Megosztás a következőn keresztül:

Az Azure Firewall üzembe helyezése és konfigurálása hibrid hálózatban az Azure Portal használatával

  • Cikk

Ha hibrid hálózat létrehozása érdekében helyhez kötött hálózatát egy Azure virtuális hálózathoz csatlakoztatja, az Azure hálózati erőforrásaihoz való hozzáférés ellenőrzése fontos része az átfogó biztonsági tervnek.

Az Azure Firewall használatával szabályozhatja a hálózati hozzáférést egy hibrid hálózatban az engedélyezett és megtagadott hálózati forgalmat meghatározó szabályok használatával.

Ebben a cikkben három virtuális hálózatot hoz létre:

  • VNet-Hub: A tűzfal ebben a virtuális hálózatban található.
  • Virtuális hálózat küllős: A küllős virtuális hálózat az Azure-ban található számítási feladatot jelöli.
  • VNet-Onprem: A helyszíni virtuális hálózat egy helyszíni hálózatot jelöl. Egy tényleges üzembe helyezés során virtuális magánhálózati (VPN- vagy Azure ExpressRoute-) kapcsolattal csatlakozhat hozzá. Az egyszerűség kedvéért ez a cikk VPN-átjárókapcsolatot használ, és egy Azure-beli virtuális hálózat egy helyszíni hálózatot jelöl.

Egy hibrid hálózaton lévő tűzfalat ábrázoló diagram.

Ha inkább az Azure PowerShellt szeretné használni a jelen cikkben szereplő eljárások elvégzéséhez, olvassa el az Azure Firewall hibrid hálózaton való üzembe helyezését és konfigurálását az Azure PowerShell használatával.

Feljegyzés

Ez a cikk klasszikus Azure Firewall-szabályokat használ a tűzfal kezeléséhez. Az előnyben részesített módszer egy Azure Firewall Manager-szabályzat használata. Az eljárás Azure Firewall Manager-szabályzat használatával történő végrehajtásához tekintse meg az Oktatóanyagot: Az Azure Firewall és a szabályzat üzembe helyezése és konfigurálása hibrid hálózaton az Azure Portal használatával.

Előfeltételek

A hibrid hálózatok a küllős architektúramodell használatával irányítják a forgalmat az Azure-beli virtuális hálózatok és a helyszíni hálózatok között. A küllős architektúra a következő követelményekkel rendelkezik:

  • Állítsa be a virtuális hálózat átjárójának vagy útvonalkiszolgálójának használatát, ha a VNet-Hub és a VNet-Küllő közötti társviszonyt létesíti. A küllős hálózati architektúrában az átjáróáttovábbítás lehetővé teszi, hogy a küllős virtuális hálózatok megosztják a VPN-átjárót a központban ahelyett, hogy vpn-átjárókat helyeznek üzembe minden küllős virtuális hálózaton.

    Emellett az átjáróhoz csatlakoztatott virtuális hálózatokra vagy helyszíni hálózatokra irányuló útvonalak automatikusan propagálnak a társhálózatok útválasztási tábláira az átjárótovábbításon keresztül. További információ: VPN Gateway-átvitel konfigurálása virtuális hálózatok közötti társviszony-létesítéshez.

  • Állítsa be a távoli virtuális hálózat átjáróinak vagy útvonalkiszolgálójának használatát, ha virtuális hálózat küllőjét társviszonyba állítja a VNet-Hubbal. Ha a távoli virtuális hálózat átjáróinak vagy útvonalkiszolgálójának használata be van állítva, és a virtuális hálózat átjárójának vagy útvonalkiszolgálójának használata távoli társviszony-létesítéskor is be van állítva, a küllős virtuális hálózat a távoli virtuális hálózat átjáróit használja az átvitelhez.

  • Ha a küllős alhálózat forgalmát a központi tűzfalon keresztül szeretné irányítani, használhat egy felhasználó által definiált útvonalat (UDR), amely a tűzfalra mutat, és a virtuális hálózati átjáró útvonal-propagálási lehetősége le van tiltva. Ennek a beállításnak a letiltása megakadályozza a küllős alhálózatok közötti útvonaleloszlást, így a tanult útvonalak nem ütközhetnek az UDR-vel. Ha engedélyezni szeretné a virtuális hálózati átjáró útvonalak propagálását , győződjön meg arról, hogy meghatározott útvonalakat határoz meg a tűzfalhoz, hogy felülbírálja a helyszínen közzétett útvonalakat a Border Gateway Protocol (BGP) protokollon keresztül.

