Osvědčené postupy architektury pro Azure Firewall

Azure Firewall je cloudová nativní a inteligentní služba zabezpečení brány firewall sítě, která poskytuje nejlepší ochranu před hrozbami pro vaše cloudové úlohy, které běží v Azure. Jedná se o plně stavovou službu spravované brány firewall, která má integrovanou vysokou dostupnost a neomezenou cloudovou škálovatelnost. Azure Firewall poskytuje inspekci provozu ve směru east-west i north-south.

Tento článek předpokládá, že jste si jako architekt prostudovali možnosti zabezpečení virtuální sítě a zvolili Azure Firewall jako službu zabezpečení sítě pro vaši úlohu. Pokyny v tomto článku poskytují architektonická doporučení, která vycházejí z principů pilířů architektury Azure Well-Architected Framework.

Rozsah technologií

Tato kontrola se zaměřuje na vzájemně nesouvisející rozhodnutí pro následující prostředky Azure:

• Azure Firewall
• Azure Firewall Manager

Reliability

Účelem pilíře spolehlivosti je poskytovat nepřetržitou funkčnost tím, že vytváří dostatečnou odolnost a schopnost rychle se zotavit ze selhání.

Principy návrhu spolehlivosti poskytují obecnou strategii návrhu uplatňovanou u jednotlivých komponent, systémových toků i systému jako celku.

Kontrolní seznam návrhu úloh

Začněte se strategií návrhu na základě kontrolního seznamu revize návrhu pro spolehlivost. Určete její význam pro vaše obchodní požadavky a přitom mějte na paměti zásady a typ architektury, kterou používáte. Rozšiřte strategii tak, aby podle potřeby zahrnovala více přístupů.

• Projděte si seznam známých problémů se službou Azure Firewall. Produkty Azure Firewall udržují aktualizovaný seznam známých problémů. Tento seznam obsahuje důležité informace o chování při návrhu, opravách při konstrukci, omezeních platformy a možných alternativních řešeních nebo strategiích pro zmírnění rizik.

• Ujistěte se, že zásady služby Azure Firewall dodržují limity a doporučení služby Azure Firewall. Struktura zásad má omezení, včetně počtu pravidel a skupin kolekcí pravidel, celkové velikosti zásad, zdrojových cílů a cílových cílů. Nezapomeňte vytvořit zásadu a zůstat pod zdokumentovanými prahovými hodnotami.

• Nasazení služby Azure Firewall napříč několika zónami dostupnosti pro vyšší smlouvu o úrovni služeb (SLA). Azure Firewall poskytuje různé smlouvy SLA v závislosti na tom, jestli službu nasadíte v jedné zóně dostupnosti nebo v několika zónách. Další informace najdete v článku SLA pro online služby. Další informace o spolehlivosti služby Azure Firewall najdete v tématu Spolehlivost ve službě Azure Firewall.

• Nasaďte instanci služby Azure Firewall v každé oblasti v prostředích s více oblastmi. Informace o tradičních hvězdicových architekturách najdete v tématu Aspekty více oblastí. Pro zabezpečené uzly Azure Virtual WAN nakonfigurujte záměr směrování a zásady, aby se zabezpečila komunikace mezi uzly a mezi pobočkami. U úloh odolných proti selhání a odolných proti poruchám považujte instance služeb Azure Firewall a Azure Virtual Network za regionální prostředky.

• Monitorujte metriky služby Azure Firewall a stav prostředku. Azure Firewall se integruje s Azure Resource Health. Pomocí kontroly služby Resource Health zobrazte stav služby Azure Firewall a vyřešte problémy se službami, které můžou ovlivnit váš prostředek služby Azure Firewall.

• Nasaďte Azure Firewall ve virtuálních sítích typu hub nebo jako součást hubů služby Virtual WAN.

Note

Dostupnost síťových služeb se liší mezi tradičním modelem hub-and-spoke a modelem zabezpečených uzlů spravovaných službou Virtual WAN. Například v centru Virtual WAN nemůže veřejná IP adresa služby Azure Firewall pocházet z předpony veřejné IP adresy a nemůže mít povolenou službu Azure DDoS Protection. Při výběru modelu zvažte své požadavky s ohledem na všech pět pilířů rámce Well-Architected.

Doporučení pro konfiguraci

Recommendation	Benefit
Nasaďte Azure Firewall ve více zónách dostupnosti.	Nasaďte službu Azure Firewall napříč několika zónami dostupnosti, abyste zachovali určitou úroveň odolnosti. Pokud dojde k výpadku jedné zóny, bude dál obsluhovat provoz jiná zóna.
Sledujte metriky Azure Firewall v pracovním prostoru Log Analytics. Pečlivě monitorujte metriky, které označují stav služby Azure Firewall, jako je propustnost, stav brány firewall, využití portů SNAT a metriky sondy latence AZFW . Pomocí služby Azure Service Health můžete monitorovat stav služby Azure Firewall.	Monitorujte metriky prostředků a stav služby, abyste mohli zjistit, kdy se stav služby sníží, a přijmout proaktivní opatření, abyste zabránili selháním.
V případě hybridních sítí s registrovanými nebo měnícími se privátními předponami nakonfigurujte trasy SNAT s automatickým učením a ověřte naučené předpony. Brány firewall virtuální sítě vyžadují službu Azure Route Server ve virtuální síti brány firewall; zabezpečené virtuální rozbočovače ji obsahují.	Azure Firewall pravidelně zachází s naučenými předponami jako s interními cíli No-SNAT, což zachovává zdrojové IP adresy a snižuje údržbu ručního rozsahu. Nesprávně naučené trasy mohou změnit chování SNAT, proto sledujte propagaci tras a v postupech nasazení zachovejte výslovnou validaci.
Povolte monitorování služby Resource Health , abyste mohli proaktivně monitorovat stav služby Azure Firewall a dostávat oznámení o potenciálním snížení výkonu.	Poskytuje včasné upozornění na potenciální problémy a doporučené akce pro zmírnění rizik, zlepšení provozní odezvy a snížení výpadků.

