Compartilhar via

Tutorial: Filtrar o tráfego da Internet de entrada com o DNAT da política de Firewall do Azure usando o portal do Azure

Você pode configurar a DNAT (Conversão de Endereços de Rede de Destino) da política de Firewall do Azure para traduzir e filtrar o tráfego de entrada da Internet para suas sub-redes. Quando você configura o DNAT, a ação da coleção de regras é definida como DNAT. Cada regra na coleção de regras NAT pode então ser usada para traduzir o endereço IP público do firewall e a porta para um endereço IP privado e uma porta. As regras DNAT adicionam implicitamente uma regra de rede correspondente para permitir o tráfego convertido. Por motivos de segurança, a abordagem recomendada é adicionar uma fonte específica para permitir o acesso da DNAT à rede e evitar o uso de curingas. Para saber mais sobre a lógica de processamento de regra do Firewall do Azure, confira Lógica de processamento de regra do Firewall no Azure.

Este tutorial demonstra a publicação de um servidor Web usando DNAT.

Neste tutorial, você aprenderá como:

  • Configurar um ambiente de rede de teste
  • Implantar um firewall e uma política
  • Criar uma rota padrão
  • Implantar e configurar um servidor Web
  • Configurar uma regra DNAT para publicar o servidor Web
  • Testar o firewall

Pré-requisitos

Se você não tiver uma assinatura do Azure, crie uma conta gratuita antes de começar.

Criar um grupo de recursos

  1. Entre no portal do Azure.
  2. Na Página Inicial do portal do Azure, selecione Grupos de recursos e, em seguida, Adicionar.
  3. Em Assinatura, selecione sua assinatura.
  4. Em Nome do grupo de recursos, digite RG-DNAT-Test.
  5. Em Região, selecione uma região. Todos os demais recursos criados devem estar na mesma região.
  6. Selecione Examinar + criar.
  7. Selecione Criar.

Configurar o ambiente de rede

Neste tutorial, você criará duas redes virtuais emparelhadas:

  • VN-Hub - o firewall está nessa rede virtual.
  • VN-Spoke - o servidor de carga de trabalho está nessa rede virtual.

Primeiro, crie as redes virtuais e, em seguida, emparelhe-as.

Criar a rede virtual do hub

  1. Na página inicial do portal do Azure, selecione Todos os serviços.

  2. Em Rede, selecione Redes virtuais.

  3. Selecione Adicionar.

  4. Em Grupo de recursos, selecione RG-DNAT-Test.

  5. Em Nome, digite VN-Hub.

  6. Em Região, selecione a mesma região usada antes.

  7. Selecione Avançar: Endereços IP.

  8. Em Espaço de endereço IPv4, aceite o padrão 10.0.0.0/16.

  9. Em Nome da sub-rede, selecione padrão.

  10. Edite o nome da sub-rede e digite AzureFirewallSubnet.

    O firewall estará nessa sub-rede e o nome da sub-rede precisa ser AzureFirewallSubnet.

    Observação

    O tamanho da sub-rede AzureFirewallSubnet é /26. Para obter mais informações sobre o tamanho da sub-rede, confira Perguntas frequentes sobre o Firewall do Azure.

  11. Em Intervalo de endereços da sub-rede, digite 10.0.1.0/26.

  12. Clique em Salvar.

  13. Selecione Examinar + criar.

  14. Selecione Criar.

Criar uma rede virtual do spoke

  1. Na página inicial do portal do Azure, selecione Todos os serviços.
  2. Em Rede, selecione Redes virtuais.
  3. Selecione Adicionar.
  4. Em Grupo de recursos, selecione RG-DNAT-Test.
  5. Em Nome, digite VN-Spoke.
  6. Em Região, selecione a mesma região usada antes.
  7. Selecione Avançar: Endereços IP.
  8. Em Espaço de endereço IPv4, edite o padrão e digite 192.168.0.0/16.
  9. Selecione Adicionar sub-rede.
  10. Em Nome da sub-rede, digite SN-Workload.
  11. Em Intervalo de endereços da sub-rede, digite 192.168.1.0/24.
  12. Selecione Adicionar.
  13. Selecione Examinar + criar.
  14. Selecione Criar.

Emparelhar as redes virtuais

Agora, emparelhe as duas redes virtuais.

