Azure Güvenlik Duvarı için en iyi mimari yöntemleri

Azure Güvenlik Duvarı, Azure'da çalışan bulut iş yükleriniz için en iyi tehdit koruması sağlayan bulutta yerel ve akıllı bir ağ güvenlik duvarı güvenlik hizmetidir. Yerleşik yüksek kullanılabilirliğe ve sınırsız bulut ölçeklenebilirliğine sahip tam durum bilgisi olan, yönetilen bir güvenlik duvarı hizmetidir. Azure Güvenlik Duvarı hem doğu-batı hem de kuzey-güney trafik denetimi sağlar.

Bu makale, bir mimar olarak sanal ağ güvenliği seçeneklerini gözden geçirdiğinizi ve iş yükünüz için ağ güvenliği hizmeti olarak Azure Güvenlik Duvarı'u seçtiğinizi varsayar. Bu makaledeki kılavuz, Azure Well-Architected Framework sütunlarının ilkeleriyle eşleştirilen mimari öneriler sunar.

Teknoloji kapsamı

Bu gözden geçirme, aşağıdaki Azure kaynakları için birbiriyle ilişkili kararlara odaklanır:

• Azure Güvenlik Duvarı
• Azure Güvenlik Duvarı Yöneticisi

Reliability

Güvenilirlik sütununun amacı, yeterli dayanıklılık ve hatalardan hızlı kurtarma olanağı oluşturarak sürekli işlevsellik sağlamaktır.

Güvenilirlik tasarım ilkeleri, tek tek bileşenlere, sistem akışlarına ve bir bütün olarak sisteme uygulanan üst düzey bir tasarım stratejisi sunar.

İş yükü tasarımı denetim listesi

Tasarım stratejinizi, Güvenilirlik için tasarım gözden geçirme denetim listesini temel alıp başlatın. Kullandığınız ilkeleri ve mimari türünü göz önünde bulundurarak iş gereksinimlerinizle ilgili olup olmadığını belirleyin. Gerektiğinde daha fazla yaklaşım içerecek şekilde stratejiyi genişletin.

• Azure Güvenlik Duvarı bilinen sorunlar listesini gözden geçirin. Azure Güvenlik Duvarı ürünleri , bilinen sorunların güncelleştirilmiş bir listesini tutar. Bu liste tasarıma göre davranışlar, yapım aşamasındaki düzeltmeler, platform sınırlamaları ve olası geçici çözümler veya risk azaltma stratejileri hakkında önemli bilgiler içerir.

• Azure Güvenlik Duvarı ilkenizin Azure Güvenlik Duvarı sınırlarına ve önerilerine uydığından emin olun. İlke yapısının kuralların ve kural toplama gruplarının sayısı, toplam ilke boyutu, kaynak hedefler ve hedef hedefler dahil olmak üzere sınırları vardır. İlkenizi oluşturmayı ve belgelenen eşiklerin altında kalmayı unutmayın.

• Daha yüksek bir hizmet düzeyi sözleşmesi (SLA) için Azure Güvenlik Duvarı birden çok kullanılabilirlik alanına dağıtın. Azure Güvenlik Duvarı, hizmeti tek bir kullanılabilirlik alanında mı yoksa birden çok bölgede mi dağıttığınıza bağlı olarak farklı SLA'lar sağlar. Daha fazla bilgi için, çevrimiçi hizmetlere yönelik SLA'lara bakın. Azure Güvenlik Duvarı güvenilirliği hakkında daha fazla bilgi için bkz. Azure Güvenlik Duvarı'nda güvenilirlik.

• Çok bölgeli ortamlarda her bölgede bir Azure Güvenlik Duvarı örneği dağıtın. Geleneksel merkez ve bağlı uç mimarileri için Çok bölgeli hususlar bölümüne bakın. Güvenli Azure Sanal WAN hub’ları için, merkezler arası ve şubeden şubeye iletişimi güvence altına almak üzere yönlendirme amacı ve ilkelerini yapılandırın. Hataya dayanıklı ve hataya dayanıklı iş yükleri için bölgesel kaynaklar olarak Azure Güvenlik Duvarı ve Azure Sanal Ağ örneklerini göz önünde bulundurun.

• Azure Güvenlik Duvarı ölçümlerini ve kaynak sistem durumunu izleyin. Azure Güvenlik Duvarı, Azure Kaynak Durumu ile tümleşir. Azure Güvenlik Duvarı sistem durumunu görüntülemek ve Azure Güvenlik Duvarı kaynağınızı etkileyebilecek hizmet sorunlarını gidermek için Kaynak Durumu denetimini kullanın.

• hub sanal ağlarında veya Sanal WAN hub'larının bir parçası olarak Azure Güvenlik Duvarı dağıtın.

Note

Ağ hizmetlerinin kullanılabilirliği, geleneksel merkez-uç modeliyle Sanal WAN yönetilen güvenli merkezler modeli arasında farklılık gösterir. Örneğin, bir Sanal WAN hub’ında Azure Güvenlik Duvarı’nın genel IP’si bir genel IP ön ekinden gelemez ve Azure DDoS Koruması etkinleştirilemez. Modelinizi seçtiğinizde, İyi Tasarlanmış Çerçeve'nin beş yapı taşındaki gereksinimlerinizi göz önünde bulundurun.

