Teilen über

Bereitstellen und Konfigurieren von Azure Firewall in einem Hybridnetzwerk über das Azure-Portal

  • Artikel

Wenn Sie Ihr lokales Netzwerk mit einem virtuellen Azure-Netzwerk verbinden, um ein Hybridnetzwerk zu erstellen, ist das Steuern des Zugriffs auf Ihre Azure-Netzwerkressourcen ein wichtiger Bestandteil des globalen Sicherheitsplans.

Mit Azure Firewall können Sie den Netzwerkzugriff in einem Hybridnetzwerk mithilfe von Regeln steuern, die den zulässigen und verweigerten Netzwerkdatenverkehr definieren.

Für diesen Artikel erstellen Sie drei virtuelle Netzwerke:

  • VNet-Hub: In diesem virtuellen Netzwerk befindet sich die Firewall.
  • VNet-Spoke: Das virtuelle Spoke-Netzwerk stellt die Workload in Azure dar.
  • VNet-Onprem: Das lokale virtuelle Netzwerk stellt ein lokales Netzwerk dar. In einer tatsächlichen Bereitstellung können Sie eine Verbindung mit ihm herstellen, indem Sie entweder eine VPN-Verbindung (virtuelles privates Netzwerk) oder eine Azure ExpressRoute-Verbindung verwenden. Der Einfachheit halber wird in diesem Artikel eine VPN-Gatewayverbindung verwendet, und ein in Azure eingerichtetes virtuelles Netzwerk stellt ein lokales Netzwerk dar.

Abbildung einer Firewall in einem Hybridnetzwerk

Wenn Sie für die Vorgehensweise in diesem Artikel stattdessen Azure PowerShell verwenden möchten, finden Sie weitere Informationen unter Tutorial: Bereitstellen und Konfigurieren von Azure Firewall in einem Hybridnetzwerk mithilfe von Azure PowerShell.

Hinweis

In diesem Artikel werden für die Verwaltung der Firewall klassische Azure Firewall-Regeln verwendet. Die bevorzugte Methode ist die Verwendung einer Azure Firewall Manager-Richtlinie. Informationen zum Absolvieren dieser Prozedur mithilfe einer Azure Firewall Manager-Richtlinie finden Sie unter Tutorial: Bereitstellen und Konfigurieren von Azure Firewall und einer Richtlinie in einem Hybridnetzwerk über das Azure-Portal.

Voraussetzungen

Ein Hybridnetzwerk nutzt das Modell der Hub-and-Spoke-Architektur zur Weiterleitung von Datenverkehr zwischen virtuellen Azure-Netzwerken und lokalen Netzwerken. Für die Hub-and-Spoke-Architektur gelten die folgenden Anforderungen:

  • Legen Sie Gateway oder Routenserver dieses virtuellen Netzwerks verwenden für das Peering von VNet-Hub mit VNet-Spoke fest. In der Hub-and-Spoke-Netzwerkarchitektur ermöglicht der Gatewaytransit die gemeinsame Nutzung des VPN-Gateways im Hub, anstatt VPN-Gateways in jedem virtuellen Spoke-Netzwerk bereitzustellen.

    Darüber hinaus werden Routen zu den mit dem Gateway verbundenen virtuellen Netzwerken oder lokalen Netzwerken über den Gatewaytransit automatisch an die Routingtabellen für die virtuellen Netzwerke mit Peeringbeziehung verteilt. Weitere Informationen finden Sie unter Konfigurieren des VPN-Gatewaytransits für ein Peering virtueller Netzwerke.

  • Legen Sie Gateway oder Routenserver des virtuellen Remotenetzwerks verwenden für das Peering von VNet-Spoke mit VNet-Hub fest. Wenn Gateway oder Routenserver des virtuellen Remotenetzwerks verwenden und außerdem Gateway oder Routenserver dieses virtuellen Netzwerks verwenden für das Remotepeering festgelegt ist, verwendet das virtuelle Spoke-Netzwerk Gateways des virtuellen Remotenetzwerks für die Übertragung.

  • Zum Weiterleiten des Spoke-Subnetzdatenverkehrs durch die Hub-Firewall können Sie eine benutzerdefinierte Route (User Defined Route, UDR) verwenden, die auf die Firewall verweist, während die Option Routenverteilung des Gateways für virtuelle Netzwerke deaktiviert ist. Wenn Sie diese Option deaktivieren, wird die Routenverteilung an die Spoke-Subnetze verhindert, sodass erlernte Routen nicht mit der UDR in Konflikt geraten können. Wenn Sie Routenverteilung des Gateways für virtuelle Netzwerke aktiviert lassen möchten, definieren Sie unbedingt spezifische Routen für die Firewall, um die Routen außer Kraft zu setzen, die aus einer lokalen Umgebung über BGP (Border Gateway Protocol) veröffentlicht werden.

