Delen via

Binnenkomend verkeer filteren met Azure Firewall DNAT via Azure Portal

  • Artikel

U kunt Azure Firewall Destination Network Address Translation (DNAT) configureren voor het omzetten en filteren van inkomend verkeer van internet naar uw subnetten. Wanneer u DNAT configureert, wordt de actie Verzameling van NAT-regels ingesteld op Dnat. Elke regel in de NAT-regelverzameling kan vervolgens worden gebruikt om het openbare IP-adres en de poort van uw firewall te vertalen naar een privé-IP-adres en -poort. Met DNAT-regels wordt er impliciet een overeenkomende netwerkregel toegevoegd om het omgezette verkeer toe te staan. Om veiligheidsredenen is het raadzaam om een specifieke internetbron toe te voegen om DNAT-toegang tot het netwerk toe te staan en jokertekens te voorkomen. Zie Verwerkingslogica voor Azure Firewall-regels voor meer informatie over de verwerkingslogica voor Azure Firewall-regels.

Notitie

In dit artikel worden klassieke firewallregels gebruikt om de firewall te beheren. De voorkeursmethode is het gebruik van firewallbeleid. Zie Zelfstudie: Binnenkomend internetverkeer filteren met Azure Firewall Policy DNAT met behulp van Azure Portal om deze procedure te voltooien met behulp van firewallbeleid

Vereisten

Als u geen Azure-abonnement hebt, maakt u een gratis account voordat u begint.

Een brongroep maken

  1. Meld u aan bij het Azure-portaal.
  2. Selecteer resourcegroepen op de startpagina van Azure Portal en selecteer vervolgens Maken.
  3. Selecteer uw abonnement bij Abonnement.
  4. Voor resourcegroep typt u RG-DNAT-Test.
  5. Selecteer een regio voor Regio. Alle andere resources die u maakt, moeten zich in dezelfde regio bevinden.
  6. Selecteer Controleren + maken.
  7. Selecteer Maken.

De netwerkomgeving instellen

Voor dit artikel maakt u een twee gekoppelde VNets:

  • VN-Hub: de firewall bevindt zich in dit VNet.
  • VN-Spoke: de workloadserver bevindt zich in dit VNet.

Maak eerst de VNets en peer ze.

Een hub-VNet maken

  1. Selecteer op de startpagina van Azure Portal de optie Alle services.

  2. Onder Netwerken selecteert u Virtuele netwerken.

  3. Selecteer Maken.

  4. Selecteer RG-DNAT-Test voor resourcegroep.

  5. Bij Naam typt u VN-Hub.

  6. Selecteer voor Regio dezelfde regio die u eerder hebt gebruikt.

  7. Selecteer Volgende.

  8. Selecteer Volgende op het tabblad Beveiliging.

  9. Accepteer voor IPv4-adresruimte de standaardwaarde 10.0.0.0/16.

  10. Selecteer onder Subnetten de standaardwaarde.

  11. Selecteer Azure Firewall voor een subnetsjabloon.

    De firewall zal zich in dit subnet bevinden, en de subnetnaam moet AzureFirewallSubnet zijn.

    Notitie

    De grootte van het subnet AzureFirewallSubnet is /26. Zie Veelgestelde vragen over Azure Firewall voor meer informatie over de grootte van het subnet.

  12. Selecteer Opslaan.

  13. Selecteer Controleren + maken.

  14. Selecteer Maken.

Een spoke-VNet maken

  1. Selecteer op de startpagina van Azure Portal de optie Alle services.
  2. Onder Netwerken selecteert u Virtuele netwerken.
  3. Selecteer Maken.
  4. Selecteer RG-DNAT-Test voor resourcegroep.
  5. Bij Naam typt u VN-Spoke.
  6. Selecteer voor Regio dezelfde regio die u eerder hebt gebruikt.
  7. Selecteer Volgende.
  8. Selecteer Volgende op het tabblad Beveiliging.
  9. Bewerk voor IPv4-adresruimte de standaardinstelling en typ 192.168.0.0/16.
  10. Selecteer onder Subnetten de standaardwaarde.
  11. Voor het subnetnaamtype SN-Workload.
  12. Voor het beginadres typt u 192.168.1.0.
  13. Selecteer /24 voor subnetgrootte.
  14. Selecteer Opslaan.
  15. Selecteer Controleren + maken.
  16. Selecteer Maken.

De VNets instellen als peers

Nu gaat u de twee VNets als peer van elkaar instellen.

  1. Selecteer het virtuele netwerk VN-Hub.
  2. Selecteer onder Instellingen de optie Peerings.
  3. Selecteer Toevoegen.
  4. Typ onder Dit virtuele netwerk voor de naam van de peeringkoppeling peer-hubspoke.
  5. Typ peer-spokeHub onder Extern virtueel netwerk voor de naam van de peeringkoppeling.
  6. Selecteer VN-Spoke voor het virtuele netwerk.
  7. Accepteer alle andere standaardwaarden en selecteer Vervolgens Toevoegen.

Maak een virtuele machine

Maak een virtuele machine met de naam 'workload' en plaats deze in het subnet SN-Workload.

  1. Selecteer Een resource maken in het menu van Azure Portal.
  2. Selecteer Onder Populaire Marketplace-producten Windows Server 2019 Datacenter.

Basisinstellingen

  1. Selecteer uw abonnement bij Abonnement.
  2. Selecteer RG-DNAT-Test voor resourcegroep.
  3. Typ Srv-Workload voor Identiteit van virtuele machine.
  4. Bij Regio selecteert u dezelfde locatie die u eerder hebt gebruikt.
  5. Typ een gebruikersnaam en wachtwoord.
  6. Selecteer Volgende: Schijven.

Disks

  1. Selecteer Volgende: Netwerken.

Netwerken

  1. Bij Virtueel netwerk selecteert u VN-Spoke.
  2. Bij Subnet selecteert u SN-Workload.
  3. Selecteer Geen voor Openbaar IP.
  4. Bij Openbare binnenkomende poorten selecteert u Geen.
  5. Laat de overige standaardinstellingen staan en selecteer Volgende: Beheer.

Beheer

  1. Selecteer Volgende: Bewaking.

Bewaking

  1. Selecteer Uitschakelen voor diagnostische gegevens over opstarten.
  2. Selecteer Controleren + maken.

Beoordelen en maken

Controleer de samenvatting en selecteer Maken. Dit duurt enkele minuten.

Als de implementatie is voltooid, ziet u het privé IP-adres voor de virtuele machine. Deze wordt later gebruikt wanneer u de firewall configureert. Selecteer de naam van de virtuele machine. Selecteer Overzicht en noteer onder Netwerken het privé-IP-adres.

Notitie

Azure biedt een standaard ip-adres voor uitgaande toegang voor VM's waaraan geen openbaar IP-adres is toegewezen of zich in de back-endpool van een interne Azure-load balancer bevinden. Het standaard ip-mechanisme voor uitgaande toegang biedt een uitgaand IP-adres dat niet kan worden geconfigureerd.

Het standaard IP-adres voor uitgaande toegang is uitgeschakeld wanneer een van de volgende gebeurtenissen plaatsvindt:

  • Er wordt een openbaar IP-adres toegewezen aan de VIRTUELE machine.
  • De VIRTUELE machine wordt in de back-endpool van een standaard load balancer geplaatst, met of zonder uitgaande regels.
  • Er wordt een Azure NAT Gateway-resource toegewezen aan het subnet van de VIRTUELE machine.

Virtuele machines die u maakt met behulp van virtuele-machineschaalsets in de flexibele indelingsmodus, hebben geen standaardtoegang voor uitgaand verkeer.

Zie Voor meer informatie over uitgaande verbindingen in Azure standaard uitgaande toegang in Azure en SNAT (Source Network Address Translation) gebruiken voor uitgaande verbindingen.

De firewall implementeren

  1. Selecteer op de startpagina van de portal Een resource maken.

  2. Zoek naar firewall en selecteer vervolgens Firewall.

  3. Selecteer Maken.

  4. Gebruik op de pagina Firewall maken de volgende tabel om de firewall te configureren:

    Instelling Weergegeven als
    Abonnement <uw abonnement>
    Resourcegroep RG-DNAT-Test selecteren
    Naam FW-DNAT-test
    Regio Selecteer dezelfde locatie die u eerder hebt gebruikt
    Firewall-SKU Standaard
    Firewallbeheer Firewallregels (klassiek) gebruiken om deze firewall te beheren
    Een virtueel netwerk kiezen Bestaande gebruiken: VN-Hub
    Openbaar IP-adres Voeg nieuwe, naam toe: fw-pip.

  5. Accepteer de andere standaardwaarden en selecteer Vervolgens Beoordelen en maken.

  6. Controleer de samenvatting en selecteer vervolgens Maken om de firewall te maken.

    Het implementeren duurt een paar minuten.

  7. Nadat de implementatie is voltooid, gaat u naar de resourcegroep RG-DNAT-Test en selecteert u de firewall FW-DNAT-test.

  8. Noteer de privé- en openbare IP-adressen van de firewall. U gebruikt deze later wanneer u de standaardroute en NAT-regel maakt.

Een standaardroute maken

Voor het subnet SN-Workload configureert u dat de standaardroute voor uitgaand verkeer via de firewall loopt.

Belangrijk

U hoeft geen expliciete route terug te configureren naar de firewall op het doelsubnet. Azure Firewall is een stateful service en verwerkt de pakketten en sessies automatisch. Als u deze route maakt, maakt u een asymmetrische routeringsomgeving die de stateful sessielogica onderbreekt en resulteert in verwijderde pakketten en verbindingen.

  1. Selecteer op de startpagina van de Azure-portal Een resource maken.

  2. Zoek de routetabel en selecteer deze.

  3. Selecteer Maken.

  4. Selecteer uw abonnement bij Abonnement.

  5. Selecteer RG-DNAT-Test voor resourcegroep.

  6. Bij Regio selecteert u dezelfde regio die u eerder hebt gebruikt.

  7. Bij Naam typt u RT-FWroute.

  8. Selecteer Controleren + maken.

  9. Selecteer Maken.

  10. Selecteer Naar resource.

  11. Selecteer Subnetten en vervolgens Koppelen.

  12. Bij Virtueel netwerk selecteert u VN-Spoke.

  13. Bij Subnet selecteert u SN-Workload.

  14. Selecteer OK.

  15. Selecteer Routes en vervolgens Toevoegen.

  16. Bij Routenaam typt u FW-DG.

  17. Selecteer IP-adressen voor doeltype.

  18. Voor DOEL-IP-adressen/CIDR-bereiken typt u 0.0.0.0/0.

  19. Bij Volgend hoptype selecteert u Virtueel apparaat.

    Azure Firewall is eigenlijk een beheerde service, maar Virtueel apparaat werkt in deze situatie.

  20. Bij Adres van de volgende hop typt u het privé-IP-adres voor de firewall dat u eerder hebt genoteerd.

  21. Selecteer Toevoegen.

Een NAT-regel configureren

  1. Open de resourcegroep RG-DNAT-Test en selecteer de firewall FW-DNAT-test .
  2. Selecteer Regels (klassiek) op de pagina FW-DNAT-test onder Instellingen.
  3. Selecteer Verzameling van NAT-regels toevoegen.
  4. Bij Naam typt u RC-DNAT-01.
  5. Bij Prioriteit typt u 200.
  6. Onder Regels typt u bij Naam de naam RL-01.
  7. Bij Protocol selecteert u TCP.
  8. Selecteer IP-adres bij Brontype.
  9. Bij Bron typt u *.
  10. Voor doeladressen typt u het openbare IP-adres van de firewall.
  11. Bij Doelpoorten typt u 3389.
  12. Bij Omgezet adres typt u het privé-IP-adres voor de virtuele machine Srv-Workload.
  13. Bij Vertaalde poort typt u 3389.
  14. Selecteer Toevoegen.

Dit duurt enkele minuten.

De firewall testen

  1. Verbind een extern-bureaubladsessie met het openbare IP-adres van de firewall. U wordt als het goed is verbonden met de virtuele machine Srv-Workload.
  2. Sluit de sessie van Extern bureaublad.

Resources opschonen

U kunt uw firewallresources bewaren voor verdere tests, of als u deze niet meer nodig hebt, verwijdert u de resourcegroep RG-DNAT-Test om alle firewallresources te verwijderen.

Volgende stappen

Als volgende kunt u de Azure Firewall-logboeken bewaken.

Zelfstudie: Azure Firewall-logboeken bewaken