  • Konfiguráljon egy UDR-t a központi átjáró alhálózatán, amely a küllős hálózatok következő ugrásaként a tűzfal IP-címére mutat. Az Azure Firewall alhálózatán nincs szükség UDR-re, mert a BGP-ből tanulja meg az útvonalakat.

A cikk későbbi, Útvonalak létrehozása szakasza bemutatja, hogyan hozhatja létre ezeket az útvonalakat.

Az Azure Firewallnak közvetlen internetkapcsolatra van szüksége. Ha az AzureFirewallSubnet alhálózat a BGP-n keresztül tanulja meg a helyszíni hálózat alapértelmezett útvonalát, felül kell bírálnia azt egy 0.0.0.0/0 UDR-vel a NextHopType közvetlen internetkapcsolat fenntartása érdekében beállított Internet értékkel.

Feljegyzés

Az Azure Firewall konfigurálható a kényszerített bújtatás támogatására. További információ: Kényszerített Azure Firewall-bújtatás.

A közvetlenül társviszonyban lévő virtuális hálózatok közötti forgalom akkor is közvetlenül lesz irányítva, ha egy UDR alapértelmezett átjáróként az Azure Firewallra mutat. Ha ebben a forgatókönyvben alhálózatok közötti forgalmat szeretne küldeni a tűzfalnak, az UDR-nek explicit módon tartalmaznia kell a cél alhálózati hálózati előtagot mindkét alhálózaton.

Ha még nincs Azure-előfizetése, kezdés előtt hozzon létre egy ingyenes fiókot.

A tűzfalközpont virtuális hálózatának létrehozása

Először hozza létre az erőforráscsoportot az erőforrásokat tartalmazóként:

  1. Jelentkezzen be az Azure Portalra.
  2. Az Azure Portal kezdőlapján válassza a Létrehozás erőforráscsoportok>lehetőséget.
  3. Az Előfizetés mezőben válassza ki az előfizetését.
  4. Erőforráscsoport esetén adja meg az RG-fw-hybrid-test értéket.
  5. Régió esetén válasszon ki egy régiót. A később létrehozott összes erőforrásnak ugyanabban a régióban kell lennie.
  6. Válassza a Felülvizsgálat és létrehozás lehetőséget.
  7. Válassza a Létrehozás lehetőséget.

Hozza létre a virtuális hálózatot.

Feljegyzés

Az AzureFirewallSubnet alhálózat mérete /26. Az alhálózat méretével kapcsolatos további információkért tekintse meg az Azure Firewall gyakori kérdéseit.

  1. Az Azure Portal kezdőlapján válassza az Erőforrás létrehozása lehetőséget.
  2. A keresőmezőbe írja be a virtuális hálózatot.
  3. Válassza a Virtuális hálózat, majd a Létrehozás lehetőséget.
  4. Erőforráscsoport esetén válassza az RG-fw-hybrid-test lehetőséget.
  5. A virtuális hálózat neveként adja meg a VNet-Hub nevet.
  6. A Region ( Régió) mezőben válassza ki a korábban használt régiót.
  7. Válassza a Tovább lehetőséget.
  8. A Biztonság lapon válassza a Tovább gombot.
  9. IPv4-címtartomány esetén törölje az alapértelmezett címet, és adja meg a 10.5.0.0/16 értéket.
  10. Az Alhálózatok területen törölje az alapértelmezett alhálózatot.
  11. Válassza az Alhálózat hozzáadása lehetőséget.
  12. Az Alhálózat hozzáadása lapon válassza az Alhálózati sablon esetében az Azure Firewall lehetőséget.
  13. Válassza a Hozzáadás lehetőséget.

Hozzon létre egy második alhálózatot az átjáróhoz:

  1. Válassza az Alhálózat hozzáadása lehetőséget.
  2. Alhálózati sablon esetén válassza a Virtuális hálózati átjáró lehetőséget.
  3. Kezdőcím esetén fogadja el a 10.5.1.0 alapértelmezett értéket.
  4. Alhálózatméret esetén fogadja el a /27 alapértelmezett értékét.
  5. Válassza a Hozzáadás lehetőséget.
  6. Válassza az Áttekintés + létrehozás lehetőséget.
  7. Válassza a Létrehozás lehetőséget.