  • Konfigurieren Sie eine UDR im Hub-Gatewaysubnetz, die auf die Firewall-IP-Adresse als nächsten Hop auf dem Weg zu den Spoke-Netzwerken verweist. Für das Azure Firewall-Subnetz ist keine UDR erforderlich, da es die Routen über BGP erlernt.

Im Abschnitt Erstellen der Routen weiter unten in diesem Artikel wird gezeigt, wie Sie diese Routen erstellen.

Azure Firewall muss über eine direkte Internetverbindung verfügen. Wenn Ihr Subnetz AzureFirewallSubnet eine Standardroute zu Ihrem lokalen Netzwerk über BGP erfasst, müssen Sie diese mit der benutzerdefinierten Route 0.0.0.0/0 überschreiben. Legen Sie dabei den Wert NextHopType auf Internet fest, um die direkte Internetkonnektivität beizubehalten.

Hinweis

Sie können Azure Firewall so konfigurieren, dass die Tunnelerzwingung unterstützt wird. Weitere Informationen finden Sie unter Azure Firewall-Tunnelerzwingung.

Der Datenverkehr zwischen per direktem Peering verbundenen virtuellen Netzwerken wird direkt weitergeleitet, auch wenn eine UDR auf Azure Firewall als Standardgateway verweist. Um in diesem Szenario Subnetz-zu-Subnetz-Datenverkehr an die Firewall zu senden, muss eine UDR explizit das Zielsubnetzwerk-Präfix in beiden Subnetzen enthalten.

Wenn Sie kein Azure-Abonnement besitzen, können Sie ein kostenloses Konto erstellen, bevor Sie beginnen.

Erstellen des virtuellen Firewall-Hub-Netzwerks

Erstellen Sie zunächst die Ressourcengruppe für die Ressourcen:

  1. Melden Sie sich beim Azure-Portal an.
  2. Wählen Sie auf der Startseite des Azure-Portals Ressourcengruppen>Erstellen aus.
  3. Wählen Sie unter Abonnement Ihr Abonnement aus.
  4. Geben Sie unter Ressourcengruppe die Gruppe RG-fw-hybrid-test ein.
  5. Wählen Sie für Region eine Region aus. Alle später erstellten Ressourcen müssen sich in der gleichen Region befinden.
  6. Klicken Sie auf Überprüfen + erstellen.
  7. Klicken Sie auf Erstellen.

Erstellen Sie jetzt das virtuelle Netzwerk.

Hinweis

Die Größe des Subnetzes AzureFirewallSubnet beträgt /26. Weitere Informationen zur Subnetzgröße finden Sie unter Azure Firewall – Häufig gestellte Fragen.

  1. Wählen Sie auf der Startseite des Azure-Portals Ressource erstellen aus.
  2. Geben Sie in das Suchfeld Virtuelles Netzwerk ein.
  3. Wählen Sie Virtuelles Netzwerk und anschließend Erstellen aus.
  4. Wählen Sie unter RessourcengruppeRG-fw-hybrid-test aus.
  5. Geben Sie unter Name des virtuellen Netzwerks den Namen VNet-Hub ein.
  6. Wählen Sie unter Region die gleiche Region aus wie zuvor.
  7. Wählen Sie Weiter aus.
  8. Wählen Sie auf der Registerkarte Sicherheit die Option Weiter aus.
  9. Löschen Sie unter IPv4-Adressraum die Standardadresse, und geben Sie 10.5.0.0/16 ein.
  10. Löschen Sie unter Subnetze das Standardsubnetz.
  11. Wählen Sie Subnetz hinzufügen aus.
  12. Wählen Sie auf der Seite Subnetz hinzufügen für Subnetzvorlage die Option Azure Firewall aus.
  13. Klicken Sie auf Hinzufügen.

Erstellen Sie ein zweites Subnetz für das Gateway:

  1. Wählen Sie Subnetz hinzufügen aus.
  2. Wählen Sie unter Subnetzvorlage die Option Gateway des virtuellen Netzwerks aus.
  3. Übernehmen Sie für Startadresse den Standardwert 10.5.1.0.
  4. Übernehmen Sie für Subnetzgröße den Standardwert /27.
  5. Klicken Sie auf Hinzufügen.
  6. Klicken Sie auf Überprüfen + erstellen.
  7. Klicken Sie auf Erstellen.