Zabezpečení

Účelem pilíře zabezpečení je poskytnout úloze záruky důvěrnosti, integrity a dostupnosti.

Principy návrhu zabezpečení poskytují obecnou strategii návrhu pro dosažení těchto cílů uplatněním přístupů k technickému návrhu služby Azure Firewall.

Kontrolní seznam návrhu úloh

Začněte s návrhovou strategií na základě kontrolního seznamu revize návrhu pro zabezpečení. Identifikujte ohrožení zabezpečení a kontrolní mechanismy, abyste zlepšili stav zabezpečení. Rozšiřte strategii tak, aby podle potřeby zahrnovala více přístupů.

• Směrujte veškerý internetový provoz z vaší úlohy přes firewall nebo síťové virtuální zařízení (NVA), abyste mohli detekovat a blokovat hrozby. Nakonfigurujte trasy definované uživatelem tak, aby vynutily provoz přes Azure Firewall. U webového provozu zvažte použití služby Azure Firewall jako explicitního proxy serveru.

  Pokud chcete tyto poskytovatele použít k ochraně odchozích připojení, nakonfigurujte ve Firewall Manageru podporované partnerské poskytovatele zabezpečení SaaS.

  Omezte používání veřejných IP adres, které jsou přímo přiřazené k virtuálním počítačům, aby provoz nemohl obejít firewall. Model Cloud Adoption Framework Azure přiřazuje konkrétní zásadu Azure skupině pro správu CORP.

  Pokud vaše potřeby zabezpečení vyžadují implementaci nulová důvěra (nulová důvěra (Zero Trust)) pro webové aplikace, jako je přidání kontroly a šifrování, postupujte podle nulová důvěra (nulová důvěra (Zero Trust)) průvodce konfigurací služby Azure Firewall a Application Gateway. Podle této příručky můžete integrovat Azure Firewall a Application Gateway pro scénáře tradiční hvězdicové topologie a Virtual WAN.

  Ve scénářích, kdy nemůžete konfigurovat směrovací tabulky, explicitní režim proxy umožňuje klientským aplikacím odesílat provoz HTTP a HTTPS přímo do brány firewall bez změn směrovací tabulky. Tato možnost může zjednodušit kontrolu odchozí komunikace v hybridních nasazeních nebo v nasazeních virtuálních sítí, kde je obtížné ve větším rozsahu udržovat intercepci založenou na UDR. Tento přístup představuje riziko, že klienti nemusí správně nakonfigurovat proxy server, takže by se měl používat pouze jako záložní, pokud změny směrovací tabulky nejsou možné.

  Další informace najdete v článku Použití firewallů na hraničních zařízeních.

• Definujte síťové hranice jako součást své strategie segmentace úloh, abyste omezili dosah případného narušení, skryli prostředky úloh a blokovali neočekávaný, zakázaný a nezabezpečený přístup. Vytvořte pravidla pro zásady služby Azure Firewall na základě kritérií přístupu s nejnižšími oprávněními .

  Při konfiguraci služby Azure Firewall v režimu vynuceného tunelování nastavte veřejnou IP adresu na Žádná pro zajištění plně privátního datového plánu. Tento přístup se nevztahuje na Virtual WAN.

  Při definování pravidel sítě pro zjednodušení správy používejte plně kvalifikované názvy domén a značky služeb.

• Pomocí mechanismů detekce pečlivě monitorujte hrozby a známky zneužití. Využijte mechanismy a míry detekce poskytované platformou. Povolte systém detekce a prevence neoprávněných vniknutí (IDPS). Přidružte plán služby Azure DDoS Protection k virtuální síti centra. Pokud je to možné, prozkoumejte možnosti, které zlepšují analýzu hrozeb pomocí funkcí zabezpečení využívajících AI.

  Další informace naleznete v tématu Zjišťování zneužití.

