Menyebarkan Azure Firewall dengan beberapa alamat IP publik dengan menggunakan Azure PowerShell

Fitur ini memungkinkan skenario berikut:

  • DNAT - Anda dapat menerjemahkan beberapa instans port standar ke server backend Anda. Misalnya, jika memiliki dua alamat IP publik, Anda dapat menerjemahkan TCP port 3389 (RDP) untuk kedua alamat IP.
  • SNAT - Port tambahan tersedia untuk koneksi SNAT keluar, sehingga mengurangi potensi kehabisan port SNAT. Azure Firewall secara acak memilih alamat IP publik sumber pertama yang akan digunakan untuk koneksi dan memilih IP publik lain setelah port dari IP pertama habis. Jika memiliki pemfilteran hilir di jaringan, Anda perlu mengizinkan semua alamat IP publik yang terkait dengan firewall Anda. Pertimbangkan menggunakan prefiks alamat IP publik untuk memudahkan konfigurasi ini.

Anda dapat mengakses Azure Firewall dengan beberapa alamat IP publik melalui portal Microsoft Azure, Azure PowerShell, Azure CLI, REST, dan templat. Anda dapat menyebarkan Azure Firewall di jaringan virtual hub dengan hingga 250 alamat IP publik. Namun, aturan tujuan DNAT juga termasuk dalam batas maksimum 250. Batas untuk Azure Firewall dalam penyebaran VHUB dengan Bring your own Public IP adalah 250 alamat, dan untuk penyebaran VHUB klasik, ini adalah 80 alamat IP publik.

Catatan

Menambahkan beberapa alamat IP publik adalah cara yang lebih hemat biaya untuk menskalakan port SNAT. Dalam skenario dengan volume lalu lintas dan throughput tinggi, gunakan NAT Gateway sebagai gantinya untuk solusi yang lebih dapat diskalakan. NAT Gateway secara dinamis mengalokasikan port SNAT di semua IP publik yang terkait dengannya. Untuk informasi selengkapnya, lihat Mengintegrasikan NAT Gateway dengan Azure Firewall dan perbandingan opsi dalam praktik terbaik.

Contoh Azure PowerShell berikut memperlihatkan bagaimana Anda dapat mengonfigurasi, menambahkan, dan menghapus alamat IP publik untuk Azure Firewall.

Penting

Anda tidak dapat menghapus konfigurasi IP pertama dari halaman konfigurasi alamat IP publik Azure Firewall. Jika Anda ingin mengubah alamat IP, gunakan Azure PowerShell.

Membuat Azure Firewall dengan dua atau lebih alamat IP publik

Contoh ini membuat firewall yang dilampirkan ke jaringan virtual myVirtualNetwork dengan dua alamat IP publik. Gunakan Get-AzVirtualNetwork untuk mengambil jaringan virtual yang ada, New-AzPublicIpAddress untuk membuat setiap alamat IP publik, dan New-AzFirewall untuk menyebarkan firewall dengan kedua IP.

$rgName = "resourceGroupName"

$vnet = Get-AzVirtualNetwork `
  -Name "myVirtualNetwork" `
  -ResourceGroupName $rgName

$pip1 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp1" `
  -ResourceGroupName $rgName `
  -Sku "Standard" `
  -Location "centralus" `
  -AllocationMethod Static

$pip2 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp2" `
  -ResourceGroupName $rgName `
  -Sku "Standard" `
  -Location "centralus" `
  -AllocationMethod Static

New-AzFirewall `
  -Name "azFw" `
  -ResourceGroupName $rgName `
  -Location centralus `
  -VirtualNetwork $vnet `
  -PublicIpAddress @($pip1, $pip2)

Menambahkan alamat IP publik ke Firewall yang ada

Dalam contoh ini, alamat IP publik azFwPublicIp1 dipasang ke firewall. Gunakan New-AzPublicIpAddress untuk membuat IP baru, Get-AzFirewall untuk mengambil objek firewall yang ada, dan Set-AzFirewall untuk menyimpan konfigurasi yang diperbarui.

$pip = New-AzPublicIpAddress `
  -Name "azFwPublicIp1" `
  -ResourceGroupName "rg" `
  -Sku "Standard" `
  -Location "centralus" `
  -AllocationMethod Static

$azFw = Get-AzFirewall `
  -Name "AzureFirewall" `
  -ResourceGroupName "rg"

$azFw.AddPublicIpAddress($pip)

$azFw | Set-AzFirewall

Menghapus alamat IP publik dari Firewall yang ada

Dalam contoh ini, alamat IP publik azFwPublicIp1 dilepaskan dari firewall. Gunakan Get-AzPublicIpAddress untuk mengambil IP yang ada, Get-AzFirewall untuk mengambil objek firewall, dan Set-AzFirewall untuk menyimpan konfigurasi yang diperbarui.

$pip = Get-AzPublicIpAddress `
  -Name "azFwPublicIp1" `
  -ResourceGroupName "rg"

$azFw = Get-AzFirewall `
  -Name "AzureFirewall" `
  -ResourceGroupName "rg"

$azFw.RemovePublicIpAddress($pip)

$azFw | Set-AzFirewall

Langkah berikutnya

  • Last updated on