Öğretici: Azure portalını kullanarak Azure Güvenlik Duvarı ve ilkeyi dağıtma ve yapılandırma

Makale
06/13/2024

Giden ağ erişimini denetleme, genel ağ güvenlik planının önemli bir parçasıdır. Örneğin, web sitelerine erişimi sınırlamak isteyebilirsiniz. Öte yandan, erişilebilen giden IP adreslerini ve bağlantı noktalarını sınırlamak da isteyebilirsiniz.

Azure alt ağından giden ağ erişimini denetlemenin bir yolu Azure Güvenlik Duvarı ve Güvenlik Duvarı İlkesi'dir. Azure Güvenlik Duvarı ve Güvenlik Duvarı İlkesi ile şunları yapılandırabilirsiniz:

Bir alt ağdan erişilebilen tam etki alanı adlarını (FQDN) tanımlayan uygulama kuralları.
Kaynak adres, protokol, hedef bağlantı noktası ve hedef adresini tanımlayan ağ kuralları.

Ağ trafiğinizi güvenlik duvarından alt ağın varsayılan ağ geçidi olarak yönlendirdiğinizde ağ trafiği yapılandırılan güvenlik duvarı kurallarına tabi tutulur.

Bu öğreticide, kolay dağıtım için iki alt ağa sahip basitleştirilmiş tek bir sanal ağ oluşturursunuz.

AzureFirewallSubnet - güvenlik duvarı bu alt ağdadır.
Workload-SN: İş yükü sunucusu bu alt ağda yer alır. Bu alt ağın ağ trafiği güvenlik duvarından geçer.

Üretim dağıtımları için güvenlik duvarının kendi sanal asında olduğu bir merkez-uç modeli önerilir. İş yükü sunucuları, bir veya daha fazla alt ağa sahip aynı bölgedeki eşlenmiş sanal ağlarda yer alır.

Bu öğreticide aşağıdakilerin nasıl yapılacağını öğreneceksiniz:

Test amaçlı ağ ortamı oluşturma
Güvenlik duvarı ve güvenlik duvarı ilkesi dağıtma
Varsayılan rota oluşturma
Uygulama kuralını www.google.com erişime izin verecek şekilde yapılandırma
Dış DNS sunucularına erişime izin vermek için ağ kuralı yapılandırma
Test sunucusuna uzak masaüstüne izin vermek için NAT kuralı yapılandırma
Güvenlik duvarını test etme

İsterseniz Azure PowerShell kullanarak bu yordamı tamamlayabilirsiniz.

Önkoşullar

Azure aboneliğiniz yoksa başlamadan önce ücretsiz bir hesap oluşturun.

Ağı ayarlama

İlk olarak güvenlik duvarını dağıtmak için gerekli olan kaynakları içerecek bir kaynak grubu oluşturun. Ardından bir sanal ağ, alt ağlar ve bir test sunucusu oluşturun.

Kaynak grubu oluşturma

Kaynak grubu, bu öğreticideki tüm kaynakları içerir.

Azure Portal’ında oturum açın.
Azure portalı menüsünde Kaynak grupları'nı seçin veya herhangi bir sayfadan Kaynak grupları'nı arayıp seçin, ardından Oluştur'u seçin. Aşağıdaki değerleri yazın veya seçin:

Ayar Value

Abonelik Azure aboneliği seçin.

Kaynak grubu Test-FW-RG girin.

Bölge Bölge seçin. Oluşturduğunuz diğer tüm kaynakların aynı bölgede olması gerekir.
Gözden geçir ve oluştur’u seçin.
Oluştur'u belirleyin.

Sanal ağ oluşturma

Bu sanal ağın iki alt ağı olacaktır.

Not

AzureFirewallSubnet alt ağı boyutu /26'dır. Alt ağ boyutu hakkında daha fazla bilgi için bkz. Azure Güvenlik Duvarı SSS.

