Azure Firewall explicit proxy

Azure Firewall werkt standaard in transparante proxymodus. In deze modus leidt een door de gebruiker gedefinieerde route (UDR) verkeer naar de firewall. De firewall onderschept het verkeer inline en stuurt het door naar de bestemming.

Wanneer je explicit proxy inschakelt voor uitgaand verkeer, kun je de verzendende applicatie, zoals een webbrowser, zo instellen dat Azure Firewall als proxy wordt gebruikt. Deze configuratie leidt verkeer van de applicatie naar het privé-IP-adres van de firewall, zodat verkeer direct vanuit de firewall vertrekt zonder afhankelijk te zijn van een UDR.

De expliciete proxymodus ondersteunt HTTP- en HTTPS-verkeer. Je definieert proxy-instellingen in de browser of applicatie om te wijzen op het privé-IP-adres van de firewall. Je kunt deze instelling handmatig configureren of een proxy auto-configuratie (PAC) bestand gebruiken. De firewall kan het PAC-bestand hosten om proxyverzoeken af te handelen nadat je het naar de firewall hebt geüpload.

Prerequisites

• Een Azure Firewall met een bijbehorend firewallbeleid. Je configureert expliciete proxy in het firewallbeleid, niet op de firewallresource. Zie Azure Firewall-beleidsregelsets voor meer informatie.

• Om een PAC-bestand te hosten, heb je ook het volgende nodig:

  • Een Azure Storage-account met een blobcontainer om het PAC-bestand op te slaan.
  • Een door gebruikers toegewezen beheerde identiteit die de rollen Storage Blob Data Contributor en Storage Blob Data Reader op dat opslagaccount heeft.

Configuratie

• Activeer explicit proxy in het Azure Firewall-beleid.

  

  Notitie

  Je kunt een enkele poort HTTP-poort gebruiken voor zowel HTTP- als HTTPS-verkeer.

• Maak een applicatieregel aan in het firewallbeleid om verkeer door de firewall te laten.

• Selecteer Proxy auto-configuratie inschakelen om een proxy auto-configuratie (PAC) bestand te gebruiken.

• Genereer een URL van een PAC-bestand door deze stappen te volgen:

  • Maak een Azure Storage-container aan door de stappen in Beheer blob-containers te volgen.

  Notitie

  Gebruik een abonnement waarvoor je de vereiste rechten hebt om rollen toe te voegen.

  • Upload het PAC-bestand naar de opslagcontainer.
  • Kies het geüploade bestand en kopieer de URL van het bestand. Voorbeeld-URL: https://eproxypstestresources.blob.core.windows.net/explicitproxycontainer/proxy.pac

• Maak een Managed Identity aan en wijs de benodigde rollen toe.

  • Ga naar de Managed Identity-resource en maak een Managed Identity aan. Zie Manage user-assigned managed identities (Door de gebruiker toegewezen beheerde identiteiten beheren) voor meer informatie.
  • Ga naar de opslagaccountresource die je hebt aangemaakt en ga naar Access Control (IAM). Selecteer Toevoegen om de roltoewijzing toe te voegen.
  • Ga naar Rol Toevoegen toewijzing, zoek op Storage Blob Data Contributor en Storage Blob Data Reader, en selecteer ze.
  • Ga naar Leden en selecteer de Beheerde Identiteit. Bekijk de wijzigingen en selecteer Toewijzen in Review+Assign.
  • Controleer of je wijzigingen worden weergegeven in Role Assignments door te zoeken in de beheerde identiteit.

  Notitie

  Zorg ervoor dat de Managed Identity die je aanmaakt het voorvoegsel "PacFileMSI-" heeft.

• Nadat je de URL van het PAC-bestand en de Beheerde Identiteit hebt, kun je het PAC-bestand inschakelen in de Explicit proxy-configuratie door de URL van het PAC-bestand te geven en de Beheerde Identiteit te selecteren die je hebt aangemaakt.

  Portal

  

  PowerShell

  Voor een veilige manier van explicit proxy gebruik, geef de URL van het PAC-bestand en een door de gebruiker toegewezen beheerde identiteit die de benodigde toegang heeft om het PAC-bestand uit je klantblobopslag te downloaden.

  Maak een firewallbeleid aan met expliciete proxy-instellingen:

  $exProxy = New-AzFirewallPolicyExplicitProxy `
      -EnableExplicitProxy `
      -HttpPort 100 `
      -EnablePacFile `
      -PacFilePort 130 `
      -PacFile "https://sampleurlfortesting.blob.core.windows.net/nothing"
  

  Werk een firewallbeleid bij met expliciete proxy-instellingen en de door de gebruiker toegewezen beheerde identiteit:

  $identityId = "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/testrg/providers/Microsoft.ManagedIdentity/userAssignedIdentities/PacFileMSI-eproxyidentity"
  
  New-AzFirewallPolicy `
      -Name "fp1" `
      -ResourceGroupName "TestRg" `
      -ExplicitProxy $exProxy `
      -UserAssignedIdentityId $identityId
  

  CLI

  Maak een firewallbeleid aan met expliciete proxy-instellingen:

  az network firewall policy create \
      --resource-group "testrg" \
      --name "testfwpolicy" \
      --sku Premium \
      --explicit-proxy enable-explicit-proxy=true http-port=9001 enable-pac-file=true pac-file-port=122 pac-file="https://eproxypstestresources.blob.core.windows.net/explicitproxycontainer/proxy.pac" \
      --identity "Identity_ID"
  

  Werk een firewallbeleid bij met expliciete proxy-instellingen:

  az network firewall policy update \
      --resource-group "testrg" \
      --name "testfwpolicy" \
      --explicit-proxy enable-explicit-proxy=true http-port=9001 enable-pac-file=true pac-file-port=124 pac-file="https://eproxypstestresources.blob.core.windows.net/explicitproxycontainer/proxy.pac" \
      --identity "Identity_ID"
  

Geen verbetering nodig; de huidige vertaling is duidelijk en gangbaar.

Gebruik Azure Policy-definities om een consistente configuratie van expliciete proxy-instellingen in uw Azure Firewall-implementaties te garanderen. De volgende beleidsregels zijn beschikbaar om expliciete proxyconfiguraties te beheren:

• Expliciete proxyconfiguratie afdwingen voor firewallbeleid: zorgt ervoor dat alle Azure Firewall-beleidsregels expliciete proxyconfiguratie hebben ingeschakeld.
• Pac-bestandsconfiguratie inschakelen tijdens het gebruik van expliciete proxy: controleert of wanneer expliciete proxy is ingeschakeld, het PAC-bestand (Proxy Auto-Configuration) ook correct is geconfigureerd.

Zie Azure Policy gebruiken om uw Azure Firewall-implementaties te beveiligen voor meer informatie over deze beleidsregels en hoe u deze implementeert.

Volgende stappen

• Om te leren hoe je explicit proxy gebruikt om Azure-diensten te bereiken vanaf Azure Arc-enabled resources, zie Access Azure services over Azure Firewall explicit proxy.
• Om te leren hoe je de applicatieregels maakt die geproxied verkeer toestaan, zie Azure Firewall policy sets regels.
• Om te leren hoe je expliciete proxy-instellingen kunt beheren, zie Use Azure Policy om je Azure Firewall-implementaties te beveiligen.
• Zie Azure Firewall implementeren en configureren met behulp van Azure PowerShell voor meer informatie over het implementeren van een Azure Firewall.
• Zie Demystifying Explicit proxy: Enhancing Security with Azure Firewall (Beveiliging verbeteren met Azure Firewall) voor meer informatie over expliciete proxy.