Blokování síťového provozu pomocí Azure Virtual Network Manageru – Azure PowerShell

V tomto článku se dozvíte, jak vytvořit pravidlo zabezpečení, které bude blokovat odchozí síťový provoz na port 80 a 443, který můžete přidat do kolekcí pravidel. Další informace najdete v tématu Pravidla správce zabezpečení.

Požadavky

Než začnete konfigurovat pravidla zabezpečení, potvrďte následující kroky:

• Rozumíte jednotlivým prvkům v pravidlu správce zabezpečení.
• Vytvořili jste instanci Azure Virtual Network Manageru.
• Pro přístup k požadovaným rutinám se vyžaduje nainstalovaná verze Az.Network 5.3.0 nebo vyšší.

Vytvoření konfigurace SecurityAdmin

1. Vytvořte novou konfiguraci SecurityAdmin pomocí rutiny New-AzNetworkManagerSecurityAdminConfiguration.

   $config = @{
       Name = 'SecurityConfig'
       ResourceGroupName = 'myAVNMResourceGroup'
       NetworkManagerName = 'myAVNM'
   }
   $securityconfig = New-AzNetworkManagerSecurityAdminConfiguration @config
   
   

2. Uložte skupinu sítě do proměnné pomocí rutiny Get-AzNetworkManagerGroup.

   $ng = @{
       Name = 'myNetworkGroup'
       ResourceGroupName = 'myAVNMResourceGroup'
       NetworkManagerName = 'myAVNM'
   }
   $networkgroup = Get-AzNetworkManagerGroup @ng   
   

3. Vytvořte položku skupiny připojení pro přidání skupiny sítě do rutiny New-AzNetworkManagerSecurityGroupItem.

   $gi = @{
       NetworkGroupId = "$networkgroup.Id"
   }
   
   $groupItem = New-AzNetworkManagerSecurityGroupItem -NetworkGroupId $networkgroup.id
   

4. Vytvořte skupinu konfigurace a přidejte položku skupiny z předchozího kroku.

   [System.Collections.Generic.List[Microsoft.Azure.Commands.Network.Models.PSNetworkManagerSecurityGroupItem]]$configGroup = @()  
   $configGroup.Add($groupItem) 
   
   $configGroup = @($groupItem)
   

5. Vytvořte kolekci pravidel správce zabezpečení pomocí rutiny New-AzNetworkManagerSecurityAdminRuleCollection.

   $collection = @{
       Name = 'myRuleCollection'
       ResourceGroupName = 'myAVNMResourceGroup'
       NetworkManager = 'myAVNM'
       ConfigName = 'SecurityConfig'
       AppliesToGroup = "$configGroup"
   }
   $rulecollection = New-AzNetworkManagerSecurityAdminRuleCollection @collection -AppliesToGroup $configGroup
   

6. Definujte proměnné pro předpony zdrojové a cílové adresy a porty pomocí rutiny New-AzNetworkManagerAddressPrefixItem.

   $sourceip = @{
       AddressPrefix = 'Internet'
       AddressPrefixType = 'ServiceTag'
   }
   $sourceprefix = New-AzNetworkManagerAddressPrefixItem @sourceip
   
   $destinationip = @{
       AddressPrefix = '10.0.0.0/24'
       AddressPrefixType = 'IPPrefix'
   }
   $destinationprefix = New-AzNetworkManagerAddressPrefixItem @destinationip
   
   [System.Collections.Generic.List[string]]$sourcePortList = @() 
   $sourcePortList.Add("65500”) 
   
   [System.Collections.Generic.List[string]]$destinationPortList = @() 
   $destinationPortList.Add("80”)
   $destinationPortList.Add("443”)
   

7. Vytvořte pravidlo zabezpečení pomocí rutiny New-AzNetworkManagerSecurityAdminRule.

   $rule = @{
       Name = 'Block_HTTP_HTTPS'
       ResourceGroupName = 'myAVNMResourceGroup'
       NetworkManagerName = 'myAVNM'
       SecurityAdminConfigurationName = 'SecurityConfig'
       RuleCollectionName = 'myRuleCollection'
       Protocol = 'TCP'
       Access = 'Deny'
       Priority = '100'
       Direction = 'Outbound'
       SourceAddressPrefix = $sourceprefix
       SourcePortRange = $sourcePortList
       DestinationAddressPrefix = $destinationprefix
       DestinationPortRange = $destinationPortList
   }
   $securityrule = New-AzNetworkManagerSecurityAdminRule @rule
   

Potvrzení nasazení

Potvrďte konfiguraci zabezpečení do cílových oblastí pomocí Deploy-AzNetworkManagerCommit.

$regions = @("westus")
$deployment = @{
    Name = 'myAVNM'
    ResourceGroupName = 'myAVNMResourceGroup'
    ConfigurationId = $configIds
    TargetLocation = $regions
    CommitType = 'SecurityAdmin'
}
Deploy-AzNetworkManagerCommit @deployment 

Odstranění konfigurace zabezpečení

Pokud už konfiguraci zabezpečení nepotřebujete, ujistěte se, že platí následující kritéria, abyste mohli odstranit samotnou konfiguraci zabezpečení:

• Neexistují žádná nasazení konfigurací do žádné oblasti.
• Odstraňte všechna pravidla zabezpečení v kolekci pravidel přidruženou ke konfiguraci zabezpečení.

Odebrání nasazení konfigurace zabezpečení

Odeberte nasazení zabezpečení nasazením konfigurace pomocí Deploy-AzNetworkManagerCommit.

[System.Collections.Generic.List[string]]$configIds = @()
[System.Collections.Generic.List[string]]$regions = @()   
$regions.Add("westus")     
$removedeployment = @{
    Name = 'myAVNM'
    ResourceGroupName = 'myAVNMResourceGroup'
    ConfigurationId = $configIds
    TargetLocation = $regions
    CommitType = 'SecurityAdmin'
}
Deploy-AzNetworkManagerCommit @removedeployment

Odebrání pravidel zabezpečení

Odeberte pravidla zabezpečení pomocí rutiny Remove-AzNetworkManagerSecurityAdminRule.

$removerule = @{
    Name = 'Block80'
    ResourceGroupName = 'myAVNMResourceGroup'
    NetworkManagerName = 'myAVNM'
    SecurityAdminConfigurationName = 'SecurityConfig'
}
Remove-AzNetworkManagerSecurityAdminRule @removerule

Odebrání kolekcí pravidel zabezpečení

$removecollection = @{
    Name = 'myRuleCollection'
    ResourceGroupName = 'myAVNMResourceGroup'
    NetworkManagerName = 'myAVNM'
    SecurityAdminConfigurationName = 'SecurityConfig'
}
Remove-AzNetworkManagerSecurityAdminRuleCollection @removecollection

Odstranění konfigurace

Odstraňte konfiguraci zabezpečení pomocí Remove-AzNetworkManagerSecurityAdminConfiguration.

$removeconfig = @{
    Name = 'SecurityConfig'
    ResourceGroupName = 'myAVNMResourceGroup'
    NetworkManagerName = 'myAVNM'
}
Remove-AzNetworkManagerSecurityAdminConfiguration @removeconfig

Další kroky

Přečtěte si další informace o pravidlech správce zabezpečení.