Erstellen des virtuellen Spoke-Netzwerks

  1. Wählen Sie auf der Startseite des Azure-Portals Ressource erstellen aus.
  2. Geben Sie in das Suchfeld Virtuelles Netzwerk ein.
  3. Wählen Sie Virtuelles Netzwerk und anschließend Erstellen aus.
  4. Wählen Sie unter RessourcengruppeRG-fw-hybrid-test aus.
  5. Geben Sie unter Name den Namen VNet-Spoke ein.
  6. Wählen Sie unter Region die gleiche Region aus wie zuvor.
  7. Wählen Sie Weiter aus.
  8. Wählen Sie auf der Registerkarte Sicherheit die Option Weiter aus.
  9. Löschen Sie unter IPv4-Adressraum die Standardadresse, und geben Sie 10.6.0.0/16 ein.
  10. Löschen Sie unter Subnetze das Standardsubnetz.
  11. Wählen Sie Subnetz hinzufügen aus.
  12. Geben Sie unter Name den Namen SN-Workload ein.
  13. Übernehmen Sie für Startadresse den Standardwert 10.6.0.0.
  14. Übernehmen Sie für Subnetzgröße den Standardwert /24.
  15. Klicken Sie auf Hinzufügen.
  16. Klicken Sie auf Überprüfen + erstellen.
  17. Klicken Sie auf Erstellen.

Erstellen des lokalen virtuellen Netzwerks

  1. Wählen Sie auf der Startseite des Azure-Portals Ressource erstellen aus.
  2. Geben Sie in das Suchfeld Virtuelles Netzwerk ein.
  3. Wählen Sie Virtuelles Netzwerk und anschließend Erstellen aus.
  4. Wählen Sie unter RessourcengruppeRG-fw-hybrid-test aus.
  5. Geben Sie unter Name den Namen VNet-Onprem ein.
  6. Wählen Sie unter Region die gleiche Region aus wie zuvor.
  7. Wählen Sie Weiter aus.
  8. Wählen Sie auf der Registerkarte Sicherheit die Option Weiter aus.
  9. Löschen Sie unter IPv4-Adressraum die Standardadresse, und geben Sie 192.168.0.0/16 ein.
  10. Löschen Sie unter Subnetze das Standardsubnetz.
  11. Wählen Sie Subnetz hinzufügen aus.
  12. Geben Sie unter Name den Namen SN-Corp ein.
  13. Übernehmen Sie für Startadresse den Standardwert 192.168.0.0.
  14. Übernehmen Sie für Subnetzgröße den Standardwert /24.
  15. Klicken Sie auf Hinzufügen.

Erstellen Sie nun ein zweites Subnetz für das Gateway:

  1. Wählen Sie Subnetz hinzufügen aus.
  2. Wählen Sie unter Subnetzvorlage die Option Gateway des virtuellen Netzwerks aus.
  3. Übernehmen Sie für Startadresse den Standardwert 192.168.1.0.
  4. Übernehmen Sie für Subnetzgröße den Standardwert /27.
  5. Klicken Sie auf Hinzufügen.
  6. Klicken Sie auf Überprüfen + erstellen.
  7. Klicken Sie auf Erstellen.

Konfigurieren und Bereitstellen der Firewall

Stellen Sie die Firewall im virtuellen Netzwerk des Firewall-Hubs bereit:

  1. Wählen Sie auf der Startseite des Azure-Portals Ressource erstellen aus.

  2. Geben Sie in das Suchfeld Firewall ein.

  3. Klicken Sie auf Firewall und anschließend auf Erstellen.

  4. Konfigurieren Sie die Firewall auf der Seite Firewall erstellen anhand der folgenden Tabelle:

    Einstellung Wert
    Abonnement Wählen Sie Ihr Abonnement aus.
    Ressourcengruppe Geben Sie RG-fw-hybrid-test ein.
    Name Geben Sie AzFW01 ein.
    Region Wählen Sie die Region aus, die Sie zuvor bereits verwendet haben.
    Firewall-SKU Wählen Sie Standard aus.
    Firewallverwaltung Wählen Sie Firewallregeln (klassisch) zum Verwalten dieser Firewall verwenden aus.
    Virtuelles Netzwerk auswählen Wählen Sie Vorhandenes verwenden>VNet-Hub aus.
    Öffentliche IP-Adresse Wählen Sie Neu hinzufügen>fw-pip aus.

  5. Klicken Sie auf Überprüfen + erstellen.

  6. Überprüfen Sie die Zusammenfassung, und wählen Sie dann Erstellen aus, um die Firewall zu erstellen.

    Die Bereitstellung der Firewall dauert einige Minuten.

  7. Navigieren Sie nach Abschluss der Bereitstellung zur Ressourcengruppe RG-fw-hybrid-test, und wählen Sie die Firewall AzFW01 aus.

