Migrieren von Azure Firewall Standard zu Premium mithilfe von Terraform

Artikel
04/06/2024

Mit Terraform können Sie eine Cloudinfrastruktur definieren, eine Vorschau der Cloudinfrastruktur anzeigen und die Cloudinfrastruktur bereitstellen. Terraform ermöglicht das Erstellen von Konfigurationsdateien mit HCL-Syntax. Mit der HCL-Syntax können Sie den Cloudanbieter (beispielsweise Azure) und die Elemente angeben, aus denen sich Ihre Cloudinfrastruktur zusammensetzt. Nach der Erstellung Ihrer Konfigurationsdateien erstellen Sie einen Ausführungsplan, mit dem Sie eine Vorschau Ihrer Infrastrukturänderungen anzeigen können, bevor diese bereitgestellt werden. Nach der Überprüfung der Änderungen wenden Sie den Ausführungsplan an, um die Infrastruktur bereitzustellen.

Wenn Sie Terraform zum Bereitstellen von Azure Firewall Standard mit klassischen Regeln verwenden, können Sie Ihre Terraform-Konfigurationsdatei ändern, um Ihre Firewall mithilfe einer Premium-Firewallrichtlinie zu Azure Firewall Premium zu migrieren.

In diesem Artikel werden folgende Vorgehensweisen behandelt:

Bereitstellen einer Azure Firewall Standard-Instanz mit klassischen Regeln mithilfe von Terraform
Importieren der Firewallregeln in eine Premium-Firewallrichtlinie
Bearbeiten der Terraform-Konfigurationsdatei zum Migrieren der Firewall

1. Konfigurieren Ihrer Umgebung

Azure-Abonnement: Wenn Sie kein Azure-Abonnement besitzen, können Sie ein kostenloses Konto erstellen, bevor Sie beginnen.

Konfigurieren von Terraform: Konfigurieren Sie Terraform mithilfe einer der folgenden Optionen, sofern noch nicht geschehen:

2. Implementieren des Terraform-Codes

Erstellen Sie ein Verzeichnis, in dem der Terraform-Beispielcode getestet werden soll, und legen Sie es als aktuelles Verzeichnis fest.

Erstellen Sie eine Datei namens main.tf, und fügen Sie den folgenden Code ein:

resource "random_pet" "prefix" {
  prefix = var.prefix
  length = 1
}
resource "azurerm_resource_group" "rg" {
  name     = "${random_pet.prefix.id}-rg"
  location = var.resource_group_location
}

resource "azurerm_virtual_network" "vnet" {
  name                = "${random_pet.prefix.id}-vnet"
  address_space       = ["10.0.0.0/16"]
  location            = azurerm_resource_group.rg.location
  resource_group_name = azurerm_resource_group.rg.name
}

resource "azurerm_subnet" "subnet" {
  name                 = "AzureFirewallSubnet"
  resource_group_name  = azurerm_resource_group.rg.name
  virtual_network_name = azurerm_virtual_network.vnet.name
  address_prefixes     = ["10.0.1.0/24"]
}

resource "azurerm_public_ip" "pip" {
  name                = "${random_pet.prefix.id}-pip"
  location            = azurerm_resource_group.rg.location
  resource_group_name = azurerm_resource_group.rg.name
  allocation_method   = "Static"
  sku                 = "Standard"
}

resource "azurerm_firewall" "main" {
  name                = "${random_pet.prefix.id}-fw"
  location            = azurerm_resource_group.rg.location
  resource_group_name = azurerm_resource_group.rg.name
  sku_name            = "AZFW_VNet"
  sku_tier            = "Standard"

  ip_configuration {
    name                 = "configuration"
    subnet_id            = azurerm_subnet.subnet.id
    public_ip_address_id = azurerm_public_ip.pip.id
  }
}

resource "azurerm_firewall_application_rule_collection" "app-rc" {
  name                = "${random_pet.prefix.id}-app-rc"
  azure_firewall_name = azurerm_firewall.main.name
  resource_group_name = azurerm_resource_group.rg.name
  priority            = 100
  action              = "Allow"

  rule {
    name = "testrule"

    source_addresses = [
      "10.0.0.0/16",
    ]

    target_fqdns = [
      "*.google.com",
    ]

