Självstudie: Distribuera och konfigurera Azure Firewall och principer i ett hybridnätverk med hjälp av Azure-portalen

När du ansluter ditt lokala nätverk till ett Azure virtuellt nätverk för att skapa ett hybridnätverk måste du styra åtkomsten till dina Azure nätverksresurser som en del av din övergripande säkerhetsplan.

Azure Firewall och Firewall Policy kontrollerar nätverksåtkomst i ett hybridnätverk genom att använda regler som definierar tillåten och nekad nätverkstrafik.

I den här självstudien skapar du tre virtuella nätverk:

  • VNet-Hub – Brandväggen finns i det här virtuella nätverket.
  • VNet-Spoke – det virtuella spoke-nätverket representerar arbetslasten som är placerad i Azure.
  • VNet-Onprem – det lokala virtuella nätverket representerar ett lokalt nätverk. I en faktisk distribution kan du ansluta den med hjälp av antingen en VPN- eller ExpressRoute-anslutning. För enkelhetens skull använder den här självstudien en VPN-gatewayanslutning, och ett virtuellt nätverk i Azure representerar ett lokalt nätverk i den egna miljön.

Diagram som visar en hybridnätverksarkitektur med nav, ekrar och lokala virtuella nätverk som är anslutna via Azure Firewall.

I den här tutorialen lär du dig följande:

  • Skapa det virtuella brandväggshubbens virtuella nätverk
  • Skapa det virtuella ekernätverket
  • Skapa det lokala virtuella nätverket
  • Konfigurera och distribuera brandväggen och reglerna
  • Skapa och ansluta VPN-gatewayerna
  • Peer-koppla de virtuella hubb- och satellitnätverken
  • Skapa vägarna
  • Skapa den virtuella datorn
  • Testa brandväggen.

Information om hur du använder Azure PowerShell finns i Distribuera och konfigurera Azure Firewall i ett hybridnätverk med hjälp av Azure PowerShell.

Prerequisites

Ett hybridnätverk använder arkitekturmodellen hub-and-spoke för att dirigera trafik mellan virtuella Azure-nätverk och lokala nätverk. Hub-and-spoke-arkitekturen har följande krav:

  • För att dirigera trafik från ekerdelnätet via brandväggen i hubben använder du en användardefinierad väg (UDR) som pekar på brandväggen med alternativet Vidarebefordran av vägar för virtuell nätverksgateway inaktiverat. Alternativet Spridning av rutter för virtuell nätverksgateway inaktiverad förhindrar routningsdistribution till spoke-undernäten. Det här alternativet förhindrar att inlärda vägar strider mot din UDR. Om du vill ha routningsspridning för virtuell nätverksgateway aktiverat måste du se till att definiera specifika rutter för brandväggen för att åsidosätta de rutter som publiceras från den lokala miljön via BGP.
  • Konfigurera en UDR på hubbgatewayens undernät som pekar på brandväggens IP-adress som nästa hopp till kantnäten. Ingen UDR krävs i Azure Firewall-undernätet eftersom det lär sig vägar från BGP.

Om du vill lära dig hur dessa rutter skapas, se Skapa rutterna i den här handledningen.

Note

Azure Firewall måste ha direkt Internetanslutning. Om ditt AzureFirewallSubnet lär sig en standardväg till ditt lokala nätverk via BGP måste du åsidosätta den här vägen med hjälp av en 0.0.0.0/0 UDR med Värdet NextHopType inställt som Internet för att upprätthålla direkt internetanslutning.

Du kan konfigurera Azure Firewall för att stödja tvingad tunneltrafik. Mer information finns i Framtvingad tunneltrafik i Azure Firewall.

Note

Trafik mellan virtuella nätverk med direkt peering dirigeras direkt även om en UDR pekar på Azure Firewall som standardgateway. Om du vill skicka trafik från undernät till undernät till brandväggen i det här scenariot måste en UDR innehålla målundernätsprefixet explicit i båda undernäten.

Om du inte har en Azure-prenumeration, skapa ett gratis konto innan du börjar.

Skapa det virtuella brandväggshubbens virtuella nätverk

Skapa först resursgruppen som ska innehålla resurserna för den här självstudien:

  1. Logga in på Azure-portalen.
  2. På startsidan för Azure-portalen väljer du Resursgrupper>Skapa.
  3. I fältet Prenumeration väljer du din prenumeration.
  4. Som Resursgruppsnamn anger du FW-Hybrid-Test.
  5. För Region väljer du (USA) USA, östra. Alla resurser som du skapar senare måste finnas på samma plats.
  6. Välj Granska + skapa, och välj sedan Skapa.

Skapa sedan det virtuella nätverket:

Note

Storleken på AzureFirewallSubnet-undernätet är /26. Mer information om undernätets storlek finns i Vanliga frågor och svar om Azure Firewall.

  1. På startsidan för Azure-portalen väljer du Skapa en resurs.
  2. Under Nätverk väljer du Virtuellt nätverk och sedan Skapa.
  3. För Resursgrupp väljer du FW-Hybrid-Test.
  4. För Namn anger du VNet-hub.
  5. På fliken Säkerhet väljer du Nästa.
  6. För IPv4-adressutrymme anger du 10.5.0.0/16.
  7. Under Undernät väljer du standard.
  8. I undernätssyfte väljer du Azure Firewall.
  9. För Startadress anger du 10.5.0.0/26.
  10. Välj Spara, välj Granska + skapa och välj sedan Skapa.

Skapa ett andra undernät för gatewayen.

  1. På sidan VNet-hubb väljer du Undernät.
  2. Välj +Undernät.
  3. I undernätssyfte väljer du Virtuell nätverksgateway.
  4. För Startadress anger du 10.5.2.0/26.
  5. Välj Lägg till.

Skapa det virtuella ekernätverket

  1. På startsidan för Azure-portalen väljer du Skapa en resurs.
  2. I Nätverk väljer du Virtuellt nätverk och sedan Skapa.
  3. För Resursgrupp väljer du FW-Hybrid-Test.
  4. För Namn anger du VNet-Spoke.
  5. För Region väljer du (USA) USA, östra.
  6. Välj Nästa. På fliken Säkerhet väljer du Nästa.
  7. För IPv4-adressutrymme anger du 10.6.0.0/16.
  8. Under Undernät väljer du standard.
  9. I fältet Namn anger du SN-Workload.
  10. För Startadress anger du 10.6.0.0/24.
  11. Välj Spara, välj Granska + skapa och välj sedan Skapa.

Skapa det lokala virtuella nätverket

  1. På startsidan för Azure-portalen väljer du Skapa en resurs.
  2. I Nätverk väljer du Virtuellt nätverk och sedan Skapa.
  3. För Resursgrupp väljer du FW-Hybrid-Test.
  4. För Namn anger du VNet-OnPrem.
  5. För Region väljer du (USA) USA, östra.
  6. Välj Nästa. På fliken Säkerhet väljer du Nästa.
  7. För IPv4-adressutrymme anger du 192.168.0.0/16.
  8. Under Undernät väljer du standard.
  9. För Namn anger du SN-Corp.
  10. Ange 192.168.1.0/24 som Startadress.
  11. Välj Spara, välj Granska + skapa och välj sedan Skapa.

Skapa ett andra undernät för gatewayen.

  1. På sidan VNet-OnPrem väljer du Undernät.
  2. Välj +Undernät.
  3. I undernätssyfte väljer du Virtuell nätverksgateway.
  4. För Startadress anger du 192.168.2.0/24.
  5. Välj Lägg till.

Konfigurera och distribuera brandväggen

Distribuera brandväggen i brandväggshubbens virtuella nätverk.

