Wdrażanie i konfigurowanie zasad Azure Firewall Basic i przy użyciu Azure Portal

  • Artykuł

Azure Firewall Basic zapewnia podstawową ochronę klientów SMB wymagających przystępnej ceny. To rozwiązanie jest zalecane w środowiskach klienta SMB z mniej niż 250 Mb/s wymagań dotyczących przepływności. Zaleca się wdrożenie jednostki SKU w warstwie Standardowa dla środowisk z ponad 250 Mb/s wymagań dotyczących przepływności i jednostki SKU Premium na potrzeby zaawansowanej ochrony przed zagrożeniami.

Filtrowanie ruchu sieciowego i aplikacji jest ważną częścią ogólnego planu zabezpieczeń sieci. Na przykład możesz ograniczyć dostęp do witryn sieci Web. Możesz też ograniczyć wychodzące adresy IP i porty, do których można uzyskać dostęp.

Jednym ze sposobów kontrolowania dostępu do sieci przychodzącej i wychodzącej z podsieci platformy Azure jest Azure Firewall i zasad zapory. Za pomocą Azure Firewall i zasad zapory można skonfigurować:

  • Reguły aplikacji, które definiują w pełni kwalifikowane nazwy domen (FQDN), do których można uzyskać dostęp z podsieci.
  • Reguły sieci, które definiują adres źródłowy, protokół, port docelowy i adres docelowy.
  • Reguły DNAT do tłumaczenia i filtrowania przychodzącego ruchu internetowego do podsieci.

Ruch sieciowy podlega skonfigurowanym regułom zapory podczas kierowania ruchu sieciowego do zapory jako bramy domyślnej podsieci.

W tym przewodniku utworzysz uproszczoną pojedynczą sieć wirtualną z trzema podsieciami w celu łatwego wdrożenia. Zapora Podstawowa ma obowiązkowe wymaganie skonfigurowania za pomocą karty sieciowej zarządzania.

  • AzureFirewallSubnet — w tej podsieci znajduje się zapora.
  • AzureFirewallManagementSubnet — dla ruchu zarządzania usługami.
  • Workload-SN — w tej podsieci znajduje się serwer obciążeń. Ruch sieciowy tej podsieci przechodzi przez zaporę.

Uwaga

Ponieważ Azure Firewall Basic ma ograniczony ruch w porównaniu z jednostką SKU Azure Firewall Standard lub Premium, wymaga to, aby usługa AzureFirewallManagementSubnet oddzieliła ruch klientów od ruchu zarządzania firmy Microsoft, aby zapewnić brak zakłóceń w nim. Ten ruch związany z zarządzaniem jest wymagany do komunikacji aktualizacji i metryk kondycji, która odbywa się automatycznie tylko do i z firmy Microsoft. W tym adresie IP nie są dozwolone żadne inne połączenia.

W przypadku wdrożeń produkcyjnych zalecany jest model piasty i szprychy , w którym zapora znajduje się w własnej sieci wirtualnej. Serwery obciążeń znajdują się w równorzędnych sieciach wirtualnych w tym samym regionie z co najmniej jedną podsiecią.

Z tego instrukcji dowiesz się, jak wykonywać następujące działania:

  • Konfigurowanie testowego środowiska sieciowego
  • Wdrażanie podstawowej zapory i podstawowych zasad zapory
  • Tworzenie trasy domyślnej
  • Konfigurowanie reguły aplikacji w celu zezwolenia na dostęp do www.google.com
  • Konfigurowanie reguły sieci w celu umożliwienia dostępu do zewnętrznych serwerów DNS
  • Konfigurowanie reguły translatora adresów sieciowych w celu umożliwienia pulpitu zdalnego na serwerze testowym
  • Testowanie zapory

Jeśli wolisz, możesz wykonać tę procedurę przy użyciu Azure PowerShell.

Wymagania wstępne

Jeśli nie masz subskrypcji platformy Azure, przed rozpoczęciem utwórz bezpłatne konto.

Tworzenie grupy zasobów

Grupa zasobów zawiera wszystkie zasoby instrukcji.

  1. Zaloguj się w witrynie Azure Portal.
  2. W menu Azure Portal wybierz pozycję Grupy zasobów lub wyszukaj i wybierz pozycję Grupy zasobów na dowolnej stronie. Następnie wybierz pozycję Utwórz.
  3. W polu Subskrypcja wybierz subskrypcję.
  4. W polu Nazwa grupy zasobów wprowadź wartość Test-FW-RG.
  5. W obszarze Region wybierz region. Wszystkie inne utworzone zasoby muszą znajdować się w tym samym regionie.
  6. Wybierz pozycję Przejrzyj i utwórz.
  7. Wybierz pozycję Utwórz.