Yapılandırma önerileri

Recommendation	Benefit
Azure Güvenlik Duvarı’nı birden çok kullanılabilirlik bölgesine dağıtın.	Belirli bir dayanıklılık düzeyini korumak için Azure Güvenlik Duvarı birden çok kullanılabilirlik alanına dağıtın. Bir bölgede kesinti yaşanırsa, başka bir bölge trafiğe hizmet etmeye devam eder.
Azure Güvenlik Duvarı ölçümlerini bir Log Analytics çalışma alanında izleyin. Aktarım hızı, Güvenlik Duvarı sistem durumu, SNAT bağlantı noktası kullanımı ve AZFW gecikme süresi yoklaması ölçümleri gibi Azure Güvenlik Duvarı sistem durumunu gösteren ölçümleri yakından izleyin. Azure Güvenlik Duvarı durumunu izlemek için Azure Hizmet Durumu'i kullanın.	Kaynak ölçümlerini ve hizmet durumunu izleyerek hizmet durumunun ne zaman düşebileceğini algılayabilir ve hataları önlemek için proaktif önlemler alabilirsiniz.
Kayıtlı veya değişen özel ön ekleri olan karma ağlar için otomatik öğrenme SNAT yollarını yapılandırın ve öğrenilen ön ekleri doğrulayın. VNet güvenlik duvarları, güvenlik duvarı sanal ağı içinde Azure Route Server gerektirir; güvenli sanal hub’lar Azure Route Server’ı içerir.	Azure Güvenlik Duvarı, öğrenilen ön ekleri düzenli aralıklarla iç No-SNAT hedefleri olarak değerlendirir ve bu da kaynak IP adreslerini korur ve el ile aralık bakımını azaltır. Yanlış öğrenilen yollar SNAT davranışını değiştirebilir, bu nedenle yol yayma işlemini izleyin ve dağıtım yordamlarında açık doğrulamayı koruyun.
Azure Güvenlik Duvarı sistem durumunu proaktif olarak izlemek ve olası düşüşler hakkında bildirim almak için Kaynak Durumu izlemesini etkinleştirin.	Olası sorunlar ve önerilen azaltma eylemleri hakkında erken uyarı sağlayarak operasyonel yanıt hızını artırır ve kapalı kalma süresini azaltır.

Security

Güvenlik sütununun amacı iş yüküne gizlilik, bütünlük ve kullanılabilirlik garantileri sağlamaktır.

Güvenlik tasarımı ilkeleri, Azure Güvenlik Duvarı'nın teknik tasarımına yönelik yaklaşımlar uygulayarak bu hedeflere ulaşmak için üst düzey bir tasarım stratejisi sunar.

İş yükü tasarımı denetim listesi

Tasarım stratejinize Güvenlik için tasarım gözden geçirme denetim listesine göre başlayın. Güvenlik duruşunu geliştirmek için güvenlik açıklarını ve denetimleri belirleyin. Gerektiğinde daha fazla yaklaşım içerecek şekilde stratejiyi genişletin.

• Tehditleri algılamak ve engellemek için iş yükünüzden tüm İnternet trafiğini bir güvenlik duvarı veya ağ sanal gereci (NVA) aracılığıyla gönderin. Azure Güvenlik Duvarı üzerinden trafiği zorlamak için kullanıcı tanımlı yolları (UDR) yapılandırın. Web trafiği için Azure Güvenlik Duvarı açık ara sunucu olarak kullanmayı göz önünde bulundurun.

  Giden bağlantıları korumak için bu sağlayıcıları kullanmak istiyorsanız Güvenlik Duvarı Yöneticisi'nin içinde desteklenen hizmet olarak iş ortağı yazılımı (SaaS) güvenlik sağlayıcılarını yapılandırın.

  genel IP adreslerinin doğrudan sanal makinelere bağlandığı durumlarda, trafiğin güvenlik duvarını atlayamaması için bunların kullanımını kısıtlayın. Azure Bulut Benimseme Çerçevesi modeli, CORP yönetim grubuna belirli bir Azure ilkesi atar.

  Güvenlik gereksinimleriniz, web uygulamaları için inceleme ve şifreleme ekleme gibi Sıfır Güven bir yaklaşım uygulamanızı gerektiriyorsa Azure Güvenlik Duvarı ve Application Gateway için Sıfır Güven yapılandırma kılavuzunu izleyin. Hem geleneksel merkez-uç hem de Sanal WAN senaryoları için Azure Güvenlik Duvarı ve Application Gateway'i tümleştirmek için bu kılavuzu izleyin.

