Azure CLI を使用して Azure Firewall をデプロイして構成する

[アーティクル]
03/09/2023

アウトバウンドネットワークアクセスを制御することは、ネットワークセキュリティプラン全体の重要な要素です。たとえば、Web サイトへのアクセスを制限することができます。また、アクセスできるアウトバウンドの IP アドレスとポートを制限することもできます。

Azure サブネットから外に向かうアウトバウンドネットワークアクセスを制御する方法の 1 つとして、Azure Firewall の使用が挙げられます。 Azure Firewall を使用して、次のルールを構成できます。

アプリケーションルール: サブネットからアクセスできる完全修飾ドメイン名 (FQDN) を定義します。 FQDN には SQL インスタンスを含めることもできます。
ネットワークルール: 送信元アドレス、プロトコル、宛先ポート、送信先アドレスを定義します。

ネットワークトラフィックは、サブネットの既定ゲートウェイとしてのファイアウォールにルーティングしたときに、構成されているファイアウォールルールに制約されます。

この記事では、デプロイしやすいよう単純化して、3 つのサブネットを含んだ単一の VNet を作成します。運用環境のデプロイには、ハブアンドスポークモデルが推奨されます。ファイアウォールは独自の VNet に含まれています。ワークロードサーバーは、1 つ以上のサブネットを含む同じリージョンのピアリングされた VNet に配置されます。

AzureFirewallSubnet - このサブネットにファイアウォールが存在します。
Workload-SN - このサブネットにはワークロードサーバーがあります。このサブネットのネットワークトラフィックは、ファイアウォールを通過します。
Jump-SN - このサブネットには "ジャンプ" サーバーがあります。ジャンプサーバーには、リモートデスクトップを使用して接続できるパブリック IP アドレスがあります。そこから、(別のリモートデスクトップを使用して) ワークロードサーバーに接続できます。

この記事では、次の方法について説明します。

テストネットワーク環境を設定する
ファイアウォールをデプロイする
既定のルートを作成する
www.google.com へのアクセスを許可するようにアプリケーションルールを構成する
外部 DNS サーバーへのアクセスを許可するようにネットワークルールを構成する
ファイアウォールをテストする

必要に応じて、この手順は Azure portal または Azure PowerShell を使用して完了できます。

Azure サブスクリプションをお持ちでない場合は、開始する前に Azure 無料アカウントを作成してください。

前提条件

Azure Cloud Shell で Bash 環境を使用します。詳細については、「Azure Cloud Shell の Bash のクイックスタート」を参照してください。
CLI リファレンスコマンドをローカルで実行する場合、Azure CLI をインストールします。 Windows または macOS で実行している場合は、Docker コンテナーで Azure CLI を実行することを検討してください。詳細については、「Docker コンテナーで Azure CLI を実行する方法」を参照してください。
- ローカルインストールを使用する場合は、az login コマンドを使用して Azure CLI にサインインします。認証プロセスを完了するには、ターミナルに表示される手順に従います。その他のサインインオプションについては、Azure CLI でのサインインに関するページを参照してください。
- 初回使用時にインストールを求められたら、Azure CLI 拡張機能をインストールします。拡張機能の詳細については、Azure CLI で拡張機能を使用する方法に関するページを参照してください。
- az version を実行し、インストールされているバージョンおよび依存ライブラリを検索します。最新バージョンにアップグレードするには、az upgrade を実行します。

この記事では、Azure CLI のバージョン 2.55.0 以降が必要です。 Azure Cloud Shell を使用している場合は、最新バージョンが既にインストールされています。

ネットワークのセットアップ

最初に、ファイアウォールをデプロイするために必要なリソースを含めるリソースグループを作成します。次に、VNet、サブネット、およびテストサーバーを作成します。

リソースグループを作成する

このリソースグループには、デプロイのためのすべてのリソースが含まれます。

az group create --name Test-FW-RG --location eastus

VNet を作成する

この仮想ネットワークには 3 つのサブネットが含まれています。

注意

AzureFirewallSubnet サブネットのサイズは /26 です。サブネットのサイズの詳細については、「Azure Firewall に関する FAQ」を参照してください。

az network vnet create \
  --name Test-FW-VN \
  --resource-group Test-FW-RG \
  --location eastus \
  --address-prefix 10.0.0.0/16 \
  --subnet-name AzureFirewallSubnet \
  --subnet-prefix 10.0.1.0/26
az network vnet subnet create \
  --name Workload-SN \
  --resource-group Test-FW-RG \
  --vnet-name Test-FW-VN   \
  --address-prefix 10.0.2.0/24
az network vnet subnet create \
  --name Jump-SN \
  --resource-group Test-FW-RG \
  --vnet-name Test-FW-VN   \
  --address-prefix 10.0.3.0/24