Wdrażanie zapory i zasad

Wdróż zaporę i utwórz skojarzą infrastrukturę sieciową.

  1. W menu witryny Azure Portal lub na stronie głównej wybierz pozycję Utwórz zasób.

  2. Wpisz zaporę w polu wyszukiwania i naciśnij klawisz Enter.

  3. Wybierz pozycję Zapora , a następnie wybierz pozycję Utwórz.

  4. Na stronie Tworzenie zapory strony skorzystaj z poniższej tabeli, aby skonfigurować zaporę:

    Ustawienie Wartość
    Subskrypcja <Twoja subskrypcja>
    Grupa zasobów Test-FW-RG
    Nazwa Test-FW01
    Region (Region) Wybierz tę samą lokalizację, której użyto poprzednio
    Warstwa zapory Podstawowa
    Zarządzanie zaporą Zarządzanie tą zaporą za pomocą zasad zapory
    Zasady zapory Dodaj nowy:
    fw-test-pol
    Wybrany region
    Warstwa zasad powinna być domyślnie ustawiona na Podstawowa
    Wybieranie sieci wirtualnej Utwórz nowy
    Nazwa: Test-FW-VN
    Przestrzeń adresowa: 10.0.0.0/16
    Przestrzeń adresowa podsieci: 10.0.0.0/26
    Publiczny adres IP Dodaj nowy:
    Nazwa: fw-pip
    Zarządzanie — przestrzeń adresowa podsieci 10.0.1.0/26
    Publiczny adres IP zarządzania Dodaj nowy
    fw-mgmt-pip

  5. Zaakceptuj inne wartości domyślne, a następnie wybierz pozycję Przejrzyj i utwórz.

  6. Przejrzyj podsumowanie, a następnie wybierz pozycję Utwórz , aby utworzyć zaporę.

    Wdrożenie potrwa klika minut.

  7. Po zakończeniu wdrażania przejdź do grupy zasobów Test-FW-RG i wybierz zaporę Test-FW01 .

  8. Zanotuj prywatne i publiczne adresy IP zapory (fw-pip). Te adresy będą używane później.

Tworzenie podsieci dla serwera obciążenia

Następnie utwórz podsieć dla serwera obciążenia.

  1. Przejdź do grupy zasobów Test-FW-RG i wybierz sieć wirtualną Test-FW-VN .
  2. Wybierz pozycję Podsieci.
  3. Wybierz pozycję Podsieć.
  4. W polu Nazwa podsieci wpisz Workload-SN.
  5. W polu Zakres adresów podsieci wpisz 10.0.2.0/24.
  6. Wybierz pozycję Zapisz.

Tworzenie maszyny wirtualnej

Teraz utwórz maszynę wirtualną obciążenia i umieść ją w podsieci Workload-SN .

  1. W menu witryny Azure Portal lub na stronie głównej wybierz pozycję Utwórz zasób.

  2. Wybierz pozycję Windows Server 2019 Datacenter.

  3. Wprowadź poniższe wartości dla maszyny wirtualnej:

    Ustawienie Wartość
    Grupa zasobów Test-FW-RG
    Nazwa maszyny wirtualnej Srv-Work
    Region (Region) Tak samo jak poprzednio
    Obraz Windows Server 2019 Datacenter
    Nazwa użytkownika administratora Wpisz nazwę użytkownika
    Hasło Wpisz hasło

  4. W obszarze Reguły portów wejściowychpubliczne porty wejściowe wybierz pozycję Brak.

  5. Zaakceptuj inne wartości domyślne i wybierz pozycję Dalej: Dyski.

  6. Zaakceptuj wartości domyślne dysku i wybierz pozycję Dalej: Sieć.

  7. Upewnij się, że wybrano opcję Test-FW-VN dla sieci wirtualnej, a podsieć to Workload-SN.

  8. W obszarze Publiczny adres IP wybierz pozycję Brak.

  9. Zaakceptuj inne wartości domyślne i wybierz pozycję Dalej: Zarządzanie.

  10. Wybierz pozycję Dalej: Monitorowanie.

  11. Wybierz pozycję Wyłącz, aby wyłączyć diagnostykę rozruchu. Zaakceptuj inne wartości domyślne i wybierz pozycję Przejrzyj i utwórz.

