Öğretici: Azure portalı kullanılarak karma bir ağda Azure Güvenlik Duvarı'u ve ilkeyi dağıtma ve yapılandırma

Karma ağ oluşturmak için şirket içi ağınızı bir Azure sanal ağa bağladığınızda, genel güvenlik planınızın bir parçası olarak Azure ağ kaynaklarınıza erişimi denetlemeniz gerekir.

Azure Güvenlik Duvarı ve Güvenlik Duvarı İlkesi, izin verilen ve reddedilen ağ trafiğini tanımlayan kuralları kullanarak karma ağdaki ağ erişimini denetler.

Bu öğreticide üç sanal ağ oluşturacaksınız:

  • VNet-Hub - Güvenlik duvarı bu sanal ağdadır.
  • VNet-Spoke - Uç sanal ağ, Azure'da bulunan iş yükünü temsil eder.
  • VNet-Onprem - Şirket içi sanal ağ, şirket içi ağı temsil eder. Gerçek bir dağıtımda VPN veya ExpressRoute bağlantısı kullanarak bağlayabilirsiniz. Basitlik adına, bu öğreticide bir VPN ağ geçidi bağlantısı kullanılır ve Azure’daki bir sanal ağ, şirket içi bir ağı temsil eder.

Azure Güvenlik Duvarı aracılığıyla bağlanan merkez, uç ve şirket içi sanal ağlarla karma ağ mimarisini gösteren diyagram.

Bu eğitimde şunları öğreniyorsunuz:

  • Güvenlik duvarı hub'ı sanal ağını oluşturma
  • Uç sanal ağını oluşturma
  • Şirket içi sanal ağı oluşturma
  • Güvenlik duvarını ve politikayı yapılandırın ve dağıtın.
  • VPN ağ geçitlerini oluşturma ve bağlama
  • Merkez ve uç sanal ağlarını eşleştirip ilişkilendirme
  • Yolları oluşturma
  • Sanal makineyi oluşturma
  • Güvenlik duvarını test etme

Bunun yerine Azure PowerShell kullanmak için bkz. Azure PowerShell kullanarak karma ağda Azure Güvenlik Duvarı dağıtma ve yapılandırma.

Prerequisites

Karma ağ, Azure sanal ağları ile şirket içi ağlar arasındaki trafiği yönlendirmek için merkez-uç mimari modelini kullanır. Merkez-uç mimarisi aşağıdaki gereksinimlere sahiptir:

  • Spoke alt ağ trafiğini merkezdeki güvenlik duvarı üzerinden yönlendirmek için, güvenlik duvarını işaret eden ve Sanal ağ geçidi rota yayılımı seçeneği devre dışı bırakılmış bir kullanıcı tanımlı rota (UDR) kullanın. Sanal ağ geçidi rota yayma devre dışı seçeneği uç alt ağlarına yol dağıtımını engeller. Bu seçenek, öğrenilen yolların UDR'nizle çakışmasını önler. Sanal ağ geçidi rota yayılımı özelliğini etkin tutmak istiyorsanız, BGP üzerinden şirket içi ortamdan yayımlanan rotaları geçersiz kılmak için güvenlik duvarına belirli rotalar tanımladığınızdan emin olun.
  • Merkez ağ geçidi alt ağında, uç ağlarına bir sonraki atlama olarak güvenlik duvarı IP adresine işaret eden bir UDR yapılandırın. BGP'den yolları öğrendiğinden, Azure Güvenlik Duvarı alt ağından UDR gerekmez.

Bu yolların nasıl oluşturulduğunu öğrenmek için, bu öğreticideki Yolları oluşturma bölümüne bakın.

Note

Azure Güvenlik Duvarı internete bağlı olmalıdır. AzureFirewallSubnet'iniz BGP aracılığıyla şirket içi ağınıza yönelik varsayılan bir yol öğrenirse, doğrudan İnternet bağlantısını korumak için NextHopType değeri İnternet olarak ayarlanmış bir 0.0.0.0/0 UDR kullanarak bu yolu geçersiz kılmanız gerekir.

