Samouczek: jak zabezpieczyć wirtualny koncentrator przy użyciu usługi Azure Firewall Manager

Za pomocą usługi Azure Firewall Manager można utworzyć zabezpieczone koncentratory wirtualne w celu zabezpieczenia ruchu sieciowego w chmurze kierowanego do prywatnych adresów IP, usługi Azure PaaS i Internetu. Routing ruchu do zapory jest zautomatyzowany, więc nie ma potrzeby tworzenia tras zdefiniowanych przez użytkownika (UDR).

Usługa Firewall Manager obsługuje również architekturę wirtualnej sieci typu piasta. Aby zobaczyć porównanie typów architektury zabezpieczonego koncentratora wirtualnego i centralnej sieci wirtualnej, zobacz Jakie opcje architektury oferuje usługa Azure Firewall Manager?

Z tego samouczka dowiesz się, jak wykonywać następujące czynności:

  • Utwórz sieć wirtualną typu spoke
  • Utwórz zabezpieczony koncentrator wirtualny
  • Łączenie sieci wirtualnych piasty i szprych
  • Kierowanie ruchu do hubu
  • Wdrażanie serwerów
  • Utwórz politykę zapory i zabezpiecz koncentrator
  • Testowanie zapory

Ważne

Procedura opisana w tym samouczku wykorzystuje usługę Azure Firewall Manager do utworzenia nowego zabezpieczonego koncentratora usługi Azure Virtual WAN. Za pomocą usługi Firewall Manager można uaktualnić istniejący węzeł, ale nie można skonfigurować dla zapory Azure Firewall stref dostępności platformy Azure Strefy dostępności. Możliwe jest również przekształcenie istniejącego koncentratora w zabezpieczony koncentrator za pomocą witryny Azure Portal, zgodnie z opisem w temacie Konfigurowanie usługi Azure Firewall w koncentratorze usługi Virtual WAN. Jednak podobnie jak w przypadku usługi Azure Firewall Manager, nie można skonfigurować Strefy dostępności. Aby uaktualnić istniejące centrum i określić Strefy dostępności dla usługi Azure Firewall (zalecane), należy wykonać procedurę uaktualniania w artykule Samouczek: zabezpieczanie koncentratora wirtualnego przy użyciu programu Azure PowerShell.

Diagram przedstawiający bezpieczną sieć w chmurze.

Wymagania wstępne

Jeśli nie masz subskrypcji platformy Azure, przed rozpoczęciem utwórz bezpłatne konto.

Utwórz architekturę typu hub-and-spoke

Najpierw utwórz wirtualne sieci typu szprycha, w których można umieszczać serwery.

Utwórz dwie wirtualne sieci podrzędne i podsieci

Obie sieci wirtualne mają w nich serwer obciążenia i są chronione przez zaporę.

  1. Na stronie głównej witryny Azure Portal wybierz pozycję Utwórz zasób.

  2. Wyszukaj pozycję Sieć wirtualna, wybierz ją, a następnie wybierz pozycję Utwórz.

  3. Utwórz sieć wirtualną z następującymi ustawieniami:

    Ustawienie Wartość
    Subskrypcja Wybierz swoją subskrypcję
    Grupa zasobów Wybierz pozycję Utwórz nową i wpisz fw-manager-rg jako nazwę, a następnie wybierz przycisk OK.
    Nazwa sieci wirtualnej Szprycha-01
    Region Wschodnie stany USA

  4. Wybierz pozycję Dalej, a następnie wybierz pozycję Dalej.

  5. Na karcie Sieć utwórz podsieci z następującymi ustawieniami:

    Ustawienie Wartość
    Dodawanie przestrzeni adresowej IPv4 10.0.0.0/16 (ustawienie domyślne)
    Podsieci
    Podsieć obciążenia
    Nazwisko Workload-01-SN
    Adres początkowy 10.0.1.0/24
    Podsieć bastionu
    Nazwisko AzureBastionSubnet
    Adres początkowy 10.0.2.0/26

  6. Wybierz pozycję Zapisz, Przejrzyj i utwórz, a następnie wybierz pozycję Utwórz.

Powtórz tę procedurę, aby utworzyć inną podobną sieć wirtualną w grupie zasobów fw-manager-rg :

Ustawienie Wartość
Nazwisko Spoke-02
Przestrzeń adresowa 10.1.0.0/16
Nazwa podsieci Workload-02-SN
Adres początkowy 10.1.1.0/24

Tworzenie zabezpieczonego koncentratora wirtualnego

Utwórz zabezpieczony wirtualny koncentrator przy użyciu Firewall Manager.

