Azure Güvenlik Duvarı explicit proxy

Azure Güvenlik Duvarı varsayılan olarak şeffaf proxy modunda çalışır. Bu modda, kullanıcı tanımlı bir rota (UDR) trafiği güvenlik duvarına yönlendirir. Güvenlik duvarı, trafiği hat içi yakalar ve hedefe iletir.

Giden trafik için açık proxy'yi etkinleştirdiğinizde, gönderen uygulamayı, örneğin web tarayıcısını, proxy olarak Azure Güvenlik Duvarı'u kullanacak şekilde yapılandırabilirsiniz. Bu yapılandırma, uygulamadan güvenlik duvarının özel IP adresine trafiği yönlendirir, böylece trafik doğrudan güvenlik duvarından UDR'ye ihtiyaç duymadan çıkar.

Açık proxy modu HTTP ve HTTPS trafiğini destekler. Tarayıcıda veya uygulamada proxy ayarlarını güvenlik duvarının özel IP adresine yönlendirecek şekilde tanımlarsınız. Bu ayarı manuel olarak ayarlayabilir veya proxy otomatik yapılandırma (PAC) dosyası kullanabilirsiniz. Güvenlik duvarı, PAC dosyasını barındırarak proxy isteklerini barındırabilir, siz bunu güvenlik duvarına yükledikten sonra.

Prerequisites

• Bir Azure Güvenlik Duvarı ve ilişkili bir firewall politikası. Açık proxy'yi güvenlik duvarı politikasında yapıyorsunuz, firewall kaynağında değil. Daha fazla bilgi için bkz . Azure Güvenlik Duvarı ilke kuralı kümeleri.

• Bir PAC dosyası barındırmak için ayrıca şunları da edinmeniz gerekir:

  • PAC dosyasını depolamak için blob konteyneri olan bir Azure Depolama hesabı.
  • Kullanıcı tarafından atanan yönetilen bir kimlik ve bu depolama hesabında Depolama Blobu Veri Katkıcısı ve Depolama Blobu Veri Okuyucusu rolleri bulunur.

Yapılandırma

• Azure Güvenlik Duvarı politikasında açık proxy'yi etkinleştirin.

  

  Not

  Hem HTTP hem de HTTPS trafiği için tek bir port HTTP Port kullanabilirsiniz.

• Güvenlik duvarı politikasında trafiğin güvenlik duvarından geçmesine izin vermek için bir uygulama kuralı oluşturun.

• Proxy otomatik yapılandırma (PAC) dosyasını kullanmak için Proxy otomatik yapılandırmasını etkinleştir seçeneğini seçin.

• Bu adımları takip ederek bir PAC Dosya URL'si oluşturun:

  • Blob konteynerlerini yönet bölümündeki adımları takip ederek bir Azure Depolama konteyneri oluşturun.

  Not

  Rol eklemek için gerekli izinlere sahip bir abonelik kullanın.

  • PAC dosyasını depolama konteynerine yükleyin.
  • Yüklenen dosyayı seçin ve dosya URL'sini kopyalayın. Örnek URL: https://eproxypstestresources.blob.core.windows.net/explicitproxycontainer/proxy.pac

• Yönetilen bir Kimlik oluşturun ve gerekli rolleri atalayın.

  • Yönetilen Kimlik kaynağına gidin ve Yönetilen Kimlik oluşturun. Daha fazla bilgi için bkz. Kullanıcı tarafından atanan yönetilen kimlikleri yönetme.
  • Oluşturduğunuz depolama hesabı kaynağına gidin ve Access Control (IAM) sayfasına gidin. Rol atamasını eklemek için Ekle seçeneğini seçin.
  • Rol ataması ekle sayfasına gidin, Storage Blob Data Contributor ve Storage Blob Data Reader arayıp seçin.
  • Üyeler'e gidin ve Yönetilen Kimliği'ni seçin. Değişiklikleri inceleyin ve Değerlendirme+Ata'daAta'yı seçin.
  • Yönetilen kimliği arayarak değişikliklerinizin Rol Atamalarında yansıtıldığını doğrulayın.

  Not

  Oluşturduğunuz Yönetilen Kimlik önekinin "PacFileMSI-" olduğundan emin olun.

• PAC dosyası URL'si ve Yönetilen Kimlik olduktan sonra, PAC dosyası URL'sini vererek ve oluşturduğunuz Yönetilen Kimliği seçerek Açık proxy yapılandırmasında PAC dosyasını etkinleştirebilirsiniz.

