wdrażanie i konfigurowanie usługi Azure Firewall w witrynie Azure Portal

  • Artykuł

Kontrolowanie dostępu do sieciowego ruchu wychodzącego jest ważną częścią ogólnego planu zabezpieczeń sieci. Możesz na przykład ograniczyć dostęp do witryn internetowych. Możesz też ograniczyć wychodzące adresy IP i porty, do których można uzyskać dostęp.

Jednym ze sposobów kontrolowania dostępu do sieciowego ruchu wychodzącego z podsieci platformy Azure jest użycie usługi Azure Firewall. Za pomocą usługi Azure Firewall można skonfigurować następujące reguły:

  • Reguły aplikacji, które definiują w pełni kwalifikowane nazwy domen (FQDN), do których można uzyskać dostęp z podsieci.
  • Reguły sieci, które definiują adres źródłowy, protokół, port docelowy i adres docelowy.

Ruch sieciowy podlega skonfigurowanym regułom zapory podczas kierowania ruchu sieciowego do zapory jako bramy domyślnej podsieci.

W tym artykule utworzysz uproszczoną pojedynczą sieć wirtualną z dwiema podsieciami w celu łatwego wdrożenia.

W przypadku wdrożeń produkcyjnych zalecany jest model piasty i szprych, w którym zapora znajduje się we własnej sieci wirtualnej. Serwery obciążeń znajdują się w równorzędnych sieciach wirtualnych w tym samym regionie z co najmniej jedną podsiecią.

  • AzureFirewallSubnet — w tej podsieci znajduje się zapora.
  • Workload-SN — w tej podsieci znajduje się serwer obciążeń. Ruch sieciowy tej podsieci przechodzi przez zaporę.

Infrastruktura sieciowa

W tym artykule omówiono sposób wykonywania następujących zadań:

  • Konfigurowanie testowego środowiska sieciowego
  • Wdrażanie zapory
  • Tworzenie trasy domyślnej
  • Konfigurowanie reguły aplikacji w celu zezwolenia na dostęp do www.google.com
  • Konfigurowanie reguły sieci w celu umożliwienia dostępu do zewnętrznych serwerów DNS
  • Konfigurowanie reguły translatora adresów sieciowych w celu umożliwienia pulpitu zdalnego na serwerze testowym
  • Testowanie zapory

Uwaga

W tym artykule użyto klasycznych reguł zapory do zarządzania zaporą. Preferowaną metodą jest użycie zasad zapory. Aby wykonać tę procedurę przy użyciu zasad zapory, zobacz Samouczek: wdrażanie i konfigurowanie usługi Azure Firewall oraz zasad przy użyciu witryny Azure Portal

Jeśli wolisz, możesz wykonać tę procedurę przy użyciu programu Azure PowerShell.

Wymagania wstępne

Jeśli nie masz subskrypcji platformy Azure, przed rozpoczęciem utwórz bezpłatne konto.

Konfigurowanie sieci

Najpierw utwórz grupę zasobów zawierającą zasoby wymagane do wdrożenia zapory. Następnie utwórz sieć wirtualną, podsieci i serwer testowy.

Tworzenie grupy zasobów

Grupa zasobów zawiera wszystkie zasoby używane w tej procedurze.

  1. Zaloguj się w witrynie Azure Portal.
  2. W menu witryny Azure Portal wybierz pozycję Grupy zasobów lub wyszukaj i wybierz pozycję Grupy zasobów na dowolnej stronie. Następnie wybierz Utwórz.
  3. W obszarze Subskrypcja wybierz swoją subskrypcję.
  4. W polu Nazwa grupy zasobów wpisz Test-FW-RG.
  5. W obszarze Region wybierz region. Wszystkie inne utworzone zasoby muszą znajdować się w tym samym regionie.
  6. Wybierz pozycję Przejrzyj i utwórz.
  7. Wybierz pozycję Utwórz.

Tworzenie sieci wirtualnej

Ta sieć wirtualna ma dwie podsieci.

Uwaga

Rozmiar podsieci AzureFirewallSubnet to /26. Aby uzyskać więcej informacji na temat rozmiaru podsieci, zobacz Często zadawane pytania dotyczące usługi Azure Firewall.

  1. W menu witryny Azure Portal lub na stronie głównej wyszukaj pozycję Sieci wirtualne.
  2. W okienku wyników wybierz pozycję Sieci wirtualne.
  3. Wybierz pozycję Utwórz.
  4. W obszarze Subskrypcja wybierz swoją subskrypcję.
  5. W obszarze Grupa zasobów wybierz pozycję Test-FW-RG.
  6. W polu Nazwa sieci wirtualnej wpisz Test-FW-VN.
  7. W polu Region wybierz ten sam region, który był wcześniej używany.
  8. Wybierz Dalej.
  9. Na karcie Zabezpieczenia wybierz pozycję Włącz usługę Azure Firewall.
  10. W polu Nazwa usługi Azure Firewall wpisz Test-FW01.
  11. W polu Publiczny adres IP usługi Azure Firewall wybierz pozycję Utwórz publiczny adres IP.
  12. W polu Nazwa wpisz fw-pipi wybierz przycisk OK.
  13. Wybierz Dalej.
  14. W polu Przestrzeń adresowa zaakceptuj domyślną wartość 10.0.0.0/16.
  15. W obszarze Podsieć wybierz pozycję domyślną i zmień nazwę na Workload-SN.
  16. W polu Adres początkowy zmień go na 10.0.2.0/24.
  17. Wybierz pozycję Zapisz.
  18. Wybierz pozycję Przejrzyj i utwórz.
  19. Wybierz pozycję Utwórz.

Tworzenie maszyny wirtualnej

Teraz utwórz maszynę wirtualną obciążenia i umieść ją w podsieci Workload-SN .

  1. W menu witryny Azure Portal lub na stronie głównej wybierz pozycję Utwórz zasób.

  2. Wybierz pozycję Windows Server 2019 Datacenter.

  3. Wprowadź poniższe wartości dla maszyny wirtualnej:

    Ustawienie Wartość
    Grupa zasobów Test-FW-RG
    Virtual machine name Srv-Work
    Region (Region) Tak samo jak poprzedni
    Obraz Windows Server 2019 Datacenter
    nazwa użytkownika Administracja istrator Wpisz nazwę użytkownika
    Hasło Wpisz hasło

  4. W obszarze Reguły portów wejściowych publiczne porty wejściowe wybierz pozycję Brak.

  5. Zaakceptuj inne wartości domyślne i wybierz pozycję Dalej: Dyski.

  6. Zaakceptuj wartości domyślne dysku i wybierz pozycję Dalej: Sieć.

  7. Upewnij się, że wybrano opcję Test-FW-VN dla sieci wirtualnej, a podsieć to Workload-SN.

  8. W obszarze Publiczny adres IP wybierz pozycję Brak.

  9. Zaakceptuj inne wartości domyślne i wybierz pozycję Dalej: Zarządzanie.

  10. Zaakceptuj wartości domyślne i wybierz pozycję Dalej: Monitorowanie.

  11. W obszarze Diagnostyka rozruchu wybierz pozycję Wyłącz , aby wyłączyć diagnostykę rozruchu. Zaakceptuj inne wartości domyślne i wybierz pozycję Przejrzyj i utwórz.

  12. Przejrzyj ustawienia na stronie podsumowania, a następnie wybierz pozycję Utwórz.

  13. Po zakończeniu wdrażania wybierz pozycję Przejdź do zasobu i zanotuj prywatny adres IP Srv-Work , który będzie potrzebny później.

Uwaga

Platforma Azure udostępnia domyślny adres IP dostępu wychodzącego dla maszyn wirtualnych, które nie są przypisane do publicznego adresu IP lub znajdują się w puli zaplecza wewnętrznego podstawowego modułu równoważenia obciążenia platformy Azure. Domyślny mechanizm adresów IP dostępu wychodzącego zapewnia wychodzący adres IP, który nie jest konfigurowalny.

Domyślny adres IP dostępu wychodzącego jest wyłączony, gdy wystąpi jedno z następujących zdarzeń:

  • Publiczny adres IP jest przypisywany do maszyny wirtualnej.
  • Maszyna wirtualna jest umieszczana w puli zaplecza standardowego modułu równoważenia obciążenia z regułami ruchu wychodzącego lub bez tych reguł.
  • Zasób usługi Azure NAT Gateway jest przypisywany do podsieci maszyny wirtualnej.

Maszyny wirtualne tworzone przy użyciu zestawów skalowania maszyn wirtualnych w trybie elastycznej aranżacji nie mają domyślnego dostępu wychodzącego.

Aby uzyskać więcej informacji na temat połączeń wychodzących na platformie Azure, zobacz Domyślny dostęp wychodzący na platformie Azure i Używanie źródłowego tłumaczenia adresów sieciowych (SNAT) dla połączeń wychodzących.