  1. Na stronie głównej portalu Azure, w polu wyszukiwania, wpisz Network Security i wybierz je w sekcji Services.

  2. W sekcji Zabezpiecz zasoby wybierz Wirtualne huby.

  3. O bezpieczeństwie sieciowym | Wirtualne huby, wybierz Utwórz nowy zabezpieczony wirtualny hub.

  4. Na stronie Tworzenie nowego zabezpieczonego koncentratora wirtualnego wprowadź następujące informacje:

    Ustawienie Wartość
    Subskrypcja Wybierz subskrypcję.
    Grupa zasobów Wybierz fw-manager-rg
    Region Wschodnie stany USA
    Nazwa zabezpieczonego centrum wirtualnego Hub-01
    Przestrzeń adresowa koncentratora 10.2.0.0/16

  5. Wybierz pozycję Nowy vWAN.

    Ustawienie Wartość
    Nowa nazwa wirtualnej sieci WAN Vwan-01
    Typ Standard
    Uwzględnij bramę sieci VPN, aby włączyć zaufanych partnerów zabezpieczeń Pozostaw pole wyboru niezaznaczone.

  6. Wybierz pozycję Dalej: Azure Firewall.

  7. Zaakceptuj domyślne ustawienie włączone w usłudze Azure Firewall.

  8. Dla warstwy Azure Firewall wybierz pozycję Standard.

  9. Wybierz odpowiednią kombinację Strefy dostępności.

    Ważne

    Usługa Virtual WAN to kolekcja centrów i usług udostępnianych w centrum. Możesz wdrożyć dowolną liczbę wirtualnych sieci WAN zgodnie z potrzebami. W centrum Virtual WAN dostępnych jest wiele usług, takich jak VPN, ExpressRoute i tak dalej. Każda z tych usług jest wdrażana automatycznie w Strefy dostępności z wyjątkiem usługi Azure Firewall, jeśli region obsługuje Strefy dostępności. Aby dopasować się do odporności usługi Azure Virtual WAN, należy wybrać wszystkie dostępne Strefy dostępności.

  10. Wpisz 1 w polu tekstowym Określ liczbę publicznych adresów IP lub skojarz istniejący publiczny adres IP (wersja zapoznawcza) z tą zaporą.

  11. W sekcji Polityka zapory upewnij się, że wybrano domyślną politykę odmowy. Ustawienia uściślisz w dalszej części tego artykułu.

  12. Wybierz Dalej: Dostawca partnera ds. zabezpieczeń.

  13. Zaakceptuj domyślne ustawienie Zaufany partner ds. zabezpieczeńWyłączone, a następnie wybierz pozycję Dalej: Przeglądanie i tworzenie.

  14. Wybierz pozycję Utwórz.

Uwaga

Utworzenie zabezpieczonego koncentratora wirtualnego może potrwać do 30 minut.

Publiczny adres IP zapory można znaleźć po zakończeniu wdrażania.

  1. Otwarte bezpieczeństwo sieci.
  2. W sekcji "zabezpiecz swoje zasoby" wybierz Wirtualne huby.
  3. Wybierz hub-01.
  4. Wybierz pozycję AzureFirewall_Hub-01.
  5. Zanotuj publiczny adres IP do późniejszego użycia.

Połącz sieci wirtualne typu piasta-szprychy

Teraz możesz zestawić połączenie równorzędne między sieciami wirtualnymi w topologii piasta‑szprycha.