  Yol tablolarını yapılandıramamanıza neden olan senaryolarda , açık ara sunucu modu istemci uygulamalarının yönlendirme tablosu değişiklikleri olmadan HTTP ve HTTPS trafiğini doğrudan güvenlik duvarına göndermesine olanak tanır. Bu seçenek, UDR tabanlı trafiğe müdahalenin büyük ölçekte sürdürülmesinin zor olduğu hibrit veya sanal ağ dağıtımlarında giden trafiğin incelenmesini basitleştirebilir. Bu yaklaşım istemcilerin ara sunucuyu doğru yapılandırmama riskini getirir, bu nedenle yalnızca rota tablosu değişiklikleri mümkün olmadığında geri dönüş olarak kullanılmalıdır.

  Daha fazla bilgi için bkz. Uçta güvenlik duvarlarını uygulama.

• Ağ çevreleri oluşturun; bunu, etki alanını denetlemek, iş yükü kaynaklarını gizlemek ve beklenmeyen, yasaklanmış ve güvensiz erişimleri engellemek için iş yükü segmentasyon stratejinizin bir parçası olarak yapın. Azure Güvenlik Duvarı ilkeleri için en düşük ayrıcalık erişim ölçütlerini temel alan kurallar oluşturun.

  Azure Güvenlik Duvarı'nı zorlamalı tünel modunda yapılandırırken tam özel bir veri düzlemi dağıtmak için genel IP adresini Yok olarak ayarlayın. Bu yaklaşım Sanal WAN için geçerli değildir.

  Yönetimi basitleştirmek için ağ kuralları tanımlarken tam etki alanı adlarını (FQDN) ve hizmet etiketlerini kullanın.

• Tehditleri ve kötüye kullanım işaretlerini dikkatle izlemek için algılama mekanizmalarını kullanın. Platform tarafından sağlanan algılama mekanizmalarından ve ölçülerinden yararlanın. İzinsiz giriş algılama ve önleme sistemini (IDPS) etkinleştirin. Azure DDoS Koruması planını merkez sanal ağınızla ilişkilendirin. Mümkün olduğunda yapay zeka destekli güvenlik özellikleriyle tehdit analizini geliştiren özellikleri keşfedin.

  Daha fazla bilgi için bkz. Kötüye kullanımı tespit etme.