    protocol {
      port = "443"
      type = "Https"
    }
  }
}

resource "azurerm_firewall_network_rule_collection" "net-rc" {
  name                = "${random_pet.prefix.id}-net-rc"
  azure_firewall_name = azurerm_firewall.main.name
  resource_group_name = azurerm_resource_group.rg.name
  priority            = 100
  action              = "Allow"

  rule {
    name = "dnsrule"

    source_addresses = [
      "10.0.0.0/16",
    ]

    destination_ports = [
      "53",
    ]

    destination_addresses = [
      "8.8.8.8",
      "8.8.4.4",
    ]

    protocols = [
      "TCP",
      "UDP",
    ]
  }
}

Erstellen Sie eine Datei namens variables.tf, und fügen Sie den folgenden Code ein:

variable "resource_group_location" {
  type        = string
  default     = "eastus"
  description = "Location of the resource group."
}

variable "prefix" {
  type        = string
  default     = "firewall-standard"
  description = "Prefix of the resource name"
}

3. Initialisieren von Terraform

Führen Sie zum Initialisieren der Terraform-Bereitstellung terraform init aus. Mit diesem Befehl wird der Azure-Anbieter heruntergeladen, der zum Verwalten Ihrer Azure-Ressourcen erforderlich ist.

terraform init -upgrade

Die wichtigsten Punkte:

Der Parameter -upgrade aktualisiert die erforderlichen Anbieter-Plug-Ins auf die neueste Version, die den Versionseinschränkungen der Konfiguration entspricht.

4. Erstellen eines Terraform-Ausführungsplans

Führen Sie terraform plan aus, um einen Ausführungsplan zu erstellen.

terraform plan -out main.tfplan

Die wichtigsten Punkte:

Durch den Befehl terraform plan wird ein Ausführungsplan erstellt, aber nicht ausgeführt. Stattdessen werden die Aktionen ermittelt, die erforderlich sind, um die in Ihren Konfigurationsdateien angegebene Konfiguration zu erstellen. Mit diesem Muster können Sie überprüfen, ob der Ausführungsplan Ihren Erwartungen entspricht, bevor Sie Änderungen an den eigentlichen Ressourcen vornehmen.
Der optionale Parameter -out ermöglicht die Angabe einer Ausgabedatei für den Plan. Durch die Verwendung des Parameters -out wird sichergestellt, dass genau der von Ihnen überprüfte Plan angewendet wird.

5. Anwenden eines Terraform-Ausführungsplans

Führen Sie terraform apply aus, um den Ausführungsplan auf Ihre Cloudinfrastruktur anzuwenden.

terraform apply main.tfplan

Die wichtigsten Punkte:

Der Beispielbefehl terraform apply setzt voraus, dass Sie zuvor terraform plan -out main.tfplan ausgeführt haben.
Wenn Sie einen anderen Dateinamen für den Parameter -out angegeben haben, verwenden Sie denselben Dateinamen im Aufruf von terraform apply.
Wenn Sie den Parameter -out nicht verwendet haben, rufen Sie terraform apply ohne Parameter auf.

6. Importieren der Firewallregeln in eine Premium-Richtlinie

Nun verfügen Sie über eine Standard-Firewall mit klassischen Regeln. Erstellen Sie als Nächstes eine Premium-Firewallrichtlinie, und importieren Sie die Regeln aus der Firewall.

Klicken Sie im Azure-Portal auf Ressource erstellen.
Suchen Sie nach Firewallrichtlinie, und wählen Sie die Option aus.
Klicken Sie auf Erstellen.
Wählen Sie für „Ressourcengruppe“ die Gruppe test-resources aus.
Geben Sie als Namen den Wert prem-pol ein.
Wählen Sie USA, Osten als Region aus.
Wählen Sie als Richtlinienebene die Option Premium aus.
Wählen Sie Weiter: DNS Einstellungen aus, und fahren Sie fort, bis Sie zur Seite „Regeln“ gelangen.
Wählen Sie auf der Seite „Regeln“ die Option Regeln aus einer Azure Firewall-Instanz importieren aus.
Wählen Sie testfirewall und anschließend Importieren aus.
Klicken Sie auf Überprüfen + erstellen.
Klicken Sie auf Erstellen.