Doporučení pro konfiguraci

Recommendation	Benefit
Pokud potřebujete směrovat veškerý provoz směřující do internetu na určený další směrovač namísto přímo do internetu, nakonfigurujte Azure Firewall v režimu vynuceného tunelování. Toto doporučení se nevztahuje na Virtual WAN. Služba Azure Firewall musí mít přímé připojení k internetu. Pokud vaše služba AzureFirewallSubnet získá výchozí trasu do vaší lokální sítě přes hraniční směrovací protokol, musíte nakonfigurovat Azure Firewall v režimu vynuceného tunelování. Pomocí funkce vynuceného tunelování můžete přidat další adresní prostor /26 pro podsíť správy brány Azure Firewall. Pojmenujte podsíť AzureFirewallManagementSubnet. Pokud máte stávající instanci Azure Firewall, kterou nemůžete překonfigurovat do režimu vynuceného tunelování, vytvořte UDR s trasou pro 0.0.0.0/0. Nastavte hodnotu NextHopType na Internet. Pokud chcete zachovat připojení k internetu, přidružte UDR k AzureFirewallSubnet. Při konfiguraci služby Azure Firewall v režimu vynuceného tunelování nastavte veřejnou IP adresu na Žádná pro zajištění plně privátního datového plánu. Ale rovina správy stále vyžaduje veřejnou IP adresu pouze pro účely správy. Interní provoz z virtuálních a místních sítí nepoužívá tuto veřejnou IP adresu.	Použijte vynucené tunelování, abyste prostředky Azure nezpřístupnili přímo na internetu. Tento přístup snižuje prostor pro útok a minimalizuje riziko externích hrozeb. Chcete-li účinněji vynucovat podnikové zásady a požadavky na zajištění souladu s předpisy, směrujte veškerý provoz směřující na internet přes místní firewall nebo zařízení NVA.
Vytvořte pravidla pro zásady brány firewall v hierarchické struktuře k překrytí centrální základní zásady. Další informace najdete v článku Použití zásad Azure Firewall ke zpracování pravidel. Vytvořte pravidla na základě principu nulová důvěra (Zero Trust) přístupu s minimálními oprávněními	Uspořádejte pravidla v hierarchické struktuře, aby podrobné zásady mohly splňovat požadavky konkrétních oblastí. Každá zásada může obsahovat různé sady pravidel pro překlad adres cílové sítě (DNAT), sítě a aplikace, která mají specifické priority, akce a zpracování objednávek.
Nakonfigurujte podporované poskytovatele bezpečnostních partnerů ve Firewall Manageru k ochraně odchozích připojení. Tento scénář vyžaduje virtual WAN s bránou S2S VPN v centru, protože k připojení k infrastruktuře poskytovatele používá tunel IPsec. Poskytovatelé spravovaných služeb zabezpečení můžou účtovat další poplatky za licence a omezit propustnost připojení IPsec. Můžete také použít alternativní řešení, jako je Zscaler Cloud Connector.	Umožněte poskytovatelům partnerů zabezpečení ve službě Azure Firewall využívat nejlepší nabídky cloudového zabezpečení, které poskytují pokročilou ochranu internetového provozu. Tito poskytovatelé nabízejí specializované funkce filtrování s podporou uživatelů a komplexní možnosti detekce hrozeb, které zlepšují celkový stav zabezpečení.
Povolte konfiguraci proxy serveru DNS služby Azure Firewall. Nakonfigurujte také službu Azure Firewall tak, aby pro předávání dotazů DNS používala vlastní DNS.	Povolte tuto funkci, aby klienti ve virtuálních sítích používali Azure Firewall jako server DNS. Tato funkce chrání interní infrastrukturu DNS, která není přímo přístupná a vystavená.
Nakonfigurujte uživatelské směrovací trasy pro vynucení provozu přes Azure Firewall v tradiční architektuře hub-and-spoke pro připojení paprsek-paprsek, paprsek-internet a paprsek-hybridní. Ve službě Virtual WAN nakonfigurujte směrovací záměr a zásady pro přesměrování privátního provozu nebo internetového provozu prostřednictvím instance služby Azure Firewall, která je integrovaná do centra. Pokud nemůžete použít trasu definovanou uživatelem a potřebujete jenom přesměrování webového provozu, použijte Azure Firewall jako explicitní proxy server na odchozí cestě. Nastavení proxy serveru můžete nakonfigurovat v odesílající aplikaci, jako je webový prohlížeč, při konfiguraci služby Azure Firewall jako proxy serveru.	Odesílání provozu přes bránu firewall za účelem kontroly provozu a pomoc s identifikací a blokováním škodlivého provozu Azure Firewall použijte jako explicitní proxy pro odchozí provoz, aby webový provoz směřoval na privátní IP adresu brány firewall a odcházel přímo z brány firewall bez použití UDR. Tato funkce také usnadňuje používání více firewallů, aniž by bylo nutné měnit stávající síťové trasy.
Použijte filtrování FQDN v síťových pravidlech. Musíte povolit konfiguraci proxy serveru DNS služby Azure Firewall, aby používala plně kvalifikované názvy domén ve vašich pravidlech sítě.	V pravidlech sítě služby Azure Firewall používejte plně kvalifikované názvy domén, aby správci mohli spravovat názvy domén místo několika IP adres, což zjednodušuje správu. Toto dynamické řešení zajišťuje, aby se pravidla brány firewall automaticky aktualizovala při změně IP adres domény.
Používejte značky služeb Azure Firewall místo konkrétních IP adres k poskytování selektivního přístupu ke konkrétním službám v Azure, Microsoft Dynamics 365 a Microsoft 365.	Značky služeb používejte v pravidlech sítě, abyste mohli definovat řízení přístupu na základě názvů služeb místo konkrétních IP adres, což zjednodušuje správu zabezpečení. Microsoft tyto značky spravuje a aktualizuje automaticky při změně IP adres. Tato metoda zajišťuje, že pravidla brány firewall zůstanou přesná a efektivní bez ručního zásahu.
Pomocí značek plně kvalifikovaného názvu domény v pravidlech aplikace můžete poskytovat selektivní přístup ke konkrétním službám Microsoftu. Pomocí značky plně kvalifikovaného názvu domény v pravidlech aplikací můžete prostřednictvím brány firewall povolit požadovaný odchozí síťový provoz pro konkrétní služby Azure, jako jsou Microsoft 365, Windows 365 a Microsoft Intune.	Použijte značky FQDN v pravidlech aplikací služby Azure Firewall k reprezentaci skupiny plně kvalifikovaných názvů domén přidružených ke známým službám Microsoftu. Tato metoda zjednodušuje správu pravidel zabezpečení sítě.
Povolení analýzy hrozeb ve službě Azure Firewall v režimu upozornění a zamítnutí	Využijte analýzu hrozeb k zajištění ochrany před vznikajícími hrozbami v reálném čase, což snižuje riziko kybernetických útoků. Tato funkce používá informační kanál Microsoftu pro analýzu hrozeb k automatickému upozorňování a blokování provozu ze známých škodlivých IP adres, domén a adres URL.
Povolte IDPS v režimu výstrahy nebo výstrahy a zamítnutí . Zvažte dopad této funkce na výkon.	Povolení filtrování IDPS ve službě Azure Firewall poskytuje monitorování a analýzu síťového provozu v reálném čase za účelem detekce a prevence škodlivých aktivit. Tato funkce používá detekci založenou na podpisech k rychlé identifikaci známých hrozeb a jejich blokování před tím, než způsobí škodu. Další informace naleznete v tématu Zjišťování zneužití.
Použijte interní podnikovou certifikační autoritu (CA) ke generování certifikátů při použití inspekce TLS v Azure Firewall Premium. Certifikáty podepsané sebou samými používejte pouze pro účely testování a ověření konceptu (PoC).	Povolte kontrolu protokolu TLS, aby služba Azure Firewall Premium ukončila a kontroluje připojení TLS, aby zjistila, upozorňovala a zmírňovala škodlivou aktivitu v protokolu HTTPS.
Pomocí Firewall Manageru vytvořte a přidružte k vaší centrální virtuální síti plán Azure DDoS Protection. Tento přístup se nevztahuje na Virtual WAN.	Nakonfigurujte plán služby Azure DDoS Protection, abyste mohli centrálně spravovat ochranu před útoky DDoS společně se zásadami brány firewall. Tento přístup zjednodušuje správu zabezpečení sítě a zjednodušuje nasazování a monitorování procesů.
Integrace ve funkci Security Copilot slouží ke zkoumání škodlivého provozu.	Tato integrace pomáhá analytikům provádět podrobné šetření škodlivého provozu zachyceného funkcí IDPS.
Nakonfigurujte explicitní proxy server pro odchozí síťový provoz, když se uživatelsky definované trasy nedají použít. Nakonfigurujte nastavení proxy serveru pro odesílání aplikací (například webových prohlížečů) pro směrování provozu přes privátní IP adresu služby Azure Firewall, aniž by bylo nutné trasy definované uživatelem.	Pomocí explicitního proxy serveru můžete zjednodušit směrování provozu ve scénářích, kdy tradiční směrování na základě trasy definované uživatelem není možné a současně udržovat možnosti kontroly zabezpečení.
Povolte protokoly trasování toku DNS pro kompletní přehled o provozu a překladu názvů DNS. Tyto protokoly mohou být užitečné pro ověření cest směrování provozu pro vlastní konfigurace DNS nebo řešení problémů s překladem DNS, které brání aplikacím v připojení ke kritickým službám.	Poskytuje podrobnou viditelnost toku DNS pro řešení potíží, auditování a analýzu chování DNS.