Küllős virtuális hálózat létrehozása

  1. Az Azure Portal kezdőlapján válassza az Erőforrás létrehozása lehetőséget.
  2. A keresőmezőbe írja be a virtuális hálózatot.
  3. Válassza a Virtuális hálózat, majd a Létrehozás lehetőséget.
  4. Erőforráscsoport esetén válassza az RG-fw-hybrid-test lehetőséget.
  5. A Név mezőbe írja be a VNet küllőt.
  6. A Region ( Régió) mezőben válassza ki a korábban használt régiót.
  7. Válassza a Tovább lehetőséget.
  8. A Biztonság lapon válassza a Tovább gombot.
  9. IPv4-címtartomány esetén törölje az alapértelmezett címet, és adja meg a 10.6.0.0/16 értéket.
  10. Az Alhálózatok területen törölje az alapértelmezett alhálózatot.
  11. Válassza az Alhálózat hozzáadása lehetőséget.
  12. A Név mezőbe írja be az SN-Workload nevet.
  13. Kezdőcímként fogadja el a 10.6.0.0 alapértelmezett értéket.
  14. Alhálózatméret esetén fogadja el a /24 alapértelmezett értékét.
  15. Válassza a Hozzáadás lehetőséget.
  16. Válassza az Áttekintés + létrehozás lehetőséget.
  17. Válassza a Létrehozás lehetőséget.

A helyszíni virtuális hálózat létrehozása

  1. Az Azure Portal kezdőlapján válassza az Erőforrás létrehozása lehetőséget.
  2. A keresőmezőbe írja be a virtuális hálózatot.
  3. Válassza a Virtuális hálózat, majd a Létrehozás lehetőséget.
  4. Erőforráscsoport esetén válassza az RG-fw-hybrid-test lehetőséget.
  5. A Név mezőbe írja be a VNet-Onprem nevet.
  6. A Region ( Régió) mezőben válassza ki a korábban használt régiót.
  7. Válassza a Tovább lehetőséget.
  8. A Biztonság lapon válassza a Tovább gombot.
  9. IPv4-címtartomány esetén törölje az alapértelmezett címet, és adja meg a 192.168.0.0/16 értéket.
  10. Az Alhálózatok területen törölje az alapértelmezett alhálózatot.
  11. Válassza az Alhálózat hozzáadása lehetőséget.
  12. A Név mezőbe írja be az SN-Corp nevet.
  13. Kezdőcím esetén fogadja el a 192.168.0.0 alapértelmezett értéket.
  14. Alhálózatméret esetén fogadja el a /24 alapértelmezett értékét.
  15. Válassza a Hozzáadás lehetőséget.

Most hozzon létre egy második alhálózatot az átjáróhoz:

  1. Válassza az Alhálózat hozzáadása lehetőséget.
  2. Alhálózati sablon esetén válassza a Virtuális hálózati átjáró lehetőséget.
  3. Kezdőcím esetén fogadja el a 192.168.1.0 alapértelmezett értéket.
  4. Alhálózatméret esetén fogadja el a /27 alapértelmezett értékét.
  5. Válassza a Hozzáadás lehetőséget.
  6. Válassza az Áttekintés + létrehozás lehetőséget.
  7. Válassza a Létrehozás lehetőséget.

A tűzfal konfigurálása és üzembe helyezése

Telepítse a tűzfalat a tűzfalközpont virtuális hálózatába:

  1. Az Azure Portal kezdőlapján válassza az Erőforrás létrehozása lehetőséget.

  2. A keresőmezőbe írja be a tűzfalat.

  3. Válassza a Tűzfal, majd a Létrehozás lehetőséget.

  4. A Tűzfal létrehozása oldalon konfigurálja a tűzfalat a következő táblázatban található értékekkel:

    Beállítás Érték
    Előfizetés Válassza ki előfizetését.
    Erőforráscsoport Adja meg az RG-fw-hybrid-test értéket.
    Név Adja meg az AzFW01 értéket.
    Régió Válassza ki a korábban használt régiót.
    Tűzfal termékváltozata Válassza a Standard lehetőséget.
    Tűzfalkezelés Válassza a Tűzfalszabályok használata (klasszikus) lehetőséget a tűzfal kezeléséhez.
    Virtuális hálózat kiválasztása Válassza a Meglévő>VNet-Hub használata lehetőséget.
    Nyilvános IP-cím Válassza az Új>fw-pip hozzáadása lehetőséget.

  5. Válassza az Áttekintés + létrehozás lehetőséget.

  6. Tekintse át az összegzést, majd válassza a Létrehozás lehetőséget a tűzfal létrehozásához.

    A tűzfal üzembe helyezése néhány percet vesz igénybe.