Azure Güvenlik Duvarı'nı zorla tünelleme için destekleyecek şekilde yapılandırabilirsiniz. Daha fazla bilgi için bkz. Azure Güvenlik Duvarı zorunlu tünelleme.

Note

Doğrudan eşlenmiş sanal ağlar arasındaki trafik, bir UDR varsayılan ağ geçidi olarak Azure Güvenlik Duvarı’u işaret etse bile doğrudan yönlendirilir. Bu senaryoda güvenlik duvarına alt ağdan alt ağa trafik göndermek için UDR'nin hedef alt ağ ön ekini her iki alt ağda da açıkça içermesi gerekir.

Eğer bir Azure aboneliğiniz yoksa, başlamadan önce ücretsiz bir hesap oluşturun.

Güvenlik duvarı hub'ı sanal ağını oluşturma

İlk olarak, bu öğreticinin kaynaklarını içerecek kaynak grubunu oluşturun:

  1. Azure portalınaoturum açın.
  2. Azure portalı giriş sayfasında Kaynak grupları
  3. Abonelik için aboneliğinizi seçin.
  4. Kaynak grubu adı için FW-Karma-Test girin.
  5. Bölge için (ABD) Doğu ABD'yi seçin. Daha sonra oluşturduğunuz tüm kaynaklar aynı konumda olmalıdır.
  6. Gözden Geçir + Oluştur'u ve ardından Oluştur'u seçin.

Ardından sanal ağı oluşturun:

Note

AzureFirewallSubnet alt ağı boyutu /26'dır. Alt ağ boyutu hakkında daha fazla bilgi için bkz. Azure Güvenlik Duvarı SSS.

  1. Azure portalı giriş sayfasında Kaynak oluştur'u seçin.
  2. Ağ'ın altında Sanal ağ'ı ve ardından Oluştur'u seçin.
  3. Kaynak grubu için FW-Karma-Test'i seçin.
  4. Ad alanına VNet-hub girin.
  5. Güvenlik sekmesinde İleri'yi seçin.
  6. IPv4 Adres alanı için 10.5.0.0/16 girin.
  7. Alt ağlar'ın altında varsayılan'ı seçin.
  8. Alt ağ amacı için Azure Güvenlik Duvarı'ı seçin.
  9. Başlangıç adresi için 10.5.0.0/26 girin.
  10. Kaydet'i, Gözden geçir + oluştur'u ve ardından Oluştur'u seçin.

Ağ geçidi için ikinci bir alt ağ oluşturun.

  1. Sanal ağ hub'ı sayfasında Alt ağlar'ı seçin.
  2. +Alt Ağ'ı seçin.
  3. Alt ağ amacı için Sanal Ağ Ağ Geçidi'ni seçin.
  4. Başlangıç adresi için 10.5.2.0/26 girin.
  5. Add (Ekle) seçeneğini belirleyin.

Uç sanal ağını oluşturma

  1. Azure portalı giriş sayfasında Kaynak oluştur'u seçin.
  2. Ağ bölümündeSanal ağ'ı ve ardından Oluştur'u seçin.
  3. Kaynak grubu için FW-Karma-Test'i seçin.
  4. Ad alanına VNet-Spoke girin.
  5. Bölge için (ABD) Doğu ABD'yi seçin.
  6. sonrakiseçin. Güvenlik sekmesinde İleri'yi seçin.
  7. IPv4 adres alanı için 10.6.0.0/16 girin.
  8. Alt ağlar'ın altında varsayılan'ı seçin.
  9. Ad alanına SN-Workload girin.
  10. Başlangıç adresi için 10.6.0.0/24 girin.
  11. Kaydet'i, Gözden geçir + oluştur'u ve ardından Oluştur'u seçin.