Optimalizace nákladů

Optimalizace nákladů se zaměřuje na zjišťování vzorců výdajů, stanovení priorit investic do kritických oblastí a optimalizaci v jiných oblastech, aby splňovaly rozpočet organizace při plnění obchodních požadavků.

Principy návrhu optimalizace nákladů poskytují strategii návrhu na vysoké úrovni pro dosažení těchto cílů a přijímání nezbytných kompromisů v technickém návrhu souvisejícím se službou Azure Firewall a jejím prostředím.

Kontrolní seznam návrhu úloh

Začněte s návrhovou strategií na základě kontrolního seznamu pro revizi návrhu pro optimalizaci nákladů pro investice. Dolaďte návrh tak, aby úloha byla v souladu s rozpočtem přiděleným pro danou úlohu. Váš návrh by měl využívat správné možnosti Azure, monitorovat investice a hledat příležitosti k optimalizaci v průběhu času.

• Vyberte skladovou položku služby Azure Firewall, která se má nasadit. Vyberte si ze tří skladových položek služby Azure Firewall: Basic, Standard a Premium. Azure Firewall Premium použijte k zabezpečení vysoce citlivých aplikací, jako je zpracování plateb. Azure Firewall Standard použijte, pokud vaše úloha potřebuje bránu firewall vrstvy 3 až 7 a potřebuje automatické škálování pro zpracování období špičky provozu až 30 Gb/s. Azure Firewall Basic použijte, pokud používáte protokol SMB a vyžadujete propustnost až 250 Mb/s. Můžete přejít mezi verzemi SKU Standard a Premium na nižší nebo vyšší úroveň. Další informace najdete v tématu Výběr správné skladové položky SKU služby Azure Firewall.

• Odstraňte nepoužívaná nasazení brány firewall a optimalizujte nedostatečně využívaná nasazení. Zastavte nasazení služby Azure Firewall, která není potřeba nepřetržitě spouštět. Identifikace a odstranění nepoužívaných nasazení služby Azure Firewall Pokud chcete snížit provozní náklady, sledujte a optimalizujte využití instancí brány firewall, konfiguraci zásad služby Azure Firewall Manager a počet veřejných IP adres a zásad, které používáte.

• Sdílejte stejnou instanci služby Azure Firewall. Můžete použít centrální instanci služby Azure Firewall ve virtuální síti centra nebo zabezpečeném centru Virtual WAN a sdílet stejnou instanci služby Azure Firewall napříč paprskovými virtuálními sítěmi, které se připojují ke stejnému centru ze stejné oblasti. Ujistěte se, že v hvězdicové topologii nemáte neočekávaný provoz mezi oblastmi.