Badanie zapory

  1. Przejdź do grupy zasobów i wybierz zaporę.
  2. Zanotuj prywatne i publiczne adresy IP zapory. Te adresy będą używane później.

Tworzenie trasy domyślnej

Podczas tworzenia trasy dla łączności wychodzącej i przychodzącej przez zaporę domyślna trasa do 0.0.0.0.0/0 z prywatnym adresem IP urządzenia wirtualnego jako następny przeskok jest wystarczająca. Powoduje to kierowanie wszelkich połączeń wychodzących i przychodzących przez zaporę. Jeśli na przykład zapora spełnia uzgadnianie protokołu TCP i odpowiada na przychodzące żądanie, odpowiedź jest kierowana do adresu IP, który wysłał ruch. Jest to celowe.

W związku z tym nie ma potrzeby tworzenia innej trasy zdefiniowanej przez użytkownika w celu uwzględnienia zakresu adresów IP azureFirewallSubnet. Może to spowodować porzucone połączenia. Oryginalna trasa domyślna jest wystarczająca.

Na potrzeby podsieci Workload-SN skonfiguruj trasę domyślną ruchu wychodzącego, aby przechodziła przez zaporę.

  1. W witrynie Azure Portal wyszukaj tabele tras.
  2. Wybierz pozycję Tabele tras w okienku wyników.
  3. Wybierz pozycję Utwórz.
  4. W obszarze Subskrypcja wybierz swoją subskrypcję.
  5. W obszarze Grupa zasobów wybierz pozycję Test-FW-RG.
  6. W polu Region wybierz tę samą lokalizację, która była wcześniej używana.
  7. W polu Nazwa wpisz wartość Firewall-route.
  8. Wybierz pozycję Przejrzyj i utwórz.
  9. Wybierz pozycję Utwórz.

Po zakończeniu wdrażania wybierz pozycję Przejdź do zasobu.

  1. Na stronie Zapora-route wybierz pozycję Podsieci, a następnie wybierz pozycję Skojarz.

  2. W obszarze Sieć wirtualna wybierz pozycję Test-FW-VN.

  3. W polu Podsieć wybierz pozycję Workload-SN. Upewnij się, że wybrano tylko podsieć Workload-SN dla tej trasy. W przeciwnym razie zapora nie będzie działać poprawnie.

  4. Wybierz przycisk OK.

  5. Wybierz pozycję Trasy , a następnie wybierz pozycję Dodaj.

  6. W polu Nazwa trasy wpisz fw-dg.

  7. W polu Typ miejsca docelowego wybierz pozycję Adresy IP.

  8. W polu Docelowe adresy IP/zakresy CIDR wpisz 0.0.0.0/0.

  9. W obszarze Typ następnego skoku wybierz pozycję Urządzenie wirtualne.

    Usługa Azure Firewall to w rzeczywistości usługa zarządzana, ale urządzenie wirtualne działa w tej sytuacji.

  10. W polu Adres następnego skoku wpisz wcześniej zanotowany prywatny adres IP zapory.

  11. Wybierz Dodaj.

Konfigurowanie reguły aplikacji

Jest to reguła aplikacji, która zezwala na dostęp wychodzący do usługi www.google.com.

  1. Otwórz zaporę Test-FW-RG i wybierz zaporę Test-FW01 .
  2. Na stronie Test-FW01 w obszarze Ustawienia wybierz pozycję Reguły (wersja klasyczna).
  3. Wybierz kartę Kolekcja reguł aplikacji.
  4. Wybierz pozycję Dodaj kolekcję reguł aplikacji.
  5. W polu Nazwa wpisz wartość App-Coll01.
  6. W polu Priorytet wpisz wartość 200.
  7. W polu Akcja wybierz opcję Zezwalaj.
  8. W obszarze Reguły docelowe nazwy FQDN w polu Nazwa wpisz Allow-Google.
  9. W polu Typ źródła wybierz pozycję Adres IP.
  10. W polu Źródło wpisz wartość 10.0.2.0/24.
  11. W polu Protocol:port wpisz wartość http, https.
  12. W polu Docelowa nazwa FQDNS wpisz www.google.com
  13. Wybierz Dodaj.

Usługa Azure Firewall zawiera wbudowaną kolekcję reguł dla nazw FQDN infrastruktury, które domyślnie są dozwolone. Te nazwy FQDN są specyficzne dla platformy i nie można ich używać do innych celów. Aby uzyskać więcej informacji, zobacz Infrastrukturalne nazwy FQDN.

