Azure Firewall をデュアルスタック モードでデプロイする (プレビュー)

Azure Firewall および Azure Firewall Policy は IPv6 をサポートしています。 IPv6サブネット、アドレス空間、パブリックIPv6アドレス、ユーザー定義ルート(UDR)、ネットワークルールを設定してIPv6トラフィックを管理できます。 ファイアウォールはIPv4専用モードかデュアルスタックモード(IPv4とIPv6)で展開できます。 IPv6専用のファイアウォールはサポートされていません。

この記事では、既存のファイアウォールをデュアルスタックモードにアップグレードし、新しいデュアルスタックファイアウォールを展開する方法をご紹介します。

Important

Azure FirewallでのIPv6サポートは現在プレビュー中です。 ベータ版、プレビュー版、または他の方法で一般公開されていない Azure の機能に適用される法的条件については、Microsoft Azure プレビューの追加利用規約を参照してください。

サポートされているシナリオと制限事項

Azure FirewallのIPv6サポートは特定のユースケース向けに設計されており、一定の制約があります。 展開前に、以下の対応シナリオと制限を確認してください。

サポートされているシナリオ

• ネットワークルール:Azure FirewallはネットワークルールでIPv6トラフィックを完全にサポートしています。 IPv6トラフィックの許可・拒否ルールを作成できます。
• DNSプロキシ:Azure FirewallはIPv6ネットワークでDNSプロキシとして設定可能です。

Note

仮想ネットワークからのすべての送信接続に対して、Azure FirewallはファイアウォールインスタンスのIPアドレスを利用してソースネットワークアドレス変換(SNAT)を適用します。 宛先アドレスがIANA定義の一意ローカルアドレス(ULA)範囲(fc00::/7)内であれば、SNATは適用されません。 この挙動は設計されたもので、変更できません。

制限事項

• Classic Azure Firewallはサポートされていません。
• Virtual Hub(vHub)ファイアウォールはサポートされていません。
• アプリケーションやDNATのルールはまだサポートされていません。
• 脅威インテリジェンス、IDPS、明示的プロキシ、IPグループベースのシナリオはサポートされていません。
• デュアルスタックファイアウォールをIPv4専用モードに戻すことはサポートされていません。 この一時的な制限は、デュアルスタック対応が一般に利用可能になると解除されます。

Note

IPv4専用ファイアウォールに対応している既存の機能は、デュアルスタックファイアウォールでも引き続きIPv4をサポートしています。 前述の制限はIPv6にのみ適用されます。

前提条件

Azure サブスクリプションをお持ちでない場合は、 無料アカウント を作成して開始してください。

既存のAzure Firewall上でデュアルスタックを設定

既存のAzure FirewallをIPv4専用からデュアルスタックモード(IPv4およびIPv6)にアップグレードするには:

1. 仮想ネットワークにIPv6アドレス空間を追加します。
2. AzureFirewallSubnetにIPv6サブネットプレフィックスを追加してください。
3. パブリックIPv6アドレスを作成します。
4. ファイアウォール設定にパブリックIPv6アドレスを追加してください。
5. 必要に応じてIPv6トラフィックのネットワークルールを追加してください。

Important

ファイアウォールをデュアルスタックモードにアップグレードした後は、IPv4専用モードに戻すことはできません。 この一時的な制限は、デュアルスタック対応が一般に利用可能になると解除されます。

以下のタブを使って、すでに展開されているファイアウォールにIPv6サポートを追加してください。

ポータル

1. Azureポータルで仮想ネットワークを開き、「アドレス空間」を選択し、IPv6プレフィックス(例:79f7:d56c:e9bc:8000::/49)を追加してください。 変更を保存。

   

2. 仮想ネットワークを開き、 Subnetsを選択し、 AzureFirewallSubnetを選択し、既存のIPv4プレフィックスの隣にIPv6アドレスプレフィックス(例: fd00:c1d0:3f1f:1::/64)を追加します。 変更を保存。