Azure portalı menüsünde veya Giriş sayfasında Kaynak oluştur’u seçin.
Ağ'ı seçin.
Sanal ağ için arama yapın ve Oluştur'u seçin.
Aşağıdaki değerleri yazın veya seçin:

Ayar Value

Abonelik Azure aboneliği seçin.

Kaynak grubu Test-FW-RG'yi seçin.

Veri Akışı Adı Test-FW-VN girin.

Bölge Daha önce kullandığınız konumu seçin.
İleri'yi seçin.
Güvenlik sekmesinde İleri'yi seçin.
IPv4 Adres alanı için varsayılan 10.0.0.0/16'yı kabul edin.
Alt ağlar'ın altında varsayılan'ı seçin.
Alt ağı düzenle sayfasında Alt ağ amacı için Azure Güvenlik Duvarı'i seçin.

Güvenlik duvarı bu alt ağda yer alacaktır ve alt ağ adının mutlaka AzureFirewallSubnet olması gerekir.
Başlangıç adresi için 10.0.1.0 yazın.
Kaydet'i seçin.

Ardından iş yükü sunucusu için bir alt ağ oluşturun.

Alt ağ ekle'yi seçin.
Alt ağ adı için Workload-SN yazın.
Başlangıç adresi için 10.0.2.0/24 yazın.
Ekle'yi seçin.
Gözden geçir ve oluştur’u seçin.
Oluştur'u belirleyin.

Sanal makine oluşturun

Şimdi iş yükü sanal makinesini oluşturun ve İş Yükü-SN alt aya yerleştirin.

Azure portalı menüsünde veya Giriş sayfasında Kaynak oluştur’u seçin.
Windows Server 2019 Datacenter'ı seçin.

Sanal makine için şu değerleri girin veya seçin:

Ayar	Value
Abonelik	Azure aboneliği seçin.
Kaynak grubu	Test-FW-RG'yi seçin.
Virtual machine name	Srv-Work yazın.
Bölge	Daha önce kullandığınız konumu seçin.
Username	Bir kullanıcı adı girin.
Parola	Bir parola girin.

Gelen bağlantı noktası kuralları,Genel gelen bağlantı noktaları'nın altında Yok'a tıklayın.
Diğer varsayılanları kabul edin ve İleri: Diskler'i seçin.
Disk varsayılanlarını kabul edin ve İleri: Ağ'ı seçin.
Sanal ağ için Test-FW-VN'nin seçildiğinden ve alt ağın İş Yükü-SN olduğundan emin olun.
Genel IP için Yok'a tıklayın.
Diğer varsayılanları kabul edin ve İleri: Yönetim'i seçin.
İleri:İzleme'yi seçin.
Önyükleme tanılamasını devre dışı bırakmak için Devre Dışı Bırak'ı seçin. Diğer varsayılanları kabul edin ve Gözden geçir + oluştur'u seçin.
Özet sayfasındaki ayarları gözden geçirin ve Oluştur'u seçin.
Dağıtım tamamlandıktan sonra Srv-Work kaynağını seçin ve daha sonra kullanmak üzere özel IP adresini not edin.

Güvenlik duvarını ve ilkeyi dağıtma

Güvenlik duvarını sanal ağa dağıtın.

Azure portalı menüsünde veya Giriş sayfasında Kaynak oluştur’u seçin.
Arama kutusuna güvenlik duvarı yazın ve Enter tuşuna basın.
Güvenlik duvarı'nı ve ardından Oluştur'u seçin.

Güvenlik duvarı oluştur sayfasında aşağıdaki ayarları kullanarak güvenlik duvarını yapılandırın:

Ayar	Value
Abonelik	Azure aboneliği seçin.
Kaynak grubu	Test-FW-RG'yi seçin.
Veri Akışı Adı	Test-FW01 girin.
Bölge	Daha önce kullandığınız konumu seçin.
Güvenlik duvarı yönetimi	Bu güvenlik duvarını yönetmek için Güvenlik Duvarı İlkesi kullan'ı seçin.
Güvenlik duvarı ilkesi	Yeni ekle'yi seçin ve fw-test-pol girin. Daha önce kullandığınız bölgeyi seçin.
Bir sanal ağ seçin	Var olanı kullan'ı ve ardından Test-FW-VN'yi seçin.
Genel IP adresi	Yeni ekle'yi seçin ve Ad alanına fw-pip yazın.