  1. Wybierz grupę zasobów fw-manager-rg , a następnie wybierz wirtualną sieć WAN Vwan-01 .

  2. W obszarze Łączność wybierz pozycję Połączenia sieci wirtualnej.

    Ustawienie Wartość
    Nazwa połączenia hub-spoke-01
    Huby Hub-01
    Grupa zasobów fw-manager-rg
    Sieć wirtualna Spoke-01

  3. Wybierz pozycję Utwórz.

  4. Powtórz poprzednie kroki, aby połączyć sieć wirtualną Spoke-02 przy użyciu następujących ustawień:

    Ustawienie Wartość
    Nazwa połączenia hub-spoke-02
    Koncentratory Hub-01
    Grupa zasobów fw-manager-rg
    Sieć wirtualna Spoke-02

Wdrażanie serwerów

  1. W witrynie Azure Portal wybierz pozycję Utwórz zasób.

  2. Wyszukaj Ubuntu Server 22.04 LTS i wybierz.

  3. Wybierz pozycję Utwórz>maszynę wirtualną.

  4. Wprowadź poniższe wartości dla maszyny wirtualnej:

    Ustawienie Wartość
    Grupa zasobów fw-manager-rg
    Nazwa maszyny wirtualnej Srv-workload-01
    Region (USA) Wschodnie stany USA
    obraz Ubuntu Server 22.04 LTS — x64 Gen2
    Typ uwierzytelniania Klucz publiczny SSH
    Nazwa użytkownika azureuser
    Źródło klucza publicznego SSH Generowanie nowej pary kluczy
    Nazwa pary kluczy srv-workload-01_key

  5. W sekcji Reguły portów przychodzących dla opcji Publiczne porty przychodzące wybierz Brak.

  6. Zaakceptuj inne wartości domyślne i wybierz pozycję Dalej: Dyski.

  7. Zaakceptuj wartości domyślne dysku i wybierz pozycję Dalej: Sieć.

  8. Wybierz pozycję Spoke-01 jako sieć wirtualną i wybierz pozycję Workload-01-SN jako podsieć.

  9. W obszarze Publiczny adres IP wybierz pozycję Brak.

  10. Zaakceptuj inne wartości domyślne i wybierz pozycję Dalej: Zarządzanie.

  11. Wybierz pozycję Dalej:Monitorowanie.

  12. Wybierz pozycję Wyłącz, aby wyłączyć diagnostykę rozruchu.

  13. Zaakceptuj inne wartości domyślne i wybierz pozycję Przejrzyj i utwórz.

  14. Przejrzyj ustawienia na stronie podsumowania, a następnie wybierz pozycję Utwórz.

  15. Po wyświetleniu monitu pobierz i zapisz plik klucza prywatnego (na przykład srv-workload-01_key.pem).

Skorzystaj z informacji w poniższej tabeli, aby skonfigurować inną maszynę wirtualną o nazwie Srv-Workload-02. Pozostała część konfiguracji jest taka sama jak maszyna wirtualna Srv-workload-01 , ale użyj innej nazwy pary kluczy, takiej jak srv-workload-02_key.

Ustawienie Wartość
Sieć wirtualna Spoke-02
Podsieć Workload-02-SN

Po wdrożeniu serwerów wybierz zasób serwera, a w obszarze Sieć zanotuj prywatny adres IP dla każdego serwera.

Instalowanie serwera Nginx na serwerach

Po wdrożeniu maszyn wirtualnych zainstaluj serwer Nginx na obu serwerach, aby później zweryfikować łączność internetową.

  1. W witrynie Azure Portal przejdź do maszyny wirtualnej Srv-workload-01 .

  2. Wybierz pozycję Uruchom polecenie>RunShellScript.

  3. Uruchom następujące polecenie:

    sudo apt-get update && sudo apt-get install -y nginx && echo '<h1>Srv-workload-01</h1>' | sudo tee /var/www/html/index.html

  4. Powtórz te same kroki dla parametru Srv-workload-02, zastępując nazwę hosta w poleceniu echo:

    sudo apt-get update && sudo apt-get install -y nginx && echo '<h1>Srv-workload-02</h1>' | sudo tee /var/www/html/index.html

Wdrażanie usługi Azure Bastion

Wdróż usługę Azure Bastion w sieci wirtualnej Szprycha-01, aby bezpiecznie nawiązać połączenie z maszynami wirtualnymi.