  12. Przejrzyj ustawienia na stronie podsumowania, a następnie wybierz pozycję Utwórz.

  13. Po zakończeniu wdrażania wybierz zasób Srv-Work i zanotuj prywatny adres IP do późniejszego użycia.

Tworzenie trasy domyślnej

Na potrzeby podsieci Workload-SN skonfiguruj trasę domyślną ruchu wychodzącego, aby przechodziła przez zaporę.

  1. W menu Azure Portal wybierz pozycję Wszystkie usługi lub wyszukaj i wybierz pozycję Wszystkie usługi na dowolnej stronie.
  2. W obszarze Sieć wybierz pozycję Tabele tras.
  3. Wybierz przycisk Utwórz.
  4. W polu Subskrypcja wybierz subskrypcję.
  5. W obszarze Grupa zasobów wybierz pozycję Test-FW-RG.
  6. W polu Region wybierz tę samą lokalizację, która była używana wcześniej.
  7. W polu Nazwa wpisz wartość Firewall-route.
  8. Wybierz pozycję Przejrzyj i utwórz.
  9. Wybierz pozycję Utwórz.

Po zakończeniu wdrażania wybierz pozycję Przejdź do zasobu.

  1. Na stronie Zapora-trasa wybierz pozycję Podsieci , a następnie wybierz pozycję Skojarz.

  2. Wybierz pozycję Sieć >wirtualnaTest-FW-VN.

  3. W obszarze Podsieć wybierz pozycję Workload-SN. Upewnij się, że wybrano tylko podsieć Workload-SN dla tej trasy. W przeciwnym razie zapora nie będzie działać poprawnie.

  4. Wybierz przycisk OK.

  5. Wybierz pozycję Trasy , a następnie wybierz pozycję Dodaj.

  6. W polu Nazwa trasy wpisz fw-dg.

  7. W polu Miejsce docelowe prefiksu adresu wybierz pozycję Adresy IP.

  8. W polu Docelowe adresy IP/zakresy CIDR wpisz wartość 0.0.0.0/0.

  9. W obszarze Typ następnego skoku wybierz pozycję Urządzenie wirtualne.

    Usługa Azure Firewall to w rzeczywistości usługa zarządzana, ale urządzenie wirtualne działa w tej sytuacji.

  10. W polu Adres następnego skoku wpisz wcześniej zanotowany prywatny adres IP zapory.

  11. Wybierz pozycję Dodaj.

Konfigurowanie reguły aplikacji

Jest to reguła aplikacji, która zezwala na dostęp wychodzący do usługi www.google.com.

  1. Otwórz pozycję Test-FW-RG i wybierz zasady zapory fw-test-pol .
  2. Wybierz pozycję Reguły aplikacji.
  3. Wybierz pozycję Dodaj kolekcję reguł.
  4. W polu Nazwa wpisz wartość App-Coll01.
  5. W polu Priorytet wpisz wartość 200.
  6. W obszarze Akcja zbierania reguł wybierz pozycję Zezwalaj.
  7. W obszarze Reguły w polu Nazwa wpisz wartość Allow-Google.
  8. W polu Typ źródła wybierz pozycję Adres IP.
  9. W polu Źródło wpisz wartość 10.0.2.0/24.
  10. W polu Protocol:port wpisz wartość http, https.
  11. W polu Typ miejsca docelowego wybierz pozycję FQDN.
  12. W polu Miejsce docelowe wpisz www.google.com
  13. Wybierz pozycję Dodaj.

Usługa Azure Firewall zawiera wbudowaną kolekcję reguł dla nazw FQDN infrastruktury, które domyślnie są dozwolone. Te nazwy FQDN są specyficzne dla platformy i nie można ich używać do innych celów. Aby uzyskać więcej informacji, zobacz Infrastrukturalne nazwy FQDN.

Konfigurowanie reguły sieci

Jest to reguła sieci, która umożliwia ruchowi wychodzącemu dostęp do dwóch adresów IP na porcie 53 (DNS).