Yapılandırma önerileri

Recommendation	Benefit
İnternete giden tüm trafiği doğrudan internete değil, belirlenmiş sonraki atlama noktasına yönlendirmeniz gerekiyorsa Azure Güvenlik Duvarı'nı zorunlu tünelleme modunda yapılandırın. Bu öneri Sanal WAN için geçerli değildir. Azure Güvenlik Duvarı internete bağlı olmalıdır. AzureFirewallSubnet'iniz Sınır Ağ Geçidi Protokolü aracılığıyla şirket içi ağınıza yönelik varsayılan bir yol öğrenirse, Azure Güvenlik Duvarı'nı zorlamalı tünel modunda yapılandırmanız gerekir. zorlamalı tünel özelliğini kullanarak Azure Güvenlik Duvarı Yönetimi alt ağı için başka bir /26 adres alanı ekleyebilirsiniz. Alt ağı AzureFirewallManagementSubnet olarak adlandırın. Zorlamalı tünel modunda yeniden yapılandıramadığınız mevcut bir Azure Güvenlik Duvarı örneğiniz varsa, 0.0.0.0/0 rotasına sahip bir UDR oluşturun. NextHopType değerini İnternet olarak ayarlayın. İnternet bağlantısını korumak için UDR'yi AzureFirewallSubnet ile ilişkilendirin. Azure Güvenlik Duvarı'nı zorlamalı tünel modunda yapılandırırken tam özel bir veri düzlemi dağıtmak için genel IP adresini Yok olarak ayarlayın. Ancak yönetim düzlemi hala yalnızca yönetim amacıyla genel IP gerektirir. Sanal ve şirket içi ağlardan gelen iç trafik bu genel IP'yi kullanmaz.	Azure kaynaklarınızı doğrudan İnternet'te kullanıma sunmamak için zorlamalı tünel kullanın. Bu yaklaşım saldırı yüzeyini azaltır ve dış tehdit riskini en aza indirir. Şirket ilkelerini ve uyumluluk gereksinimlerini daha etkili bir şekilde uygulamak için, İnternet'e bağlı tüm trafiği şirket içi güvenlik duvarı veya NVA aracılığıyla yönlendirin.
Merkezi bir temel ilkeyi katmanlayan hiyerarşik bir yapıda Güvenlik duvarı ilkeleri için kurallar oluşturun. Daha fazla bilgi için bkz. Kural işleme için Azure Güvenlik Duvarı ilkelerini kullanma. Kurallarınızı en az ayrıcalık erişimi Sıfır Güven ilkesine göre oluşturun	Ayrıntılı ilkelerin belirli bölgelerin gereksinimlerini karşılayabilmesi için kuralları hiyerarşik bir yapıda düzenleyin. Her ilke, belirli önceliklere, eylemlere ve işleme siparişlerine sahip farklı Hedef Ağ Adresi Çevirisi (DNAT), ağ ve uygulama kuralları kümeleri içerebilir.
Giden bağlantıları korumak için Güvenlik Duvarı Yöneticisi'nde desteklenen güvenlik iş ortağı sağlayıcılarını yapılandırın. Bu senaryo, sağlayıcının altyapısına bağlanmak için bir IPsec tüneli kullandığından hub'da bir S2S VPN ağ geçidi ile Sanal WAN gerektirir. Yönetilen güvenlik hizmeti sağlayıcıları, IPsec bağlantılarında ek lisans ücretleri alabilir ve aktarım hızını sınırlayabilir. Zscaler Bulut Bağlayıcısı gibi alternatif çözümleri de kullanabilirsiniz.	Azure Güvenlik Duvarı'deki güvenlik iş ortağı sağlayıcılarının, internet trafiğiniz için gelişmiş koruma sağlayan, türünün en iyisi bulut güvenliği tekliflerinden yararlanmasını sağlayın. Bu sağlayıcılar, genel güvenlik duruşunuzu geliştiren özelleştirilmiş, kullanıcı algılamalı filtreleme ve kapsamlı tehdit algılama özellikleri sunar.
Azure Güvenlik Duvarı DNS ara sunucusu yapılandırmasını etkinleştirin. Ayrıca, dns sorgularını iletmek için özel DNS kullanmak üzere Azure Güvenlik Duvarı yapılandırın.	Sanal ağlardaki istemcileri DNS sunucusu olarak Azure Güvenlik Duvarı'na yönlendirmek için bu özelliği etkinleştirin. Bu özellik, doğrudan erişilmeyen ve kullanıma sunulmayan iç DNS altyapısını korur.
UDR'leri, geleneksel hub-and-spoke mimarisinde uçlar arası, uçtan İnternet'e ve uçtan hibrit ortama bağlantı için trafiği Azure Güvenlik Duvarı üzerinden geçmeye zorlayacak şekilde yapılandırın. Sanal WAN'de, özel trafiği veya internet trafiğini hub’a tümleştirilmiş Azure Güvenlik Duvarı örneği üzerinden yeniden yönlendirmek için yönlendirme amacı ve ilkelerini yapılandırın. UDR uygulayamıyorsanız ve yalnızca web trafiği yeniden yönlendirmesi gerektiriyorsanız, giden yolda açık ara sunucu olarak Azure Güvenlik Duvarı'nı kullanın. Azure Güvenlik Duvarı'nı ara sunucu olarak yapılandırdığınızda, web tarayıcısı gibi isteği gönderen uygulamada bir ara sunucu ayarı yapılandırabilirsiniz.	Trafiği incelemek ve kötü amaçlı trafiği tanımlamaya ve engellemeye yardımcı olmak için güvenlik duvarı üzerinden trafik gönderin. Web trafiğinin güvenlik duvarının özel IP adresine ulaşması ve dolayısıyla UDR kullanmadan doğrudan güvenlik duvarından çıkması için giden trafik için açık bir ara sunucu olarak Azure Güvenlik Duvarı kullanın. Bu özellik, mevcut ağ yollarını değiştirmeden birden çok güvenlik duvarı kullanımını da kolaylaştırır.