Şirket içi sanal ağı oluşturma

  1. Azure portalı giriş sayfasında Kaynak oluştur'u seçin.
  2. Ağ bölümündeSanal ağ'ı ve ardından Oluştur'u seçin.
  3. Kaynak grubu için FW-Karma-Test'i seçin.
  4. Ad için, VNet-OnPrem girin.
  5. Bölge için (ABD) Doğu ABD'yi seçin.
  6. sonrakiseçin. Güvenlik sekmesinde İleri'yi seçin.
  7. IPv4 adres alanı için 192.168.0.0/16 girin.
  8. Alt ağlar'ın altında varsayılan'ı seçin.
  9. Ad alanına SN-Corp girin.
  10. Başlangıç adresi için 192.168.1.0/24 girin.
  11. Kaydet'i, Gözden geçir + oluştur'u ve ardından Oluştur'u seçin.

Ağ geçidi için ikinci bir alt ağ oluşturun.

  1. VNet-OnPrem sayfasında Alt ağlar'ı seçin.
  2. +Alt Ağ'ı seçin.
  3. Alt ağ amacı için Sanal Ağ Ağ Geçidi'ni seçin.
  4. Başlangıç adresi için 192.168.2.0/24 girin.
  5. Add (Ekle) seçeneğini belirleyin.

Güvenlik duvarını yapılandırma ve dağıtma

Güvenlik duvarını, güvenlik duvarı hub sanal ağına dağıtın.

  1. Azure portalı giriş sayfasında Kaynak oluştur'u seçin.

  2. Güvenlik Duvarı'nı arayın, sonuçlardan seçin ve ardından Oluştur'u seçin.

  3. Güvenlik Duvarı Oluştur'da, güvenlik duvarını yapılandırmak için aşağıdaki tabloyu kullanın:

    Ayar Değer
    Abonelik <aboneliğiniz>
    Kaynak grubu FW-Hybrid-Test
    Name AzFW01
    Bölge Doğu ABD
    Güvenlik duvarı katmanı Standard
    Güvenlik duvarı yönetimi Bu güvenlik duvarını yönetmek için Güvenlik Duvarı İlkesi kullanın
    Güvenlik duvarı ilkesi Yeni ekle:
    hybrid-test-pol
    Doğu ABD
    Bir sanal ağ seçin Mevcut olanı kullan:
    VNet-hub
    Genel IP adresi Yeni ekle:
    fw-pip

  4. Bu eğitimin doğrudan internet yapılandırması için Firewall Management NIC'i etkinleştir seçeneğini temizleyin ve ardından Next: Advanced'i seçin.

  5. Bu öğretici için NAT ağ geçidini etkinleştir seçeneğini işaretlemeden bırakın. Güvenlik duvarı oluşturma sırasında StandardV2 NAT ağ geçidini yapılandırmak için bkz. NAT ağ geçidini Azure Güvenlik Duvarı ile tümleştirme.

  6. Next: Tags seçeneğini belirleyin, ardından Next: Review + create seçeneğini belirleyin. Ayarları gözden geçirin ve oluştur'u seçin.

    Dağıtım birkaç dakika sürer.

  7. Dağıtım tamamlandıktan sonra FW-Hybrid-Test kaynak grubuna gidin ve AzFW01 güvenlik duvarını seçin.

  8. Özel IP adresini not edin. Bunu daha sonra varsayılan yolu oluştururken kullanırsınız.

Ağ kurallarını yapılandırma

İlk olarak, web trafiğine izin vermek için bir ağ kuralı ekleyin.

  1. FW-Hybrid-Test kaynak grubunda karma-test-pol Güvenlik Duvarı İlkesi'ni seçin.
  2. Ayarlar'ın altında Ağ kuralları'nı seçin.
  3. Kural koleksiyonu ekle'yi seçin.
  4. Ad için RCNet01 yazın.
  5. Öncelik için 100 girin.
  6. Kural koleksiyonu eylemi için İzin Ver'i seçin.
  7. Kurallar altında, Ad için AllowWeb girin.
  8. Kaynak türü için IP adresi'ne tıklayın.
  9. Kaynak alanına girin192.168.1.0/24.
  10. Protokol alanında TCP'yi seçin.
  11. Hedef Bağlantı Noktaları alanına girin80.
  12. Hedef türü için IP adresi'ne tıklayın.
  13. Hedef alanına girin10.6.0.0/16.
  14. Add (Ekle) seçeneğini belirleyin.