Konfigurowanie reguły sieci

Jest to reguła sieci, która umożliwia ruchowi wychodzącemu dostęp do dwóch adresów IP na porcie 53 (DNS).

  1. Wybierz kartę Kolekcja reguł sieciowych.

  2. Wybierz pozycję Dodaj kolekcję reguł sieciowych.

  3. W polu Nazwa wpisz wartość Net-Coll01.

  4. W polu Priorytet wpisz wartość 200.

  5. W polu Akcja wybierz opcję Zezwalaj.

  6. W obszarze Reguły adresy IP w polu Nazwa wpisz Allow-DNS.

  7. W polu Protokół wybierz UDP.

  8. W polu Typ źródła wybierz pozycję Adres IP.

  9. W polu Źródło wpisz wartość 10.0.2.0/24.

  10. W polu Typ docelowy wybierz pozycję Adres IP.

  11. W polu Adres docelowy wpisz 209.244.0.3,209.244.0.4

    Są to publiczne serwery DNS obsługiwane przez poziom 3.

  12. W polu Porty docelowe wpisz wartość 53.

  13. Wybierz Dodaj.

Konfigurowanie reguły DNAT

Ta reguła umożliwia połączenie pulpitu zdalnego z maszyną wirtualną Srv-Work za pośrednictwem zapory.

  1. Wybierz kartę Kolekcja reguł translatora adresów sieciowych.
  2. Wybierz pozycję Dodaj kolekcję reguł translatora adresów sieciowych.
  3. W polu Nazwa wpisz rdp.
  4. W polu Priorytet wpisz wartość 200.
  5. W obszarze Reguły w polu Nazwa wpisz rdp-nat.
  6. W polu Protokół wybierz TCP.
  7. W polu Typ źródła wybierz pozycję Adres IP.
  8. W polu Źródło wpisz *.
  9. W polu Adres docelowy wpisz publiczny adres IP zapory.
  10. W polu Porty docelowe wpisz wartość 3389.
  11. W polu Przetłumaczony adres wpisz prywatny adres IP Srv-work.
  12. W polu Przekształcony port wpisz 3389.
  13. Wybierz Dodaj.

Zmienianie podstawowego i pomocniczego adresu DNS dla interfejsu sieciowego Srv-Work

Na potrzeby testowania skonfiguruj podstawowe i pomocnicze adresy DNS serwera. Nie jest to ogólne wymaganie usługi Azure Firewall.

  1. W menu witryny Azure Portal wybierz pozycję Grupy zasobów lub wyszukaj i wybierz pozycję Grupy zasobów na dowolnej stronie. Wybierz grupę zasobów Test-FW-RG .
  2. Wybierz interfejs sieciowy dla maszyny wirtualnej Srv-Work .
  3. W obszarze Ustawienia wybierz pozycję Serwery DNS.
  4. W obszarze Serwery DNS wybierz pozycję Niestandardowe.
  5. Wpisz 209.244.0.3 i naciśnij klawisz Enter w polu tekstowym Dodawanie serwera DNS i 209.244.0.4 w następnym polu tekstowym.
  6. Wybierz pozycję Zapisz.
  7. Uruchom ponownie maszynę wirtualną Srv-Work.

Testowanie zapory

Teraz przetestuj zaporę, aby potwierdzić, że działa zgodnie z oczekiwaniami.

  1. Połączenie pulpitu zdalnego do publicznego adresu IP zapory i zaloguj się do maszyny wirtualnej Srv-Work.

  2. Otwórz program Internet Explorer i przejdź do https://www.google.com.

  3. Wybierz przycisk OK>Zamknij w alertach zabezpieczeń programu Internet Explorer.

    Powinna zostać wyświetlona strona główna Google.

  4. Przejdź do https://www.microsoft.com.

    Zapora powinna cię zablokować.

Teraz sprawdzono, że reguły zapory działają:

  • Połączenie z maszyną wirtualną można nawiązać przy użyciu protokołu RDP.
  • Możesz przejść do jednej z dozwolonych nazw FQDN, ale nie do innych.
  • Możesz rozpoznać nazwy DNS przy użyciu skonfigurowanego zewnętrznego serwera DNS.

Czyszczenie zasobów

Możesz zachować zasoby zapory, aby kontynuować testowanie lub jeśli nie są już potrzebne, usuń grupę zasobów Test-FW-RG , aby usunąć wszystkie zasoby związane z zaporą.

Następne kroki