pravidel infrastruktury před tím, než se ve výchozím nastavení odepře.
Příchozí a odchozí
Příchozí pravidlo brány firewall chrání vaši síť před hrozbami pocházejícími mimo vaši síť (provoz pocházející z internetu) a snaží se infiltrovat vaši síť dovnitř.
Odchozí pravidlo brány firewall chrání před nefarbným provozem, který pochází interně (provoz pocházející z privátní IP adresy v Rámci Azure) a cestuje ven. Obvykle se jedná o provoz z prostředků Azure, které se přesměrovávají přes bránu firewall před dosažením cíle.
Typy pravidel
Existují tři typy pravidel:
- DNAT
- Síť
- Aplikace
Pravidla DNAT
Pravidla DNAT povolují nebo zakazují příchozí provoz prostřednictvím veřejných IP adres brány firewall. Pravidlo DNAT můžete použít, pokud chcete, aby se veřejná IP adresa přeložila na privátní IP adresu. Veřejné IP adresy služby Azure Firewall je možné použít k naslouchání příchozímu provozu z internetu, filtrování provozu a překlad tohoto provozu do interních prostředků v Azure.
Pravidla sítě
Pravidla sítě povolují nebo zakazují příchozí, odchozí a východní provoz založený na síťové vrstvě (L3) a přenosové vrstvě (L4).
Pravidlo sítě můžete použít, když chcete filtrovat provoz na základě IP adres, libovolných portů a protokolů.
Pravidla aplikace
Pravidla aplikací povolují nebo zamítnou odchozí a západní provoz na základě aplikační vrstvy (L7). Pravidlo aplikace můžete použít, pokud chcete filtrovat provoz na základě plně kvalifikovaných názvů domén (FQDN), adres URL a protokolů HTTP/HTTPS.
Další kroky
- Další informace o zpracování pravidel služby Azure Firewall: Konfigurace pravidel služby Azure Firewall