Ağ kurallarında FQDN filtrelemeyi kullanın. Ağ kurallarınızda FQDN'leri kullanmak için Azure Güvenlik Duvarı DNS proxy yapılandırmasını etkinleştirmeniz gerekir.	Yöneticilerin birden çok IP adresi yerine etki alanı adlarını yönetebilmesi için Azure Güvenlik Duvarı ağ kurallarında FQDN'leri kullanın ve bu da yönetimi basitleştirir. Bu dinamik çözüm, etki alanı IP'leri değiştiğinde güvenlik duvarı kurallarının otomatik olarak güncelleştirilmesini sağlar.
Belirli IP adresleri yerine Azure Güvenlik Duvarı hizmet etiketlerini kullanarak Azure, Microsoft Dynamics 365 ve Microsoft 365’teki belirli hizmetlere seçici erişim sağlayın.	Belirli IP adresleri yerine hizmet adlarına göre erişim denetimleri tanımlayabilmeniz için ağ kurallarında hizmet etiketlerini kullanın ve bu da güvenlik yönetimini basitleştirir. MICROSOFT, IP adresleri değiştiğinde bu etiketleri otomatik olarak yönetir ve güncelleştirir. Bu yöntem, el ile müdahale olmadan güvenlik duvarı kurallarınızın doğru ve etkili kalmasını sağlar.
Belirli Microsoft hizmetlerine seçmeli erişim sağlamak için uygulama kurallarında FQDN etiketlerini kullanın. Uygulama kurallarında, Microsoft 365, Windows 365 ve Microsoft Intune gibi belirli Azure hizmetleri için güvenlik duvarınız üzerinden gerekli giden ağ trafiğine izin vermek amacıyla bir FQDN etiketi kullanabilirsiniz.	İyi bilinen Microsoft hizmetleri ilişkili bir FQDN grubunu temsil etmek için Azure Güvenlik Duvarı uygulama kurallarında FQDN etiketlerini kullanın. Bu yöntem, ağ güvenlik kurallarının yönetimini basitleştirir.
Uyarı ve reddetme modunda Azure Güvenlik Duvarı'nda tehdit bilgilerini etkinleştirin.	Siber saldırı riskini azaltan yeni tehditlere karşı gerçek zamanlı koruma sağlamak için tehdit zekasını kullanın. Bu özellik, bilinen kötü amaçlı IP adreslerinden, etki alanlarından ve URL'lerden gelen trafiği otomatik olarak uyarmak ve engellemek için Microsoft tehdit bilgileri akışını kullanır.
Uyarı veya Uyarı ve reddetme modunda IDPS'yi etkinleştirin. Bu özelliğin performans etkisini göz önünde bulundurun.	Azure Güvenlik Duvarı'de IDPS filtrelemesini etkinleştirme, kötü amaçlı etkinlikleri algılamak ve önlemek için ağ trafiğinin gerçek zamanlı izlenmesini ve analizini sağlar. Bu özellik, bilinen tehditleri hızla tanımlamak ve zarar vermeden önce bunları engellemek için imza tabanlı algılamayı kullanır. Daha fazla bilgi için bkz. Kötüye kullanımı tespit etme.
TLS incelemesini Azure Güvenlik Duvarı Premium ile kullanırken sertifika oluşturmak için kurum içi bir sertifika yetkilisi (CA) kullanın. Kendinden imzalı sertifikaları yalnızca test ve kavram kanıtlama (PoC) amacıyla kullanın.	Azure Güvenlik Duvarı Premium'un HTTPS'deki kötü amaçlı etkinlikleri algılamak, uyarmak ve azaltmak için TLS bağlantılarını sonlandırması ve incelemesi için TLS incelemesini etkinleştirin.
Hub sanal ağınızla ilişkilendirmek üzere bir Azure DDoS Protection planı oluşturmak ve ilişkilendirmek için Güvenlik Duvarı Yöneticisi'ni kullanın. Bu yaklaşım Sanal WAN için geçerli değildir.	Güvenlik duvarı ilkelerinizle birlikte DDoS korumasını merkezi olarak yönetebilmeniz için bir Azure DDoS Koruması planı yapılandırın. Bu yaklaşım, ağ güvenliğinizi yönetme şeklinizi kolaylaştırır ve işlemleri dağıtma ve izleme yönteminizi basitleştirir.
Kötü amaçlı trafikle ilgili araştırma yapmak için Güvenlik Copilot tümleştirmesini kullanın.	Bu tümleştirme, analistlerin IDPS özelliği tarafından kesilen kötü amaçlı trafikle ilgili ayrıntılı araştırmalar gerçekleştirmesine yardımcı olur.
UDR'ler uygulanamıyorsa giden trafik için açık ara sunucu yapılandırın. Kullanıcı tanımlı yollar gerektirmeden Azure Güvenlik Duvarı'nın özel IP adresi üzerinden trafiği yönlendirmek için uygulama gönderme (web tarayıcıları gibi) için ara sunucu ayarlarını yapılandırın.	Güvenlik denetimi özelliklerini korurken geleneksel UDR tabanlı yönlendirmenin mümkün olmadığı senaryolarda trafik yönlendirmeyi basitleştirmek için açık ara sunucu kullanın.
DNS trafiği ve ad çözümlemesi için uçtan uca görünürlük için DNS akışı izleme günlüklerini etkinleştirin. Bu günlükler, özel DNS yapılandırmaları için trafik iletme yollarını doğrulamak veya uygulamaların kritik hizmetlere bağlanmasını engelleyen DNS çözümleme sorunlarının hatalarını ayıklamak için yararlı olabilir.	DNS davranışının sorunlarını giderme, denetleme ve analiz etme için ayrıntılı DNS akışı görünürlüğü sağlar.