VPN ağ geçitlerini oluşturma ve bağlama

Merkez ve şirket içi sanal ağlar VPN ağ geçitleri üzerinden bağlanır.

VPN ağ geçitlerini oluşturma

Hem merkez hem de şirket içi sanal ağlar için bir VPN ağ geçidi oluşturun. Ağdan ağa yapılandırmalar için RouteBased VpnType gerekir. VPN ağ geçidinin oluşturulması, seçili VPN ağ geçidi SKU’suna bağlı olarak 45 dakika veya daha uzun sürebilir.

Tablodaki değerleri kullanarak her ağ geçidi için aşağıdaki adımları yineleyin.

Ayar Hub ağ geçidi Şirket içi ağ geçidi
Name GW-hub GW-Onprem
Sanal ağ VNet-hub VNet-Onprem
Genel IP adresi VNet-hub-GW-pip VNet-Onprem-GW-pip
İkinci Genel IP adresi VNet-hub-GW-pip2 VNet-Onprem-GW-pip2
  1. Azure portalı giriş sayfasında Kaynak oluştur'u seçin.
  2. Arama kutusuna sanal ağ geçidi yazın ve Enter tuşuna basın.
  3. Sanal ağ geçidi'ni ve ardından Oluştur'u seçin.
  4. Tablodan Name değerini girin.
  5. Bölge için daha önce kullandığınız bölgeyi seçin.
  6. Ağ geçidi türü için VPN'yi seçin.
  7. SKU için VpnGw1AZ'ı seçin. Yeni dağıtımlar için erişilebilirlik bölgesi destekli bir SKU gereklidir. Daha fazla bilgi için VPN Gateway SKU birleştirme bölümüne bakınız.
  8. Tablodan Sanal ağı seçin.
  9. Etkin-aktif moduetkinleştir olarak ayarlayın, böylece her geçit tabloda listelenen iki genel IP adresi olsun.
  10. Genel IP adresi için Yeni oluştur'u seçin ve tablodan adı girin.
  11. İkinci Genel IP adresi için Yeni oluştur'u seçin ve tablodan adı girin.
  12. Kalan varsayılanları kabul edin, Gözden geçir + oluştur'u ve ardından Oluştur'u seçin.

VPN bağlantılarını oluşturma

Merkez ile şirket içi ağ geçitleri arasında VPN bağlantıları oluşturun. Her yön için bir bağlantı gerekir ve paylaşılan anahtar iki tarafta da aynı olmalıdır.

Tablodaki değerleri kullanarak her bağlantı için aşağıdaki adımları yineleyin.

Ayar Hub'dan şirket içi ortama Şirket içi merkezden merkeze
Açılacak ağ geçidi GW-hub GW-Onprem
Bağlantı adı Hub-Onprem Şirket İçi-Hub
İlk sanal ağ geçidi GW-hub GW-Onprem
İkinci sanal ağ geçidi GW-Onprem GW-hub
  1. FW-Hybrid-Test kaynak grubunu açın ve tablodan ağ geçidini seçin.
  2. Ayarlar'ın altında sol sütundaki Bağlantılar'ı seçin.
  3. Add (Ekle) seçeneğini belirleyin.
  4. Tablodan Bağlantı adını girin.
  5. Bağlantı türü için VNet’ten VNet’e seçeneğini belirleyin.
  6. İleri: Ayarlar'ı seçin.
  7. Tablodan İlk sanal ağ geçidini ve İkinci sanal ağ geçidini seçin.
  8. Paylaşılan anahtar (PSK) için, bu laboratuvar için oluşturduğunuz güçlü bir paylaşılan anahtarı girin. Her iki bağlantı için de aynı değeri kullanın ve güvenli bir şekilde saklayın. Yayınlanmış bir örnek değeri tekrar kullanmayın.
  9. Gözden geçir ve oluştur'u seçin ve ardından Oluştur seçeneğini belirleyin.