  1. På startsidan för Azure-portalen väljer du Skapa en resurs.

  2. Sök efter brandväggen, välj den i resultatet och välj sedan Skapa.

  3. I Skapa en brandvägg använder du följande tabell för att konfigurera brandväggen:

    Inställning Värde
    Prenumeration <din prenumeration>
    Resursgrupp FW-Hybrid-Test
    Name AzFW01
    Region Östra USA
    Brandväggsnivå Standard
    Brandväggshantering Använda en brandväggsprincip för att hantera den här brandväggen
    Brandväggsprincip Lägg till ny:
    hybrid-test-pol
    Östra USA
    Välj ett virtuellt nätverk Använd befintlig:
    VNet-hub
    Offentlig IP-adress Lägg till ny:
    fw-pip

  4. Välj Nästa: Taggar, Nästa: Granska + skapa och sedan Skapa.

    Implementeringen tar några minuter.

  5. När distributionen är klar går du till resursgruppen FW-Hybrid-Test och väljer AzFW01-brandväggen .

  6. Skriv ned den privata IP-adressen. Du använder den senare när du skapar standardvägen.

Konfigurera nätverksregler

Lägg först till en nätverksregel för att tillåta webbtrafik.

  1. Från resursgruppen FW-Hybrid-Test väljer du policy för brandvägg hybrid-test-pol.
  2. Under Inställningar väljer du Nätverksregler.
  3. Välj Lägg till en regelsamling.
  4. För Namn ange RCNet01.
  5. För Prioritet anger du 100.
  6. Som Regelsamlingsåtgärd väljer du Tillåt.
  7. Under Regler, för Namn, anger du AllowWeb.
  8. Som Källtyp väljer du IP-adress.
  9. För Källa anger du 192.168.1.0/24.
  10. I fältet Protokoll väljer du TCP.
  11. För Målportar anger du 80.
  12. Som Måltyp väljer du IP-adress.
  13. För Mål anger du 10.6.0.0/16.
  14. Välj Lägg till.

Skapa och ansluta VPN-gatewayerna

Hubben och lokala virtuella nätverk ansluter via VPN-gatewayer.

Skapa VPN-gatewayerna

Skapa en VPN-gateway för både hubben och lokala virtuella nätverk. Nätverks-till-nätverk-konfigurationer kräver en RouteBased VpnType. Det kan ofta ta 45 minuter eller mer att skapa en VPN-gateway, beroende på den valda VPN-gateway-SKU:n.

Upprepa följande steg för varje gateway med hjälp av värdena i tabellen.

Inställning Gateway för hubb Lokal datagateway
Name GW-hub GW-Onprem
Virtuellt nätverk VNet-hub VNet-Onprem
Offentlig IP-adress VNet-hub-GW-pip VNet-Onprem-GW-pip
Andra offentliga IP-adressen VNet-hub-GW-pip2 VNet-Onprem-GW-pip2
  1. På startsidan för Azure-portalen väljer du Skapa en resurs.
  2. I sökrutan skriver du virtuell nätverksgateway och trycker på Retur.
  3. Välj Virtuell nätverksgateway och välj Skapa.
  4. Ange Namn från tabellen.
  5. För Region väljer du samma region som du använde tidigare.
  6. Som Gateway-typ väljer du VPN.
  7. För SKU väljer du VpnGw1.
  8. Välj det virtuella nätverket i tabellen.
  9. För Offentlig IP-adress väljer du Skapa ny och anger namnet från tabellen.
  10. För Den andra offentliga IP-adressen väljer du Skapa ny och anger namnet i tabellen.
  11. Acceptera de återstående standardvärdena, välj Granska + skapa och välj sedan Skapa.

Skapa VPN-anslutningarna

Skapa VPN-anslutningarna mellan hubben och lokala gatewayer. Du behöver en anslutning från varje riktning och den delade nyckeln måste matcha för båda.

Upprepa följande steg för varje anslutning med hjälp av värdena i tabellen.

Inställning Hubb till lokal plats Lokalt till hubben
Gateway för att öppna GW-hub GW-Onprem
Anslutningens namn Hub-to-Onprem Onprem-to-Hub
Första virtuella nätverksgatewayen GW-hub GW-Onprem
Andra virtuella nätverksgatewayen GW-Onprem GW-hub
  1. Öppna resursgruppen FW-Hybrid-Test och välj gatewayen i tabellen.
  2. Under Inställningar väljer du Anslutningar i den vänstra kolumnen.
  3. Välj Lägg till.
  4. Ange anslutningsnamnet från tabellen.
  5. Välj VNet-till-VNet som anslutningstyp.
  6. Välj Nästa: Inställningar.
  7. Välj den första virtuella nätverksgatewayen och den andra virtuella nätverksgatewayen i tabellen.
  8. För Delad nyckel (PSK) anger du AzureA1b2C3.
  9. Välj Granska + skapaoch välj sedan Skapa.

Verifiera anslutningen

Efter ungefär fem minuter ska statusen för båda anslutningarna vara Ansluten.

Peer-koppla de virtuella hubb- och satellitnätverken

Anslut de virtuella hubb- och ekernätverken.

  1. Öppna resursgruppen FW-Hybrid-Test och välj det virtuella nätverket VNet-hubb .

  2. I den vänstra kolumnen väljer du Peerings.

  3. Välj Lägg till.

  4. Under Sammanfattning av fjärrvirtuellt nätverk:

    Inställningsnamn Värde
    Namn på peeringlänk SpoketoHub
    Prenumeration <din prenumeration>
    Virtuellt nätverk VNet-Spoke
    Tillåt att "VNet-Spoke" får åtkomst till "VNet-hub" selected
    Tillåt att "VNet-Spoke" tar emot vidarebefordrad trafik från "VNet-Hub" selected
    Tillåt att gateway- eller routningsservern i "VNet-Spoke" vidarebefordrar trafik till "VNet-Hub" inte vald
    Aktivera "VNet-Spoke" för att använda fjärrgatewayen eller routningsservern för VNet-hubben selected

  5. Under Sammanfattning av lokalt virtuellt nätverk:

    Inställningsnamn Värde
    Namn på peeringlänk HubtoSpoke
    Tillåt att "VNet-hub" får åtkomst till "VNet-Spoke" selected
    Tillåt att "VNet-hub" tar emot vidarebefordrad trafik från "VNet-Spoke" selected
    Tillåt att gateway- eller routningsservern i "VNet-Hub" vidarebefordrar trafik till "VNet-Spoke" selected
    Aktivera "VNet-hub" för att använda fjärrgatewayen eller routningsservern "VNet-Spoke" inte vald

  6. Välj Lägg till.

    Skärmbild som visar konfigurationen av VNet-peering mellan virtuella nav- och ekernätverk.

Skapa vägarna

Skapa sedan två routningstabeller:

  • En rutt från hubbgatewayens undernät till talundernätet via brandväggens IP-adress
  • En standardväg från spoke-subnätet genom brandväggens IP-adress

Upprepa följande steg för varje routningstabell med hjälp av värdena i tabellen.

Inställning Hub-to-spoke-väg Standardrutt för spoke
Namn på routningstabell UDR-Hub-Spoke UDR-DG
Vidarebefordra gateway-rutt Ja (standard) Nej
Vägnamn ToSpoke ToHub
Mål-IP-adresser/CIDR-intervall 10.6.0.0/16 0.0.0.0/0
Associera virtuellt nätverk VNet-hub VNet-spoke
Associera subnät GatewaySubnet SN-arbetsbelastning
  1. På startsidan för Azure-portalen väljer du Skapa en resurs.
  2. Skriv routningstabell i sökrutan och tryck på Retur.
  3. Välj Routningstabell och välj sedan Skapa.
  4. Välj FW-Hybrid-Test för resursgruppen.
  5. För Region väljer du samma plats som du använde tidigare.
  6. Ange routningstabellens namn från tabellen. Om tillämpligt anger du Sprid gatewayväg till Nej.
  7. Välj Granska + skapa, och välj sedan Skapa.
  8. När routningstabellen har skapats väljer du den för att öppna routningstabellsidan.
  9. Under Inställningar väljer du Vägar i den vänstra kolumnen.
  10. Välj Lägg till.
  11. Ange routningsnamnet från tabellen.
  12. Som Måltyp väljer du IP-adresser.
  13. Ange mål-IP-adresser/CIDR-intervall från tabellen.
  14. I fältet Nästa hopptyp väljer du Virtuell installation.
  15. För Nästa hopp-adress skriver du brandväggens privata IP-adress som du antecknade tidigare.
  16. Välj Lägg till.

Associera varje routningstabell till dess undernät.

  1. På sidan routningstabell väljer du Undernät.
  2. Välj Associera.
  3. Välj det virtuella nätverket och undernätet i tabellen.
  4. Välj OK.

Skapa virtuella datorer

Skapa spoke-arbetsbelastningen och de lokala virtuella datorerna, och placera dem i de lämpliga undernäten.

Skapa den virtuella arbetsbelastningsdatorn

Skapa en virtuell dator i det virtuella ekernätverket som kör NGINX utan offentlig IP-adress.

  1. På startsidan för Azure-portalen väljer du Skapa en resurs.
  2. Under Populära Marketplace-produkter väljer du Ubuntu Server 24.04 LTS.
  3. Ange följande värden för den virtuella datorn:
    • Resursgrupp – Välj FW-Hybrid-Test
    • Namn på virtuell dator: VM-Spoke-01
    • Region – samma region som du använde tidigare
    • Bild – Ubuntu Server 24.04 LTS – x64 Gen2
    • Storlek – Standard_B2s
    • Autentiseringstyp – offentlig SSH-nyckel
    • Användarnamn: azureuser
    • Offentlig SSH-nyckelkälla – Generera nytt nyckelpar
    • Nyckelparnamn - VM-Spoke-01_key
  4. För Offentliga inkommande portar väljer du Ingen.
  5. Välj Nästa: Diskar, acceptera standardvärdena och välj sedan Nästa: Nätverk.
  6. Välj VNet-Spoke för det virtuella nätverket och undernätet är SN-Workload.
  7. För Offentlig IP väljer du Ingen.
  8. Välj Nästa: Hantering och välj sedan Nästa: Övervakning.
  9. För Startdiagnostik väljer du Inaktivera.
  10. Välj Granska + skapa, granska inställningarna på sammanfattningssidan och välj sedan Skapa.
  11. I dialogrutan Generera nytt nyckelpar väljer du Ladda ned privat nyckel och skapar resurs. Spara nyckelfilen som VM-Spoke-01_key.pem.

Installera Nginx

När du har skapat den virtuella datorn installerar du Nginx-webbservern.

  1. Öppna Cloud Shell från Azure-portalen och se till att det är inställt på Bash.

  2. Kör följande kommando för att installera Nginx på den virtuella datorn:

    az vm run-command invoke \
   --resource-group FW-Hybrid-Test \
   --name VM-Spoke-01 \
   --command-id RunShellScript \
   --scripts "sudo apt-get update && sudo apt-get install -y nginx && echo '<h1>'$(hostname)'</h1>' | sudo tee /var/www/html/index.html"

Skapa den lokala virtuella datorn

Använd den här virtuella datorn för att ansluta med hjälp av Azure Bastion. Därifrån ansluter du till spoke-servern genom brandväggen.