  7. Az üzembe helyezés befejezése után lépjen az RG-fw-hybrid-test erőforráscsoportra, és válassza ki az AzFW01 tűzfalat.

  8. Jegyezze fel a magánhálózati IP-címet. Ezt később használhatja az alapértelmezett útvonal létrehozásakor.

Hálózati szabályok konfigurálása

Először adjon hozzá egy hálózati szabályt a webes forgalom engedélyezéséhez:

  1. Az AzFW01 lapon válassza a Szabályok (klasszikus) lehetőséget.
  2. Válassza a Hálózati szabály gyűjtemény lapját.
  3. Válassza a Hálózati szabálygyűjtemény hozzáadása lehetőséget.
  4. A Név mezőbe írja be az RCNet01 nevet.
  5. A Prioritás mezőben adja meg a 100 értéket.
  6. Szabálygyűjtési művelet esetén válassza az Engedélyezés lehetőséget.
  7. A Szabályok IP-címei területen a Név mezőben adja meg az AllowWeb nevet.
  8. A Protokoll beállításnál válassza a TCP lehetőséget.
  9. Forrástípus esetén válassza az IP-címet.
  10. Forrás esetén adja meg a 192.168.0.0/24 értéket.
  11. Céltípus esetén válassza az IP-címet.
  12. Célcímként adja meg a 10.6.0.0/16 értéket.
  13. Célportok esetén adja meg a 80-at.

Most adjon hozzá egy szabályt az RDP-forgalom engedélyezéséhez. A második szabálysorban adja meg a következő adatokat:

  1. A Név mezőbe írja be az AllowRDP nevet.
  2. A Protokoll beállításnál válassza a TCP lehetőséget.
  3. Forrástípus esetén válassza az IP-címet.
  4. Forrás esetén adja meg a 192.168.0.0/24 értéket.
  5. Céltípus esetén válassza az IP-címet.
  6. Célcímként adja meg a 10.6.0.0/16 értéket.
  7. Célportok esetén adja meg a 3389-et.
  8. Válassza a Hozzáadás lehetőséget.

A VPN-átjárók létrehozása és csatlakoztatása

A központ és a helyszíni virtuális hálózatok VPN-átjárókon keresztül csatlakoznak.

VPN-átjáró létrehozása a központi virtuális hálózathoz

Hozza létre a VPN-átjárót a központi virtuális hálózathoz. A hálózatok közötti konfigurációkhoz útvonalalapú VPN-típusra van szükség. A VPN-átjáró létrehozása a kiválasztott termékváltozattól függően gyakran 45 percet vagy több időt is igénybe vehet.

  1. Az Azure Portal kezdőlapján válassza az Erőforrás létrehozása lehetőséget.
  2. A keresőmezőbe írja be a virtuális hálózati átjárót.
  3. Válassza a Virtuális hálózati átjáró, majd a Létrehozás lehetőséget.
  4. A Név mezőbe írja be a GW-hub nevet.
  5. Régió esetén válassza ki ugyanazt a régiót, amelyet korábban használt.
  6. Átjárótípus esetén válassza a VPN-t.
  7. VPN-típus esetén válassza az Útvonalalapú lehetőséget.
  8. Termékváltozat esetén válassza az Alapszintű lehetőséget.
  9. Virtuális hálózat esetén válassza a VNet-Hub lehetőséget.
  10. Nyilvános IP-cím esetén válassza az Új létrehozása lehetőséget, és adja meg a VNet-Hub-GW-pip nevet.
  11. Az aktív-aktív mód engedélyezéséhez válassza a Letiltva lehetőséget.
  12. Fogadja el a fennmaradó alapértelmezett értékeket, majd válassza a Véleményezés + létrehozás lehetőséget.
  13. Tekintse át a konfigurációt, majd válassza a Létrehozás elemet.

VPN-átjáró létrehozása a helyszíni virtuális hálózathoz

Hozza létre a VPN-átjárót a helyszíni virtuális hálózathoz. A hálózatok közötti konfigurációkhoz útvonalalapú VPN-típusra van szükség. A VPN-átjáró létrehozása a kiválasztott termékváltozattól függően gyakran 45 percet vagy több időt is igénybe vehet.