  1. Wybierz pozycję Reguły sieciowe.
  2. Wybierz pozycję Dodaj kolekcję reguł.
  3. W polu Nazwa wpisz wartość Net-Coll01.
  4. W polu Priorytet wpisz wartość 200.
  5. W obszarze Akcja zbierania reguł wybierz pozycję Zezwalaj.
  6. W obszarze Grupa kolekcji reguł wybierz pozycję DefaultNetworkRuleCollectionGroup.
  7. W obszarze Reguły w polu Nazwa wpisz Allow-DNS.
  8. W polu Typ źródła wybierz pozycję Adres IP.
  9. W polu Źródło wpisz wartość 10.0.2.0/24.
  10. W polu Protokół wybierz UDP.
  11. W polu Porty docelowe wpisz wartość 53.
  12. W polu Typ miejsca docelowego wybierz pozycję Adres IP.
  13. W polu Miejsce docelowe wpisz wartość 209.244.0.3,209.244.0.4.
    Są to publiczne serwery DNS obsługiwane przez poziom 3.
  14. Wybierz pozycję Dodaj.

Konfigurowanie reguły DNAT

Ta reguła umożliwia połączenie pulpitu zdalnego z maszyną wirtualną Srv-Work przez zaporę.

  1. Wybierz reguły DNAT.
  2. Wybierz pozycję Dodaj kolekcję reguł.
  3. W polu Nazwa wpisz rdp.
  4. W polu Priorytet wpisz wartość 200.
  5. W obszarze Grupa kolekcji reguł wybierz pozycję DefaultDnatRuleCollectionGroup.
  6. W obszarze Reguły w polu Nazwa wpisz rdp-nat.
  7. W polu Typ źródła wybierz pozycję Adres IP.
  8. W polu Źródło wpisz *.
  9. W polu Protokół wybierz TCP.
  10. W polu Porty docelowe wpisz wartość 3389.
  11. W polu Typ docelowy wybierz pozycję Adres IP.
  12. W polu Miejsce docelowe wpisz publiczny adres IP zapory (fw-pip).
  13. W polu Przetłumaczony adres wpisz prywatny adres IP Srv-work .
  14. W polu Przekształcony port wpisz 3389.
  15. Wybierz pozycję Dodaj.

Zmienianie podstawowego i pomocniczego adresu DNS dla interfejsu sieciowego Srv-Work

Na potrzeby testowania w tym instrukcji skonfiguruj podstawowe i pomocnicze adresy DNS serwera. Nie jest to ogólne wymaganie Azure Firewall.

  1. W menu Azure Portal wybierz pozycję Grupy zasobów lub wyszukaj i wybierz pozycję Grupy zasobów na dowolnej stronie. Wybierz grupę zasobów Test-FW-RG .
  2. Wybierz interfejs sieciowy dla maszyny wirtualnej Srv-Work .
  3. W obszarze Ustawienia wybierz pozycję Serwery DNS.
  4. W obszarze Serwery DNS wybierz pozycję Niestandardowe.
  5. Wpisz wartość 209.244.0.3 w polu tekstowym Dodaj serwer DNS, a następnie wpisz wartość 209.244.0.4 w następnym polu tekstowym.
  6. Wybierz pozycję Zapisz.
  7. Uruchom ponownie maszynę wirtualną Srv-Work.

Testowanie zapory

Teraz przetestuj zaporę, aby potwierdzić, że działa zgodnie z oczekiwaniami.

  1. Połącz pulpit zdalny z publicznym adresem IP zapory (fw-pip) i zaloguj się do maszyny wirtualnej Srv-Work .

  2. Otwórz program Internet Explorer i przejdź do https://www.google.com.

  3. Wybierz przycisk OK>Zamknij w alertach zabezpieczeń programu Internet Explorer.

    Powinna zostać wyświetlona strona główna Google.

  4. Przejdź na stronę http://www.microsoft.com.

    Dostęp powinien zostać zablokowany przez zaporę.

Teraz sprawdziliśmy, czy reguły zapory działają:

  • Pulpit zdalny można połączyć z maszyną wirtualną Srv-Work.
  • Możesz przejść do jednej z dozwolonych nazw FQDN, ale nie do innych.
  • Możesz rozpoznać nazwy DNS przy użyciu skonfigurowanego zewnętrznego serwera DNS.

Czyszczenie zasobów

Możesz zachować zasoby zapory na potrzeby dalszego testowania lub jeśli nie są już potrzebne, usuń grupę zasobów Test-FW-RG , aby usunąć wszystkie zasoby związane z zaporą.

Następne kroki

Wdrażanie i konfigurowanie Azure Firewall Premium