  8. Notieren Sie sich die private IP-Adresse. Diese wird später für die Erstellung der Standardroute benötigt.

Konfigurieren von Netzwerkregeln

Fügen Sie zunächst eine Netzwerkregel hinzu, um Webdatenverkehr zuzulassen:

  1. Wählen Sie auf der Seite AzFW01 die Option Regeln (klassisch) aus.
  2. Klicken Sie auf die Registerkarte Netzwerkregelsammlung.
  3. Wählen Sie Netzwerkregelsammlung hinzufügen aus.
  4. Geben Sie unter Name den Wert RCNet01 ein.
  5. Geben Sie unter Prioritätden Wert 100 ein.
  6. Wählen Sie unter Regelsammlungsaktion die Option Zulassen aus.
  7. Geben Sie unter Regeln > IP-Adressen für Namen den Namen AllowWeb ein.
  8. Wählen Sie für Protokoll die Option TCP aus.
  9. Wählen Sie unter Quelltyp die Option IP-Adresse aus.
  10. Geben Sie unter Quelle den Wert 192.168.0.0/24 ein.
  11. Wählen Sie unter Zieltyp die Option IP-Adresse aus.
  12. Geben Sie unter Zieladresse die Zeichenfolge 10.6.0.0/16 ein.
  13. Geben Sie unter Zielports den Wert 80 ein.

Fügen Sie nun eine Regel hinzu, um RDP-Datenverkehr zuzulassen. Geben Sie in der zweiten Regelzeile die folgenden Informationen ein:

  1. Geben Sie für Name den Wert AllowRDP ein.
  2. Wählen Sie für Protokoll die Option TCP aus.
  3. Wählen Sie unter Quelltyp die Option IP-Adresse aus.
  4. Geben Sie unter Quelle den Wert 192.168.0.0/24 ein.
  5. Wählen Sie unter Zieltyp die Option IP-Adresse aus.
  6. Geben Sie unter Zieladresse die Zeichenfolge 10.6.0.0/16 ein.
  7. Geben Sie unter Zielports den Wert 3389 ein.
  8. Klicken Sie auf Hinzufügen.

Erstellen und Verbinden der VPN-Gateways

Das virtuelle Hub-Netzwerk und das lokale virtuelle Netzwerk werden über VPN-Gateways verbunden.

Erstellen eines VPN-Gateways für das virtuelle Hub-Netzwerk

Erstellen Sie das VPN-Gateway für das virtuelle Hub-Netzwerk. Netzwerk-zu-Netzwerk-Konfigurationen erfordern einen routenbasierten VPN-Typ. Das Erstellen eines VPN-Gateways kann je nach ausgewählter SKU häufig mindestens 45 Minuten dauern.

  1. Wählen Sie auf der Startseite des Azure-Portals Ressource erstellen aus.
  2. Geben Sie in das Suchfeld Gateway für virtuelle Netzwerke ein.
  3. Wählen Sie Gateway für virtuelle Netzwerke und anschließend Erstellen aus.
  4. Geben Sie unter Name den Wert GW-hub ein.
  5. Wählen Sie unter Region die gleiche Region aus wie zuvor.
  6. Wählen Sie unter Gatewaytyp die Option VPN aus.
  7. Wählen Sie unter VPN-Typ die Option Routenbasiert aus.
  8. Wählen Sie unter SKU die Option Basic aus.
  9. Wählen Sie unter Virtuelles Netzwerk die Option VNet-Hub aus.
  10. Wählen Sie unter Öffentliche IP-Adresse die Option Neu erstellen aus, und geben Sie als Name die Zeichenfolge VNet-Hub-GW-pip ein.
  11. Wählen Sie für Aktiv/Aktiv-Modus aktivierenDeaktiviert aus.
  12. Übernehmen Sie für die restlichen Optionen die Standardwerte, und klicken Sie auf Überprüfen + erstellen.
  13. Überprüfen Sie die Konfiguration, und klicken Sie dann auf Erstellen.

Erstellen eines VPN-Gateways für das lokale virtuelle Netzwerk

Erstellen Sie das VPN-Gateway für das lokale virtuelle Netzwerk. Netzwerk-zu-Netzwerk-Konfigurationen erfordern einen routenbasierten VPN-Typ. Das Erstellen eines VPN-Gateways kann je nach ausgewählter SKU häufig mindestens 45 Minuten dauern.

