Implante o Firewall do Azure no modo dual stack (prévia)

O Firewall do Azure e a política do Firewall do Azure dão suporte ao IPv6. Você pode configurar sub-redes IPv6, espaços de endereçamento, endereços IPv6 públicos, rotas definidas pelo usuário (UDRs) e regras de rede para gerenciar o tráfego IPv6. Você pode implantar um firewall no modo apenas IPv4 ou no modo dual stack (IPv4 e IPv6). Firewalls exclusivos para IPv6 não são suportados.

Este artigo mostra como atualizar um firewall existente para o modo dual stack e implantar um novo firewall dual.

Importante

O suporte a IPv6 no Firewall do Azure está atualmente em PREVIEW. Veja os Termos de Uso Complementares para Versões Prévias do Microsoft Azure para obter termos legais que se aplicam aos recursos do Azure que estão em versão beta, versão prévia ou que, de outra forma, ainda não foram lançados em disponibilidade geral.

Cenários e limitações com suporte

O suporte ao IPv6 do Firewall do Azure é projetado para casos de uso específicos e possui certas restrições. Revise os seguintes cenários suportados e limitações antes de implantar.

Cenários com suporte

Regras de rede: Firewall do Azure suporta totalmente o tráfego IPv6 nas regras de rede. Você pode criar regras para permitir ou negar tráfego IPv6.
Proxy DNS: Firewall do Azure pode ser configurado como um proxy DNS em redes IPv6.

Note

Para todas as conexões de saída da rede virtual, o Firewall do Azure aplica a tradução de endereços de rede de origem (SNAT) usando o endereço IP da instância do firewall. Se o endereço de destino estiver dentro do intervalo de endereço local único (ULA) definido pela IANA (fc00::/7), o SNAT não é aplicado. Esse comportamento é intencional e não pode ser mudado.

Limitações

O Classic Firewall do Azure não é suportado.
O Firewall do hub virtual (vHub) não é suportado.
Regras de aplicação e de DNAT ainda não são suportadas.
Não há suporte para inteligência de ameaças, IDPS, Proxy Explícito e cenários baseados em Grupos de IP.
Não há suporte para reverter um firewall dual stack para o modo somente IPv4. Essa limitação temporária será removida quando o suporte a dual stack estiver disponível ao público em geral.

Note

Recursos existentes compatíveis com firewall apenas IPv4 também continuam oferecendo suporte a IPv4 em firewalls de pilha dupla. As limitações anteriores se aplicam apenas ao IPv6.

Pré-requisitos

Se você não tiver uma assinatura do Azure, crie uma conta gratuita para começar.

Configure dual stack em um Firewall do Azure existente

Para atualizar um Firewall do Azure existente de apenas IPv4 para modo dual stack (IPv4 e IPv6):

Adicione um espaço de endereçamento IPv6 à rede virtual.
Adicionar um prefixo de sub-rede IPv6 ao AzureFirewallSubnet.
Crie um endereço IPv6 público.
Adicione o endereço público IPv6 à sua configuração de firewall.
Adicione regras de rede para tráfego IPv6 conforme necessário.

Importante

Depois de atualizar um firewall para o modo dual stack, não dá para reverter para o modo apenas IPv4. Essa limitação temporária será removida quando o suporte a dual stack estiver disponível ao público em geral.

Use as abas a seguir para adicionar suporte a IPv6 a um firewall que já esteja implantado.

Abra sua rede virtual no portal Azure, selecione Espaço de endereçamento e adicione o prefixo IPv6 (por exemplo, 79f7:d56c:e9bc:8000::/49). Salve suas alterações.
Abra sua rede virtual, selecione Sub-redes, escolha AzureFirewallSubnet e adicione o prefixo de endereço IPv6 (por exemplo, fd00:c1d0:3f1f:1::/64) junto com o prefixo IPv4 existente. Salve suas alterações.
Crie o recurso de endereço IPv6 público e depois anexe-o à configuração do firewall.

Atualize a rede virtual (VNET) para adicionar um espaço de endereçamento IPv6 usando Get-AzVirtualNetwork e Set-AzVirtualNetwork.

Recupere a VNET existente:
```
$vnet = Get-AzVirtualNetwork -Name "test-vnet" -ResourceGroupName "test-rg"
```
Adicione o espaço de endereçamento IPv6:
```
$vnet.AddressSpace.AddressPrefixes.Add("fd00:c1d0:3f1f::/48")
$vnet | Set-AzVirtualNetwork
```

Atualize o AzureFirewallSubnet para adicionar um prefixo de subrede IPv6 usando Set-AzVirtualNetworkSubnetConfig.

Set-AzVirtualNetworkSubnetConfig -Name "AzureFirewallSubnet" `
    -VirtualNetwork $vnet `
    -AddressPrefix @("10.0.0.0/24", "fd00:c1d0:3f1f:1::/64")
$vnet | Set-AzVirtualNetwork

Crie e anexe um IP público IPv6 usando New-AzPublicIpAddress e Set-AzFirewall.

$publicIpV6 = New-AzPublicIpAddress `
    -ResourceGroupName "test-rg" `
    -Location "southcentralus" `
    -Name "test-v6pip" `
    -AllocationMethod Static `
    -Sku Standard `
    -IpAddressVersion IPv6
$azFw = Get-AzFirewall -Name "test-fw" -ResourceGroupName "test-rg"
$azFw.AddPublicIpAddress($publicIpV6)
$azFw | Set-AzFirewall

Adicione um espaço de endereçamento IPv6 à sua VNET existente usando az network vnet update:
```
az network vnet update --resource-group test-rg --name test-vnet \
     --address-prefixes 10.0.0.0/16 fd00:c1d0:3f1f::/48
```
Esse comando atualiza a rede virtual para incluir tanto o espaço de endereçamento IPv4 original quanto o novo espaço de endereçamento IPv6.
Atualize a AzureFirewallSubnet para incluir uma sub-rede IPv6 usando az network vnet subnet update:
```
az network vnet subnet update \
    --resource-group test-rg \
    --vnet-name test-vnet \
    --name AzureFirewallSubnet \
    --address-prefixes 10.0.0.0/24 fd00:c1d0:3f1f:1::/64
```
Esse comando adiciona o prefixo da sub-rede IPv6 (fd00:c1d0:3f1f:1::/64) junto com o prefixo IPv4 existente (10.0.0.0/24) para a sub-rede Firewall do Azure.

