Problemas y limitaciones conocidos de Azure Firewall

  • Artículo

En este artículo se enumeran los problemas conocidos de Azure Firewall. Se actualiza a medida que se resuelven los problemas.

Para ver las limitaciones del servicio Azure Firewall, consulte Suscripción de Azure y límites de servicio, cuotas y restricciones.

Azure Firewall Estándar

Azure Firewall Estándar presenta los siguientes problemas conocidos:

Nota:

Cualquier problema que se aplique a Estándar también se aplica a Premium.

Problema Descripción Mitigación
Las reglas de filtrado de red para protocolos que no son TCP/UDP (por ejemplo, ICMP) no funcionan con el tráfico enlazado a Internet Las reglas de filtrado de red de protocolos que no son TCP/UDP no funcionan con la traducción SNAT a la dirección IP pública. Los protocolos que no son TCP/UDP no se admiten entre subredes de radio y redes virtuales. Azure Firewall usa Standard Load Balancer, que actualmente no admite SNAT para los protocolos IP. Se están examinando opciones para admitir este escenario en una versión futura.
Falta de compatibilidad entre PowerShell y CLI con ICMP Azure PowerShell y la CLI no admiten ICMP como protocolo válido en las reglas de red. Aun así se puede usar ICMP como protocolo a través del portal y la API REST. Estamos trabajando para agregar pronto ICMP a PowerShell y la CLI.
Las etiquetas FQDN requieren que se establezca una combinación protocolo: puerto Las reglas de aplicaciones con las etiquetas FQDN requieren la definición de puerto: protocolo. Puede usar https como valor de puerto: protocolo. Estamos trabajando para que este campo sea opcional cuando se usen etiquetas FQDN.
No se admite la posibilidad de mover un firewall a otro grupo de recursos o suscripción. No se admite la posibilidad de mover un firewall a otro grupo de recursos o suscripción. La compatibilidad con esta funcionalidad está en nuestro mapa de ruta. Para mover un firewall a otro un grupo de recursos o suscripción, debe eliminar la instancia actual y volver a crearla en el nuevo grupo de recursos o suscripción.
Las alertas de inteligencia sobre amenazas pueden estar enmascaradas Reglas de red con destino 80/443 para las alertas de inteligencia sobre amenazas de las máscaras de filtrado de salida cuando la configuración está establecida en el modo de solo alerta. Cree filtrado de salida para 80/443 mediante reglas de aplicaciones. También puede cambiar el modo de inteligencia sobre amenazas a Alertar y denegar.
DNAT de Azure Firewall no funciona para destinos de IP privadas La compatibilidad con DNAT de Azure Firewall se limita a la entrada/salida de Internet. DNAT no funciona actualmente con destinos de IP privada. Por ejemplo, radio a radio. Se está investigando una solución.

El DNAT privado se encuentra actualmente en versión preliminar privada. Consulte el artículo de características de la versión preliminar de Azure Firewall para obtener el anuncio de versión preliminar pública.
Con centros virtuales protegidos, las zonas de disponibilidad solo se pueden configurar durante la implementación. No es posible configurar zonas de disponibilidad una vez implementado un firewall con centros virtuales protegidos. es así por diseño.
SNAT en conexiones entrantes Además de DNAT, en las conexiones mediante la dirección IP pública del firewall (entrante) se aplica SNAT en una de las direcciones IP privadas del firewall. Este requisito hoy en día (también para aplicaciones virtuales de red activa/activa) es para garantizar el enrutamiento simétrico. Para conservar el código fuente original para HTTP/S, considere el uso de encabezados XFF. Por ejemplo, use un servicio como Azure Front Door o Azure Application Gateway delante del firewall. También puede agregar WAF como parte de Azure Front Door Service y la cadena al firewall.
El filtrado por nombre de dominio completo de SQL se admite solo en modo de proxy (puerto 1433) Para Azure SQL Database, Azure Synapse Analytics y Azure SQL Managed Instance:

El filtrado por nombre de dominio completo de SQL se admite solo en modo de proxy (puerto 1433).