  1. Az Azure Portal kezdőlapján válassza az Erőforrás létrehozása lehetőséget.
  2. A keresőmezőbe írja be a virtuális hálózati átjárót.
  3. Válassza a Virtuális hálózati átjáró, majd a Létrehozás lehetőséget.
  4. A Név mezőbe írja be a GW-Onprem nevet.
  5. Régió esetén válassza ki ugyanazt a régiót, amelyet korábban használt.
  6. Átjárótípus esetén válassza a VPN-t.
  7. VPN-típus esetén válassza az Útvonalalapú lehetőséget.
  8. Termékváltozat esetén válassza az Alapszintű lehetőséget.
  9. Virtuális hálózat esetén válassza a VNet-Onprem lehetőséget.
  10. Nyilvános IP-cím esetén válassza az Új létrehozása lehetőséget, és adja meg a VNet-Onprem-GW-pip nevet.
  11. Az aktív-aktív mód engedélyezéséhez válassza a Letiltva lehetőséget.
  12. Fogadja el a fennmaradó alapértelmezett értékeket, majd válassza a Véleményezés + létrehozás lehetőséget.
  13. Tekintse át a konfigurációt, majd válassza a Létrehozás elemet.

A VPN-kapcsolatok létrehozása

Most már létrehozhatja a VPN-kapcsolatokat a központ és a helyszíni átjárók között.

A következő lépésekben létre kell hoznia a kapcsolatot a központi virtuális hálózatról a helyszíni virtuális hálózatra. A példák egy megosztott kulcsot mutatnak be, de a megosztott kulcshoz használhatja a saját értékét. Fontos, hogy a megosztott kulcs azonos legyen mindkét kapcsolathoz. A kapcsolat létrehozása egy kis időt vehet igénybe.

  1. Nyissa meg az RG-fw-hybrid-test erőforráscsoportot, és válassza ki a GW-hub átjárót.
  2. Válassza a Kapcsolatok lehetőséget a bal oldali oszlopban.
  3. Válassza a Hozzáadás lehetőséget.
  4. A kapcsolat neveként írja be a Hub-to-Onprem nevet.
  5. Kapcsolattípus esetén válassza a VNet–VNet lehetőséget.
  6. Válassza a Tovább lehetőséget.
  7. Az Első virtuális hálózati átjáró esetében válassza a GW-Hub lehetőséget.
  8. Második virtuális hálózati átjáró esetén válassza a GW-Onprem lehetőséget.
  9. Megosztott kulcs (PSK) esetén adja meg az AzureA1b2C3 értéket.
  10. Válassza a Felülvizsgálat és létrehozás lehetőséget.
  11. Válassza a Létrehozás lehetőséget.

Hozza létre a helyszíni és a központ közötti virtuális hálózati kapcsolatot. A következő lépések hasonlóak az előzőekhez, kivéve, hogy a VNet-Onprem és a VNet-Hub közötti kapcsolatot hozza létre. Győződjön meg arról, hogy a megosztott kulcsok egyeznek. A kapcsolat néhány perc múlva létrejön.

  1. Nyissa meg az RG-fw-hybrid-test erőforráscsoportot, és válassza ki a GW-Onprem átjárót.
  2. Válassza a Kapcsolatok lehetőséget a bal oldali oszlopban.
  3. Válassza a Hozzáadás lehetőséget.
  4. A kapcsolat neveként adja meg az Onprem-to-Hub nevet.
  5. Kapcsolattípus esetén válassza a VNet–VNet lehetőséget.
  6. Válassza a Következő: Beállítások lehetőséget.
  7. Az Első virtuális hálózati átjárónál válassza a GW-Onprem lehetőséget.
  8. A második virtuális hálózati átjáró esetében válassza a GW-Hub lehetőséget.
  9. Megosztott kulcs (PSK) esetén adja meg az AzureA1b2C3 értéket.
  10. Válassza a Felülvizsgálat és létrehozás lehetőséget.
  11. Válassza a Létrehozás lehetőséget.

A kapcsolatok ellenőrzése

Körülbelül öt perc elteltével mindkét kapcsolatnak csatlakoztatva kell lennie.

Az átjárókapcsolatokat bemutató képernyőkép.

Társviszony a küllős virtuális hálózatokkal

Most társviszonyt létesítsen a központtal és a küllős virtuális hálózatokkal:

  1. Nyissa meg az RG-fw-hybrid-test erőforráscsoportot, és válassza ki a VNet-Hub virtuális hálózatot.

  2. A bal oldali oszlopban válassza a Társviszonyok lehetőséget.

  3. Válassza a Hozzáadás lehetőséget.

  4. A virtuális hálózat alatt:

    A beállítás neve Beállítás
    Társviszony-létesítési hivatkozás neve Írja be a HubtoSpoke parancsot.
    Forgalom távoli virtuális hálózatra Válassza ki az Engedélyezés lehetőséget.
    Távoli virtuális hálózatról továbbított forgalom Válassza ki az Engedélyezés lehetőséget.
    Virtuális hálózati átjáró Válassza a Virtuális hálózat átjárójának használata lehetőséget.

