Azure Firewall Manager のデプロイ概要

Azure Firewall Manager を使用して Azure Firewall をデプロイする方法は複数ありますが、次の一般的な手順をお勧めします。

ネットワークアーキテクチャオプションを確認するには、「Azure Firewall Manager のアーキテクチャのオプション」を参照してください。

一般的なデプロイプロセス

ファイアウォールポリシーを作成する
- 新しいポリシーの作成
  or
- 基本ポリシーを派生させてローカルポリシーをカスタマイズします。
  or
- 既存の Azure Firewall から規則をインポートします。複数のファイアウォールにわたって適用すべき NAT 規則はポリシーから削除してください。
ハブとスポークのアーキテクチャを作成する
- Azure Firewall Manager を使用してハブ仮想ネットワークを作成し、仮想ネットワークピアリングを使用して、そこにスポーク仮想ネットワークをピアリングします。
  or
- 仮想ネットワークを作成して仮想ネットワーク接続を追加し、仮想ネットワークピアリングを使用して、そこにスポーク仮想ネットワークをピアリングします。
セキュリティプロバイダーを選択し、ファイアウォールポリシーを関連付ける。現在、サポートされるプロバイダーは Azure Firewall だけです。
- これは、ハブ仮想ネットワークの作成時に行います。
  or
- 既存の仮想ネットワークをハブ仮想ネットワークに変換します。複数の仮想ネットワークを変換することもできます。
ハブ仮想ネットワークファイアウォールへのトラフィックをルーティングするユーザー定義ルートを構成する。

ハブとスポークのアーキテクチャを作成する
- Azure Firewall Manager を使用してセキュリティ保護付き仮想ハブを作成し、仮想ネットワーク接続を追加します。
  or
- 仮想 WAN ハブを作成し、仮想ネットワーク接続を追加します。
セキュリティプロバイダーを選択する
- セキュリティ保護付き仮想ハブの作成中に完了します。
  or
- 既存の仮想 WAN ハブをセキュリティ保護付き仮想ハブに変換します。
ファイアウォールポリシーを作成してハブに関連付ける
- Azure Firewall を使用する場合にのみ適用されます。
- サードパーティのサービスとしてのセキュリティ (SECaaS) ポリシーは、パートナー管理エクスペリエンスを介して構成されます。
トラフィックをセキュリティ保護付きハブにルーティングするようにルート設定を構成する
- トラフィックをフィルター処理とログ記録のためにセキュリティ保護付きハブに簡単にルーティングするには、スポークの仮想ネットワーク上のユーザー定義ルート (UDR) を使用せずに、セキュリティ保護付き仮想ハブのルート設定ページを使用します。

Note

vWAN のハブの IP 空間を重複させることはできません。その他の既知の問題については、「Azure Firewall Manager とは」を参照してください。

既存の仮想ネットワークをハブ仮想ネットワークに変換する場合、次の情報が当てはまります。

仮想ネットワークに既に Azure Firewall がある場合、既存のファイアウォールに関連付けるファイアウォールポリシーを選択します。ファイアウォールポリシーによってファイアウォール規則が置き換えられている間、ファイアウォールプロビジョニング状態は更新中になります。プロビジョニング状態中も、ファイアウォールはトラフィックを処理し続けるので、ダウンタイムは発生しません。 Firewall Manager または Azure PowerShell を使用して既存の規則をファイアウォールポリシーにインポートできます。
仮想ネットワークに Azure Firewall が関連付けられていない場合、ファイアウォールがデプロイされ、新しいファイアウォールにファイアウォールポリシーが関連付けられます。