• Optimalizujte provoz přes bránu firewall. Pravidelně kontrolujte provoz, který azure firewall zpracovává. Najděte příležitosti ke snížení objemu provozu, který prochází bránou firewall.

• Snižte množství uložených dat protokolu. Azure Firewall může pomocí služby Azure Event Hubs komplexně protokolovat metadata provozu a odesílat je do pracovních prostorů služby Log Analytics, Azure Storage nebo řešení jiných společností než Microsoft. Všechna řešení protokolování účtují náklady na zpracování dat a poskytování úložiště. Velké objemy dat můžou mít značné náklady. Zvažte cenově výhodný přístup a alternativu ke službě Log Analytics a odhadněte náklady. Zvažte, jestli potřebujete protokolovat metadata provozu pro všechny kategorie protokolování.

Doporučení pro konfiguraci

Recommendation	Benefit
Zastavte nasazení služby Azure Firewall, která není potřeba nepřetržitě spouštět. Možná máte vývojová nebo testovací prostředí, která používáte jenom během pracovní doby. Další informace najdete v tématu Zrušení přidělení a přidělení služby Azure Firewall.	Tato nasazení můžete vypnout v době mimo špičku nebo při nečinnosti, aby se snížily zbytečné výdaje, ale během kritických časů udržovat zabezpečení a výkon.
Pravidelně kontrolujte provoz, který zpracovává Azure Firewall, a najděte původní optimalizace úloh. Protokol hlavních toků, označovaný také jako protokol vydatných toků, zobrazuje připojení, která přispívají k nejvyšší propustnosti přes bránu firewall.	Optimalizujte úlohy, které generují největší provoz přes bránu firewall, aby se snížil objem provozu, což snižuje zatížení brány firewall a minimalizuje náklady na zpracování dat a šířku pásma.
Identifikace a odstranění nepoužívaných nasazení služby Azure Firewall Analyzujte metriky monitorování a uživatelsky definované trasy (UDRs), které jsou přidružené k podsítím odkazovaným na privátní IP adresu brány firewall. Zvažte také další ověřování a interní dokumentaci týkající se vašeho prostředí a nasazení. Analyzujte například všechna klasická pravidla překladu adres (NAT), sítě a aplikací pro Službu Azure Firewall. A zvažte nastavení. Můžete například nakonfigurovat nastavení proxy serveru DNS na Zakázáno. Další informace najdete v tématu Monitorování služby Azure Firewall.	Tento přístup použijte k detekci nákladově efektivních nasazení v průběhu času a odstranění nepoužívaných prostředků, což brání zbytečným nákladům.
Pečlivě zkontrolujte zásady, přidružení a nastavení dědičnosti ve službě Firewall Manager, abyste optimalizovali náklady. Zásady se zpoplatňují podle přiřazení k bráně firewall. Zásada bez přiřazeného firewallu nebo s jedním přiřazeným firewallem je bezplatná. Zásada s více přidruženími k bráně firewall se účtuje pevnou sazbou. Další informace najdete v tématu ceny služby Firewall Manager.	Správně používejte Firewall Manager a jeho zásady ke snížení provozních nákladů, zvýšení efektivity a snížení nároků na správu.
Zkontrolujte všechny veřejné IP adresy v konfiguraci a zrušte přidružení a odstraňte ty, které nepoužíváte. Než odeberete všechny IP adresy, vyhodnoťte využití portů překladu zdrojových síťových adres (SNAT). Další informace najdete v tématu Monitorování protokolů a metrik brány Azure Firewall a využití portů SNAT.	Odstraňte nepoužívané IP adresy, abyste snížili náklady.
Snížení nákladů prostřednictvím transformace v čase příjmu dat v Log Analytics pro selektivní zpracování protokolů brány firewall Pokud chcete optimalizovat náklady při zachování viditelnosti zabezpečení, nakonfigurujte pokročilé filtrování a transformaci dat před uložením protokolů do tabulek s předponou AZFW.	Výrazné snížení nákladů na analýzy protokolů u prostředí s vysokým provozem a zachování relevantních událostí zabezpečení pro analýzu

Efektivita provozu

Provozní excelence se především zaměřuje na postupy pro vývojové postupy, monitorovatelnost a správu vydání.

Principy návrhu pro provozní efektivitu poskytují obecnou strategii návrhu, jak dosáhnout těchto cílů s ohledem na provozní požadavky úlohy.

Kontrolní seznam návrhu úloh

Začněte strategii návrhu na základě kontrolního seznamu kontroly návrhu pro provozní dokonalost pro definování procesů monitorovatelnosti, testování a nasazení souvisejících se službou Azure Firewall.

• Použijte Firewall Manager s tradičními topologiemi typu hub-and-spoke nebo topologiemi sítí Virtual WAN k nasazení a správě instancí služby Azure Firewall. K vytvoření hvězdicových a tranzitivních architektur použijte nativní služby zabezpečení pro správu síťového provozu a jeho ochranu. Další informace najdete v tématu Topologie sítě a připojení.

  Migrujte klasická pravidla služby Azure Firewall do zásad Firewall Manageru pro existující nasazení. Pomocí Firewall Manageru můžete centrálně spravovat firewally a zásady. Další informace najdete v článku Migrace na Azure Firewall Premium.

• Udržujte pravidelné zálohy artefaktů Azure Policy. Pokud k údržbě služby Azure Firewall a všech závislostí používáte přístup typu infrastruktura jako kód, měli byste mít zavedené zásady služby Azure Firewall a jejich zálohování a správu verzí. Pokud ne, můžete nasadit doprovodný mechanismus založený na externí aplikaci logiky, který poskytuje efektivní automatizované řešení.

• Monitorování protokolů a metrik služby Azure Firewall Využijte diagnostické protokoly pro monitorování brány firewall a řešení potíží a protokoly aktivit pro operace auditování.

• Analyzujte data monitorování a vyhodnoťte celkový stav systému. Použijte integrovaný sešit monitorování služby Azure Firewall, seznamte se s dotazy v jazyce Kusto Query Language (KQL) a pomocí řídicího panelu pro analýzu zásad identifikujte potenciální problémy.

• Definujte výstrahy pro klíčové události , aby na ně operátory mohly rychle reagovat.

• Využijte mechanismy detekce poskytované platformou v Azure k detekci zneužití. Pokud je to možné, integrujte Azure Firewall s Microsoft Defender for Cloud a Microsoft Sentinel. Integrace s defenderem pro cloud, abyste mohli vizualizovat stav síťové infrastruktury a zabezpečení sítě na jednom místě, včetně zabezpečení sítě Azure ve všech virtuálních sítích a virtuálních centrech v různých oblastech v Azure. Integrace se službou Microsoft Sentinel za účelem zajištění možností detekce hrozeb a prevence

• Nakonfigurujte údržbu řízenou zákazníkem tak, aby odpovídala aktualizacím systému s obchodními požadavky. Naplánujte údržbu během plánovaných časových období výpadků, abyste minimalizovali přerušení kritických operací, zejména pro aplikace, které vyžadují trvalá připojení.

Doporučení pro konfiguraci

Recommendation	Benefit
Povolte diagnostické protokoly pro Azure Firewall. K monitorování služby Azure Firewall použijte její protokoly nebo sešity. K auditu operací na prostředcích brány Azure Firewall můžete také použít protokoly aktivit. Použijte formát strukturovaných protokolů brány firewall. Použijte předchozí formát diagnostických protokolů pouze v případě, že máte stávající nástroj, který jej vyžaduje. Nepovolujte oba formáty protokolování současně.	Povolte diagnostické protokoly pro optimalizaci monitorovacích nástrojů a strategií pro Azure Firewall. Pomocí strukturovaných protokolů brány firewall můžete strukturovat data protokolů, aby bylo snadné prohledávat, filtrovat a analyzovat. Nejnovější monitorovací nástroje jsou založené na tomto typu protokolu, takže se často jedná o předpoklad.
Použijte integrovaný sešit Azure Firewall.	Pomocí sešitu služby Azure Firewall můžete extrahovat cenné přehledy z událostí služby Azure Firewall, analyzovat aplikace a pravidla sítě a zkoumat statistiky aktivit brány firewall napříč adresami URL, porty a adresami.
Sledujte protokoly a metriky služby Azure Firewall a vytvářejte výstrahy týkající se kapacity služby Azure Firewall. Vytvořte upozornění pro monitorování propustnosti, stavu brány firewall, využití portů SNAT a metrik sondy latence AZFW .	Nastavte výstrahy pro klíčové události, které operátory upozorní dříve, než nastanou potenciální problémy, pomáhají zabránit přerušení a zahájit rychlé úpravy kapacity.
Pravidelně kontrolujte řídicí panel analýzy zásad a identifikujte potenciální problémy.	Analýza zásad vám umožní analyzovat dopad zásad služby Azure Firewall. Identifikujte potenciální problémy v zásadách, jako jsou limity zásad schůzek, nesprávná pravidla a nesprávné využití skupin IP adres. Získejte doporučení ke zlepšení stavu zabezpečení a výkonu zpracování pravidel.
Seznamte se s dotazy KQL, abyste mohli pomocí protokolů služby Azure Firewall rychle analyzovat a řešit problémy. Azure Firewall poskytuje ukázkové dotazy.	Pomocí dotazů KQL můžete rychle identifikovat události v bráně firewall a zkontrolovat, které pravidlo se aktivuje nebo které pravidlo povoluje nebo blokuje požadavek.
Nakonfigurujte údržbu řízenou zákazníkem s minimálními 5hodinovými intervaly a denním opakováním. Plán údržby naplánujte podle obchodních požadavků a období s nízkým provozem. Zvažte geografickou distribuci časových období údržby pro nasazení ve více oblastech.	Předvídatelná údržba snižuje neočekávaný výpadek a zároveň zajišťuje, aby infrastruktura brány firewall přijímala nezbytné aktualizace zabezpečení. Zarovná údržbu infrastruktury s požadavky na dostupnost firmy.
Pomocí plně kvalifikovaných názvů domén v pravidlech DNAT směrujte příchozí provoz do back-endové infrastruktury místo statických IP adres.	Snižuje provozní režii, když back-endová infrastruktura mění IP adresy kvůli operacím škálování, nasazením nebo aktualizacím infrastruktury.
Nakonfigurujte DNAT na privátních IP adresách pro komplexní scénáře hybridních a podnikových sítí. Povolte připojení mezi sítěmi s překrývajícími se rozsahy IP adres prostřednictvím možností překladu portů.	To je užitečné zejména ve scénářích s překrývajícími se rozsahy IP adres, běžnými fúzemi, partnerskými sítěmi nebo prostředími s více tenanty.
Implementujte sledování změn (Preview) pro monitorování změn provedených ve skupinách kolekcí pravidel služby Azure Firewall.	Poskytuje podrobný přehled o změnách konfigurace, vylepšení stavu zabezpečení a zjednodušení řešení potíží sledováním toho, kdo a kdy provedl změny.
Nakonfigurujte možnosti zachytávání paketů pro zachytávání konkrétních toků provozu pomocí filtrování na základě protokolu, příznaků a vlastních filtrů. Pomocí zachytávání paketů identifikujte blokovaná připojení a ověřte chování pravidla brány firewall s podrobnými informacemi na úrovni paketů pro řešení potíží s připojením.	Umožňuje řešení potíží se sítí a analýzu provozu tím, že poskytuje podrobný přehled o tocích provozu služby Azure Firewall na úrovni paketů.
Pokud potřebujete při průchodu provozu bránou firewall přidávat vlastní hlavičky, centralizujte vkládání hlaviček HTTP ve vaší bráně firewall.	Pro trasování, směrování nebo zpracování autentizačních hlaviček v architekturách typu hub-and-spoke je centralizujte na firewallu, abyste snížili potřebu změn aplikací nebo dalších vrstev proxy.