Para IaaS de Azure SQL:

Si va a usar puertos que no son los estándar, puede especificar esos puertos en las reglas de la aplicación.		 Para SQL en modo de redirección (el valor predeterminado si se conecta desde dentro de Azure), puede filtrar en su lugar el acceso mediante la etiqueta de servicio de SQL como parte de las reglas de red de Azure Firewall.
El tráfico SMTP de salida del puerto TCP 25 está bloqueado La plataforma de Azure puede bloquear los mensajes de correo electrónico salientes que se envían directamente a dominios externos (como outlook.com y gmail.com) en el puerto TCP 25. Este es el comportamiento predeterminado de la plataforma en Azure, Azure Firewall no introduce ninguna restricción específica adicional. Use servicios de retransmisión SMTP autenticados, que normalmente se conectan a través del puerto TCP 587, pero también admiten otros puertos. Para más información, consulte Solución de problemas de conectividad SMTP saliente en Azure.

Otra opción es implementar Azure Firewall en una suscripción estándar del Contrato Enterprise (EA). Azure Firewall en una suscripción de EA puede comunicarse con direcciones IP públicas mediante el puerto TCP saliente 25. Actualmente, también puede funcionar en otros tipos de suscripción, pero no está garantizado que funcione. En el caso de las direcciones IP privadas, como redes virtuales, VPN y Azure ExpressRoute, Azure Firewall admite una conexión saliente del puerto TCP 25.
Agotamiento de puertos SNAT Azure Firewall admite actualmente 2496 puertos por cada dirección IP pública por cada instancia de conjunto de escalado de máquinas virtuales de back-end. De manera predeterminada, hay dos instancias de conjunto de escalado de máquinas virtuales. Por lo tanto, hay 4992 puertos por flujo (IP de destino, puerto de destino y protocolo (TCP o UDP). El firewall se escala verticalmente hasta un máximo de 20 instancias. Se trata de una limitación de la plataforma. Como solución alternativa para los límites, puede configurar las implementaciones de Azure Firewall con un mínimo de cinco direcciones IP públicas para implementaciones susceptibles de agotamiento de SNAT. Esto aumenta cinco veces los puertos SNAT disponibles. Realice la asignación desde un prefijo de dirección IP para simplificar los permisos del flujo descendente. Para una solución más permanente, puede implementar una puerta de enlace NAT para superar los límites de puertos SNAT. Este enfoque es compatible con las implementaciones de red virtual.

