Azure Portal을 사용하여 Azure Firewall Basic과 정책 배포 및 구성

  • 아티클

Azure Firewall Basic은 저렴한 가격대에서 고객이 필요로 하는 필수 보호 SMB를 제공합니다. 이 솔루션은 처리량 요구 사항이 250Mbps 미만인 SMB 고객 환경에 권장됩니다. 처리량 요구 사항이 250Mbps 이상인 환경에는 표준 SKU를 배포하고 고급 위협 방지를 위한 프리미엄 SKU를 배포하는 것이 좋습니다.

네트워크 및 애플리케이션 트래픽 필터링은 전체 네트워크 보안 계획에서 중요한 부분입니다. 예를 들어 웹 사이트에 대한 액세스를 제한할 수 있습니다. 또는 액세스 가능한 아웃바운드 IP 주소 및 포트를 제한할 수 있습니다.

Azure 서브넷에서 인바운드 및 아웃바운드 네트워크로의 액세스를 제어하는 한 가지 방법은 Azure Firewall 및 Firewall Policy를 사용하는 것입니다. Azure Firewall 및 Firewall Policy를 사용하여 다음을 구성할 수 있습니다.

  • 서브넷에서 액세스할 수 있는 FQDN(정규화된 도메인 이름)을 정의하는 애플리케이션 규칙.
  • 원본 주소, 프로토콜, 대상 포트 및 대상 주소를 정의하는 네트워크 규칙.
  • DNAT 규칙은 서브넷에 대한 인바운드 인터넷 트래픽을 변환 및 필터링합니다.

네트워크 트래픽은 서브넷 기본 게이트웨이처럼 방화벽에 네트워크 트래픽을 라우팅할 경우 구성된 방화벽 규칙에 종속됩니다.

이 방법에서는 배포가 용이하도록 세 개의 서브넷을 사용하여 간소화된 단일 VNet을 만듭니다. Firewall Basic에는 관리 NIC로 구성해야 하는 필수 요구 사항이 있습니다.

  • AzureFirewallSubnet - 방화벽은 이 서브넷에 있습니다.
  • AzureFirewallManagementSubnet - 서비스 관리 트래픽용입니다.
  • 워크로드-SN - 워크로드 서버는 이 서브넷에 있습니다. 이 서브넷의 네트워크 트래픽은 방화벽을 통해 이동합니다.

참고 항목

Azure Firewall Basic은 Azure Firewall Standard 또는 Premium SKU에 비해 트래픽이 제한되어 있으므로 AzureFirewallManagementSubnet에서 고객 트래픽을 Microsoft 관리 트래픽과 분리하여 중단이 없도록 해야 합니다. 이 관리 트래픽은 Microsoft에서만 자동으로 발생하는 업데이트 및 상태 메트릭 통신에 필요합니다. 이 IP에는 다른 연결이 허용되지 않습니다.

프로덕션 배포의 경우 허브 및 스포크 모델이 권장되며 방화벽은 자체 VNet에 있습니다. 워크로드 서버는 하나 이상의 서브넷이 있는 동일한 지역에서 피어링된 VNet에 있습니다.

이 방법 안내에서는 다음 작업을 수행하는 방법을 알아봅니다.

  • 테스트 네트워크 환경 설정
  • 기본 방화벽 및 기본 방화벽 정책 배포
  • 기본 경로 만들기
  • www.google.com에 대한 액세스를 허용하도록 애플리케이션 규칙 구성
  • 외부 DNS 서버 액세스를 허용하도록 네트워크 규칙 구성
  • 테스트 서버에 대한 원격 데스크톱을 허용하도록 NAT 규칙 구성
  • 방화벽 테스트

원하는 경우 Azure PowerShell을 사용하여 이 절차를 완료할 수 있습니다.

필수 조건

Azure 구독이 아직 없는 경우 시작하기 전에 체험 계정을 만듭니다.

리소스 그룹 만들기

리소스 그룹에는 방법에 대한 모든 리소스가 포함됩니다.

