Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Os provedores de parceiros de segurança no Gerenciador de Firewall do Azure permitem que você use suas melhores ofertas de segurança como serviço (SECaaS) de terceiros para proteger o acesso à Internet para seus usuários.
Para saber mais sobre cenários suportados e diretrizes de práticas recomendadas, consulte O que são provedores de parceiros de segurança?
Os parceiros integrados de segurança como serviço (SECaaS) de terceiros estão agora disponíveis:
- Zscaler
Implantar um provedor de segurança de terceiros em um novo hub
Ignore esta seção se estiver implantando um provedor de terceiros em um hub existente.
- Inicie sessão no portal do Azure.
- Na Pesquisa, escreva Segurança de Rede e selecione-a em Serviços.
- Vá a Proteger os seus recursos. Selecione Hubs virtuais.
- Selecione Criar novo hub virtual seguro.
- Insira sua assinatura e grupo de recursos, selecione uma região com suporte e adicione suas informações de hub e WAN virtual.
- Selecione Incluir gateway de VPN para ativar Fornecedores Parceiros de Segurança.
- Selecione as unidades de escala do Gateway apropriadas para suas necessidades.
- Selecione Seguinte: Azure Firewall
Nota
Os provedores de parceiros de segurança se conectam ao seu hub usando túneis do Gateway VPN. Se você excluir o Gateway de VPN, as conexões com seus provedores parceiros de segurança serão perdidas.
- Se você quiser implantar o Firewall do Azure para filtrar o tráfego privado junto com o provedor de serviços de terceiros para filtrar o tráfego da Internet, selecione uma política para o Firewall do Azure. Consulte os cenários suportados.
- Se você quiser implantar apenas um provedor de segurança de terceiros no hub, selecione Firewall do Azure: Habilitado/Desabilitado para defini-lo como Desabilitado.
- Selecione Next: Security Partner Provider.
- Defina Security Partner Provider como Enabled.
- Selecione um parceiro.
- Selecione Seguinte: Rever + criar.
- Reveja o conteúdo e, em seguida, selecione Criar.
A implantação do gateway VPN pode levar mais de 30 minutos.
Para verificar se o hub foi criado, vá a Segurança de Rede>Proteja os seus recursos>Hubs virtuais. É apresentado o nome do fornecedor de segurança parceiro e o estado do parceiro de segurança como Ligação de segurança pendente.
Depois que o hub for criado e o parceiro de segurança estiver configurado, continue a conectar o provedor de segurança ao hub.
Implantar um provedor de segurança de terceiros em um hub existente
Você também pode selecionar um hub existente em uma WAN Virtual e convertê-lo em um hub virtual seguro.
- Em Introdução, Visão geral, selecione Exibir hubs virtuais protegidos.
- Selecione Converter hubs existentes.
- Selecione uma assinatura e um hub existente. Siga o restante das etapas para implantar um provedor de terceiros em um novo hub.
Lembre-se de que um gateway VPN deve ser implantado para converter um hub existente em hub seguro com provedores de terceiros.
Configurar provedores de segurança de terceiros para se conectarem a um hub seguro
Para configurar túneis para o Gateway de VPN do seu hub virtual, os provedores de terceiros precisam de direitos de acesso ao seu hub. Para fazer isso, associe uma entidade de serviço à sua assinatura ou grupo de recursos e conceda direitos de acesso. Em seguida, você deve fornecer essas credenciais para o terceiro usando seu portal.
Nota
Provedores de segurança terceirizados criam um site VPN em seu nome. Este site VPN não aparece no portal do Azure.
Criar e autorizar um principal de serviço
Criar entidade de serviço do Microsoft Entra: você pode ignorar a URL de redirecionamento.
Adicione as permissões de acesso e o âmbito para o principal de serviço. How to: Utilizar o portal para criar uma aplicação e um principal de serviço do Microsoft Entra que possam aceder aos recursos
Nota
Você pode limitar o acesso apenas ao seu grupo de recursos para obter um controle mais granular.
