Partilhar via

Implementar um Azure Firewall com múltiplos endereços IP públicos usando Azure PowerShell

Esse recurso permite os seguintes cenários:

  • DNAT - É possível traduzir várias instâncias de portas padrão para os seus servidores de backend. Por exemplo, se tiver dois endereços IP públicos, poderá converter a porta TCP 3389 (RDP) para ambos os endereços IP.
  • SNAT - Estão disponíveis portas adicionais para ligações SNAT de saída, reduzindo o potencial de esgotamento das portas SNAT. O Azure Firewall seleciona aleatoriamente o primeiro endereço IP público de origem a usar para uma ligação e seleciona outro IP público depois de as portas do primeiro IP terem sido esgotadas. Se tiver alguma filtragem a jusante na rede, terá de permitir todos os endereços IP públicos associados à firewall. Considere usar um prefixo de endereço IP público para simplificar esta configuração.

O Azure Firewall com múltiplos endereços IP públicos está disponível através do portal Azure, Azure PowerShell, Azure CLI, REST e templates. Pode configurar um Azure Firewall numa Hub VNET com até 250 endereços IP públicos. No entanto, as regras de destino DNAT também contam para o limite máximo de 250. O limite para um Azure Firewall numa implementação VHUB com Bring your own Public IP é de 250 endereços e para a implementação clássica de VHUB é de 80 endereços IP públicos.

Note

Em cenários com elevado volume de tráfego e throughput, recomenda-se usar um NAT Gateway para fornecer conectividade de saída. As portas SNAT são alocadas dinamicamente em todos os IPs públicos associados ao NAT Gateway. Para saber mais, consulte integrar o NAT Gateway com o Azure Firewall.

Os exemplos seguintes do Azure PowerShell mostram como pode configurar, adicionar e remover endereços IP públicos para o Azure Firewall.

Important

Não podes remover o primeiro ipConfiguration da página de configuração de endereços IP públicos do Azure Firewall. Se quiseres modificar o endereço IP, podes usar o Azure PowerShell.

Crie um firewall com dois ou mais endereços IP públicos

Este exemplo cria um firewall ligado a uma rede virtual vnet com dois endereços IP públicos.

$rgName = "resourceGroupName"

$vnet = Get-AzVirtualNetwork `
  -Name "vnet" `
  -ResourceGroupName $rgName

$pip1 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp1" `
  -ResourceGroupName "rg" `
  -Sku "Standard" `
  -Location "centralus" `
  -AllocationMethod Static

$pip2 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp2" `
  -ResourceGroupName "rg" `
  -Sku "Standard" `
  -Location "centralus" `
  -AllocationMethod Static

New-AzFirewall `
  -Name "azFw" `
  -ResourceGroupName $rgName `
  -Location centralus `
  -VirtualNetwork $vnet `
  -PublicIpAddress @($pip1, $pip2)

Adicionar um endereço IP público a um firewall existente

Neste exemplo, o endereço IP público azFwPublicIp1 está associado ao firewall.

$pip = New-AzPublicIpAddress `
  -Name "azFwPublicIp1" `
  -ResourceGroupName "rg" `
  -Sku "Standard" `
  -Location "centralus" `
  -AllocationMethod Static

$azFw = Get-AzFirewall `
  -Name "AzureFirewall" `
  -ResourceGroupName "rg"

$azFw.AddPublicIpAddress($pip)

$azFw | Set-AzFirewall

Remover um endereço IP público de um firewall existente

Neste exemplo, o endereço IP público azFwPublicIp1 está destacado do firewall.

$pip = Get-AzPublicIpAddress `
  -Name "azFwPublicIp1" `
  -ResourceGroupName "rg"

$azFw = Get-AzFirewall `
  -Name "AzureFirewall" `
  -ResourceGroupName "rg"

$azFw.RemovePublicIpAddress($pip)

$azFw | Set-AzFirewall

Próximos passos

  • Last updated on