  1. Azure Portal에 로그인합니다.
  2. Azure Portal 메뉴에서 리소스 그룹을 선택하거나 검색하여 어느 페이지에서든 리소스 그룹을 선택합니다. 다음으로 만들기를 선택합니다.
  3. 구독의 경우 사용자의 구독을 선택합니다.
  4. 리소스 그룹 이름에 Test-FW-RG를 입력합니다.
  5. 지역에 대해 지역을 선택합니다. 만드는 다른 모든 리소스는 동일한 지역에 있어야 합니다.
  6. 검토 + 만들기를 선택합니다.
  7. 만들기를 선택합니다.

방화벽 및 정책 배포

방화벽을 배포하고 연결된 네트워크 인프라를 만듭니다.

  1. Azure Portal 메뉴 또는 홈 페이지에서 리소스 만들기를 선택합니다.

  2. 검색 상자에 방화벽을 입력하고 Enter 키를 누릅니다.

  3. 방화벽을 선택하고 만들기를 선택합니다.

  4. 방화벽 만들기 페이지에서 다음 표를 사용하여 방화벽을 구성합니다.

    설정 값
    구독 <구독>
    Resource group Test-FW-RG
    이름 Test-FW01
    지역 전에 사용한 동일한 위치 선택
    방화벽 계층 기본
    방화벽 관리 방화벽 정책을 사용하여 이 방화벽 관리
    방화벽 정책 새로 추가:
    fw-test-pol
    선택한 지역
    정책 계층은 기본적으로 기본으로 설정해야 합니다.
    가상 네트워크 선택 새로 만들기
    이름: Test-FW-VN
    주소 공간: 10.41.0.0/16
    서브넷 주소 공간: 10.0.0.0/26
    공용 IP 주소 새로 추가:
    이름: fw-pip
    관리 - 서브넷 주소 공간 10.0.1.0/26
    관리 공용 IP 주소 새로 추가
    fw-mgmt-pip

  5. 다른 기본값을 적용한 다음, 검토 + 만들기를 선택합니다.

  6. 요약을 검토한 다음, 만들기를 선택하여 방화벽을 만듭니다.

    이 설정은 배포하는 데 몇 분 정도 걸립니다.

  7. 배포가 완료되면 Test-FW-RG 리소스 그룹으로 이동하고 Test-FW01 방화벽을 선택합니다.

  8. 방화벽 개인 및 공용 IP(fw-pip) 주소를 확인합니다. 나중에 이러한 주소를 사용합니다.

워크로드 서버에 대한 서브넷 만들기

다음으로, 워크로드 서버용 서브넷을 만듭니다.

  1. Test-FW-RG 리소스 그룹으로 이동하여 Test-FW-VN 가상 네트워크를 선택합니다.
  2. 서브넷을 선택합니다.
  3. 서브넷을 선택합니다.
  4. 서브넷 이름에 워크로드-SN을 입력합니다.
  5. 서브넷 주소 범위에 대해 10.0.2.0/24를 입력합니다.
  6. 저장을 선택합니다.

가상 머신 만들기

이제 워크로드 가상 머신을 만들어 워크로드-SN 서브넷에 배치합니다.

  1. Azure Portal 메뉴 또는 홈 페이지에서 리소스 만들기를 선택합니다.

  2. Windows Server 2019 Datacenter를 선택합니다.

  3. 가상 머신에 대해 다음 값을 입력합니다.

    설정 값
    Resource group Test-FW-RG
    가상 머신 이름 Srv-Work
    지역 이전과 동일함
    이미지 Windows Server 2019 Datacenter
    관리자 사용자 이름 사용자 이름 입력
    암호 암호 입력

  4. 인바운드 포트 규칙, 퍼블릭 인바운드 포트에서 없음을 선택합니다.

  5. 나머지는 기본값으로 두고 다음: 디스크를 선택합니다.

  6. 디스크 기본값을 수락하고 다음: 네트워킹을 선택합니다.

  7. 가상 네트워크에 Test-FW-VN이 선택되고 서브넷이 워크로드-SN인지 확인합니다.

  8. 공용 IP에 대해 없음을 선택합니다.

  9. 나머지는 기본값으로 두고 다음: 관리를 선택합니다.

  10. 다음: 모니터링을 선택합니다.