仮想マシンを作成する

次に、ジャンプおよびワークロード仮想マシンを作成し、適切なサブネットに配置します。メッセージが表示されたら、仮想マシンのパスワードを入力します。

Srv-Jump 仮想マシンを作成します。

az vm create \
    --resource-group Test-FW-RG \
    --name Srv-Jump \
    --location eastus \
    --image win2016datacenter \
    --vnet-name Test-FW-VN \
    --subnet Jump-SN \
    --admin-username azureadmin
az vm open-port --port 3389 --resource-group Test-FW-RG --name Srv-Jump

特定の DNS サーバーの IP アドレスを指定し、テストに使用するパブリック IP アドレスはなしで Srv-Work の NIC を作成します。

az network nic create \
    -g Test-FW-RG \
    -n Srv-Work-NIC \
   --vnet-name Test-FW-VN \
   --subnet Workload-SN \
   --public-ip-address "" \
   --dns-servers 209.244.0.3 209.244.0.4

次に、ワークロード仮想マシンを作成します。メッセージが表示されたら、仮想マシンのパスワードを入力します。

az vm create \
    --resource-group Test-FW-RG \
    --name Srv-Work \
    --location eastus \
    --image win2016datacenter \
    --nics Srv-Work-NIC \
    --admin-username azureadmin

Note

パブリック IP が割り当てられていない VM、または内部の Basic Azure Load Balancer のバックエンドプール内にある VM に対しては、Azure によって既定のアウトバウンドアクセス IP が提供されます。デフォルト送信アクセス IP メカニズムは、構成できないアウトバウンド IP アドレスを提供します。

次のいずれかのイベントが発生すると、既定のアウトバウンドアクセス IP は無効になります。

パブリック IP アドレスが VM に割り当てられます。
アウトバウンド規則の有無にかかわらず、VM は標準ロードバランサーのバックエンドプール内に配置されます。
Azure NAT Gateway リソースが VM のサブネットに割り当てられている。

フレキシブルオーケストレーションモードの仮想マシンスケールセットによって作成された VM には、既定のアウトバウンドアクセスがありません。

Azure のアウトバウンド接続の詳細については、「Azure での既定の送信アクセス」および「送信接続での送信元ネットワークアドレス変換 (SNAT)を使用する」を参照してください。

ファイアウォールをデプロイする

次に、仮想ネットワークにファイアウォールをデプロイします。

az network firewall create \
    --name Test-FW01 \
    --resource-group Test-FW-RG \
    --location eastus
az network public-ip create \
    --name fw-pip \
    --resource-group Test-FW-RG \
    --location eastus \
    --allocation-method static \
    --sku standard
az network firewall ip-config create \
    --firewall-name Test-FW01 \
    --name FW-config \
    --public-ip-address fw-pip \
    --resource-group Test-FW-RG \
    --vnet-name Test-FW-VN
az network firewall update \
    --name Test-FW01 \
    --resource-group Test-FW-RG 
az network public-ip show \
    --name fw-pip \
    --resource-group Test-FW-RG
fwprivaddr="$(az network firewall ip-config list -g Test-FW-RG -f Test-FW01 --query "[?name=='FW-config'].privateIpAddress" --output tsv)"

プライベート IP アドレスをメモします。後で既定のルートを作成するときにこれを使用します。

既定のルートを作成する

BGP ルート伝達が無効になっているルートテーブルを作成します

az network route-table create \
    --name Firewall-rt-table \
    --resource-group Test-FW-RG \
    --location eastus \
    --disable-bgp-route-propagation true

ルートを作成します。

az network route-table route create \
  --resource-group Test-FW-RG \
  --name DG-Route \
  --route-table-name Firewall-rt-table \
  --address-prefix 0.0.0.0/0 \
  --next-hop-type VirtualAppliance \
  --next-hop-ip-address $fwprivaddr