Efektivita výkonu

Efektivita výkonu se týká zachování uživatelského prostředí i v případě, že se zvyšuje zatížení díky správě kapacity. Strategie zahrnuje škálování prostředků, identifikaci a optimalizaci potenciálních kritických bodů a optimalizaci výkonu ve špičce.

Principy návrhu pro efektivitu výkonu poskytují obecnou strategii návrhu pro dosažení těchto kapacitních cílů s ohledem na očekávané využití.

Kontrolní seznam návrhu úloh

Začněte s návrhovou strategií na základě kontrolního seznamu pro posouzení návrhu z hlediska efektivity výkonu. Definujte směrný plán založený na klíčových ukazatelích výkonu pro Azure Firewall.

• Optimalizujte konfiguraci služby Azure Firewall v souladu s doporučeními architektury Well-Architected Framework, abyste optimalizovali kód a infrastrukturu a zajistili špičkový provoz. Pokud chcete udržovat efektivní a zabezpečenou síť, pravidelně kontrolujte a optimalizujte pravidla brány firewall. Tento postup pomáhá zajistit, aby konfigurace brány firewall zůstaly efektivní a aktuální s nejnovějšími bezpečnostními hrozbami.

  Vyhodnoťte požadavky zásad a najděte příležitosti ke shrnutí rozsahů IP adres a seznamů adres URL. Pomocí webových kategorií můžete hromadně povolit nebo odepřít odchozí přístup, aby se zjednodušila správa a zlepšila zabezpečení. Vyhodnoťte dopad protokolu IDPS v režimu upozornění a zamítnutí , protože tato konfigurace může mít vliv na latenci a propustnost sítě. Nakonfigurujte veřejné IP adresy tak, aby podporovaly požadavky na porty SNAT. Pokud chcete vytvořit robustní a škálovatelnou infrastrukturu zabezpečení sítě, postupujte podle těchto postupů.

• Nepoužívejte Azure Firewall pro řízení provozu uvnitř virtuální sítě. Pomocí služby Azure Firewall můžete řídit následující typy provozu:

  • Provoz napříč virtuálními sítěmi
  • Provoz mezi virtuálními sítěmi a místními sítěmi
  • Odchozí provoz do internetu
  • Příchozí provoz mimo HTTP nebo jiný provoz než HTTPS

  Pro řízení provozu v rámci virtuální sítě použijte skupiny zabezpečení sítě.

• Před testy výkonnosti správně zahřejte službu Azure Firewall. Vytvořte počáteční provozní zatížení, které není součástí vašich zátěžových testů, 20 minut před zahájením testů. Pomocí nastavení diagnostiky můžete zachytit události navýšení a snížení kapacity. Pomocí služby Azure Load Testing můžete generovat počáteční síťový provoz, abyste mohli navýšit počet instancí služby Azure Firewall na maximum.

• Nakonfigurujte podsíť služby Azure Firewall s adresními prostory /26. Potřebujete vyhrazenou podsíť pro Azure Firewall. Azure Firewall při škálování zajišťuje větší kapacitu. Adresní prostor /26 zajišťuje, aby měla brána firewall k dispozici dostatek IP adres pro pokrytí škálování. Azure Firewall nevyžaduje podsíť, která je větší než /26. Pojmenujte podsíť AzureFirewallSubnet.

• Pokud ho nepotřebujete, nepovolujte rozšířené protokolování. Azure Firewall nabízí některé pokročilé funkce protokolování, jejichž ponechání v aktivním stavu může znamenat značné náklady. Místo toho můžete tyto funkce použít pouze pro účely řešení potíží a pro omezené množství času. Zakažte možnosti, když je nepotřebujete. Například nejčastější toky a protokoly trasování toků jsou nákladné a můžou způsobit nadměrné využití CPU a úložiště na infrastruktuře služby Azure Firewall.