Maliyet İyileştirme

Maliyet Optimizasyonu, iş gereksinimlerini karşılarken kuruluşun bütçesine uymak için harcama kalıplarını belirlemeye, kritik alanlardaki yatırımlara öncelik vermeye ve diğer alanlarda optimizasyon sağlamaya odaklanır.

Maliyet Optimizasyonu tasarım ilkeleri, bu hedeflere ulaşmak ve Azure Güvenlik Duvarı ile onun ortamıyla ilgili teknik tasarımda gerektiğinde ödünleşimler yapmak için üst düzey bir tasarım stratejisi sunar.

İş yükü tasarımı denetim listesi

Tasarım stratejinizi, yatırımlar için Maliyet Optimizasyonuna yönelik tasarım inceleme denetim listesini temel alarak oluşturun. İş yükünün iş yükü için ayrılan bütçeyle uyumlu olması için tasarımda ince ayarlamalar yapın. Tasarımınız doğru Azure özelliklerini kullanmalı, yatırımları izlemeli ve zaman içinde iyileştirme fırsatları bulmalıdır.

• Dağıtılacak Azure Güvenlik Duvarı SKU'yu seçin. Üç Azure Güvenlik Duvarı SKU'sundan birini seçin: Temel, Standart ve Premium. Ödeme işleme gibi yüksek oranda hassas uygulamaların güvenliğini sağlamak için Azure Güvenlik Duvarı Premium kullanın. İş yükünüzün Katman 3 ile Katman 7 güvenlik duvarına ihtiyacı varsa ve 30 Gb/sn'ye kadar en yüksek trafik dönemlerini işlemek için otomatik ölçeklendirme gerekiyorsa Azure Güvenlik Duvarı Standard kullanın. SMB kullanıyorsanız ve 250 Mb/sn'ye kadar aktarım hızı gerektiriyorsanız Azure Güvenlik Duvarı Basic kullanın. Standard ve Premium SKU'ları arasında alt sürüme geçebilir veya yükseltebilirsiniz. Daha fazla bilgi için Doğru Azure Güvenlik Duvarı SKU'sunu seçme bölümüne bakın.

• Kullanılmayan güvenlik duvarı dağıtımlarını kaldırın ve kullanılmayan dağıtımları iyileştirin. Sürekli çalışması gerekmeyen Azure Güvenlik Duvarı dağıtımlarını durdurun. Kullanılmayan Azure Güvenlik Duvarı dağıtımlarını tanımlama ve silme. İşletim maliyetlerini azaltmak için güvenlik duvarı örnekleri kullanımını, Azure Güvenlik Duvarı Yöneticisi ilkeleri yapılandırmasını ve kullandığınız genel IP adresleri ve ilkelerin sayısını izleyin ve iyileştirin.

• aynı Azure Güvenlik Duvarı örneğini paylaşın. Merkez sanal ağında veya Sanal WAN güvenli hub'da merkezi bir Azure Güvenlik Duvarı örneği kullanabilir ve aynı Azure Güvenlik Duvarı örneğini aynı bölgeden aynı hub'a bağlanan uç sanal ağlarında paylaşabilirsiniz. Merkez-uç topolojisinde beklenmeyen bölgeler arası trafik olmadığından emin olun.

• Güvenlik duvarı üzerinden trafiği en iyi duruma getirme. Azure Güvenlik Duvarı işleyen trafiği düzenli olarak gözden geçirin. Güvenlik duvarından geçen trafik miktarını azaltma fırsatlarını bulun.

• Depoladığınız günlük verilerinin miktarını azaltın. Azure Güvenlik Duvarı, trafiğin meta verilerini kapsamlı bir şekilde günlüğe kaydetmek ve Log Analytics çalışma alanlarına, Azure Depolama'ya veya Microsoft dışı çözümlere göndermek için Azure Event Hubs'ı kullanabilir. Tüm günlükleme çözümleri, verileri işlemek ve depolama sağlamak için maliyete neden olur. Büyük miktarda veri önemli maliyetler doğurabilir. Uygun maliyetli bir yaklaşımı ve Log Analytics'e alternatif bir çözümü değerlendirin ve maliyeti tahmin edin. Tüm günlük kategorileri için trafik meta verilerini günlüğe kaydetmeniz gerekip gerekmediğini düşünün.

Yapılandırma önerileri

Recommendation	Benefit
Sürekli çalışması gerekmeyen Azure Güvenlik Duvarı dağıtımlarını durdurun. Yalnızca iş saatlerinde kullandığınız geliştirme veya test ortamlarınız olabilir. Daha fazla bilgi için bkz. Azure Güvenlik Duvarı'nı ayırmayı kaldırma ve ayırma.	Gereksiz harcamaları azaltmak, ancak kritik zamanlarda güvenliği ve performansı korumak için bu dağıtımları yoğun olmayan saatlerde veya boştayken kapatın.
Azure Güvenlik Duvarı işleyen trafiği düzenli olarak gözden geçirin ve kaynak iş yükü iyileştirmelerini bulun. Üst akış günlüğü, diğer adıyla fat flows günlüğü, güvenlik duvarı üzerinden en yüksek verime katkıda bulunan başlıca bağlantıları gösterir.	Güvenlik duvarı üzerindeki yükü azaltarak veri işleme ve bant genişliği maliyetlerini en aza indiren trafik hacmini azaltmak için güvenlik duvarı üzerinden en çok trafik oluşturan iş yüklerini iyileştirin.
Kullanılmayan Azure Güvenlik Duvarı dağıtımlarını tanımlama ve silme. Güvenlik duvarının özel IP'sine işaret eden alt ağlarla ilişkili izleme ölçümlerini ve UDR'leri analiz edin. Ortamınız ve dağıtımlarınızla ilgili diğer doğrulamaları ve iç belgeleri de göz önünde bulundurun. Örneğin, Azure Güvenlik Duvarı için tüm klasik NAT, ağ ve uygulama kurallarını analiz edin. Ayarlarınızı da göz önünde bulundurun. Örneğin, DNS proxy ayarını Devre Dışı olarak yapılandırabilirsiniz. Daha fazla bilgi için bkz. Azure Güvenlik Duvarı'nı izleme.	Zaman içindeki uygun maliyetli dağıtımları algılamak ve gereksiz maliyetleri önleyen kullanılmayan kaynakları ortadan kaldırmak için bu yaklaşımı kullanın.
Maliyeti iyileştirmek için Güvenlik Duvarı Yöneticisi ilkelerinizi, ilişkilendirmelerinizi ve devralma işlemlerinizi dikkatle gözden geçirin. Politikalar, güvenlik duvarı ilişkilendirmelerine göre faturalandırılır. Sıfır veya bir güvenlik duvarıyla ilişkilendirilmiş bir politika ücretsizdir. Birden çok güvenlik duvarı ile ilişkilendirilmiş bir ilke sabit bir ücretle faturalandırılır. Daha fazla bilgi için Güvenlik Duvarı Yöneticisi fiyatlandırması bölümüne bakın.	İşletim maliyetlerini azaltmak, verimliliği artırmak ve yönetim yükünü azaltmak için Güvenlik Duvarı Yöneticisi'ni ve ilkelerini düzgün bir şekilde kullanın.
Yapılandırmanızdaki tüm genel IP adreslerini gözden geçirin ve kullanmadığınız IP adreslerinin ilişkilendirmesini kaldırıp silin. Herhangi bir IP adresini kaldırmadan önce kaynak ağ adresi çevirisi (SNAT) bağlantı noktası kullanımını değerlendirin. Daha fazla bilgi için Azure Güvenlik Duvarı günlüklerini ve ölçümlerini izleme ve SNAT bağlantı noktası kullanımı konularına bakın.	Maliyetleri azaltmak için kullanılmayan IP adreslerini silin.
Log Analytics'te güvenlik duvarı günlüklerinin seçmeli işlenmesi için alma sırasında dönüştürme özelliğiyle maliyeti azaltın. Güvenlik görünürlüğünü korurken maliyetleri iyileştirmek için, günlükler ön ekli AZFWtablolarda depolanmadan önce gelişmiş filtreleme ve veri dönüştürmeyi yapılandırın.	Yüksek trafikli ortamlar için log analytics giderlerinde önemli maliyet düşüşleri olurken, analiz için ilgili güvenlik olaylarını korur.