Bağlantıyı doğrulama

Yaklaşık beş dakika sonra her iki bağlantının da durumu Bağlandı olmalıdır.

Merkez ve uç sanal ağlarını eşleştirip ilişkilendirme

Hub-and-spoke sanal ağlarını eşleştirin.

  1. FW-Hybrid-Test kaynak grubunu açın ve VNet-hub sanal ağını seçin.

  2. Sol sütunda Eşlemeler'i seçin.

  3. Add (Ekle) seçeneğini belirleyin.

  4. Uzak sanal ağ özeti altında:

    Ayarın adı Değer
    Eşleme bağlantısı adı SpoketoHub
    Abonelik <aboneliğiniz>
    Sanal ağ VNet-Spoke
    'VNet-Spoke' öğesinin 'VNet-hub' erişimine izin ver seçili
    'VNet-Spoke' öğesinin 'VNet-Hub'dan iletilen trafiği almasına izin ver seçili
    'VNet-Spoke' içindeki ağ geçidi veya yönlendirme sunucusunun trafiği 'VNet-Hub'a iletmesine izin ver seçilmedi
    'VNet-Hub'ın uzak ağ geçidini veya yol sunucusunu kullanmak için 'VNet-Spoke' özelliğini etkinleştirin seçili

  5. Yerel sanal ağ özeti altında:

    Ayarın adı Değer
    Eşleme bağlantısı adı HubtoSpoke
    'VNet-hub'ın 'VNet-Spoke' erişimine izin ver seçili
    'VNet-hub'ın 'VNet-Spoke' içinden iletilen trafiği almasına izin ver seçili
    'VNet-Hub' içindeki ağ geçidi veya yönlendirme sunucusunun trafiği 'VNet-Spoke' adresine iletmesine izin verme seçili
    'VNet-Hub'ı 'VNet-Spoke' uzak ağ geçidini veya yol sunucusunu kullanmak için etkinleştirin seçilmedi

  6. Add (Ekle) seçeneğini belirleyin.

    Merkez-uç sanal ağları arasındaki sanal ağ eşleme yapılandırmasını gösteren ekran görüntüsü.

Yolları oluşturma

Ardından iki yol tablosu oluşturun:

  • Güvenlik duvarı IP adresi üzerinden hub ağ geçidi alt ağından uç alt ağına giden bir yol
  • Spoke alt ağından güvenlik duvarı IP adresi üzerinden geçen varsayılan bir yol

Tablodaki değerleri kullanarak her yol tablosu için aşağıdaki adımları yineleyin.

Ayar Merkez-uç yolu Varsayılan spoke rotası
Yol tablosu adı UDR-Hub-Spoke UDR-DG
Ağ geçidi rotasını yayma Evet (varsayılan) Hayır
Yol adı ToSpoke ToHub
Hedef IP adresleri/CIDR aralıkları 10.6.0.0/16 0.0.0.0/0
Sanal ağı ilişkilendir VNet-hub Sanal ağ uç
Alt ağı ilişkilendir GatewaySubnet SN-İş Yükü
  1. Azure portalı giriş sayfasında Kaynak oluştur'u seçin.
  2. Arama kutusuna yol tablosu yazın ve Enter tuşuna basın.
  3. Yol tablosu'nu ve ardından Oluştur'u seçin.
  4. Kaynak grubu için FW-Karma-Test'i seçin.
  5. Bölge için daha önce kullandığınız konumu seçin.
  6. Tablodan yol tablosunun Adını girin. Varsa, Ağ geçidi yolunu yay seçeneğini Hayır olarak ayarlayın.
  7. Gözden Geçir + Oluştur'u ve ardından Oluştur'u seçin.
  8. Yol tablosu oluşturulduktan sonra, yönlendirme tablosu sayfasını açmak için bu tabloyu seçin.
  9. Ayarlar'ın altında sol sütundaki Yollar'ı seçin.
  10. Add (Ekle) seçeneğini belirleyin.
  11. Tablodan Yol adını girin.
  12. Hedef türü için IP Adresleri'ne tıklayın.
  13. Tablodan Hedef IP adreslerini/CIDR aralıklarını girin.
  14. Sonraki atlama türü içinSanal cihazı seçin.
  15. Sonraki atlama adresi için güvenlik duvarının daha önce not ettiğiniz özel IP adresini yazın.
  16. Add (Ekle) seçeneğini belirleyin.