Para más información, consulte Escalado de puertos SNAT con Azure Virtual Network NAT.
DNAT no es compatible con la tunelización forzada habilitada Los firewalls implementados con la tunelización forzada habilitada no admiten el acceso entrante desde Internet debido al enrutamiento asimétrico. Esto es así por diseño. La ruta de acceso de retorno de las conexiones entrantes pasa por el firewall local, que no ha visto la conexión establecida.
Es posible que el FTP pasivo saliente no funcione en firewalls con varias direcciones IP públicas, en función de la configuración del servidor FTP. FTP pasivo establece distintas conexiones para los canales de control y datos. Cuando un firewall con varias direcciones IP públicas envía datos de salida, selecciona de manera aleatoria una de sus direcciones IP públicas como dirección IP de origen. FTP puede generar un error cuando los canales de control y de datos usan direcciones IP de origen diferentes, en función de la configuración del servidor FTP. Está previsto una configuración de SNAT explícita. Entretanto, puede configurar el servidor FTP para que acepte los canales de control y de datos de distintas direcciones IP de origen (vea un ejemplo de IIS). Otra opción es usar una única dirección IP en esta situación.
Es posible que el FTP pasivo entrante no funcione en función de la configuración del servidor FTP FTP pasivo establece distintas conexiones para los canales de control y datos. En las conexiones entrantes de Azure Firewall se aplica SNAT a una de las direcciones IP privadas del firewall para garantizar el enrutamiento simétrico. FTP puede generar un error cuando los canales de control y de datos usan direcciones IP de origen diferentes, en función de la configuración del servidor FTP. Se está investigando la conservación de la dirección IP de origen original. Entretanto, puede configurar el servidor FTP para que acepte los canales de control y de datos de distintas direcciones IP de origen.
FTP activo no funcionará cuando el cliente FTP deba acceder a un servidor FTP mediante Internet. FTP activo usa un comando PORT del cliente FTP que indica al servidor FTP qué dirección IP y puerto usar para el canal de datos. Este comando PORT usa la dirección IP privada del cliente, que no se puede cambiar. El tráfico del lado cliente que recorre Azure Firewall es tráfico con NAT para las comunicaciones basadas en Internet, por lo que el servidor FTP considera el comando PORT como no válido. Se trata de una limitación general del FTP activo cuando se usa con una NAT del lado del cliente.
Falta una dimensión de protocolo en la métrica NetworkRuleHit La métrica ApplicationRuleHit permite el filtrado basado en el protocolo, pero esta funcionalidad falta en la métrica NetworkRuleHit correspondiente. Se está investigando una solución.
No se admiten las reglas NAT con puertos entre el 64000 y el 65535 Azure Firewall permite cualquier puerto en el rango 1-65535 en reglas de red y de aplicación; sin embargo, las reglas NAT solo admiten los puertos del rango 1-63999. Se trata de una limitación actual.
Las actualizaciones de configuración pueden tardar cinco minutos por término medio. Una actualización de la configuración de Azure Firewall puede tardar entre tres y cinco minutos por término medio, y no se admiten actualizaciones en paralelo. Se está investigando una solución.
Azure Firewall usa encabezados TLS SNI para filtrar el tráfico HTTPS y MSSQL Si el software del explorador o servidor no admite la extensión Server Name Indicator (SNI), no será posible conectarse mediante Azure Firewall. Si el software de explorador o servidor no admite SNI, es posible que pueda controlar la conexión mediante una regla de red, en lugar de una regla de aplicación. Consulte Indicación de nombre de servidor para conocer el software que admite SNI.
No se pueden agregar etiquetas de directiva de firewall mediante el portal ni mediante plantillas de Azure Resource Manager (ARM) La directiva de Azure Firewall tiene una limitación de compatibilidad de revisión que impide agregar una etiqueta mediante Azure Portal ni mediante plantillas de ARM. Se genera el siguiente error: No se pudieron guardar las etiquetas del recurso. Se está investigando una solución. O bien, puede usar el cmdlet de Azure PowerShell Set-AzFirewallPolicy para actualizar las etiquetas.
Actualmente, no se admite IPv6. Si agrega una dirección IPv6 a una regla, se produce un error en el firewall. Use solo direcciones IPv4. La compatibilidad con IPv6 está en proceso de investigación.
La actualización de varios grupos de IP produce un error de conflicto. Cuando se actualizan dos o más grupos de IP conectados al mismo firewall, uno de los recursos entra en estado de error. Es un problema conocido, una limitación.

Al actualizar un grupo de IP, se desencadena una actualización en todos los firewalls a los que está conectado el grupo de IP. Si se inicia una actualización en un segundo grupo de IP con el firewall aún en estado Actualizando, se produce un error en la actualización del grupo de IP.