  1. Wählen Sie auf der Startseite des Azure-Portals Ressource erstellen aus.
  2. Geben Sie in das Suchfeld Gateway für virtuelle Netzwerke ein.
  3. Wählen Sie Gateway für virtuelle Netzwerke und anschließend Erstellen aus.
  4. Geben Sie unter Name den Wert GW-Onprem ein.
  5. Wählen Sie unter Region die gleiche Region aus wie zuvor.
  6. Wählen Sie unter Gatewaytyp die Option VPN aus.
  7. Wählen Sie unter VPN-Typ die Option Routenbasiert aus.
  8. Wählen Sie unter SKU die Option Basic aus.
  9. Wählen Sie unter Virtuelles Netzwerk die Option VNet-Onprem aus.
  10. Wählen Sie unter Öffentliche IP-Adresse die Option Neu erstellen aus, und geben Sie als Name die Zeichenfolge VNet-Onprem-GW-pip ein.
  11. Wählen Sie für Aktiv/Aktiv-Modus aktivierenDeaktiviert aus.
  12. Übernehmen Sie für die restlichen Optionen die Standardwerte, und klicken Sie auf Überprüfen + erstellen.
  13. Überprüfen Sie die Konfiguration, und klicken Sie dann auf Erstellen.

Erstellen der VPN-Verbindungen

Nun können Sie die VPN-Verbindungen zwischen dem Hub-Gateway und dem lokalen Gateway erstellen.

In den folgenden Schritten erstellen Sie die Verbindung vom virtuellen Hub-Netzwerk zum lokalen virtuellen Netzwerk. Die Beispiele zeigen einen freigegebenen Schlüssel. Sie können jedoch einen eigenen Wert für den freigegebenen Schlüssel verwenden. Wichtig ist dabei, dass der gemeinsam verwendete Schlüssel für beide Verbindungen übereinstimmen muss. Das Erstellen einer Verbindung kann etwas dauern.

  1. Öffnen Sie die Ressourcengruppe RG-fw-hybrid-test, und wählen Sie das Gateway GW-hub aus.
  2. Wählen Sie in der linken Spalte die Option Verbindungen aus.
  3. Klicken Sie auf Hinzufügen.
  4. Geben Sie als Verbindungsnamen die Zeichenfolge Hub-to-Onprem ein.
  5. Wählen Sie unter Verbindungstyp die Option VNet-zu-VNet aus.
  6. Wählen Sie Weiter aus.
  7. Wählen Sie für Erstes Gateway für virtuelle Netzwerke die Option GW-hub aus.
  8. Wählen Sie für Zweites Gateway für virtuelle Netzwerke die Option GW-Onprem aus.
  9. Geben Sie unter Gemeinsam verwendeter Schlüssel (PSK) die Zeichenfolge AzureA1b2C3 ein.
  10. Klicken Sie auf Überprüfen + erstellen.
  11. Klicken Sie auf Erstellen.

Stellen Sie die Verbindung zwischen dem lokalen virtuellen Netzwerk und dem virtuellen Hub-Netzwerk her. Die folgenden Schritte ähneln dem vorherigen Schritt, hier erstellen Sie jedoch die Verbindung vom lokalen virtuellen Netzwerk (VNet-Onprem) zum virtuellen Hub-Netzwerk (VNet-Hub). Stellen Sie sicher, dass die freigegebenen Schlüssel übereinstimmen. Nach ein paar Minuten wurde die Verbindung hergestellt.

  1. Öffnen Sie die Ressourcengruppe RG-fw-hybrid-test, und wählen Sie das Gateway GW-Onprem aus.
  2. Wählen Sie in der linken Spalte die Option Verbindungen aus.
  3. Klicken Sie auf Hinzufügen.
  4. Geben Sie als Verbindungsnamen den Namen Onprem-to-Hub ein.
  5. Wählen Sie unter Verbindungstyp die Option VNet-zu-VNet aus.
  6. Wählen Sie Weiter: Einstellungen aus.
  7. Wählen Sie für Erstes Gateway für virtuelle Netzwerke die Option GW-Onprem aus.
  8. Wählen Sie für Zweites Gateway für virtuelle Netzwerke die Option GW-hub aus.
  9. Geben Sie unter Gemeinsam verwendeter Schlüssel (PSK) die Zeichenfolge AzureA1b2C3 ein.
  10. Klicken Sie auf Überprüfen + erstellen.
  11. Klicken Sie auf Erstellen.

Überprüfen der Verbindungen

Nach etwa fünf Minuten sollte der Status beider Verbindungen Verbunden lauten.

Screenshot mit Gatewayverbindungen

Durchführen des Peerings für die virtuellen Hub- und Spoke-Netzwerke

Führen Sie nun das Peering für die virtuellen Hub- und Spoke-Netzwerke durch:

  1. Öffnen Sie die Ressourcengruppe RG-fw-hybrid-test, und wählen Sie das virtuelle Netzwerk VNet-Hub aus.