Her yol tablosunu alt ağıyla ilişkilendirin.

  1. Yönlendirme tablosu sayfasında Alt ağlar'ı seçin.
  2. İlişkilendir öğesini seçin.
  3. Tablodan Sanal ağı ve Alt Ağı seçin.
  4. Tamam'ı seçin.

Sanal makine oluşturma

İlgili iş yükünü ve şirket içi sanal makineleri oluşturun ve uygun alt ağlara yerleştirin.

İş yükü sanal makinesi oluşturma

Spoke sanal ağında, genel IP adresi olmayan, NGINX çalıştıran bir sanal makine oluşturun.

  1. Azure portalı giriş sayfasında Kaynak oluştur'u seçin.
  2. Popüler Market ürünleri bölümünde Ubuntu Server 24.04 LTS'yi seçin.
  3. Sanal makine için şu değerleri girin:
    • Kaynak grubu - FW-Hybrid-Test seçin
    • Sanal makine adı: VM-Spoke-01
    • Bölge - Daha önce kullandığınız bölge
    • Görüntü - Ubuntu Server 24.04 LTS - x64 Gen2
    • Boyut - Standard_B2s
    • Kimlik doğrulama türü - SSH ortak anahtarı
    • Kullanıcı adı: azureuser
    • SSH ortak anahtar kaynağı - Yeni anahtar çifti oluşturma
    • Anahtar çifti adı - VM-Spoke-01_key
  4. Genel gelen bağlantı noktaları için Yok'u seçin.
  5. İleri: Diskler'i seçin, varsayılanları kabul edin ve ardından İleri: Ağ'ı seçin.
  6. Sanal ağ için VNet-Spoke öğesini seçin ve alt ağ SN-Workload'dür.
  7. Genel IP için Yok'a tıklayın.
  8. İleri: Yönetim'i ve ardından İleri: İzleme'yi seçin.
  9. Önyükleme tanılaması için Devre dışı bırak'ı seçin.
  10. Gözden Geçir + Oluştur'u seçin, özet sayfasındaki ayarları gözden geçirin ve ardından Oluştur'u seçin.
  11. Yeni anahtar çifti oluştur iletişim kutusunda Özel anahtarı indir ve kaynak oluştur'u seçin. Anahtar dosyasını VM-Spoke-01_key.pem olarak kaydedin.

Nginx'i yükleme

Sanal makineyi oluşturduktan sonra Nginx web sunucusunu yükleyin.

Spoke'ın varsayılan güzergahı, internet trafiğini Azure Güvenlik Duvarı üzerinden gönderir. AllowWeb kuralı, şirket içi ağdan spoke ağa HTTP trafiğine izin verir; spoke ağdan paket indirilmesine izin vermez. Kurulum için geçici bir uygulama kuralı ekleyin ve güvenlik duvarını test etmeden önce kaldırın.

  1. hybrid-test-pol öğesini açın. Ayarlar>Kuralları'nın altında Uygulama kuralları>Kural koleksiyonu ekle'yi seçin.

  2. Aşağıdaki değerleri girin:

    Ayar Değer
    Name Install-Nginx
    Kural koleksiyonu türü Application
    Priority 100
    Kural derleme eylemi İzin ver
    Kural derleme grubu DefaultApplicationRuleCollectionGroup
    Kural adı Allow-Package-Repositories
    Kaynak türü IP adresi
    Source 10.6.0.0/24
    Protokol:Port http:80, https:443
    Hedef türü FQDN
    Hedef FQDN'ler azure.archive.ubuntu.com, archive.ubuntu.com, security.ubuntu.com, packages.microsoft.com

  3. Ekle seçeneğini seçin ve politika güncellemesinin tamamlanmasını bekleyin. Bu eğitim için VM'nin varsayılan Azure tarafından sağlanan DNS ayarlarını koruyun.