   

3. パブリックIPv6アドレスリソースを作成し、それをファイアウォール設定にアタッチします。

   

PowerShell

1. Get-AzVirtualNetworkおよびSet-AzVirtualNetworkを使って仮想ネットワーク(VNET)を更新し、IPv6アドレス空間を追加してください。

   既存のVNETを取得する:

   $vnet = Get-AzVirtualNetwork -Name "test-vnet" -ResourceGroupName "test-rg"
   

   IPv6アドレス空間を追加します:

   $vnet.AddressSpace.AddressPrefixes.Add("fd00:c1d0:3f1f::/48")
   $vnet | Set-AzVirtualNetwork
   

2. Set-AzVirtualNetworkSubnetConfigを使ってAzureFirewallSubnetにIPv6サブネットプレフィックスを追加してください。

   Set-AzVirtualNetworkSubnetConfig -Name "AzureFirewallSubnet" `
       -VirtualNetwork $vnet `
       -AddressPrefix @("10.0.0.0/24", "fd00:c1d0:3f1f:1::/64")
   $vnet | Set-AzVirtualNetwork
   

3. New-AzPublicIpAddressとSet-AzFirewallを使ってIPv6のパブリックIPを作成・接続します。

   $publicIpV6 = New-AzPublicIpAddress `
       -ResourceGroupName "test-rg" `
       -Location "southcentralus" `
       -Name "test-v6pip" `
       -AllocationMethod Static `
       -Sku Standard `
       -IpAddressVersion IPv6
   $azFw = Get-AzFirewall -Name "test-fw" -ResourceGroupName "test-rg"
   $azFw.AddPublicIpAddress($publicIpV6)
   $azFw | Set-AzFirewall
   

CLI

1. az network vnet updateを使って既存のVNETにIPv6アドレス空間を追加してください:

   az network vnet update --resource-group test-rg --name test-vnet \
        --address-prefixes 10.0.0.0/16 fd00:c1d0:3f1f::/48
   

   このコマンドは仮想ネットワークを更新し、元のIPv4アドレス空間と新しいIPv6アドレス空間の両方を含みます。

2. az network vnet subnet update を使用して、AzureFirewallSubnet が IPv6 サブネットを含むように更新します:

   az network vnet subnet update \
       --resource-group test-rg \
       --vnet-name test-vnet \
       --name AzureFirewallSubnet \
       --address-prefixes 10.0.0.0/24 fd00:c1d0:3f1f:1::/64
   

   このコマンドは、Azure Firewallサブネット用の既存のIPv4プレフィックス(fd00:c1d0:3f1f:1::/64)に加えて、IPv6サブネットプレフィックス(10.0.0.0/24)を追加します。

3. az network public-ip createを使ってパブリックIPv6アドレスを作成し、az network firewall ip-config createを使ってファイアウォールにアタッチします。

   az network public-ip create \
       --resource-group test-rg \
       --name test-v6pip \
       --location southcentralus \
       --sku Standard \
       --version IPv6 \
       --allocation-method Static \
       --zone 1 2 3
   
   az network firewall ip-config create \
       --firewall-name test-fw \
       --name fw-ip6-config \
       --resource-group test-rg \
       --public-ip-address test-v6pip
   

デュアル スタック Azure Firewall を作成する

ポータル

1. Azure Firewallのデプロイフローで、IPv6アドレス空間を入力し、IPv6サブネットプレフィックスを入力し、新しいまたは既存のIPv6パブリックIPアドレスを新しいAzure Firewallに追加します。

   

PowerShell

PowerShellを使ってデュアルスタックファイアウォールを設定するには:

1. New-AzResourceGroup コマンドレットを使ってリソースグループを作成します。

   New-AzResourceGroup -Name "test-rg" -Location "southcentralus"
   