  2. Wählen Sie in der linken Spalte Peerings aus.

  3. Wählen Sie Hinzufügen.

  4. Unter Dieses virtuelle Netzwerk:

    Einstellungsname Einstellung
    Name des Peeringlinks Geben Sie HubtoSpoke ein.
    Datenverkehr zum virtuellen Remotenetzwerk Klicken Sie auf Zulassen.
    Traffic forwarded from remote virtual network (Vom virtuellen Remotenetzwerk weitergeleiteter Datenverkehr) Klicken Sie auf Zulassen.
    Gateway für virtuelle Netzwerke Wählen Sie Gateway dieses virtuellen Netzwerks verwenden aus.

  5. Unter Virtuelles Remotenetzwerk:

    Einstellungsname Wert
    Name des Peeringlinks Geben Sie SpoketoHub ein.
    Bereitstellungsmodell für das virtuelle Netzwerk Wählen Sie Ressourcen-Manager aus.
    Abonnement Wählen Sie Ihr Abonnement aus.
    Virtuelles Netzwerk Wählen Sie VNet-Spoke aus.
    Datenverkehr zum virtuellen Remotenetzwerk Klicken Sie auf Zulassen.
    Traffic forwarded from remote virtual network (Vom virtuellen Remotenetzwerk weitergeleiteter Datenverkehr) Klicken Sie auf Zulassen.
    Gateway für virtuelle Netzwerke Wählen Sie Gateway des virtuellen Remotenetzwerks verwenden aus.

  6. Klicken Sie auf Hinzufügen.

Der folgende Screenshot zeigt die Einstellungen, die verwendet werden sollen, wenn Sie virtuelle Hub- und Spoke-Netzwerke per Peering verbinden:

Screenshot der Auswahl von virtuellen Hub- und Spoke-Netzwerken für das Peering

Erstellen der Routen

In den folgenden Schritten erstellen Sie diese Ressourcen:

  • Eine Route vom Hub-Gatewaysubnetz zum Spoke-Subnetz über die Firewall-IP-Adresse
  • Eine Standardroute vom Spoke-Subnetz über die Firewall-IP-Adresse

So erstellen Sie die Routen

  1. Wählen Sie auf der Startseite des Azure-Portals Ressource erstellen aus.
  2. Geben Sie Routingtabelle in das Suchfeld ein.
  3. Wählen Sie Routingtabelle und dann Erstellen aus.
  4. Wählen Sie als Ressourcengruppe RG-fw-hybrid-test aus.
  5. Wählen Sie unter Region denselben Standort aus wie zuvor.
  6. Geben Sie als Name die Zeichenfolge UDR-Hub-Spoke ein.
  7. Klicken Sie auf Überprüfen + erstellen.
  8. Klicken Sie auf Erstellen.
  9. Wählen Sie die erstellte Routingtabelle aus, um die Routingtabellenseite zu öffnen.
  10. Wählen Sie in der linken Spalte die Option Routen aus.
  11. Klicken Sie auf Hinzufügen.
  12. Geben Sie als Routenname die Zeichenfolge ToSpoke ein.
  13. Wählen Sie unter Zieltyp die Option IP-Adressen aus.
  14. Geben Sie 10.6.0.0/16 unter Ziel-IP-Adressen/CIDR-Bereiche ein.
  15. Wählen Sie für den Typ des nächsten Hops die Option Virtuelles Gerät aus.
  16. Geben Sie als Adresse des nächsten Hops die private IP-Adresse der Firewall ein, die Sie sich zuvor notiert haben.
  17. Klicken Sie auf Hinzufügen.

Ordnen Sie nun die Route dem Subnetz zu:

  1. Wählen Sie auf der Seite UDR-Hub-Spoke – Routen die Option Subnetze aus.
  2. Wählen Sie Zuordnen aus.
  3. Wählen Sie unter Virtuelles Netzwerk die Option VNet-Hub aus.
  4. Wählen Sie unter Subnetz die Option GatewaySubnet aus.
  5. Klicken Sie auf OK.

Erstellen Sie die Standardroute aus dem Spoke-Subnetz:

  1. Wählen Sie auf der Startseite des Azure-Portals Ressource erstellen aus.
  2. Geben Sie Routingtabelle in das Suchfeld ein.
  3. Wählen Sie Routingtabelle und dann Erstellen aus.
  4. Wählen Sie als Ressourcengruppe RG-fw-hybrid-test aus.
  5. Wählen Sie unter Region denselben Standort aus wie zuvor.
  6. Geben Sie als Namen UDR-DG ein.
  7. Wählen Sie unter Gatewayrouten verteilen die Option Nein aus.
  8. Klicken Sie auf Überprüfen + erstellen.
  9. Klicken Sie auf Erstellen.
  10. Wählen Sie die erstellte Routingtabelle aus, um die Routingtabellenseite zu öffnen.
  11. Wählen Sie in der linken Spalte die Option Routen aus.
  12. Klicken Sie auf Hinzufügen.
  13. Geben Sie als Routenname die Zeichenfolge ToHub ein.
  14. Wählen Sie unter Zieltyp die Option IP-Adressen aus.
  15. Geben Sie 0.0.0.0/0 unter Ziel-IP-Adressen/CIDR-Bereiche ein.
  16. Wählen Sie für den Typ des nächsten Hops die Option Virtuelles Gerät aus.
  17. Geben Sie als Adresse des nächsten Hops die private IP-Adresse der Firewall ein, die Sie sich zuvor notiert haben.
  18. Klicken Sie auf Hinzufügen.