  4. Azure portalında Cloud Shell'i açın ve Bash olarak ayarlandığından emin olun.

  5. Sanal makineye nginx yüklemek için az vm run-command invoke komutunu kullanın:

    az vm run-command invoke \
   --resource-group FW-Hybrid-Test \
   --name VM-Spoke-01 \
   --command-id RunShellScript \
   --scripts 'set -eu; sudo apt-get update; sudo apt-get install -y nginx; hostname | sudo tee /var/www/html/index.html; curl --fail http://localhost'
    1. Komutun başarıyla tamamlandığını ve yerel web sunucusundan spoke VM'nin ana adını döndürdüğünü doğrulayın. Paket indirmeleri başarısız olursa, hata içindeki depo ana adını geçici kuralla karşılaştırın. Sadece yapılandırılmış paket depolarına izin verin; bir joker internet kuralı eklemeyin. Ubuntu'da APT ile ilgili yaygın sorunları çözme bölümünü inceleyebilirsiniz.
    2. hybrid-test-pol'a geri dönün ve Install-Nginx kural koleksiyonunu silin. Devam etmeden önce politika güncellemesinin tamamlanmasını bekleyin.

Şirket içi sanal makineyi oluşturma

Azure Bastion kullanarak bağlanmak için bu sanal makineyi kullanın. Buradan, güvenlik duvarı üzerinden spoke sunucuya bağlanırsınız.

  1. Azure portalı giriş sayfasında Kaynak oluştur'u seçin.
  2. Popüler Market ürünleri bölümünde Ubuntu Server 24.04 LTS'yi seçin.
  3. Sanal makine için şu değerleri girin:
    • Kaynak grubu - Var olanı seçin ve ardından FW-Karma-Test'i seçin.
    • Sanal makine adı - VM-Onprem.
    • Bölge - Daha önce kullandığınız bölge.
    • Görüntü - Ubuntu Server 24.04 LTS - x64 Gen2
    • Boyut - Standard_B2s
    • Kimlik doğrulama türü - SSH ortak anahtarı
    • Kullanıcı adı: azureuser
    • SSH ortak anahtar kaynağı - Yeni anahtar çifti oluşturma
    • Anahtar çifti adı - VM-Onprem_key
  4. Genel gelen bağlantı noktaları için Yok'u seçin.
  5. İleri: Diskler'i seçin, varsayılanları kabul edin ve ardından İleri: Ağ'ı seçin.
  6. Sanal ağ için VNet-Onprem'i seçtiğinizde alt ağ SN-Corp olur.
  7. Genel IP için Yok'a tıklayın. Bu sanal ağda Bastion üzerinden bağlantı kuruyorsunuz.
  8. İleri: Yönetim'i ve ardından İleri: İzleme'yi seçin.
  9. Önyükleme tanılaması için Devre dışı bırak'ı seçin.
  10. Gözden Geçir + Oluştur'u seçin, özet sayfasındaki ayarları gözden geçirin ve ardından Oluştur'u seçin.
  11. Yeni anahtar çifti oluştur iletişim kutusunda Özel anahtarı indir ve kaynak oluştur'u seçin. Anahtar dosyasını VM-Onprem_key.pem olarak kaydedin.

Note

Azure, ya genel bir IP adresi atanmamış olan ya da iç Azure temel yük dengeleyicisinin arka uç havuzunda bulunan VM'ler için varsayılan bir dışa giden erişim IP'si sağlar. Varsayılan giden erişim IP mekanizması, yapılandırılamayan bir giden IP adresi sağlar.

Aşağıdaki olaylardan biri gerçekleştiğinde varsayılan giden erişim IP'si devre dışı bırakılır:

Sanal makine ölçek kümelerini esnek düzenleme modunda kullanarak oluşturduğunuz VM'lerin varsayılan giden erişimi yoktur.