  1. På startsidan för Azure-portalen väljer du Skapa en resurs.
  2. Under Populära Marketplace-produkter väljer du Ubuntu Server 24.04 LTS.
  3. Ange följande värden för den virtuella datorn:
    • Resursgrupp – Välj befintlig och välj sedan FW-Hybrid-Test.
    • Namn på virtuell maskin - VM-Onprem
    • Region – samma region som du använde tidigare.
    • Bild – Ubuntu Server 24.04 LTS – x64 Gen2
    • Storlek – Standard_B2s
    • Autentiseringstyp – offentlig SSH-nyckel
    • Användarnamn: azureuser
    • Offentlig SSH-nyckelkälla – Generera nytt nyckelpar
    • Nyckelparnamn - VM-Onprem_key
  4. För Offentliga inkommande portar väljer du Ingen.
  5. Välj Nästa: Diskar, acceptera standardvärdena och välj sedan Nästa: Nätverk.
  6. Välj VNet-Onprem för virtuellt nätverk och undernätet är SN-Corp.
  7. Välj Nästa: Hantering och välj sedan Nästa: Övervakning.
  8. För Startdiagnostik väljer du Inaktivera.
  9. Välj Granska + skapa, granska inställningarna på sammanfattningssidan och välj sedan Skapa.
  10. I dialogrutan Generera nytt nyckelpar väljer du Ladda ned privat nyckel och skapar resurs. Spara nyckelfilen som VM-Onprem_key.pem.

Note

Azure tillhandahåller en standard-IP för utgående åtkomst för virtuella datorer som antingen inte har tilldelats någon offentlig IP-adress eller som finns i serverdelspoolen för en intern grundläggande Azure-lastbalanserare. Standardmekanismen för utgående IP-åtkomst tillhandahåller en utgående IP-adress som inte kan konfigureras.

Standard-IP för utgående åtkomst inaktiveras när någon av följande händelser inträffar:

  • En offentlig IP-adress tilldelas till den virtuella datorn.
  • Den virtuella datorn placeras i serverdelspoolen för en standardlastbalanserare, med eller utan regler för utgående trafik.
  • En Azure NAT Gateway-resurs tilldelas till den virtuella datorns undernät.

Virtuella datorer som du skapar med hjälp av virtuella maskinskalsatser i flexibelt orkestreringsläge saknar standardiserad utgående åtkomst.

Mer information om utgående anslutningar i Azure finns i Standardutgående åtkomst i Azure och Använda SNAT (Source Network Address Translation) för utgående anslutningar.

Distribuera Azure Bastion

Distribuera Azure Bastion för att ge säker åtkomst till den virtuella datorn.

  1. I menyn i Azure-portalen väljer du Skapa en resurs.

  2. I sökrutan skriver du Bastion och väljer den i resultatet.

  3. Välj Skapa.

  4. I Skapa en Bastion konfigurerar du följande inställningar:

    Inställning Värde
    Prenumeration Välj din prenumeration
    Resursgrupp FW-Hybrid-Test
    Name Hub-Bastion
    Region Samma som dina andra resurser
    Tier Utvecklare
    Virtuellt nätverk VNet-hub

  5. Välj Förhandsgranska + skapa. När valideringen har slutförts väljer du Skapa.

Testa brandväggen.

  1. Observera först den privata IP-adressen för den virtuella datorn VM-spoke-01 .

  2. Från Azure-portalen går du till den virtuella datorn VM-Onprem.

  3. Välj Anslut>Anslut via Bastion.

  4. Välj Använd privat SSH-nyckel från lokal fil.

  5. Som Användarnamn anger du azureuser.

  6. Bläddra till och välj filen VM-Onprem_key.pem som du laddade ned tidigare.

  7. Välj Anslut.

  8. Från SSH-sessionen i VM-Onprem, testa webbservern i det spoke-virtuella nätverket:

    curl http://<VM-spoke-01 private IP>

    Webbservern returnerar ett svar.

Ändra sedan åtgärden för insamling av brandväggsnätverksregel till Neka för att kontrollera att brandväggsreglerna fungerar som förväntat.

  1. Välj firewallpolicyn "hybrid-test-pol".
  2. Välj Regelsamlingar.
  3. Välj regelsamlingen RCNet01 .
  4. Som Regelsamlingsåtgärd väljer du Neka.
  5. Välj Spara.

Kör testet igen. Den här gången misslyckas testet.

Rensa resurser

Behåll brandväggsresurserna för nästa självstudie, eller om du inte längre behöver dem tar du bort resursgruppen FW-Hybrid-Test för att ta bort alla brandväggsrelaterade resurser.

Nästa steg

Distribuera och konfigurera Azure Firewall Premium

  • Last updated on