Azure Firewall での IP グループ

IP グループを使用すると、Azure Firewall 規則の IP アドレスを簡単にグループ化および管理できます。 次の方法で IP グループを使用します。

  • DNAT 規則での送信元アドレスとして
  • ネットワーク規則での送信元アドレスまたは送信先アドレスとして
  • アプリケーション規則での送信元アドレスとして

IP グループには、1 つの IP アドレス、複数の IP アドレス、1 つ以上の IP アドレス範囲、またはアドレスと範囲の組み合わせを含めることができます。

Azure のリージョンとサブスクリプションにまたがる複数のファイアウォールに対して、Azure Firewall DNAT、ネットワーク、およびアプリケーションの規則で IP グループを使用できます。 グループ名は一意である必要があります。 IP グループの構成は、Azure portal、Azure CLI、または REST API で行うことができます。 使い始めるときに役に立つサンプル テンプレートが用意されています。

注意

1 つの IP グループにつき、参照するファイアウォールの数には 50 というソフト上限が設定されています。 この制限を超えるとパフォーマンスに影響が出たり、IPグループの更新が失敗したりする可能性があります。 詳細については、Azure Firewall limits をご覧ください。

サンプル形式

IP グループでは、次の例のような IPv4 アドレス形式を使用できます。

  • 単一のアドレス: 10.0.0.0
  • CIDR 表記: 10.1.0.0/32
  • アドレス範囲: 10.2.0.0-10.2.0.31

IP グループを作成する

Azure portal、Azure CLI、または REST API を使用して IP グループを作成します。 詳細については、「IP グループを作成する」を参照してください。

IP グループを参照する

  1. Azure portal の検索バーに「 IP Groups 」と入力して選択します。 IP グループの一覧を表示することも、[ 追加] を選択して新しい IP グループを作成することもできます。
  2. IP グループを選択して概要ページを開きます。 IP アドレスまたは IP グループを編集、追加、削除できます。

IP グループを管理する

IP グループ内のすべての IP アドレスと、それに関連付けられている規則またはリソースを確認できます。 IP グループを削除するには、まず、IP グループを使用するリソースから IP グループの関連付けを解除する必要があります。

  1. IP アドレスを表示または編集するには、左側のウィンドウの [設定] で [IP アドレス] を選択します。
  2. 1 つまたは複数の IP アドレスを追加するには、[ IP アドレスの追加] を選択します。 この操作により、アップロードの [ドラッグ] または [参照] ページが開くか、アドレスを手動で入力できます。
  3. 右側の省略記号 (...) を選択して、IP アドレスを編集または削除します。 複数の IP アドレスを編集または削除するには、チェック ボックスをオンにし、上部にある [編集] または [ 削除 ] を選択します。
  4. 最後に、CSV ファイル形式でファイルをエクスポートできます。

注意

IP グループ内のすべての IP アドレスを削除しても、その IP グループがまだルールで使用されている場合、その規則はスキップされます。

IP グループを使用する

Azure Firewall DNAT、アプリケーション、またはネットワーク規則を作成するときに、IP アドレスの [ソースの種類] または [宛先の種類] として [IP グループ] を選択します。

並列 IP グループの更新

複数の IP グループを同時に同時に更新できます。 この機能は、特に開発運用アプローチ (テンプレート、ARM、CLI、Azure PowerShell) を使用して変更を加える場合に、大規模な変更を迅速に行う必要がある環境に特に役立ちます。

この機能を使用すると、次のことができます。

  • 一度に 20 個の IP グループを更新します。 ファイアウォール ポリシーまたはクラシック ファイアウォールによって参照される 1 回の操作で、最大 20 個の IP グループに対して同時更新を実行します。

  • Azure Firewall と IP グループを一緒に更新します。 ファイアウォールまたはファイアウォール ポリシーを使用して、IP グループを同時に更新します。

  • 効率の向上: 並列 IP グループの更新が 2 倍の速度で実行されるようになりました。

  • 新しい改善されたエラー メッセージを受信します。

    エラー メッセージ 説明 推奨されるアクション
    失敗した状態 (更新のスキップ) Azure Firewall またはファイアウォール ポリシーが失敗状態です。 更新は、リソースが正常になるまで続行できません。 前の操作を確認し、構成の誤りを修正して、リソースが正常であることを確認します。
    現時点では、バックエンド サーバーでファイアウォールを更新できませんでした バックエンド サーバーが要求を正常に処理できませんでした。 サポート要求を作成する。
    FW 更新中にエラーが発生しました このエラーは、基になるバックエンド サーバーに関連しています。 操作を再試行するか、問題が解決しない場合はサポート要求を作成します。
    内部サーバー エラー 予期しないバックエンド エラーが発生しました。 操作を再試行するか、サポート要求を作成します。

次のステータス更新に注意してください。

  • 1 つ以上の IP グループエラー: 1 つの IP グループ更新 (20 並列更新のうち) が失敗した場合、プロビジョニングの状態は "失敗" に変わり、残りの IP グループは引き続き更新されて成功します。
  • 状態の更新: IP グループの更新が失敗し、ファイアウォールが正常なままである場合、その状態は引き続き "成功" と表示されます。確認するには、IP グループ リソース自体の状態を確認します。

利用可能なリージョン

IP グループは、すべてのパブリック クラウド リージョンで利用できます。

IP アドレスの制限

IP グループの制限については、 Azure サブスクリプションとサービスの制限、クォータ、制約に関するページを参照してください。

次の Azure PowerShell コマンドレットを使用して、IP グループを作成および管理します。

次のステップ

  • 最終更新: