Filtrowanie przychodzącego ruchu internetowego za pomocą protokołu DNAT usługi Azure Firewall przy użyciu witryny Azure Portal

Artykuł
10/18/2023

Możesz skonfigurować funkcję translacji docelowych adresów sieciowych (DNAT) usługi Azure Firewall do wykonywania translacji i filtrowania ruchu internetowego przychodzącego do podsieci. Podczas konfigurowania funkcji DNAT akcja kolekcji reguł NAT jest ustawiana na wartość Dnat. Każda reguła w kolekcji reguł NAT może następnie służyć do tłumaczenia publicznego adresu IP i portu zapory na prywatny adres IP i port. Reguły DNAT niejawnie dodają odpowiednią regułę sieci zezwalającą na przekształcony ruch. Ze względów bezpieczeństwa zalecane jest dodanie określonego źródła internetowego w celu umożliwienia dostępu DNAT do sieci i uniknięcia korzystania z symboli wieloznacznych. Aby dowiedzieć się więcej na temat logiki przetwarzania reguł usługi Azure Firewall, zobacz Azure Firewall rule processing logic (Logika przetwarzania reguł usługi Azure Firewall).

Uwaga

W tym artykule użyto klasycznych reguł zapory do zarządzania zaporą. Preferowaną metodą jest użycie zasad zapory. Aby wykonać tę procedurę przy użyciu zasad zapory, zobacz Samouczek: filtrowanie przychodzącego ruchu internetowego przy użyciu zasad usługi Azure Firewall DNAT przy użyciu witryny Azure Portal

Wymagania wstępne

Jeśli nie masz subskrypcji platformy Azure, przed rozpoczęciem utwórz bezpłatne konto.

Tworzenie grupy zasobów

Zaloguj się w witrynie Azure Portal.
Na stronie głównej witryny Azure Portal wybierz pozycję Grupy zasobów, a następnie wybierz pozycję Utwórz.
W obszarze Subskrypcja wybierz swoją subskrypcję.
W polu Grupa zasobów wpisz RG-DNAT-Test.
W obszarze Region wybierz region. Wszystkie inne utworzone zasoby muszą znajdować się w tym samym regionie.
Wybierz pozycję Przejrzyj i utwórz.
Wybierz pozycję Utwórz.

Konfigurowanie środowiska sieciowego

W tym artykule utworzysz dwie równorzędne sieci wirtualne:

VN-Hub — w tej sieci wirtualnej znajduje się zapora.
VN-Spoke — w tej sieci wirtualnej znajduje się serwer obciążeń.

Najpierw utwórz sieci wirtualne, a następnie połącz je przy użyciu komunikacji równorzędnej.

Tworzenie koncentratora sieci wirtualnej

Na stronie głównej witryny Azure Portal wybierz pozycję Wszystkie usługi.
W obszarze Sieć wybierz pozycję Sieci wirtualne.
Wybierz pozycję Utwórz.
W obszarze Grupa zasobów wybierz pozycję RG-DNAT-Test.
W polu Nazwa wpisz wartość VN-Hub.
W polu Region wybierz ten sam region, który był wcześniej używany.
Wybierz Dalej.
Na karcie Zabezpieczenia wybierz pozycję Dalej.
W przypadku przestrzeni adresowej IPv4 zaakceptuj domyślną wartość 10.0.0.0/16.
W obszarze Podsieci wybierz pozycję domyślne.
W polu Szablon podsieci wybierz pozycję Azure Firewall.

Zapora będzie znajdować się w tej podsieci, a nazwą podsieci musi być AzureFirewallSubnet.

Uwaga

Rozmiar podsieci AzureFirewallSubnet to /26. Aby uzyskać więcej informacji na temat rozmiaru podsieci, zobacz Często zadawane pytania dotyczące usługi Azure Firewall.
Wybierz pozycję Zapisz.
Wybierz pozycję Przejrzyj i utwórz.
Wybierz pozycję Utwórz.

Tworzenie sieci wirtualnej będącej szprychą

Na stronie głównej witryny Azure Portal wybierz pozycję Wszystkie usługi.
W obszarze Sieć wybierz pozycję Sieci wirtualne.
Wybierz pozycję Utwórz.
W obszarze Grupa zasobów wybierz pozycję RG-DNAT-Test.
W polu Nazwa wpisz wartość VN-Spoke.
W polu Region wybierz ten sam region, który był wcześniej używany.
Wybierz Dalej.
Na karcie Zabezpieczenia wybierz pozycję Dalej.
W polu Przestrzeń adresowa IPv4 zmodyfikuj wartość domyślną i wpisz 192.168.0.0/16.
W obszarze Podsieci wybierz pozycję domyślne.
W polu Nazwa podsieci wpisz SN-Workload.
W polu Adres początkowy wpisz 192.168.1.0.
W polu Rozmiar podsieci wybierz pozycję /24.
Wybierz pozycję Zapisz.
Wybierz pozycję Przejrzyj i utwórz.
Wybierz pozycję Utwórz.