Para evitar el error, los grupos de IP conectados al mismo firewall se deben actualizar de uno en uno. Deje tiempo suficiente entre las actualizaciones para que el firewall pueda salir del estado Actualizando.
No se admite la eliminación de elementos RuleCollectionGroup mediante plantillas de ARM. No se admite la eliminación de elementos RuleCollectionGroup mediante plantillas de ARM y se produce un error. Esta no es una operación admitida.
La regla DNAT para permitir cualquiera (*) permitirá el tráfico SNAT. Si una regla DNAT permite cualquiera (*) como dirección IP de origen, una regla de red implícita coincide con el tráfico de red virtual a red virtual y siempre transmitirá el tráfico mediante SNAT. Se trata de una limitación actual.
No se admite la adición de una regla DNAT a un centro virtual protegido con un proveedor de seguridad. Esto da como resultado una ruta asincrónica para el tráfico DNAT de vuelta, que va al proveedor de seguridad. No compatible.
Error al crear más de 2000 colecciones de reglas. El número máximo de colecciones de reglas de NAT/aplicación o red es 2000 (límite de Resource Manager). Se trata de una limitación actual.
Encabezado XFF en HTTP/S Los encabezados XFF se sobrescriben con la dirección IP de origen original, tal como se administra en el firewall. Esto es aplicable a los siguientes casos de uso:
- Solicitudes HTTP
- Solicitudes HTTPS con terminación TLS		 Se está investigando una solución.
No se puede implementar el firewall con Availability Zones con una dirección IP pública recién creada. Al implementar un firewall con Availability Zones, no se puede usar una dirección IP pública recién creada. En primer lugar, cree una nueva dirección IP pública con redundancia de zona y, a continuación, asigne esta dirección IP creada previamente durante la implementación del firewall.
La zona DNS privada de Azure no es compatible con Azure Firewall La zona DNS privada de Azure no funcionará con Azure Firewall independientemente de la configuración de DNS de Azure Firewall. Para lograr el estado necesario de uso de un servidor DNS privado, use el proxy de DNS de Azure Firewall en lugar de una zona DNS privada de Azure.
La zona física 2 del Este de Japón no está disponible para las implementaciones de firewall. No se puede implementar un nuevo firewall con la zona física 2. Además, si detiene un firewall existente que se implementa en la zona física 2, no se puede reiniciar. Para más información, consulte Zonas de disponibilidad físicas y lógicas. En el caso de los nuevos firewalls, implemente con las zonas de disponibilidad restantes o use otra región. Para configurar un firewall existente, consulte ¿Cómo puedo configurar zonas de disponibilidad después de la implementación?.

Azure Firewall Prémium

Azure Firewall Premium presenta los siguientes problemas conocidos:

Problema Descripción Mitigación
Compatibilidad de ESNI con la resolución de nombres de dominio completo en HTTPS Indicación de nombre de servidor cifrada no se admite en el protocolo de enlace HTTPS. Actualmente, solo Firefox admite ESNI a través de la configuración personalizada. La solución que se recomienda es deshabilitar esta característica.
No se admite la autenticación de certificación de cliente Los certificados de cliente se usan para crear una confianza de identidad mutua entre el cliente y el servidor. Los certificados de cliente se usan durante una negociación de TLS. Azure Firewall vuelve a negociar una conexión con el servidor y no tiene acceso a la clave privada de los certificados de cliente. None
QUIC/HTTP3 QUIC es la nueva versión principal de HTTP. Es un protocolo basado en UDP a través de los puertos 80 (PLAN) y 443 (SSL). No se admitirá la inspección de FQDN/URL/TLS. Configure el uso de UDP 80/443 como reglas de red.
Certificados firmados por clientes que no son de confianza El firewall no confía en los certificados firmados por el cliente una vez que se han recibido de un servidor web basado en intranet. Se está investigando una solución.
Dirección IP de origen incorrecta en las alertas con IDPS para HTTP (sin inspección de TLS). Cuando el tráfico HTTP de texto sin formato está en uso e IDPS emite una nueva alerta y el destino es una dirección IP pública, la dirección IP de origen que se muestra es incorrecta (se muestra la dirección IP interna, en lugar de la dirección IP original). Se está investigando una solución.
Propagación de certificados Cuando se aplica un certificado de entidad de certificación en el firewall, puede tardar entre 5 y 10 minutos en surtir efecto. Se está investigando una solución.
Compatibilidad con TLS 1.3 TLS 1.3 se admite de forma parcial. El túnel TLS del cliente al firewall se basa en TLS 1.2 y desde el firewall al servidor web externo en TLS 1.3. Se están investigando actualizaciones.
Expiración del certificado de CA intermedia de TLSi En algunos casos únicos, el certificado de CA intermedia puede expirar dos meses antes de la fecha de expiración original. Renueve el certificado de CA intermedia dos meses antes de la fecha de expiración original. Se está investigando una solución.

Pasos siguientes