Operasyonel Mükemmellik

Operasyonel Mükemmellik öncelikli olarak geliştirme uygulamaları, gözlemlenebilirlik ve yayın yönetimi yordamlarına odaklanır.

Operasyonel Mükemmellik tasarım ilkeleri, iş yükünün operasyonel gereksinimleri için bu hedeflere ulaşmaya yönelik üst düzey bir tasarım stratejisi sunar.

İş yükü tasarımı denetim listesi

Tasarım stratejinize, Azure Güvenlik Duvarı ile ilgili gözlemlenebilirlik, test ve dağıtım süreçlerini tanımlamak için Operasyonel Mükemmellik için tasarım gözden geçirme denetim listesini temel alarak başlayın.

• Azure Güvenlik Duvarı örneklerini dağıtmak ve yönetmek için Güvenlik Duvarı Yöneticisi'ni geleneksel merkez-uç topolojileriyle veya Sanal WAN ağ topolojileriyle kullanın. Merkez-uç ve geçişli mimariler oluşturmak için trafik idaresi ve koruması için yerel güvenlik hizmetlerini kullanın. Daha fazla bilgi için bkz. Ağ topolojisi ve bağlantı.

  Mevcut dağıtımlar için Azure Güvenlik Duvarı klasik kurallarını Güvenlik Duvarı Yöneticisi ilkelerine geçirin. Güvenlik duvarlarınızı ve ilkelerinizi merkezi olarak yönetmek için Güvenlik Duvarı Yöneticisi'ni kullanın. Daha fazla bilgi için bkz. Azure Güvenlik Duvarı Premium'a geçiş.

• Azure İlkesi yapıtlarının düzenli yedeklemelerini koruyun. Azure Güvenlik Duvarı ve tüm bağımlılıkları korumak için kod olarak altyapı yaklaşımı kullanıyorsanız, Azure Güvenlik Duvarı ilkelerinin yedeklenmesi ve sürümüne sahip olmanız gerekir. Yapmazsanız, etkili bir otomatik çözüm sağlamak için harici bir mantık uygulamasını temel alan eşlik eden bir mekanizma dağıtabilirsiniz.

• Azure Güvenlik Duvarı günlüklerini ve ölçümlerini izleme. Güvenlik duvarı izleme için tanılama günlüklerinden, denetim işlemleri için sorun giderme ve etkinlik günlüklerinden yararlanın.

• Sistemin genel durumunu değerlendirmek için izleme verilerini analiz edin. Yerleşik Azure Güvenlik Duvarı izleme çalışma kitabını kullanın, Kusto Sorgu Dili (KQL) sorgularını tanıyın ve olası sorunları belirlemek için ilke analizi panosunu kullanın.

• İşleçlerin bunlara hızla yanıt verebilmesi için önemli olaylar için uyarılar tanımlayın.