  1. Selecione a rede virtual VN-Hub.
  2. Em Configurações, selecione Emparelhamentos.
  3. Selecione Adicionar.
  4. Em Esta rede virtual, em Nome do link de emparelhamento, digite Peer-HubSpoke.
  5. Em Rede virtual remota, em Nome do link de emparelhamento, digite Peer-SpokeHub.
  6. Escolha VN-Spoke para a rede virtual.
  7. Aceite todos os outros padrões e, em seguida, selecione Adicionar.

Criar uma máquina virtual

Crie uma máquina virtual de carga de trabalho e coloque-a na sub-rede SN-Workload.

  1. No menu do portal do Azure, selecione Criar um recurso.
  2. Em Popular, selecione Ubuntu Server 22.04 LTS.

Noções básicas

  1. Em Assinatura, selecione sua assinatura.
  2. Em Grupo de recursos, selecione RG-DNAT-Test.
  3. Em Nome da máquina virtual, digite Srv-Workload.
  4. Em Região, selecione a mesma localização usada anteriormente.
  5. Para Imagem, selecione Ubuntu Server 22.04 LTS – x64 Gen2.
  6. Para Tamanho, selecione Standard_B2s.
  7. Para o tipo de autenticação, selecione chave pública SSH.
  8. Para Nome de usuário, digite azureuser.
  9. Para a origem da chave pública SSH, selecione Gerar novo par de chaves.
  10. Para o nome do par de chaves, digite Srv-Workload_key.
  11. Selecione Nenhum em portas de entrada públicas.
  12. Selecione Avançar: Discos.

Discos

  • Selecione Avançar: Rede.

Rede

  1. Em Rede virtual, selecione VN-Spoke.
  2. Em Sub-rede, escolha SN-Workload.
  3. Em IP Público, selecione Nenhum.
  4. Em Portas de entrada públicas, selecione Nenhuma.
  5. Mantenha as outras configurações padrão e selecione Avançar: Gerenciamento.

Gerenciamento

  • Selecione Próximo: Monitoramento.

Monitorização

  1. Em Diagnóstico de inicialização, selecione Desabilitar.
  2. Selecione Examinar + criar.

Examinar + Criar

Examine o resumo e, em seguida, selecione Criar.

  • Na caixa de diálogo Gerar novo par de chaves , selecione Baixar chave privada e criar recurso. Salve o arquivo de chave como Srv-Workload_key.pem.

Após a conclusão da implantação, observe o endereço IP privado da máquina virtual. Ele será usado mais tarde ao configurar o firewall. Selecione o nome da máquina virtual e, em Configurações, selecione Rede para encontrar o endereço IP privado.

Instalar servidor Web

Use o recurso Executar Comando do portal do Azure para instalar um servidor Web na máquina virtual.

  1. Navegue até a máquina virtual Srv-Workload no portal do Azure.

  2. Em Operações, selecione Executar comando.

  3. Selecione RunShellScript.

  4. Na janela Executar Script de Comando , cole o seguinte script:

    sudo apt-get update
sudo apt-get install -y nginx
echo "<h1>Azure Firewall DNAT Demo - $(hostname)</h1>" | sudo tee /var/www/html/index.html

  5. Selecione Executar.

  6. Aguarde a conclusão do script. A saída deve mostrar a instalação bem-sucedida do Nginx.

Implantar o firewall e a política

  1. Na página inicial do portal, selecione Criar um recurso.

  2. Pesquise Firewall e, em seguida, selecione Firewall.

  3. Selecione Criar.

  4. Na página Criar um Firewall, use a tabela abaixo para configurar o firewall:

    Configuração Valor
    Subscrição <sua assinatura>
    Grupo de recursos Selecione RG-DNAT-Test
    Nome FW-DNAT-test
    Região Selecionar o mesmo local usado anteriormente
    Gerenciamento do firewall Usar uma política de firewall para gerenciar este firewall
    Política de firewall Adicionar nova:
    fw-dnat-pol
    a região selecionada
    Escolher uma rede virtual Usar existente: VN-Hub
    Endereço IP público Adicionar novo, Nome: fw-pip.

  5. Desmarque a caixa ao lado de Habilitar NIC de Gerenciamento de Firewall.

  6. Aceite os outros padrões e selecione Revisar + criar.

  7. Examine o resumo e selecione Criar para criar o firewall.

    Isso leva alguns minutos para ser implantado.