  1. W witrynie Azure Portal wyszukaj pozycję Bastions i wybierz ją.

  2. Wybierz pozycję Utwórz.

  3. Skonfiguruj usługę Bastion przy użyciu następujących ustawień:

    Ustawienie Wartość
    Subskrypcja Wybierz swoją subskrypcję
    Grupa zasobów fw-manager-rg
    Nazwisko Bastion-01
    Region Wschodnie stany USA
    Warstwa Programista
    Sieć wirtualna Spoke-01
    Podsieć AzureBastionSubnet (10.0.2.0/26)

  4. Wybierz Przegląd + utwórz, a następnie wybierz Utwórz.

Uwaga

Wdrożenie usługi Azure Bastion może potrwać około 10 minut.

Utwórz zasady zapory i zabezpiecz koncentrator

Zasada zapory sieciowej definiuje zbiory reguł służące do kierowania ruchem w co najmniej jednym zabezpieczonym koncentratorze wirtualnym. Utworzysz zasady zapory, a następnie zabezpieczysz centrum.

  1. W sekcji Network Security, w Menedżerze Firewall, wybierz Azure Firewall Policies.

  2. Wybierz pozycję Utwórz.

  3. W polu Grupa zasobów wybierz pozycję fw-manager-rg.

  4. W obszarze Szczegóły zasad w polu Nazwa wpisz Policy-01, a dla opcji Region wybierz East US.

  5. Dla Warstwa zasad wybierz opcję Standard.

  6. Wybierz pozycję Dalej: Ustawienia DNS.

  7. Wybierz pozycję Dalej: Inspekcja protokołu TLS.

  8. Wybierz pozycję Dalej: Reguły.

  9. Na karcie Reguły wybierz pozycję Dodaj kolekcję reguł.

  10. Na stronie Dodawanie kolekcji reguł wprowadź następujące informacje.

    Ustawienie Wartość
    Nazwisko App-RC-01
    Typ kolekcji reguł Aplikacja
    Priorytet 100
    Akcja zbierania reguł Zezwalaj
    Nazwa reguły Allow-msft
    Typ źródła Adres IP
    Źródło *
    Protokół http,https
    Typ docelowy FQDN
    Miejsce docelowe *.microsoft.com

  11. Wybierz Dodaj.

  12. Dodaj regułę sieci , aby zezwolić na ruch SSH i HTTP między sieciami wirtualnymi szprych.

  13. Wybierz pozycję Dodaj kolekcję reguł i wprowadź następujące informacje.

    Ustawienie Wartość
    Nazwisko dostęp do sieci wirtualnej
    Typ kolekcji reguł Sieć
    Priorytet 100
    Akcja zbierania reguł Zezwalaj
    Nazwa reguły Allow-SSH-HTTP
    Typ źródła Adres IP
    Źródło 10.0.0.0/16,10.1.0.0/16
    Protokół TCP
    Porty docelowe 22,80
    Typ miejsca docelowego Adres IP
    Miejsce docelowe 10.0.0.0/16,10.1.0.0/16

  14. Wybierz Dodaj, a następnie wybierz Dalej: IDPS.

  15. Na stronie IDPS wybierz pozycję Dalej: Analiza zagrożeń

  16. Na stronie Analiza zagrożeń zaakceptuj wartości domyślne i wybierz pozycję Przejrzyj i utwórz:

  17. Sprawdź, aby potwierdzić swój wybór, a następnie wybierz Utwórz.

Kojarzenie zasad

Skojarz zasady zapory z centrum.

  1. W sekcji Network Security, w Menedżerze Firewall, wybierz Azure Firewall Policies.
  2. Zaznacz pole wyboru dla Policy-01.
  3. Wybierz pozycję Zarządzaj powiązaniami, Powiąż huby.
  4. Wybierz hub-01.
  5. Wybierz Dodaj.

Kierowanie ruchu do centrum

Teraz musisz upewnić się, że ruch sieciowy jest kierowany przez zaporę.