Doporučení pro konfiguraci

Recommendation	Benefit
Pomocí řídicího panelu analýzy zásad identifikujte způsoby optimalizace zásad služby Azure Firewall.	Pomocí analytiky zásad můžete identifikovat možné problémy ve vašich zásadách, například dosažení limitů zásad, nesprávná pravidla a nesprávné používání skupin IP adres. Získejte doporučení ke zlepšení stavu zabezpečení a výkonu zpracování pravidel.
Často používaná pravidla umístěte včas do skupiny za účelem optimalizace latence pro zásady služby Azure Firewall, které mají velké sady pravidel. Další informace najdete v článku Použití zásad Azure Firewall ke zpracování pravidel.	Často používaná pravidla umístěte do sady pravidel, která optimalizují latenci zpracování. Azure Firewall zpracovává pravidla na základě typu pravidla, dědičnosti, priority skupiny kolekce pravidel a priority kolekce pravidel. Azure Firewall nejprve zpracovává skupiny kolekcí pravidel s vysokou prioritou. Ve skupině kolekcí pravidel zpracovává Azure Firewall kolekce pravidel, které mají nejvyšší prioritu.
Pomocí skupin IP můžete seskupit rozsahy IP adres, abyste se vyhnuli překročení limitu jedinečných zdrojových nebo jedinečných cílových síťových pravidel. Azure Firewall považuje skupinu IP adres za jednu adresu při vytváření pravidel sítě.	Tento přístup efektivně zvyšuje počet IP adres, které můžete pokrýt bez překročení limitu. Pro každé pravidlo Azure vynásobí porty podle IP adres. Pokud tedy jedno pravidlo obsahuje čtyři rozsahy IP adres a pět portů, využíváte 20 síťových pravidel.
Webové kategorie služby Azure Firewall můžete použít k hromadnému povolení nebo zamítnutí odchozího přístupu místo explicitního vytváření a údržby dlouhého seznamu veřejných internetových webů.	Tato funkce dynamicky kategorizuje webový obsah a umožňuje vytvářet kompaktní pravidla aplikací, což snižuje provozní režii.
Vyhodnoťte dopad idPS na výkon v režimu výstrah a zamítnutí . Další informace najdete v článku Výkon Azure Firewallu.	Povolte IDPS v režimu výstrah a zamítnutí , abyste zjistili a zabránili škodlivé síťové aktivitě. Tato funkce může představovat snížení výkonu. Porozumíte vlivu na úlohu, abyste mohli odpovídajícím způsobem plánovat.
Nakonfigurujte nasazení služby Azure Firewall s minimálně pěti veřejnými IP adresami pro nasazení, která jsou náchylná k vyčerpání portů pro SNAT.	Azure Firewall podporuje 2 496 portů pro každou veřejnou IP adresu, kterou každá back-endová instance služby Škálovací sady virtuálních počítačů Azure používá. Tato konfigurace zvýší dostupné porty SNAT o pětkrát. Azure Firewall ve výchozím nastavení nasazuje dvě instance služby Virtual Machine Scale Sets, které podporují 4 992 portů pro každou cílovou IP adresu toku, cílový port a protokol TCP nebo UDP. Firewall lze škálovat až na 20 instancí.
Nakonfigurujte možnosti předběžného škálování a monitorujte metriku pozorované kapacity pro plánování kapacity a přehled o aktivitě. Pomocí předběžného škálování přidělte jednotky kapacity pro očekávané zvýšení provozu předem.	Umožňuje proaktivní správu kapacity na základě metrik a umožňuje nastavit výstrahy pro spolehlivé operace škálování během očekávaného zvýšení provozu. Navíc je zde ta výhoda, že platíte pouze za využité jednotky kapacity, což vám poskytuje flexibilitu, abyste mohli přizpůsobit kapacitu podle vyvíjejících se potřeb.

Zásady Azure

Azure poskytuje rozsáhlou sadu předdefinovaných zásad souvisejících se službou Azure Firewall a jejími závislostmi. Některé z předchozích doporučení je možné auditovat prostřednictvím služby Azure Policy. Můžete například zkontrolovat, jestli:

• Síťová rozhraní by neměla mít veřejné IP adresy. Tato zásada zakazuje síťová rozhraní nakonfigurovaná s veřejnou IP adresou. Veřejné IP adresy umožňují internetovým prostředkům komunikovat příchozí s prostředky Azure a prostředky Azure můžou komunikovat odchozí s internetem.

• Veškerý internetový provoz by měl být směrován prostřednictvím nasazené instance služby Azure Firewall. Azure Security Center identifikuje, že některé z vašich podsítí nejsou chráněné bránou firewall nové generace. Chraňte své podsítě před potenciálními hrozbami. Pomocí služby Azure Firewall nebo podporované brány firewall nové generace omezte přístup k vašim podsítím.

Pro komplexní správu si projděte předdefinované definice služby Azure Policy pro Azure Firewall a další zásady, které by mohly ovlivnit zabezpečení sítě.

Doporučení Azure Advisoru

Azure Advisor je přizpůsobený cloudový konzultant, který pomáhá dodržovat osvědčené postupy pro optimalizaci nasazení Azure.

Další informace najdete v tématu Azure Advisor.

Příklad architektury

Základní architektura, která ukazuje klíčová doporučení: síťová topologie centra a paprsků v Azure.

Další kroky

Projděte si následující zdroje informací, které ukazují doporučení v tomto článku.

• Jako příklady použití pokynů v tomto článku pro úlohu použijte následující referenční architektury:

  • Topologie sítě hub-and-spoke v Azure
  • Přehled architektury služby Azure Firewall
  • Pomocí služby Azure Firewall můžete chránit cluster služby Azure Kubernetes Service (AKS)

• Ke zlepšení odborných znalostí implementace použijte následující zdroje informací:

  • Dokumentace k Azure Firewallu
  • Co je Firewall Manager?

• Podívejte se na další zdroje informací:

  • Limity, kvóty a omezení služby Azure Firewall
  • Standardní hodnoty zabezpečení Azure pro Azure Firewall
  • Pomocí portálu Azure nasaďte a nakonfigurujte Azure Firewall a zásady
  • Konfigurace služby Azure Firewall v rozbočovači služby Virtual WAN