ルートテーブルをサブネットに関連付けます。

az network vnet subnet update \
    -n Workload-SN \
    -g Test-FW-RG \
    --vnet-name Test-FW-VN \
    --address-prefixes 10.0.2.0/24 \
    --route-table Firewall-rt-table

アプリケーションルールを構成する

このアプリケーションルールでは www.google.com へのアウトバウンドアクセスが許可されます。

az network firewall application-rule create \
   --collection-name App-Coll01 \
   --firewall-name Test-FW01 \
   --name Allow-Google \
   --protocols Http=80 Https=443 \
   --resource-group Test-FW-RG \
   --target-fqdns www.google.com \
   --source-addresses 10.0.2.0/24 \
   --priority 200 \
   --action Allow

Azure Firewall には、既定で許可されるインフラストラクチャ FQDN 用の組み込みのルールコレクションが含まれています。これらの FQDN はプラットフォームに固有であり、他の目的には使用できません。詳細については、インフラストラクチャ FQDN に関する記事を参照してください。

ネットワークルールを構成する

このネットワークルールにより、ポート 53 (DNS) で 2 つの IP アドレスへのアウトバウンドアクセスが許可されます。

az network firewall network-rule create \
   --collection-name Net-Coll01 \
   --destination-addresses 209.244.0.3 209.244.0.4 \
   --destination-ports 53 \
   --firewall-name Test-FW01 \
   --name Allow-DNS \
   --protocols UDP \
   --resource-group Test-FW-RG \
   --priority 200 \
   --source-addresses 10.0.2.0/24 \
   --action Allow

ファイアウォールをテストする

今度は、ファイアウォールをテストして、想定したように機能することを確認します。

Srv-Work の仮想マシンのプライベート IP アドレスをメモしてください。
```
az vm list-ip-addresses \
-g Test-FW-RG \
-n Srv-Work
```
リモートデスクトップを Srv-Jump 仮想マシンに接続し、サインインします。そこから Srv-Work のプライベート IP アドレスへのリモートデスクトップ接続を開いて、サインインします。
[SRV-Work] で PowerShell ウィンドウを開き、次のコマンドを実行します。
```
nslookup www.google.com
nslookup www.microsoft.com
```
どちらのコマンドでも、DNS クエリがファイアウォールを通過していることを示す回答を返します。
次のコマンドを実行します。
```
Invoke-WebRequest -Uri https://www.google.com
Invoke-WebRequest -Uri https://www.google.com

Invoke-WebRequest -Uri https://www.microsoft.com
Invoke-WebRequest -Uri https://www.microsoft.com
```
www.google.com 要求は成功し、www.microsoft.com 要求は失敗します。これは、ファイアウォールルールが予想どおりに動作していることを示します。

これで、ファイアウォールルールが動作していることを確認できました。

構成された外部 DNS サーバーを使用して DNS 名を解決できます。
1 つの許可された FQDN は参照できますが、それ以外は参照できません。

リソースをクリーンアップする

ファイアウォールリソースは、次のチュートリアルのために残しておいてもかまいませんが、不要であれば、Test-FW-RG リソースグループを削除して、ファイアウォール関連のすべてのリソースを削除してください。

az group delete \
  -n Test-FW-RG

次のステップ

チュートリアル:Azure Firewall のログを監視する

次の方法で共有

Azure CLI を使用して Azure Firewall をデプロイして構成する

前提条件

ネットワークのセットアップ

リソースグループを作成する

VNet を作成する

仮想マシンを作成する

ファイアウォールをデプロイする

既定のルートを作成する

アプリケーションルールを構成する

ネットワークルールを構成する

ファイアウォールをテストする

リソースをクリーンアップする

次のステップ

フィードバック

その他のリソース

次の方法で共有

Azure CLI を使用して Azure Firewall をデプロイして構成する

前提条件

ネットワークのセットアップ

リソース グループを作成する

VNet を作成する

仮想マシンを作成する

ファイアウォールをデプロイする

既定のルートを作成する

アプリケーション ルールを構成する

ネットワーク ルールを構成する

ファイアウォールをテストする

リソースをクリーンアップする

次のステップ

フィードバック

その他のリソース

リソースグループを作成する

アプリケーションルールを構成する

ネットワークルールを構成する