  1. W sekcji Bezpieczeństwo sieci, w sekcji Zabezpiecz swoje zasoby, wybierz Wirtualne Huby.

  2. Wybierz pozycję Hub-01.

  3. W obszarze Ustawienia wybierz pozycję Konfiguracja zabezpieczeń.

  4. W obszarze Ruch internetowy wybierz pozycję Azure Firewall.

  5. W obszarze Ruch prywatny wybierz pozycję Wyślij za pośrednictwem usługi Azure Firewall.

    Uwaga

    Jeśli używasz zakresów publicznych adresów IP dla sieci prywatnych w sieci wirtualnej lub gałęzi lokalnej, musisz jawnie określić te prefiksy adresów IP. Wybierz sekcję Prefiksy ruchu prywatnego, a następnie dodaj je obok prefiksów adresów RFC1918.

  6. W sekcji Inter-hub wybierz pozycję Włączone, aby włączyć funkcję intencji routingu usługi Virtual WAN. Intencja routingu to mechanizm, za pomocą którego można skonfigurować usługę Virtual WAN tak, aby kierować ruch od gałęzi do gałęzi (lokalnie do środowiska lokalnego) za pośrednictwem usługi Azure Firewall wdrożonej w usłudze Virtual WAN Hub. Aby uzyskać więcej informacji na temat wymagań wstępnych i zagadnień związanych z funkcją intencji routingu, zobacz Dokumentację intencji routingu.

  7. Wybierz pozycję Zapisz.

  8. Wybierz przycisk OK w oknie dialogowym Ostrzeżenie .

  9. Wybierz OK w oknie dialogowym Migracja w celu użycia połączenia między koncentratorami.

    Uwaga

    Zaktualizowanie tabel tras trwa kilka minut.

  10. Sprawdź, czy dwa połączenia pokazują, że usługa Azure Firewall zabezpiecza ruch internetowy i prywatny.

Testowanie zapory

Aby przetestować reguły zapory, użyj usługi Azure Bastion, aby nawiązać połączenie z serwerem Srv-Workload-01 i sprawdzić, czy działają zarówno reguły aplikacji, jak i sieci.

Przetestuj regułę aplikacji

Teraz przetestuj reguły zapory, aby potwierdzić, że działają zgodnie z oczekiwaniami.

  1. W witrynie Azure Portal przejdź do maszyny wirtualnej Srv-workload-01 .

  2. Wybierz Połącz>przez Bastion.

  3. Podaj nazwę użytkownika azureuser i przekaż plik klucza .pem prywatnego pobrany podczas tworzenia maszyny wirtualnej.

  4. Wybierz pozycję Połącz, aby otworzyć sesję SSH.

  5. W sesji SSH uruchom następujące polecenie, aby przetestować dostęp do firmy Microsoft:

    curl https://www.microsoft.com

    Powinna zostać zwrócona zawartość HTML z potwierdzeniem, że dostęp jest dozwolony.

  6. Przetestuj dostęp do usługi Google (co powinno zostać zablokowane):

    curl https://www.google.com

    Żądanie powinno spowodować przekroczenie limitu czasu lub niepowodzenie, co spowoduje zablokowanie tej witryny przez zaporę.

Teraz sprawdzono, że reguła aplikacji zapory działa:

  • Możesz przejść do jednej dozwolonej nazwy FQDN, ale nie do żadnych innych.

Testowanie reguły sieci

Teraz przetestuj regułę sieci, łącząc się z serwera Srv-Workload-01 z serwerem Srv-Workload-02 przy użyciu protokołu HTTP.

  1. Przetestuj łączność HTTP z serwerem internetowym Nginx na serwerze Srv-Workload-02:

    curl http://<Srv-Workload-02-private-IP>

    Powinieneś zobaczyć stan zwrócony przez serwer sieciowy.

Czyszczenie zasobów

Po zakończeniu testowania zasobów zapory usuń grupę zasobów fw-manager-rg, aby usunąć wszystkie zasoby powiązane z zaporą.

Następne kroki

Dowiedz się więcej o zaufanych partnerach zabezpieczeń

  • Last updated on