Visite o portal do parceiro
Siga as instruções fornecidas pelo seu parceiro para concluir a configuração. Isso inclui o envio de informações do Microsoft Entra para detetar e se conectar ao hub, atualizar as políticas de saída e verificar o status e os logs de conectividade.
Você pode examinar o status de criação do túnel no portal WAN Virtual do Azure no Azure. Assim que os túneis aparecerem como connected tanto no Azure como no portal do parceiro, prossiga para os passos seguintes para configurar rotas e determinar que filiais e VNets devem enviar tráfego de Internet para o parceiro.
Você pode adicionar outros dispositivos virtuais de rede ao seu hub WAN virtual. Para obter mais informações, consulte Sobre NVAs num hub de WAN Virtual.
Configurar a segurança com o Firewall Manager
Em Segurança de Redes, em Proteger os seus recursos, selecione Hubs Virtuais.
Selecione um hub. O status do hub agora deve mostrar Provisionado em vez de Conexão de Segurança Pendente.
Verifique se o provedor terceirizado pode se conectar ao hub. Os túneis no gateway VPN devem estar em um estado Conectado . Este estado reflete melhor o estado da ligação entre o hub e o parceiro externo do que o estado anterior.
Selecione o hub e navegue até Configurações de segurança.
Quando você implanta um provedor de terceiros no hub, ele converte o hub em um hub virtual seguro. Isto garante que o fornecedor terceiro está a anunciar uma rota predefinida 0.0.0.0/0 para o hub. No entanto, as conexões de rede virtual e os sites conectados ao hub não obtêm essa rota, a menos que você opte por quais conexões devem obter essa rota padrão.
Nota
Não crie manualmente uma rota 0.0.0.0/0 (predefinida) através de BGP para anúncios da filial. Isto é feito automaticamente para implementações de hub virtual seguras com provedores de segurança de terceiros. Isso pode interromper o processo de implantação.
Configure a segurança da WAN virtual definindo o Tráfego da Internet através de um parceiro de segurança confiável e o Tráfego Privado via Azure Firewall. Esta configuração assegura automaticamente as ligações individuais na WAN Virtual.
Além disso, se sua organização usa intervalos de IP públicos em redes virtuais e filiais, você precisa especificar esses prefixos IP explicitamente usando Prefixos de Tráfego Privado. Os prefixos de endereço IP público podem ser especificados individualmente ou como agregados.
Se você usar endereços não RFC1918 para seus prefixos de tráfego privado, talvez seja necessário configurar políticas SNAT para seu firewall para desabilitar o SNAT para tráfego privado não RFC1918. Por predefinição, a Firewall do Azure faz SNAT a todo o tráfego que não seja RFC1918.
Tráfego de Internet de filial ou rede virtual através de serviço de terceiros
Em seguida, você pode verificar se as máquinas virtuais de rede virtual ou o site de filial podem acessar a Internet e validar se o tráfego está fluindo para o serviço de terceiros.
Depois de concluir as etapas de configuração de rotas, é enviada às máquinas virtuais da rede virtual e aos sites das sucursais uma rota 0/0 para o serviço de terceiros. Não é possível RDP ou SSH nessas máquinas virtuais. Para entrar, você pode implantar o serviço Azure Bastion em uma rede virtual emparelhada.
Configuração da regra
Use o portal do parceiro para configurar regras de firewall. O Firewall do Azure deixa o tráfego passar.
Por exemplo, você pode observar o tráfego permitido por meio do Firewall do Azure, mesmo que não haja nenhuma regra explícita para permitir o tráfego. Isto deve-se ao facto de o Firewall do Azure encaminhar o tráfego para o fornecedor parceiro de segurança do salto seguinte (ZScalar). O Firewall do Azure ainda tem regras para permitir o tráfego de saída, mas o nome da regra não é registrado.
Para obter mais informações, consulte a documentação do parceiro.