Azure'daki giden bağlantılar hakkında daha fazla bilgi için bkz . Azure'da varsayılan giden erişim ve giden bağlantılar için Kaynak Ağ Adresi Çevirisi'ni (SNAT) kullanma.

Azure Bastion’ı dağıtma

Azure Bastion Basic'i VNet-Onprem'de deploy ederek doğrudan VM-Onprem'e bağlanın. Tarayıcıto-VM bağlantısının VPN geçitlerini aşmasına gerek yok. VM-Onprem'den gönderdiğiniz web isteği yine de uç ağa ulaşmak için VPN bağlantısından ve Azure Güvenlik Duvarı'dan geçer.

  1. VNet-Onprem'i açın, Subnet'leri seçin ve + Subnet'i seçin.

  2. Alt ağ amacı için Azure Bastion'ı seçin. Adın AzureBastionSubnet olduğunu doğrulayın, Başlangıç adresiiçin 192.168.3.0 girin ve Boyutiçin /26 seçin. Add (Ekle) seçeneğini belirleyin.

  3. Azure portalı menüsünde Kaynak oluştur'u seçin.

  4. Arama kutusuna Bastion yazın ve sonuçlardan seçin.

  5. Oluştur'i seçin.

  6. Bastion Oluştur'da aşağıdaki ayarları yapılandırın:

    Ayar Değer
    Abonelik Aboneliğinizi seçin
    Kaynak grubu FW-Hybrid-Test
    Name Onprem-Bastion
    Bölge Diğer kaynaklarınızla aynı
    Katman Basic
    Sanal ağ VNet-Onprem
    Subnet AzureBastionSubnet
    Genel IP adresi Public-ip-bastion adlı yeni bir Standart, statik bir halka açık IP adresi oluşturun.

    Bastion Basic, özel bir alt ağ ve genel IP adresi gerektirir ve konuşlandırılırken ücret talep eder. Konfigürasyon gereksinimleri için bkz. Azure Bastion configuration settings.

  7. Seçin, gözden geçir ve oluştur. Doğrulama başarılı olduktan sonra Oluştur'u seçin.

Güvenlik duvarını test etme

  1. İlk olarak, VM-spoke-01 sanal makinesi için özel IP adresini not edin.

  2. Azure portalından VM-Onprem sanal makinesine gidin.

  3. Bastion ile Bağlan'ı> seçin.

  4. Yerel Dosyadan SSH Özel Anahtarı Kullan'ı seçin.

  5. Kullanıcı adı alanına azureuser girin.

  6. Daha önce indirdiğiniz VM-Onprem_key.pem dosyasına gidin ve dosyayı seçin.

  7. Bağlan seçeneğini seçin.

  8. VM-Onprem üzerindeki SSH oturumundan uç sanal ağında web sunucusunu test edin:

    curl http://<VM-spoke-01 private IP>

    Web sunucusu bir yanıt döndürür.

Ardından, güvenlik duvarı kurallarının beklendiği gibi çalıştığını doğrulamak için güvenlik duvarı ağ kuralı koleksiyonu eylemini Reddet olarak değiştirin.

  1. Hybrid-test-pol Güvenlik Duvarı İlkesi'ni seçin.
  2. Kural Koleksiyonları'ı seçin.
  3. RCNet01 kural koleksiyonunu seçin.
  4. Kural koleksiyonu eylemi için Reddet'i seçin.
  5. Kaydetseçeneğini seçin.

Testi yeniden çalıştırın. Bu kez test başarısız olur.

Kaynakları temizle

Sonraki öğreticide güvenlik duvarı kaynaklarınızı koruyun veya artık bunlara ihtiyacınız yoksa, güvenlik duvarıyla ilgili tüm kaynakları silmek için FW-Hybrid-Test kaynak grubunu silin.

Sonraki Adımlar

Azure Güvenlik Duvarı Premium'u dağıt ve yapılandır

  • Son güncelleştirme: