Azure Firewall DNAT-regels instellen en bewaken voor veilig verkeerbeheer

Azure Firewall DNAT-regels (Destination Network Address Translation) worden gebruikt om inkomend verkeer te filteren en te routeren. Hiermee kunt u het openbare doel-IP-adres en de poort van binnenkomend verkeer vertalen naar een privé-IP-adres en -poort binnen uw netwerk. Dit is handig als u een service die wordt uitgevoerd op een privé-IP-adres (zoals een webserver of SSH-eindpunt) beschikbaar wilt maken voor internet of een ander netwerk.

Een DNAT-regel geeft het volgende op:

  • Bron: Het bron-IP-adres of de IP-groep waaruit het verkeer afkomstig is.
  • Doel: het doel-IP-adres van het Azure Firewall-exemplaar.
  • Protocol: het protocol dat wordt gebruikt voor het verkeer (TCP of UDP).
  • Doelpoort: de poort op het Azure Firewall-exemplaar dat het verkeer ontvangt.
  • Vertaald adres: het privé-IP-adres of de FQDN waarnaar het verkeer moet worden gerouteerd.
  • Vertaalde poort: de poort op het vertaalde adres waarnaar het verkeer moet worden omgeleid.

Wanneer een pakket overeenkomt met de DNAT-regel, wijzigt Azure Firewall het doel-IP-adres en de poort van het pakket volgens de regel voordat deze doorstuurt naar de opgegeven back-endserver.

Azure Firewall ondersteunt FQDN-filtering in DNAT-regels, zodat u een FQDN (Fully Qualified Domain Name) kunt opgeven als het doel voor vertaling in plaats van een statisch IP-adres. Dit maakt dynamische back-endconfiguraties mogelijk en vereenvoudigt het beheer in scenario's waarin het IP-adres van de back-endserver regelmatig kan worden gewijzigd.

Vereiste voorwaarden

  • Een Azure-abonnement. Als u nog geen abonnement op Azure hebt, maak dan een gratis account aan voordat u begint.
  • Een Azure Firewall-exemplaar.
  • Een Azure Firewall-beleid.

Een DNAT-regel maken

  1. Navigeer in Azure Portal naar uw Azure Firewall-exemplaar.

  2. Selecteer in het linkerdeelvenster Regels.

  3. Selecteer DNAT-regels.

  4. Selecteer + DNAT-regelverzameling toevoegen.

  5. Geef in het deelvenster Een regelverzameling toevoegen de volgende informatie op:

    • Naam: Voer een naam in voor de DNAT-regelverzameling.
    • Prioriteit: Geef een prioriteit op voor de regelverzameling. Lagere getallen geven een hogere prioriteit aan. Het bereik is 100-65000.
    • Actie: Destination Network Address Translation (DNAT) (standaard).
    • Regelverzamelingsgroep: dit is de naam van de regelverzamelingsgroep die de DNAT-regelverzameling bevat. U kunt een standaardgroep of een groep selecteren die u eerder hebt gemaakt.
    • Regels:
      • Naam: Voer een naam in voor de DNAT-regel.
      • Brontype: Selecteer IP-adres of IP-groep.
      • Bron: Voer het bron-IP-adres in of selecteer een IP-groep.
      • Protocol: Selecteer het protocol (TCP of UDP).
      • Doelpoorten: voer de doelpoort of het poortbereik in (bijvoorbeeld één poort 80, poortbereik 80-100 of meerdere poorten 80.443).
      • Doel (IP-adres van firewall):voer het doel-IP-adres van het Azure Firewall-exemplaar in.
      • Vertaalde type: Selecteer IP-adres of FQDN.
      • Vertaald adres of FQDN: voer het vertaalde IP-adres of de FQDN in.
      • Vertaalde poort: voer de vertaalde poort in.