Łączenie sieci wirtualnych przy użyciu komunikacji równorzędnej

Teraz połącz sieci wirtualne przy użyciu komunikacji równorzędnej.

Wybierz sieć wirtualną VN-Hub .
W obszarze Ustawienia wybierz pozycję Komunikacje równorzędne.
Wybierz Dodaj.
W obszarze Ta sieć wirtualna w polu Nazwa łącza komunikacji równorzędnej wpisz Peer-HubSpoke.
W obszarze Zdalna sieć wirtualna w polu Nazwa łącza komunikacji równorzędnej wpisz Peer-SpokeHub.
Jako sieć wirtualną wybierz VN-Spoke.
Zaakceptuj wszystkie pozostałe wartości domyślne, a następnie wybierz pozycję Dodaj.

Tworzenie maszyny wirtualnej

Utwórz maszynę wirtualną obciążenia i umieść ją w podsieci SN-Workload.

W menu portalu Azure wybierz polecenie Utwórz zasób.
W obszarze Popularne produkty z witryny Marketplace wybierz pozycję Windows Server 2019 Datacenter.

Podstawy

W obszarze Subskrypcja wybierz swoją subskrypcję.
W obszarze Grupa zasobów wybierz pozycję RG-DNAT-Test.
W polu Nazwa maszyny wirtualnej wpisz Srv-Workload.
W polu Region wybierz tę samą lokalizację, która była wcześniej używana.
Wpisz nazwę użytkownika i hasło.
Wybierz pozycję Dalej: dyski.

Disks (grupa dysków)

Wybierz pozycję Dalej: Sieć.

Sieć

W obszarze Sieć wirtualna wybierz pozycję VN-Spoke.
W polu Podsieć wybierz pozycję SN-Workload.
W obszarze Publiczny adres IP wybierz pozycję Brak.
W obszarze Publiczne porty wejściowe wybierz pozycję Brak.
Pozostaw inne ustawienia domyślne i wybierz pozycję Dalej: Zarządzanie.

Zarządzanie

Wybierz pozycję Dalej: Monitorowanie.

Monitorowanie

W obszarze Diagnostyka rozruchu wybierz pozycję Wyłącz.
Wybierz pozycję Przejrzyj i utwórz.

Przeglądanie i tworzenie

Przejrzyj podsumowanie, a następnie wybierz pozycję Utwórz. Wykonanie tej operacji może zająć kilka minut.

Po zakończeniu wdrożenia zanotuj prywatny adres IP maszyny wirtualnej. Jest on używany później podczas konfigurowania zapory. Wybierz nazwę maszyny wirtualnej. Wybierz pozycję Przegląd i w obszarze Sieć zanotuj prywatny adres IP.

Uwaga

Platforma Azure udostępnia domyślny adres IP dostępu wychodzącego dla maszyn wirtualnych, które nie są przypisane do publicznego adresu IP lub znajdują się w puli zaplecza wewnętrznego podstawowego modułu równoważenia obciążenia platformy Azure. Domyślny mechanizm adresów IP dostępu wychodzącego zapewnia wychodzący adres IP, który nie jest konfigurowalny.

Domyślny adres IP dostępu wychodzącego jest wyłączony, gdy wystąpi jedno z następujących zdarzeń:

Publiczny adres IP jest przypisywany do maszyny wirtualnej.
Maszyna wirtualna jest umieszczana w puli zaplecza standardowego modułu równoważenia obciążenia z regułami ruchu wychodzącego lub bez tych reguł.
Zasób usługi Azure NAT Gateway jest przypisywany do podsieci maszyny wirtualnej.

Maszyny wirtualne tworzone przy użyciu zestawów skalowania maszyn wirtualnych w trybie elastycznej aranżacji nie mają domyślnego dostępu wychodzącego.

Aby uzyskać więcej informacji na temat połączeń wychodzących na platformie Azure, zobacz Domyślny dostęp wychodzący na platformie Azure i Używanie źródłowego tłumaczenia adresów sieciowych (SNAT) dla połączeń wychodzących.

Wdrażanie zapory

Na stronie głównej portalu wybierz pozycję Utwórz zasób.
Wyszukaj pozycję Zapora, a następnie wybierz pozycję Zapora.
Wybierz pozycję Utwórz.