7. Bearbeiten der Terraform-Konfigurationsdatei zum Migrieren der Firewall

Öffnen Sie die Datei main.tf, und nehmen Sie die folgenden Änderungen vor:

Fügen Sie den folgenden Abschnitt „data“ hinzu:

data "azurerm_firewall_policy" "prem-pol" {
  name                 = "prem-pol"
  resource_group_name  = azurerm_resource_group.rg.name
}

Ändern Sie die Firewallressource:

 resource "azurerm_firewall" "fw" {
     name                = "testfirewall"
     location            = azurerm_resource_group.rg.location
     resource_group_name = azurerm_resource_group.rg.name
     firewall_policy_id  = data.azurerm_firewall_policy.prem-pol.id
     sku_tier            = "Premium"

 ip_configuration {
     name                 = "configuration"
     subnet_id            = azurerm_subnet.subnet.id
     public_ip_address_id = azurerm_public_ip.pip.id
 }
}

Löschen Sie die klassischen Regelsammlungen:

resource "azurerm_firewall_application_rule_collection" "app-rc" {
  name                = "apptestcollection"
  azure_firewall_name = azurerm_firewall.fw.name
  resource_group_name = azurerm_resource_group.rg.name
  priority            = 100
  action              = "Allow"

  rule {
    name = "testrule"

    source_addresses = [
      "10.0.0.0/16",
    ]

    target_fqdns = [
      "*.google.com",
    ]

    protocol {
      port = "443"
      type = "Https"
    }
  }
}

resource "azurerm_firewall_network_rule_collection" "net-rc" {
  name                = "nettestcollection"
  azure_firewall_name = azurerm_firewall.fw.name
  resource_group_name = azurerm_resource_group.rg.name
  priority            = 100
  action              = "Allow"

  rule {
    name = "dnsrule"

    source_addresses = [
      "10.0.0.0/16",
    ]

    destination_ports = [
      "53",
    ]

    destination_addresses = [
      "8.8.8.8",
      "8.8.4.4",
    ]

    protocols = [
      "TCP",
      "UDP",
    ]
  }
}

8. Anwenden des geänderten Terraform-Ausführungsplans

terraform plan -out main.tfplan
terraform apply main.tfplan

9. Überprüfen der Ergebnisse

Wählen Sie die Ressourcengruppe test-resources aus.
Wählen Sie die Ressource testfirewall aus.
Vergewissern Sie sich, dass als Firewall-SKU die Option Premium ausgewählt ist.
Vergewissern Sie sich, dass die Firewall die Firewallrichtlinie prem-pol verwendet.

10. Bereinigen der Ressourcen

Wenn Sie die über Terraform erstellten Ressourcen nicht mehr benötigen, führen Sie die folgenden Schritte aus:

Führen Sie terraform plan aus, und geben Sie das Flag destroy an.
```
terraform plan -destroy -out main.destroy.tfplan
```
Die wichtigsten Punkte:
- Durch den Befehl terraform plan wird ein Ausführungsplan erstellt, aber nicht ausgeführt. Stattdessen werden die Aktionen ermittelt, die erforderlich sind, um die in Ihren Konfigurationsdateien angegebene Konfiguration zu erstellen. Mit diesem Muster können Sie überprüfen, ob der Ausführungsplan Ihren Erwartungen entspricht, bevor Sie Änderungen an den eigentlichen Ressourcen vornehmen.
- Der optionale Parameter -out ermöglicht die Angabe einer Ausgabedatei für den Plan. Durch die Verwendung des Parameters -out wird sichergestellt, dass genau der von Ihnen überprüfte Plan angewendet wird.
Führen Sie zum Anwenden des Ausführungsplans den Befehl terraform apply aus.
```
terraform apply main.destroy.tfplan
```

Problembehandlung für Terraform in Azure

Behandeln allgemeiner Probleme bei der Verwendung von Terraform in Azure

Nächste Schritte

Weitere Informationen zur Verwendung von Terraform in Azure

Freigeben über

Migrieren von Azure Firewall Standard zu Premium mithilfe von Terraform

1. Konfigurieren Ihrer Umgebung

2. Implementieren des Terraform-Codes

3. Initialisieren von Terraform

4. Erstellen eines Terraform-Ausführungsplans

5. Anwenden eines Terraform-Ausführungsplans

6. Importieren der Firewallregeln in eine Premium-Richtlinie

7. Bearbeiten der Terraform-Konfigurationsdatei zum Migrieren der Firewall

8. Anwenden des geänderten Terraform-Ausführungsplans

9. Überprüfen der Ergebnisse

10. Bereinigen der Ressourcen

Problembehandlung für Terraform in Azure

Nächste Schritte

Feedback

Zusätzliche Ressourcen