  8. Depois que a implantação for concluída, acesse o grupo de recursos RG-DNAT-Test e selecione o firewall FW-DNAT-test.

  9. Anote os endereços IP públicos e privados do firewall. Você os usará posteriormente quando criar a regra padrão de rota e NAT.

Criar uma rota padrão

Para a sub-rede SN-Workload, configure a rota de saída padrão para atravessar o firewall.

Importante

Você não precisa configurar uma rota explícita de volta para o firewall na sub-rede de destino. O Firewall do Azure é um serviço com estado e lida com os pacotes e sessões automaticamente. Se você criar essa rota, criará um ambiente de roteamento assimétrico que interrompe a lógica de sessão com estado e resulta em conexões e pacotes removidos.

  1. Na página inicial do portal do Azure, selecione Todos os serviços.

  2. Em Rede, selecione Tabelas de rotas.

  3. Selecione Adicionar.

  4. Em Assinatura, selecione sua assinatura.

  5. Em Grupo de recursos, selecione RG-DNAT-Test.

  6. Em Região, selecione a mesma região usada anteriormente.

  7. Em Nome, digite RT-FW-route.

  8. Selecione Examinar + criar.

  9. Selecione Criar.

  10. Selecione Ir para o recurso.

  11. Selecione Sub-redes e, em seguida, Associar.

  12. Em Rede virtual, selecione VN-Spoke.

  13. Em Sub-rede, escolha SN-Workload.

  14. Selecione OK.

  15. Selecione Rotas e, em seguida, Adicionar.

  16. Para Nome da rota, digite fw-dg.

  17. Em Prefixo de endereço, digite 0.0.0.0/0.

  18. Em Tipo do próximo salto, selecione Solução de virtualização .

    O Firewall do Azure é, na verdade, um serviço gerenciado, mas a solução de virtualização funciona nessa situação.

  19. Em endereço do próximo salto, digite o endereço IP privado do firewall anotado anteriormente.

  20. Selecione OK.

Configurar uma regra de DNAT

Essa regra permite que o tráfego HTTP de entrada da Internet acesse o servidor Web por meio do firewall.

  1. Abra o grupo de recursos RG-DNAT-Test e selecione o a política de firewall fw-dnat-pol.
  2. Em Configurações, selecione Regras DNAT.
  3. Selecione Adicionar uma coleção de regras.
  4. Para Nome, digite web-access.
  5. Digite 200 em Prioridade.
  6. Em Grupo de coleta de regra, selecione DefaultDnatRuleCollectionGroup.
  7. Em Regras, para Nome, digite http-dnat.
  8. Em Tipo de origem, selecione Endereço IP.
  9. Para a origem, digite * para permitir o tráfego de qualquer origem.
  10. Em Protocolo, selecione TCP.
  11. Em Portas de Destino, digite 80.
  12. Para Tipo de Destino, selecione Endereço IP.
  13. Para Destino, digite o endereço IP público do firewall.
  14. Em Endereço convertido, digite o endereço IP privado do Srv-Workload.
  15. Para porta traduzida, digite80.
  16. Selecione Adicionar.

Testar o firewall

Agora, teste a regra DNAT para verificar se o servidor Web está acessível por meio do firewall.

  1. Abra um navegador da Web.
  2. Navegue até http://<firewall-public-ip> (use o endereço IP público do firewall que você anotou anteriormente).
  3. Você deverá ver a página da Web exibindo: Demonstração de DNAT do Firewall do Azure – Srv-Workload

A regra DNAT converte com êxito a solicitação HTTP de entrada no endereço IP público do firewall para o endereço IP privado do servidor Web. Isso demonstra como o DNAT do Firewall do Azure pode ser usado para publicar aplicativos Web, mantendo os servidores de back-end em uma sub-rede privada.

Limpar recursos

Você pode manter seus recursos de firewall para o próximo tutorial ou, se não forem mais necessários, exclua o grupo de recursos RG-DNAT-Test para excluir todos os recursos relacionados ao firewall.

Próximas etapas

Para cenários de DNAT avançados que envolvem redes sobrepostas ou acesso à rede não roteável, consulte:

Implantar o DNAT de IP privado do Firewall do Azure para redes sobrepostas e não roteáveis

  • Last updated on