Diğer varsayılan değerleri kabul edin ve ardından İleri: Etiketler'i seçin.
İleri: Gözden geçir ve oluştur'u seçin.
Özeti gözden geçirin ve ardından Oluştur'u seçerek güvenlik duvarını oluşturun.

Dağıtma işlemi birkaç dakika sürebilir.
Dağıtım tamamlandıktan sonra Test-FW-RG kaynak grubuna gidin ve Test-FW01 güvenlik duvarını seçin.
Güvenlik duvarı özel ve genel IP adreslerini not edin. Bu adresleri daha sonra kullanacaksınız.

Varsayılan rota oluşturma

Workload-SN alt ağında varsayılan giden rotayı güvenlik duvarından geçecek şekilde yapılandırın.

Azure portalı menüsünde Tüm hizmetler'i seçin veya herhangi bir sayfadan Tüm hizmetler'i arayın ve seçin.
Ağ altında Rota tabloları'yı seçin.
Oluştur'u seçin ve ardından aşağıdaki değerleri girin veya seçin:

Ayar Value

Abonelik Azure aboneliği seçin.

Kaynak grubu Test-FW-RG'yi seçin.

Bölge Daha önce kullandığınız konumu seçin.

Veri Akışı Adı Güvenlik duvarı yolu girin.
Gözden geçir ve oluştur’u seçin.
Oluştur'u belirleyin.

Dağıtım tamamlandıktan sonra Kaynağa git'i seçin.

Güvenlik duvarı yolu sayfasındaki Ayarlar'ın altında Alt ağlar'ı ve ardından İlişkilendir'i seçin.
Sanal ağ için Test-FW-VN'yi seçin.
Alt ağ için İş Yükü-SN'yi seçin.
Tamam'ı seçin.
Yollar'ı ve ardından Ekle'yi seçin.
Yol adı olarak fw-dg girin.
Hedef türü için IP Adresleri'ne tıklayın.
Hedef IP adresleri/CIDR aralıkları ön eki için 0.0.0.0/0 girin.
Sonraki atlama türü için Sanal gereç'i seçin.

Azure Güvenlik Duvarı, normalde yönetilen bir hizmettir ancak bu durumda sanal gereç kullanılabilir.
Sonraki atlama adresi için, daha önce not ettiğiniz güvenlik duvarının özel IP adresini girin.
Ekle'yi seçin.

Uygulama kuralı yapılandırma

Bu, öğesine www.google.comgiden erişime izin veren uygulama kuralıdır.

Test-FW-RG kaynak grubunu açın ve fw-test-pol güvenlik duvarı ilkesini seçin.
Ayarlar'ın altında Uygulama kuralları'nı seçin.
Kural koleksiyonu ekle'yi seçin.
Ad alanına App-Coll01 girin.
Öncelik için 200 girin.
Kural koleksiyonu eylemi için İzin Ver'i seçin.
Kurallar'ın altında, Ad alanına Allow-Google yazın.
Kaynak türü için IP adresi'ne tıklayın.
Kaynak alanına 10.0.2.0/24 girin.
Protokol:bağlantı noktası için http, https girin.
Hedef Türü için FQDN'yi seçin.
Hedef alanına www.google.com
Ekle'yi seçin.

Azure Güvenlik Duvarı'nda varsayılan olarak izin verilen altyapı FQDN'leri için yerleşik bir kural koleksiyonu bulunur. Bu FQDN'ler platforma özgüdür ve başka amaçlarla kullanılamaz. Daha fazla bilgi için bkz. Altyapı FQDN'leri.

Ağ kuralını yapılandırma

Bu, bağlantı noktası 53’deki (DNS) iki IP adresine giden erişime izin veren ağ kuralıdır.