  6. Herhaal stap 5 voor extra regels indien nodig.

  7. Selecteer Toevoegen om de DNAT-regelverzameling te maken.

DNAT-regels bewaken en valideren

Nadat u DNAT-regels hebt gemaakt, kunt u deze bewaken en oplossen met behulp van het AZFWNatRule-logboek . Dit logboek biedt gedetailleerde inzichten in de DNAT-regels die worden toegepast op binnenkomend verkeer, waaronder:

  • Tijdstempel: de exacte tijd waarop de verkeersstroom heeft plaatsgevonden.
  • Protocol: het protocol dat wordt gebruikt voor communicatie (bijvoorbeeld TCP of UDP).
  • Bron-IP en poort: informatie over de bronverkeersbron.
  • Doel-IP en poort: de oorspronkelijke doelgegevens vóór vertaling.
  • Vertaald IP en poort: het opgeloste IP-adres (als U FQDN gebruikt) en de doelpoort na vertaling.

Houd rekening met het volgende wanneer u het AZFWNatRule-logboek analyseert:

  • Vertaald veld: Voor DNAT-regels die FQDN-filtering gebruiken, geven de logboeken het opgeloste IP-adres weer in het vertaalde veld in plaats van de FQDN.
  • Privé-DNS-zones: alleen ondersteund binnen virtuele netwerken (VNets). Deze functie is niet beschikbaar voor virtuele WAN-SKU's.
  • Meerdere IP's in DNS-omzetting: Als een FQDN wordt omgezet in meerdere IP-adressen in een privé-DNS-zone of op aangepaste DNS-servers, wordt de DNAT-regel omgezet naar het eerste IP-adres in de lijst met omgezette adressen. De DNS-proxy geeft alle opgeloste records terug. Het selecteren van één enkel adres is specifiek voor DNAT-vertaling. Dit gedrag is opzettelijk ontworpen.
  • FQDN-oplossingsfouten:
    • Als Azure Firewall een FQDN niet kan oplossen, komt de DNAT-regel niet overeen, zodat het verkeer niet wordt verwerkt.
    • Deze fouten worden alleen vastgelegd in AZFWInternalFQDNResolutionFailure-logboeken als DNS-proxy is ingeschakeld.
    • Als DNS-proxy niet is ingeschakeld, worden omzettingsfouten niet vastgelegd.

Belangrijke overwegingen

De volgende overwegingen zijn belangrijk bij het gebruik van DNAT-regels met FQDN-filtering:

  • Privé-DNS-zones: alleen ondersteund binnen het virtuele netwerk en niet met Azure Virtual WAN.
  • Meerdere IP's in DNS-resolutie: DNAT-vertaling gebruikt altijd het eerste IP-adres uit de opgeloste lijst (privé DNS-zone of aangepaste DNS-server), ook al geeft de DNS-proxy alle opgeloste records terug. Dit gedrag is verwacht.

Het analyseren van deze logboeken kan helpen bij het diagnosticeren van verbindingsproblemen en ervoor zorgen dat verkeer correct wordt gerouteerd naar de beoogde back-end.

Scenario's voor PRIVÉ-IP DNAT

Voor geavanceerde scenario's met overlappende netwerken of niet-routeerbare netwerktoegang kunt u de mogelijkheid van Azure Firewall gebruiken om privé-IP DNAT te gebruiken. Met deze functie kunt u:

  • Overlappende netwerkscenario's verwerken waarbij meerdere netwerken dezelfde IP-adresruimte delen
  • Toegang bieden tot resources in niet-routeerbare netwerken
  • Het privé-IP-adres van de firewall gebruiken voor DNAT in plaats van openbare IP-adressen

Zie Privé-IP DNAT van Azure Firewall implementeren voor overlappende en niet-routeerbare netwerken voor meer informatie over het configureren van privé-IP DNAT voor deze scenario's.

Opmerking

Privé-IP DNAT is alleen beschikbaar in Azure Firewall Standard- en Premium-SKU's. De Basic-SKU biedt geen ondersteuning voor deze functie.

Volgende stappen

  • Last updated on