Na stronie Tworzenie zapory strony skorzystaj z poniższej tabeli, aby skonfigurować zaporę:

Ustawienie	Wartość
Subskrypcja	<Twoja subskrypcja>
Grupa zasobów	Wybierz pozycję RG-DNAT-Test
Nazwisko	Test FW-DNAT
Region (Region)	Wybierz tę samą lokalizację, której użyto poprzednio
Jednostka SKU zapory	Standardowa
Zarządzanie zaporą	Zarządzanie tą zaporą za pomocą reguł zapory (klasycznej)
Wybieranie sieci wirtualnej	Użyj istniejącej: VN-Hub
Publiczny adres IP	Dodaj nowy, Nazwa: fw-.

Zaakceptuj inne wartości domyślne, a następnie wybierz pozycję Przejrzyj i utwórz.
Przejrzyj podsumowanie, a następnie wybierz pozycję Utwórz , aby utworzyć zaporę.

Wdrożenie może potrwać kilka minut.
Po zakończeniu wdrażania przejdź do grupy zasobów RG-DNAT-Test i wybierz zaporę FW-DNAT-test .
Zanotuj prywatne i publiczne adresy IP zapory. Będą one używane później podczas tworzenia trasy domyślnej i reguły TRANSLATORa adresów sieciowych.

Tworzenie trasy domyślnej

Na potrzeby podsieci SN-Workload skonfiguruj trasę domyślną ruchu wychodzącego, aby przechodziła przez zaporę.

Ważne

Nie trzeba konfigurować jawnej trasy z powrotem do zapory w podsieci docelowej. Usługa Azure Firewall to usługa stanowa i automatycznie obsługuje pakiety i sesje. Jeśli utworzysz tę trasę, utworzysz asymetryczne środowisko routingu, które przerywa logikę sesji stanowej i powoduje usunięcie pakietów i połączeń.

Na stronie głównej witryny Azure Portal wybierz pozycję Utwórz zasób.
Wyszukaj tabelę Route i wybierz ją.
Wybierz pozycję Utwórz.
W obszarze Subskrypcja wybierz swoją subskrypcję.
W obszarze Grupa zasobów wybierz pozycję RG-DNAT-Test.
W polu Region wybierz ten sam region, który był wcześniej używany.
W polu Nazwa wpisz RT-FWroute.
Wybierz pozycję Przejrzyj i utwórz.
Wybierz pozycję Utwórz.
Wybierz pozycję Przejdź do zasobu.
Wybierz pozycję Podsieci, a następnie wybierz pozycję Skojarz.
W obszarze Sieć wirtualna wybierz pozycję VN-Spoke.
W polu Podsieć wybierz pozycję SN-Workload.
Wybierz przycisk OK.
Wybierz pozycję Trasy, a następnie wybierz pozycję Dodaj.
W polu Nazwa trasy wpisz wartość FW-DG.
W polu Typ miejsca docelowego wybierz pozycję Adresy IP.
W polu Docelowe adresy IP/zakresy CIDR wpisz 0.0.0.0/0.
W obszarze Typ następnego skoku wybierz pozycję Urządzenie wirtualne.

Usługa Azure Firewall to w rzeczywistości usługa zarządzana, ale urządzenie wirtualne działa w tej sytuacji.
W polu Adres następnego skoku wpisz wcześniej zanotowany prywatny adres IP zapory.
Wybierz Dodaj.

Konfigurowanie reguł translatora adresów sieciowych

Otwórz grupę zasobów RG-DNAT-Test i wybierz zaporę FW-DNAT-test .
Na stronie FW-DNAT-test w obszarze Ustawienia wybierz pozycję Reguły (wersja klasyczna).
Wybierz pozycję Dodaj kolekcję reguł translatora adresów sieciowych.
W polu Nazwa wpisz RC-DNAT-01.
W polu Priorytet wpisz wartość 200.
W obszarze Reguły w polu Nazwa wpisz RL-01.
W polu Protokół wybierz TCP.
W polu Typ źródła wybierz pozycję Adres IP.
W polu Źródło wpisz *.
W polu Adresy docelowe wpisz publiczny adres IP zapory.
W polu Porty docelowe wpisz 3389.
W polu Przekształcony adres wpisz prywatny adres IP maszyny wirtualnej Srv-Workload.
W polu Przekształcony port wpisz 3389.
Wybierz Dodaj.

Wykonanie tej operacji może zająć kilka minut.

Testowanie zapory

Połącz pulpit zdalny z publicznym adresem IP zapory. Powinno zostać nawiązane połączenie z maszyną wirtualną Srv-Workload.
Zamknij pulpit zdalny.

Czyszczenie zasobów

Możesz zachować zasoby zapory na potrzeby dalszego testowania lub, jeśli nie są już potrzebne, usuń grupę zasobów RG-DNAT-Test , aby usunąć wszystkie zasoby związane z zaporą.

Następne kroki

Następnie możesz monitorować dzienniki usługi Azure Firewall.

Samouczek: monitorowanie dzienników usługi Azure Firewall

Udostępnij za pośrednictwem