  5. A Távoli virtuális hálózat alatt:

    A beállítás neve Érték
    Társviszony-létesítési hivatkozás neve Adja meg a SpoketoHubot.
    Virtuális hálózati üzemi modell Válassza az Erőforrás-kezelőt.
    Előfizetés Válassza ki előfizetését.
    Virtuális hálózat Válassza a Virtuális hálózat küllője lehetőséget.
    Forgalom távoli virtuális hálózatra Válassza ki az Engedélyezés lehetőséget.
    Távoli virtuális hálózatról továbbított forgalom Válassza ki az Engedélyezés lehetőséget.
    Virtuális hálózati átjáró Válassza a Távoli virtuális hálózat átjárójának használata lehetőséget.

  6. Válassza a Hozzáadás lehetőséget.

Az alábbi képernyőképen a küllős és a küllős virtuális hálózatok közötti társviszony-létesítéskor használandó beállítások láthatók:

Képernyőkép a társviszony-létesítési központ és a küllős virtuális hálózatok kiválasztásáról.

Az útvonalak létrehozása

Az alábbi lépésekben az alábbi útvonalakat hozhatja létre:

  • Egy útvonalat a központi átjáró alhálózatától a küllő alhálózatához a tűzfal IP-címén keresztül
  • Egy alapértelmezett útvonalat a küllő alhálózattól a tűzfal IP-címén keresztül

Az útvonalak létrehozása:

  1. Az Azure Portal kezdőlapján válassza az Erőforrás létrehozása lehetőséget.
  2. A keresőmezőbe írja be az útvonaltáblát.
  3. Válassza az Útvonaltábla, majd a Létrehozás lehetőséget.
  4. Az erőforráscsoportban válassza az RG-fw-hybrid-test lehetőséget.
  5. Régió esetén válassza ki ugyanazt a helyet, amelyet korábban használt.
  6. A névhez írja be az UDR-Hub küllőt.
  7. Válassza a Felülvizsgálat és létrehozás lehetőséget.
  8. Válassza a Létrehozás lehetőséget.
  9. Az útvonaltábla létrehozása után jelölje ki az útvonaltábla oldalának megnyitásához.
  10. Válassza az Útvonalak lehetőséget a bal oldali oszlopban.
  11. Válassza a Hozzáadás lehetőséget.
  12. Az útvonalnévhez írja be a ToSpoke nevet.
  13. Céltípus esetén válassza ki az IP-címeket.
  14. Cél IP-címek/CIDR-tartományok esetén adja meg a 10.6.0.0/16 értéket.
  15. A következő ugrási típushoz válassza a Virtuális berendezés lehetőséget.
  16. A következő ugrási címhez adja meg a tűzfal korábban feljegyzett privát IP-címét.
  17. Válassza a Hozzáadás lehetőséget.

Most társítsa az útvonalat az alhálózathoz:

  1. Az UDR-Hub-Küllő – Útvonalak lapon válassza az Alhálózatok lehetőséget.
  2. Válassza a Társítás lehetőséget.
  3. A Virtuális hálózat területen válassza a VNet-Hub lehetőséget.
  4. Az Alhálózat területen válassza a GatewaySubnet lehetőséget.
  5. Kattintson az OK gombra.

Hozza létre az alapértelmezett útvonalat a küllős alhálózatból:

  1. Az Azure Portal kezdőlapján válassza az Erőforrás létrehozása lehetőséget.
  2. A keresőmezőbe írja be az útvonaltáblát.
  3. Válassza az Útvonaltábla, majd a Létrehozás lehetőséget.
  4. Az erőforráscsoportban válassza az RG-fw-hybrid-test lehetőséget.
  5. Régió esetén válassza ki ugyanazt a helyet, amelyet korábban használt.
  6. A névhez írja be az UDR-DG nevet.
  7. Az átjáró útvonalának propagálása esetén válassza a Nem lehetőséget.
  8. Válassza a Felülvizsgálat és létrehozás lehetőséget.
  9. Válassza a Létrehozás lehetőséget.
  10. Az útvonaltábla létrehozása után jelölje ki az útvonaltábla oldalának megnyitásához.
  11. Válassza az Útvonalak lehetőséget a bal oldali oszlopban.
  12. Válassza a Hozzáadás lehetőséget.
  13. Az útvonalnévhez írja be a ToHubot.
  14. Céltípus esetén válassza ki az IP-címeket.
  15. Cél IP-címek/CIDR-tartományok esetén adja meg a 0.0.0.0/0 értéket.
  16. A következő ugrási típushoz válassza a Virtuális berendezés lehetőséget.
  17. A következő ugrási címhez adja meg a tűzfal korábban feljegyzett privát IP-címét.
  18. Válassza a Hozzáadás lehetőséget.