Ordnen Sie die Route dem Subnetz zu:

  1. Wählen Sie auf der Seite UDR-DG – Routen die Option Subnetze aus.
  2. Wählen Sie Zuordnen aus.
  3. Wählen Sie unter Virtuelles Netzwerk die Option VNet-Spoke aus.
  4. Wählen Sie unter Subnetz die Option SN-Workload aus.
  5. Klicken Sie auf OK.

Erstellen von virtuellen Computern

Erstellen Sie die VM für die Spoke-Workload und die lokale VM, und platzieren Sie sie in den entsprechenden Subnetzen.

Erstellen des virtuellen Workloadcomputers

Erstellen Sie im virtuellen Spoke-Netzwerk eine VM, die IIS (Internet Information Services, Internetinformationsdienste) ausführt und keine öffentliche IP-Adresse besitzt:

  1. Wählen Sie auf der Startseite des Azure-Portals Ressource erstellen aus.
  2. Wählen Sie unter Beliebte Marketplace-Produkte die Option Windows Server 2019 Datacenter aus.
  3. Geben Sie die folgenden Werte für den virtuellen Computer ein:
    • Ressourcengruppe: Wählen Sie RG-fw-hybrid-test aus.
    • VM-Name: Geben Sie VM-Spoke-01 ein.
    • Region: Wählen Sie die gleiche Region aus wie zuvor.
    • Benutzername: Geben Sie einen Benutzernamen ein.
    • Kennwort: Geben Sie ein Kennwort ein.
  4. Wählen Sie unter Öffentliche Eingangsports die Option Ausgewählte Ports zulassen und anschließend HTTP (80) und RDP (3389) aus.
  5. Klicken Sie auf Weiter: Datenträger.
  6. Übernehmen Sie die Standardeinstellungen, und wählen Sie Weiter: Netzwerk aus.
  7. Wählen Sie als virtuelles Netzwerk VNet-Spoke aus. Das Subnetz ist SN-Workload.
  8. Wählen Sie unter Öffentliche IP die Option Keine aus.
  9. Wählen Sie Weiter: Verwaltung aus.
  10. Klicken Sie auf Weiter: Überwachung aus.
  11. Wählen Sie für VerwaltungDeaktivieren aus.
  12. Wählen Sie Überprüfen + erstellen aus, überprüfen Sie die Einstellungen auf der Zusammenfassungsseite, und wählen Sie anschließend Erstellen aus.

Installieren von IIS

  1. Öffnen Sie im Azure-Portal Azure Cloud Shell, und vergewissern Sie sich, dass PowerShell festgelegt ist.

  2. Führen Sie den folgenden Befehl aus, um IIS auf dem virtuellen Computer zu installieren und ggf. den Speicherort zu ändern:

    Set-AzVMExtension `
        -ResourceGroupName RG-fw-hybrid-test `
        -ExtensionName IIS `
        -VMName VM-Spoke-01 `
        -Publisher Microsoft.Compute `
        -ExtensionType CustomScriptExtension `
        -TypeHandlerVersion 1.4 `
        -SettingString '{"commandToExecute":"powershell Add-WindowsFeature Web-Server; powershell      Add-Content -Path \"C:\\inetpub\\wwwroot\\Default.htm\" -Value $($env:computername)"}' `
        -Location EastUS

Erstellen der lokalen VM

Erstellen Sie eine VM, die Sie verwenden, um per Remotezugriff eine Verbindung mit der öffentlichen IP-Adresse herzustellen. Von dort aus können Sie dann über die Firewall eine Verbindung mit dem Spoke-Server herstellen.