2. New-AzVirtualNetworkSubnetConfigおよびNew-AzVirtualNetworkコマンドレットを使ってファイアウォールのサブネットと仮想ネットワークを作成します。

   $FWsub = New-AzVirtualNetworkSubnetConfig `
       -Name "AzureFirewallSubnet" `
       -AddressPrefix @("10.0.1.0/26", "fd00:c1d0:3f1f:1::/64")
   
   $vnet = New-AzVirtualNetwork `
       -Name "test-vnet" `
       -ResourceGroupName "test-rg" `
       -Location "southcentralus" `
       -AddressPrefix @("10.0.0.0/16", "fd00:c1d0:3f1f::/48") `
       -Subnet $FWsub
   

3. New-AzPublicIpAddressコマンドレットを使ってパブリックIPv4およびIPv6アドレスを作成できます。

   $publicIpV4 = New-AzPublicIpAddress `
       -ResourceGroupName "test-rg" `
       -Location "southcentralus" `
       -Name "v4pip" `
       -AllocationMethod Static `
       -Sku Standard
   
   $publicIpV6 = New-AzPublicIpAddress `
       -ResourceGroupName "test-rg" `
       -Location "southcentralus" `
       -Name "v6pip" `
       -AllocationMethod Static `
       -Sku Standard `
       -IpAddressVersion IPv6
   

4. New-AzFirewallPolicy コマンドレットを使ってファイアウォールポリシーを作成しましょう。

   $fwPolicy = New-AzFirewallPolicy -Name "fw-policy" -ResourceGroupName "test-rg" -Location "southcentralus" -SkuTier "Premium"
   

5. New-AzFirewallコマンドレットを使ってデュアルスタックファイアウォールを作成します。

   $Azfw = New-AzFirewall -Name "firewall-test" `
       -ResourceGroupName "test-rg" `
       -Location "southcentralus" `
       -VirtualNetwork $vnet `
       -PublicIpAddress @($publicIpV4, $publicIpV6) `
       -Sku AZFW_VNet `
       -SkuTier Premium `
       -FirewallPolicyId $fwPolicy.Id
   

CLI

Azure CLIを使ってデュアルスタックファイアウォールを設定するには:

1. az group create を使用してリソース グループを作成します。

   az group create --name test-rg --location southcentralus
   

2. 仮想ネットワークとファイアウォールサブネットは 、az network vnet create および az network vnetサブネット作成で作成します。

   az network vnet create --resource-group test-rg --name test-vnet --location southcentralus --address-prefixes 10.0.0.0/16 fd00:c1d0:3f1f::/48
   
   az network vnet subnet create --resource-group test-rg --vnet-name test-vnet --name AzureFirewallSubnet --address-prefixes 10.0.0.0/24 fd00:c1d0:3f1f:1::/64
   

3. IPv4とIPv6のパブリックIPアドレスは az network public-ip createを使って作成します。

   az network public-ip create --resource-group test-rg --name test-v4pip --location southcentralus --sku Standard --version IPv4 --allocation-method Static --zone 1 2 3
   
   az network public-ip create --resource-group test-rg --name test-v6pip --location southcentralus --sku Standard --version IPv6 --allocation-method Static --zone 1 2 3
   

4. az network firewall policy createを使ってファイアウォールポリシーを作成してください。

   az network firewall policy create --name test-fw-policy --resource-group test-rg --location southcentralus --sku Premium
   

5. ファイアウォールを作成し、 az network create と az network firewall ip-config create を使って IPv4 と IPv6 のパブリックIPアドレスを接続します。

   az network firewall create --name test-fw --resource-group test-rg --location southcentralus --sku AZFW_VNet --tier Premium --firewall-policy test-fw-policy
   
   az network firewall ip-config create --firewall-name test-fw --name fw-ip-config --resource-group test-rg --public-ip-address test-v4pip --vnet-name test-vnet
   
   az network firewall ip-config create --firewall-name test-fw --name fw-ip6-config --resource-group test-rg --public-ip-address test-v6pip
   

関連するコンテンツ

PowerShellを使って複数のパブリックIPアドレスを持つAzure Firewallを展開する