Az útvonal társítása az alhálózathoz:

  1. Az UDR-DG – Útvonalak lapon válassza az Alhálózatok lehetőséget.
  2. Válassza a Társítás lehetőséget.
  3. A Virtuális hálózat területen válassza a Virtuális hálózat küllője lehetőséget.
  4. Az alhálózat alatt válassza az SN-Workload lehetőséget.
  5. Kattintson az OK gombra.

Virtuális gépek létrehozása

Hozza létre a küllős számítási feladatokat és a helyszíni virtuális gépeket, és helyezze őket a megfelelő alhálózatokra.

A számítási feladatot futtató virtuális gép létrehozása

Hozzon létre egy virtuális gépet az Internet Information Servicest (IIS) futtató küllős virtuális hálózaton, amely nem rendelkezik nyilvános IP-címmel:

  1. Az Azure Portal kezdőlapján válassza az Erőforrás létrehozása lehetőséget.
  2. A Népszerű Marketplace-termékek területen válassza a Windows Server 2019 Datacenter lehetőséget.
  3. Adja meg a virtuális gép alábbi értékeit:
    • Erőforráscsoport: Válassza az RG-fw-hybrid-test lehetőséget.
    • Virtuális gép neve: Adja meg a VM-Spoke-01 nevet.
    • Régió: Válassza ki ugyanazt a régiót, amelyet korábban használt.
    • Felhasználónév: Adjon meg egy felhasználónevet.
    • Jelszó: Adjon meg egy jelszót.
  4. Nyilvános bejövő portok esetén válassza a Kijelölt portok engedélyezése, majd a HTTP (80) és az RDP (3389) lehetőséget.
  5. Válassza a Tovább: Lemezek lehetőséget.
  6. Fogadja el az alapértelmezett beállításokat, és válassza a Tovább: Hálózatkezelés lehetőséget.
  7. A virtuális hálózathoz válassza a VNet-Küllő lehetőséget. Az alhálózat SN-Számítási feladat.
  8. Nyilvános IP-cím esetén válassza a Nincs lehetőséget.
  9. Válassza a Következő: Felügyelet lehetőséget.
  10. Válassza a Következő: Figyelés lehetőséget.
  11. A rendszerindítási diagnosztikához válassza a Letiltás lehetőséget.
  12. Válassza a Véleményezés+Létrehozás lehetőséget, tekintse át az összefoglaló oldalon található beállításokat, majd válassza a Létrehozás lehetőséget.

Az IIS telepítése

  1. Az Azure Portalon nyissa meg az Azure Cloud Shellt, és győződjön meg arról, hogy a PowerShell van beállítva.

  2. Futtassa a következő parancsot az IIS virtuális gépre való telepítéséhez, és szükség esetén módosítsa a helyet:

    Set-AzVMExtension `
        -ResourceGroupName RG-fw-hybrid-test `
        -ExtensionName IIS `
        -VMName VM-Spoke-01 `
        -Publisher Microsoft.Compute `
        -ExtensionType CustomScriptExtension `
        -TypeHandlerVersion 1.4 `
        -SettingString '{"commandToExecute":"powershell Add-WindowsFeature Web-Server; powershell      Add-Content -Path \"C:\\inetpub\\wwwroot\\Default.htm\" -Value $($env:computername)"}' `
        -Location EastUS

A helyszíni virtuális gép létrehozása

Hozzon létre egy virtuális gépet, amellyel távoli hozzáféréssel csatlakozhat a nyilvános IP-címhez. Innen csatlakozhat a küllő kiszolgálóhoz a tűzfalon keresztül.