Crie um endereço IPv6 público usando o az-network public-ip create e anexe-o ao firewall usando o az-network firewall ip-config create:

az network public-ip create \
    --resource-group test-rg \
    --name test-v6pip \
    --location southcentralus \
    --sku Standard \
    --version IPv6 \
    --allocation-method Static \
    --zone 1 2 3

az network firewall ip-config create \
    --firewall-name test-fw \
    --name fw-ip6-config \
    --resource-group test-rg \
    --public-ip-address test-v6pip

Crie um Firewall do Azure de pilha dupla

Para novas implantações, não especifique zonas de firewall em comandos do PowerShell ou CLI do Azure. O Azure gerencia a alocação de zonas backend em regiões compatíveis com ZR.

No fluxo de implantação do Firewall do Azure, insira o espaço de endereçamento IPv6, insira o prefixo da sub-rede IPv6 e adicione um endereço IP público IPv6 novo ou existente ao novo Firewall do Azure.

Para configurar um firewall de pilha dupla usando PowerShell:

Crie um grupo de recursos usando o cmdlet New-AzResourceGroup .

New-AzResourceGroup -Name "test-rg" -Location "southcentralus"

Crie a sub-rede do firewall e a rede virtual usando os cmdlets New-AzVirtualNetworkSubnetConfig e New-AzVirtualNetwork .

$FWsub = New-AzVirtualNetworkSubnetConfig `
    -Name "AzureFirewallSubnet" `
    -AddressPrefix @("10.0.1.0/26", "fd00:c1d0:3f1f:1::/64")

$vnet = New-AzVirtualNetwork `
    -Name "test-vnet" `
    -ResourceGroupName "test-rg" `
    -Location "southcentralus" `
    -AddressPrefix @("10.0.0.0/16", "fd00:c1d0:3f1f::/48") `
    -Subnet $FWsub

Crie endereços públicos IPv4 e IPv6 usando o cmdlet New-AzPublicIpAddress .

$publicIpV4 = New-AzPublicIpAddress `
    -ResourceGroupName "test-rg" `
    -Location "southcentralus" `
    -Name "v4pip" `
    -AllocationMethod Static `
    -Sku Standard

$publicIpV6 = New-AzPublicIpAddress `
    -ResourceGroupName "test-rg" `
    -Location "southcentralus" `
    -Name "v6pip" `
    -AllocationMethod Static `
    -Sku Standard `
    -IpAddressVersion IPv6

Crie uma política de firewall usando o cmdlet New-AzFirewallPolicy .

$fwPolicy = New-AzFirewallPolicy -Name "fw-policy" -ResourceGroupName "test-rg" -Location "southcentralus" -SkuTier "Premium"

Crie o firewall de pilha dupla usando o cmdlet New-AzFirewall.

$Azfw = New-AzFirewall -Name "firewall-test" `
    -ResourceGroupName "test-rg" `
    -Location "southcentralus" `
    -VirtualNetwork $vnet `
    -PublicIpAddress @($publicIpV4, $publicIpV6) `
    -Sku AZFW_VNet `
    -SkuTier Premium `
    -FirewallPolicyId $fwPolicy.Id

Para configurar um firewall de pilha dupla usando a CLI do Azure:

Crie um grupo de recursos usando az group create.

az group create --name test-rg --location southcentralus

Crie a rede virtual e a sub-rede do firewall usando az network vnet create e az network vnet subnet create.

az network vnet create --resource-group test-rg --name test-vnet --location southcentralus --address-prefixes 10.0.0.0/16 fd00:c1d0:3f1f::/48

az network vnet subnet create --resource-group test-rg --vnet-name test-vnet --name AzureFirewallSubnet --address-prefixes 10.0.0.0/24 fd00:c1d0:3f1f:1::/64

Crie os endereços IP públicos IPv4 e IPv6 usando az network public-ip create.

az network public-ip create --resource-group test-rg --name test-v4pip --location southcentralus --sku Standard --version IPv4 --allocation-method Static --zone 1 2 3

az network public-ip create --resource-group test-rg --name test-v6pip --location southcentralus --sku Standard --version IPv6 --allocation-method Static --zone 1 2 3

Crie a política de firewall usando az network firewall policy create.

az network firewall policy create --name test-fw-policy --resource-group test-rg --location southcentralus --sku Premium

Crie o firewall e anexe os endereços IP públicos IPv4 e IPv6 usando o az network firewall create e o az-network firewall ip-config create.

az network firewall create --name test-fw --resource-group test-rg --location southcentralus --sku AZFW_VNet --tier Premium --firewall-policy test-fw-policy

az network firewall ip-config create --firewall-name test-fw --name fw-ip-config --resource-group test-rg --public-ip-address test-v4pip --vnet-name test-vnet

az network firewall ip-config create --firewall-name test-fw --name fw-ip6-config --resource-group test-rg --public-ip-address test-v6pip

Implante o Firewall do Azure com múltiplos endereços IP públicos usando o PowerShell

Comentários

Esta página foi útil?

Última atualização em 2026-10-09