  Portal

  

  PowerShell

  Açık proxy kullanmanın güvenli bir yolu için, PAC dosyası URL'sini ve kullanıcı tarafından atanan yönetilen bir kimlik sağlayışın; bu kimlik müşteri blob depolamanızdan PAC dosyasını indirmek için gerekli erişime sahip olabilir.

  Açık proxy ayarlarıyla bir güvenlik duvarı politikası oluşturun:

  $exProxy = New-AzFirewallPolicyExplicitProxy `
      -EnableExplicitProxy `
      -HttpPort 100 `
      -EnablePacFile `
      -PacFilePort 130 `
      -PacFile "https://sampleurlfortesting.blob.core.windows.net/nothing"
  

  Bir güvenlik duvarı politikasını açık proxy ayarları ve kullanıcı tarafından atanan yönetilen kimlik ile güncelleyin:

  $identityId = "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/testrg/providers/Microsoft.ManagedIdentity/userAssignedIdentities/PacFileMSI-eproxyidentity"
  
  New-AzFirewallPolicy `
      -Name "fp1" `
      -ResourceGroupName "TestRg" `
      -ExplicitProxy $exProxy `
      -UserAssignedIdentityId $identityId
  

  CLI

  Açık proxy ayarlarıyla bir güvenlik duvarı politikası oluşturun:

  az network firewall policy create \
      --resource-group "testrg" \
      --name "testfwpolicy" \
      --sku Premium \
      --explicit-proxy enable-explicit-proxy=true http-port=9001 enable-pac-file=true pac-file-port=122 pac-file="https://eproxypstestresources.blob.core.windows.net/explicitproxycontainer/proxy.pac" \
      --identity "Identity_ID"
  

  Bir güvenlik duvarı politikasını açık proxy ayarlarıyla güncelleyin:

  az network firewall policy update \
      --resource-group "testrg" \
      --name "testfwpolicy" \
      --explicit-proxy enable-explicit-proxy=true http-port=9001 enable-pac-file=true pac-file-port=124 pac-file="https://eproxypstestresources.blob.core.windows.net/explicitproxycontainer/proxy.pac" \
      --identity "Identity_ID"
  

İdare ve uyum

Azure Güvenlik Duvarı dağıtımlarınızda açık ara sunucu ayarlarının tutarlı bir şekilde yapılandırılmasını sağlamak için Azure İlkesi tanımlarını kullanın. Açık ara sunucu yapılandırmalarını idare etmek için aşağıdaki ilkeler kullanılabilir:

• Güvenlik Duvarı İlkeleri için Açık Ara Sunucu Yapılandırmasını Zorunlu Kılma: Tüm Azure Güvenlik Duvarı ilkelerinin açık ara sunucu yapılandırmasının etkinleştirildiğinden emin olur.
• Açık Ara Sunucu kullanırken PAC dosya yapılandırmasını etkinleştirme: Açık ara sunucu etkinleştirildiğinde PAC (Ara Sunucu Otomatik Yapılandırma) dosyasının da düzgün yapılandırıldığını denetler.

Bu ilkeler ve bunları uygulama hakkında daha fazla bilgi için bkz. Azure Güvenlik Duvarı dağıtımlarınızın güvenliğini sağlamaya yardımcı olmak için Azure İlkesi'ni kullanma.

Sonraki adımlar

• Azure Arc özellikli kaynaklardan Azure hizmetlerine erişmek için açık proxy kullanımı hakkında bilgi edinmek için Access Azure services over Azure Güvenlik Duvarı explicit proxy bölümüne bakınız.
• Proxy trafiğe izin veren uygulama kurallarının nasıl oluşturulacağını öğrenmek için Azure Güvenlik Duvarı politika kural setlerine bakınız.
• Açık proxy ayarlarını nasıl yöneteceğinizi öğrenmek için Use Azure İlkesi to help secure your Azure Güvenlik Duvarı deployments'e bakınız.
• Azure Güvenlik Duvarı'nı dağıtmayı öğrenmek için bkz. Azure PowerShell kullanarak Azure Güvenlik Duvarı'nı dağıtma ve yapılandırma.
• Açık ara sunucu hakkında daha fazla bilgi edinmek için bkz. Açık ara sunucuyu kaldırma: Azure Güvenlik Duvarı ile Güvenliği Geliştirme.