  1. Az Azure Portal kezdőlapján válassza az Erőforrás létrehozása lehetőséget.
  2. A Népszerű csoportban válassza a Windows Server 2019 Datacenter lehetőséget.
  3. Adja meg a virtuális gép alábbi értékeit:
    • Erőforráscsoport: Válassza a Meglévő, majd az RG-fw-hybrid-test lehetőséget.
    • Virtuális gép neve: Adja meg a VM-Onprem nevet.
    • Régió: Válassza ki ugyanazt a régiót, amelyet korábban használt.
    • Felhasználónév: Adjon meg egy felhasználónevet.
    • Jelszó: Adjon meg egy felhasználói jelszót.
  4. Nyilvános bejövő portok esetén válassza a Kijelölt portok engedélyezése, majd az RDP (3389) lehetőséget.
  5. Válassza a Tovább: Lemezek lehetőséget.
  6. Fogadja el az alapértelmezett beállításokat, és válassza a Tovább: Hálózatkezelés lehetőséget.
  7. A virtuális hálózat esetében válassza a VNet-Onprem lehetőséget. Az alhálózat az SN-Corp.
  8. Válassza a Következő: Felügyelet lehetőséget.
  9. Válassza a Következő: Figyelés lehetőséget.
  10. A rendszerindítási diagnosztikához válassza a Letiltás lehetőséget.
  11. Válassza a Véleményezés+Létrehozás lehetőséget, tekintse át az összefoglaló oldalon található beállításokat, majd válassza a Létrehozás lehetőséget.

Feljegyzés

Az Azure alapértelmezett kimenő hozzáférési IP-címet biztosít azokhoz a virtuális gépekhez, amelyek vagy nincsenek hozzárendelve nyilvános IP-címhez, vagy egy belső alapszintű Azure-terheléselosztó háttérkészletében találhatók. Az alapértelmezett kimenő hozzáférési IP-mechanizmus olyan kimenő IP-címet biztosít, amely nem konfigurálható.

Az alapértelmezett kimenő hozzáférési IP-cím le van tiltva az alábbi események egyike esetén:

  • A virtuális géphez nyilvános IP-cím van hozzárendelve.
  • A virtuális gép egy standard terheléselosztó háttérkészletébe kerül kimenő szabályokkal vagy anélkül.
  • Egy Azure NAT Gateway-erőforrás van hozzárendelve a virtuális gép alhálózatához.

A virtuálisgép-méretezési csoportok rugalmas vezénylési módban történő használatával létrehozott virtuális gépek nem rendelkeznek alapértelmezett kimenő hozzáféréssel.

Az Azure-beli kimenő kapcsolatokról további információt az Alapértelmezett kimenő hozzáférés az Azure-ban és a Kimenő kapcsolatok forráshálózati címfordításának (SNAT) használata című témakörben talál.

A tűzfal tesztelése

  1. Jegyezze fel a VM-Spoke-01 virtuális gép magánhálózati IP-címét.

  2. Az Azure Portalon csatlakozzon a VM-Onprem virtuális géphez.

  3. Nyisson meg egy webböngészőt a VM-Onprem webhelyen, és keresse meg a következőt http://<VM-Spoke-01 private IP>: .

    Meg kell nyitni a VM-Spoke-01 weblapot.

    Képernyőkép a küllős virtuális gép weblapjáról.

  4. A VM-Onprem virtuális gépről nyisson meg egy távelérési kapcsolatot a VM-Spoke-01-hez a privát IP-címen.

    A kapcsolatnak sikeresnek kell lennie, és be kell tudnia jelentkezni.

Most, hogy ellenőrizte, hogy a tűzfalszabályok működnek-e, a következőkre van lehetősége:

  • Keresse meg a küllős virtuális hálózaton található webkiszolgálót.
  • Csatlakozzon a küllős virtuális hálózaton lévő kiszolgálóhoz RDP használatával.

Ezután módosítsa a tűzfalhálózati szabályok gyűjteményének műveletét Megtagadás értékre, hogy ellenőrizze, hogy a tűzfalszabályok a várt módon működnek-e:

  1. Válassza ki az AzFW01 tűzfalat.
  2. Válassza a Szabályok (klasszikus) lehetőséget.
  3. Válassza a Hálózati szabálygyűjtemény lapot, majd az RCNet01 szabálygyűjteményt.
  4. Művelet esetén válassza a Megtagadás lehetőséget.
  5. Válassza a Mentés lehetőséget.

Zárja be a meglévő távelérési kapcsolatokat. Futtassa újra a teszteket a módosított szabályok teszteléséhez. Ezúttal mindegyiknek sikertelennek kell lennie.

Az erőforrások eltávolítása

A tűzfal erőforrásait továbbra is használhatja a további teszteléshez. Ha már nincs rájuk szüksége, törölje az RG-fw-hybrid-test erőforráscsoportot az összes tűzfallal kapcsolatos erőforrás törléséhez.

Következő lépések

Az Azure Firewall naplóinak monitorozása