  1. Wählen Sie auf der Startseite des Azure-Portals Ressource erstellen aus.
  2. Wählen Sie unter Beliebt die Option Windows Server 2019 Datacenter aus.
  3. Geben Sie die folgenden Werte für den virtuellen Computer ein:
    • Ressourcengruppe: Wählen Sie Vorhandene verwenden und anschließend RG-fw-hybrid-test aus.
    • VM-Name: Geben Sie VM-Onprem ein.
    • Region: Wählen Sie die gleiche Region aus wie zuvor.
    • Benutzername: Geben Sie einen Benutzernamen ein.
    • Kennwort: Geben Sie ein Benutzerkennwort ein.
  4. Wählen Sie unter Öffentliche Eingangsports die Option Ausgewählte Ports zulassen und anschließend RDP (3389) aus.
  5. Klicken Sie auf Weiter: Datenträger.
  6. Übernehmen Sie die Standardeinstellungen, und wählen Sie Weiter: Netzwerk aus.
  7. Wählen Sie als virtuelles Netzwerk VNet-Onprem aus. Das Subnetz ist SN-Corp.
  8. Wählen Sie Weiter: Verwaltung aus.
  9. Klicken Sie auf Weiter: Überwachung aus.
  10. Wählen Sie für VerwaltungDeaktivieren aus.
  11. Wählen Sie Überprüfen + erstellen aus, überprüfen Sie die Einstellungen auf der Zusammenfassungsseite, und wählen Sie anschließend Erstellen aus.

Hinweis

Azure stellt eine ausgehende Standardzugriffs-IP für VMs bereit, denen keine öffentliche IP-Adresse zugewiesen ist oder die sich im Backendpool eines internen grundlegenden Azure-Lastenausgleichs befinden. Der Mechanismus für Standard-IP-Adressen für den ausgehenden Zugriff stellt eine ausgehende IP-Adresse bereit, die nicht konfigurierbar ist.

Die Standard-IP-Adresse für ausgehenden Zugriff ist deaktiviert, wenn eines der folgenden Ereignisse auftritt:

  • Dem virtuellen Computer wird eine öffentliche IP-Adresse zugewiesen.
  • Die VM wird im Backendpool eines Standardlastenausgleichs platziert (mit oder ohne Ausgangsregeln).
  • Dem Subnetz der VM wird eine Azure NAT Gateway-Ressource zugewiesen.

VMs, die Sie mithilfe von VM-Skalierungsgruppen im Orchestrierungsmodus „Flexibel“ erstellen, haben keinen ausgehenden Standardzugriff.

Weitere Informationen zu ausgehenden Verbindungen in Azure finden Sie unter Standardzugriff in ausgehender Richtung in Azure und Verwenden von SNAT (Source Network Address Translation) für ausgehende Verbindungen.

Testen der Firewall

  1. Notieren Sie sich die private IP-Adresse für den virtuellen Computer VM-Spoke-01.

  2. Stellen Sie über das Azure-Portal eine Verbindung mit dem virtuellen Computer VM-Onprem her.

  3. Öffnen Sie auf VM-Onprem einen Webbrowser, und navigieren Sie zu http://<VM-Spoke-01 private IP>.

    Die Webseite VM-Spoke-01 sollte geöffnet werden.

    Screenshot der Webseite für die Spoke-VM

  4. Öffnen Sie auf dem virtuellen Computer VM-Onprem eine Remotezugriffsverbindung mit VM-Spoke-01 an der privaten IP-Adresse.

    Die Verbindungsherstellung sollte erfolgreich sein, und Sie sollten sich anmelden können.

Sie haben sich vergewissert, dass die Firewallregeln funktionieren. Nun haben Sie folgende Möglichkeiten:

  • Navigieren Sie zum Webserver im virtuellen Spoke-Netzwerk.
  • Stellen Sie per Remotedesktopprotokoll (RDP) eine Verbindung mit dem Server im virtuellen Spoke-Netzwerk her.

Ändern Sie als Nächstes die Aktion zum Sammeln von Firewallnetzwerkregeln in Verweigern, um zu überprüfen, ob die Firewallregeln wie erwartet funktionieren:

  1. Wählen Sie die Firewall AzFW01 aus.
  2. Wählen Sie Regeln (klassisch) aus.
  3. Wählen Sie die Registerkarte Netzwerkregelsammlung und anschließend die Regelsammlung RCNet01 aus.
  4. Wählen Sie unter Aktion die Option Verweigern aus.
  5. Wählen Sie Speichern aus.

Schließen Sie alle vorhandenen Remotezugriffsverbindungen. Führen Sie die Tests erneut aus, um die geänderten Regeln zu testen. Dieses Mal sollten alle Tests fehlschlagen.

Bereinigen von Ressourcen

Sie können Ihre Firewallressourcen für weitere Tests beibehalten. Löschen Sie die Ressourcengruppe RG-fw-hybrid-test, wenn Sie sie nicht mehr benötigen. Dadurch werden alle firewallbezogenen Ressourcen gelöscht.

Nächste Schritte

Überwachen von Azure Firewall-Protokollen