  11. 사용 안 함을 선택하여 부팅 진단을 비활성화합니다. 나머지는 기본값으로 두고 검토 + 만들기를 선택합니다.

  12. 요약 페이지에서 설정을 검토한 다음, 만들기를 선택합니다.

  13. 배포가 완료되면 Srv-Work 리소스를 선택하고 나중에 사용할 개인 IP 주소를 기록해 둡니다.

기본 경로 만들기

Workload-SN 서브넷의 경우 방화벽을 통과하도록 아웃바운드 기본 경로를 구성합니다.

  1. Azure Portal 메뉴에서 모든 서비스를 선택하거나 검색하여 어느 페이지에서든 모든 서비스를 선택합니다.
  2. 네트워킹 아래에서 경로 테이블을 선택합니다.
  3. 만들기를 실행합니다.
  4. 구독의 경우 사용자의 구독을 선택합니다.
  5. 리소스 그룹의 경우 Test-FW-RG를 선택합니다.
  6. 지역의 경우 전에 사용한 것과 동일한 위치를 선택합니다.
  7. 이름에 Firewall-route를 입력합니다.
  8. 검토 + 만들기를 선택합니다.
  9. 만들기를 선택합니다.

배포가 완료되면 리소스로 이동을 선택합니다.

  1. 방화벽 경로 페이지에서 서브넷을 선택한 다음, 연결을 선택합니다.

  2. 가상 네트워크>Test-FW-VN을 선택합니다.

  3. 서브넷에 대해 Workload-SN을 선택합니다. 이 경로에 대해 Workload-SN 서브넷만 선택해야 합니다. 그렇지 않으면 방화벽이 제대로 작동하지 않습니다.

  4. 확인을 선택합니다.

  5. 경로를 선택한 다음, 추가를 선택합니다.

  6. 경로 이름에 fw-dg를 입력합니다.

  7. 주소 접두사 대상으로 IP 주소를 선택합니다.

  8. 대상 IP 주소/CIDR 범위에 0.0.0.0/0을 입력합니다.

  9. 다음 홉 형식의 경우 가상 어플라이언스를 선택합니다.

    Azure Firewall은 실제로 관리되는 서비스이지만 가상 어플라이언스는 이 상황에서 작동합니다.

  10. 다음 홉 주소에 이전에 적어둔 방화벽에 대한 개인 IP 주소를 입력합니다.

  11. 추가를 선택합니다.

애플리케이션 규칙 구성

이는 www.google.com에 대한 아웃바운드 액세스를 허용하는 애플리케이션 규칙입니다.

  1. Test-FW-RG를 열고 fw-test-pol 방화벽 정책을 선택합니다.
  2. 애플리케이션 규칙을 선택합니다.
  3. 규칙 컬렉션 추가를 선택합니다.
  4. 이름에 App-Coll01를 입력합니다.
  5. 우선 순위에 200을 입력합니다.
  6. 규칙 컬렉션 작업에 대해 허용을 선택합니다.
  7. 규칙 아래에서 이름에 Allow-Google을 입력합니다.
  8. 원본 유형에 대해 IP 주소를 선택합니다.
  9. 원본에 대해 10.0.2.0/24를 선택합니다.
  10. Protocol:port에 http, https를 입력합니다.
  11. 대상 유형에 대해 FQDN을 선택합니다.
  12. 대상에 www.google.com을 입력합니다.
  13. 추가를 선택합니다.

Azure Firewall은 기본적으로 허용되는 인프라 FQDN에 대한 기본 제공 규칙 컬렉션을 포함합니다. 이러한 FQDN은 플랫폼에 대해 특정적이며 다른 용도로 사용할 수 없습니다. 자세한 내용은 인프라 FQDN을 참조하세요.

네트워크 규칙 구성

포트 53(DNS)에서 두 IP 주소에 대한 아웃바운드 액세스를 허용하는 네트워크 규칙입니다.

  1. 네트워크 규칙을 선택합니다.
  2. 규칙 컬렉션 추가를 선택합니다.
  3. 이름에 Net-Coll01을 입력합니다.
  4. 우선 순위에 200을 입력합니다.
  5. 규칙 컬렉션 작업에 대해 허용을 선택합니다.
  6. 규칙 컬렉션 그룹에 대해 DefaultNetworkRuleCollectionGroup을 선택합니다.
  7. 규칙 아래에서 이름에 Allow-DNS를 입력합니다.
  8. 원본 유형에 대해 IP 주소를 선택합니다.
  9. 원본에 대해 10.0.2.0/24를 선택합니다.
  10. 프로토콜로 UDP를 선택합니다.
  11. 대상 포트에 53을 입력합니다.
  12. 대상 유형에 대해 IP 주소를 선택합니다.
  13. 대상에 209.244.0.3,209.244.0.4를 입력합니다.
    Level3에서 운영하는 공용 DNS 서버입니다.
  14. 추가를 선택합니다.

DNAT 규칙 구성

이 규칙을 사용하면 방화벽을 통해 원격 데스크톱을 Srv-Work 가상 머신에 연결할 수 있습니다.

  1. DNAT 규칙을 선택합니다.
  2. 규칙 컬렉션 추가를 선택합니다.
  3. 이름에 rdp를 입력합니다.
  4. 우선 순위에 200을 입력합니다.
  5. 규칙 컬렉션 그룹에 대해 DefaultDnatRuleCollectionGroup을 선택합니다.
  6. 규칙에서 이름에 rdp-nat을 입력합니다.
  7. 원본 유형에 대해 IP 주소를 선택합니다.
  8. 원본에 대해 *를 선택합니다.
  9. 프로토콜의 경우 TCP를 선택합니다.
  10. 대상 포트에 대해 3389를 입력합니다.
  11. 대상 유형에 대해 IP 주소를 선택합니다.
  12. 대상에 방화벽 공용 IP 주소(fw-pip)를 입력합니다.
  13. 변환 주소에 Srv-work 개인 IP 주소를 입력합니다.
  14. 변환 포트에 3389를 입력합니다.
  15. 추가를 선택합니다.

Srv-Work 네트워크 인터페이스에 대해 기본 및 보조 DNS 주소 변경

이 방법에서는 테스트 목적으로 서버의 기본 및 보조 DNS 주소를 구성할 수 있습니다. 일반적인 Azure Firewall 요구 사항이 아닙니다.

  1. Azure Portal 메뉴에서 리소스 그룹을 선택하거나 검색하여 어느 페이지에서든 리소스 그룹을 선택합니다. Test-FW-RG 리소스 그룹을 선택합니다.
  2. Srv-Work 가상 머신에 대해 네트워크 인터페이스를 선택합니다.
  3. 설정 아래에서 DNS 서버를 선택합니다.
  4. DNS 서버 아래에서 사용자 지정을 선택합니다.
  5. DNS 서버 추가 텍스트 상자에 209.244.0.3을 입력하고 다음 텍스트 상자에 209.244.0.4를 입력합니다.
  6. 저장을 선택합니다.
  7. Srv-Work 가상 머신을 다시 시작합니다.

방화벽 테스트

이제 방화벽이 예상대로 작동하는지 테스트합니다.

  1. 원격 데스크톱을 방화벽 공용 IP 주소(fw-pip)에 연결하고 Srv-Work 가상 머신에 로그인합니다.

  2. Internet Explorer를 열고 https://www.google.com으로 이동합니다.

  3. Internet Explorer 보안 경고에서 확인>닫기를 선택합니다.

    Google 홈 페이지가 나타납니다.

  4. http://www.microsoft.com 으로 이동합니다.

    방화벽에서 차단해야 합니다.

이제 방화벽 규칙이 작동하는지 확인했습니다.

  • 원격 데스크톱을 Srv-Work 가상 머신에 연결할 수 있습니다.
  • 다른 모든 FQDN이 아닌 허용된 FQDN 하나만 찾아볼 수 있습니다.
  • 구성된 외부 DNS 서버를 사용하여 DNS 이름을 확인할 수 있습니다.

리소스 정리

추가 테스트를 위해 방화벽 리소스를 그대로 유지하거나, 더 이상 필요하지 않은 경우 Test-FW-RG 리소스 그룹을 삭제하여 모든 방화벽 관련 리소스를 삭제할 수 있습니다.

다음 단계

Azure Firewall 프리미엄 배포 및 구성