Ağ kuralları'nı seçin.
Kural koleksiyonu ekle'yi seçin.
Ad alanına Net-Coll01 girin.
Öncelik için 200 girin.
Kural koleksiyonu eylemi için İzin Ver'i seçin.
Kural koleksiyonu grubu için DefaultNetworkRuleCollectionGroup'ı seçin.
Kurallar'ın altında, Ad alanına Allow-DNS yazın.
Kaynak türü için IP Adresi'ne tıklayın.
Kaynak alanına 10.0.2.0/24 girin.
Protokol alanında UDP'yi seçin.
Hedef Bağlantı Noktaları için 53 girin.
Hedef türü için IP adresini seçin.
Hedef alanına 209.244.0.3,209.244.0.4 girin.
Bunlar CenturyLink tarafından işletilen genel DNS sunucularıdır.
Ekle'yi seçin.

DNAT kuralını yapılandırma

Bu kural, uzak masaüstünü güvenlik duvarı üzerinden Srv-Work sanal makinesine bağlamanıza olanak tanır.

DNAT kurallarını seçin.
Kural koleksiyonu ekle'yi seçin.
Ad alanına RDP girin.
Öncelik için 200 girin.
Kural koleksiyonu grubu için DefaultDnatRuleCollectionGroup'ı seçin.
Kurallar'ın altında, Ad alanına rdp-nat yazın.
Kaynak türü için IP adresi'ne tıklayın.
Kaynak alanına girin*.
Protokol alanında TCP'yi seçin.
Hedef Bağlantı Noktaları için 3389 girin.
Hedef alanına güvenlik duvarı genel IP adresini girin.
Çevrilmiş tür için IP Adresi'ne tıklayın.
Çevrilmiş adres için Srv-work özel IP adresini girin.
Çevrilmiş bağlantı noktası için 3389 girin.
Ekle'yi seçin.

Srv-Work ağ arabiriminin birincil ve ikincil DNS adresini değiştirme

Bu öğreticideki test amacıyla sunucunun birincil ve ikincil DNS adreslerini yapılandırın. Bu genel bir Azure Güvenlik Duvarı gereksinimi değildir.

Azure portalı menüsünde Kaynak grupları'nı seçin veya herhangi bir sayfadan Kaynak grupları'nı arayın ve seçin. Test-FW-RG kaynak grubunu seçin.
Srv-Work sanal makinesi için ağ arabirimini seçin.
Ayarlar'ın altında DNS sunucuları'nı seçin.
DNS sunucuları'nın altında Özel'i seçin.
DNS sunucusu ekle metin kutusuna 209.244.0.3ve sonraki metin kutusuna 209.244.0.4 yazın.
Kaydet'i seçin.
Srv-Work sanal makinesini yeniden başlatın.

Güvenlik duvarını test etme

Şimdi güvenlik duvarını test edin ve beklendiği gibi çalıştığını onaylayın.

Uzak masaüstünü güvenlik duvarı genel IP adresine bağlayın ve Srv-Work sanal makinesinde oturum açın.
Microsoft Edge'i açın ve adresine https://www.google.comgidin.
Internet Explorer güvenlik uyarılarında Tamam Kapat'ı> seçin.

Google giriş sayfasını görmeniz gerekir.
https://www.microsoft.com adresine göz atın.

Güvenlik duvarının engellemesi gerekir.

Şimdi güvenlik duvarı kurallarının çalıştığını doğruladınız:

İzin verilen bir FQDN'ye göz atabilir ancak diğerlerine göz atamazsınız.
Yapılandırılmış dış DNS sunucusunu kullanarak DNS adlarını çözümleyebilirsiniz.

Kaynakları temizleme

Güvenlik duvarı kaynaklarını bir sonraki öğretici için tutabilirsiniz veya artık gerekli değilse Test-FW-RG kaynak grubunu silerek güvenlik duvarıyla ilgili tüm kaynakları silebilirsiniz.

Sonraki adımlar

Azure Güvenlik Duvarı Premium'Azure Güvenlik Duvarı dağıtma ve yapılandırma

Aracılığıyla paylaş