• Kötüye kullanımı algılamak için Azure'da platform tarafından sağlanan algılama mekanizmalarından yararlanın. Azure Güvenlik Duvarı'u mümkünse Microsoft Defender for Cloud ve Microsoft Sentinel ile tümleştirin. Ağ altyapısının ve ağ güvenliğinin durumunu, Azure'ın farklı bölgelerindeki tüm sanal ağlarda ve sanal hub'larda Azure ağ güvenliği de dahil olmak üzere tek bir yerde görselleştirmek için Bulut için Defender ile tümleştirin. Tehdit algılama ve önleme özellikleri sağlamak için Microsoft Sentinel ile tümleştirin.

• Sistem güncelleştirmelerini iş gereksinimleriyle uyumlu hale getirmek için müşteri tarafından denetlenen bakımı yapılandırın. Özellikle kalıcı bağlantı gerektiren uygulamalar için kritik işlemlerde kesintiyi en aza indirmek için planlı kapalı kalma sürelerinde bakım zamanlayın.

Yapılandırma önerileri

Recommendation	Benefit
Azure Güvenlik Duvarı için tanılama günlüklerini etkinleştirin. Azure Güvenlik Duvarı izlemek için güvenlik duvarı günlüklerini veya çalışma kitaplarını kullanın. Ayrıca etkinlik günlüklerini kullanarak Azure Güvenlik Duvarı kaynaklarıyla ilgili işlemleri denetleyebilirsiniz. Yapılandırılmış güvenlik duvarı günlükleri biçimini kullanın. Yalnızca bunu gerektiren mevcut bir aracınız varsa önceki tanılama günlükleri biçimini kullanın. Her iki günlükleme biçimini aynı anda etkinleştirmeyin.	Azure Güvenlik Duvarı için izleme araçlarınızı ve stratejilerinizi iyileştirmek için tanılama günlüklerini etkinleştirin. Günlük verilerini arama, filtreleme ve analiz etme işlemlerinin kolay olması için yapılandırmak için yapılandırılmış güvenlik duvarı günlüklerini kullanın. En son izleme araçları bu günlük türünü temel alır, bu nedenle genellikle bir önkoşuldur.
Yerleşik Azure Güvenlik Duvarı çalışma kitabını kullanın.	Azure Güvenlik Duvarı çalışma kitabını kullanarak Azure Güvenlik Duvarı olaylardan değerli içgörüler elde edin, uygulamanızı ve ağ kurallarınızı analiz edin ve URL'ler, bağlantı noktaları ve adresler arasında güvenlik duvarı etkinlikleriyle ilgili istatistikleri inceleyin.
Azure Güvenlik Duvarı günlüklerini ve ölçümlerini izleyin ve Azure Güvenlik Duvarı kapasitesi için uyarılar oluşturun. Aktarım hızı, Güvenlik duvarı sistem durumu, SNAT bağlantı noktası kullanımı ve AZFW gecikme süresi yoklaması ölçümlerini izlemek için uyarılar oluşturun.	Olası sorunlar ortaya çıkmadan önce operatörleri bilgilendirmek, kesintileri önlemeye yardımcı olmak ve hızlı kapasite ayarlamaları başlatmak için önemli olaylar için uyarılar ayarlayın.
Olası sorunları belirlemek için ilke analizi panosunu düzenli olarak gözden geçirin.	Azure Güvenlik Duvarı ilkelerinizin etkisini analiz etmek için ilke analizini kullanın. İlke sınırları, yanlış kurallar ve yanlış IP grupları kullanımı gibi ilkelerinizdeki olası sorunları belirleyin. Güvenlik duruşunuzu ve kural işleme performansınızı geliştirmek için öneriler alın.
Sorunları hızla analiz etmek ve gidermek için Azure Güvenlik Duvarı günlüklerini kullanabilmek için KQL sorgularını anlayın. Azure Güvenlik Duvarı örnek sorgular sağlar.	KQL sorgularını kullanarak güvenlik duvarınızın içindeki olayları hızla belirleyin ve hangi kuralın tetiklendiğine veya hangi kuralın isteğe izin verdiğine veya bunu engellediğini denetleyin.
Müşteri denetimindeki bakımı en az 5 saatlik zaman aralıkları ve günlük yineleme ile yapılandırın. İş gereksinimleri ve düşük trafik dönemleri ile ilgili bakım zamanlamaları planlayın. Çok bölgeli dağıtımlar için bakım pencerelerinin coğrafi dağıtımını göz önünde bulundurun.	Öngörülebilir bakım, güvenlik duvarı altyapısının gerekli güvenlik güncelleştirmelerini aldığından emin olurken beklenmeyen kapalı kalma süresini azaltır. Altyapı bakımını iş kullanılabilirliği gereksinimleriyle uyumlu hale getirmektedir.
Gelen trafiği statik IP adresleri yerine arka uç altyapısına yönlendirmek için DNAT kurallarında FQDN'leri kullanın.	Ölçeklendirme işlemleri, dağıtımlar veya altyapı güncelleştirmeleri nedeniyle arka uç altyapısı IP adreslerini değiştirdiğinde işletimsel ek yükü azaltır.
Karmaşık karma ve kurumsal ağ senaryoları için özel IP adreslerinde DNAT'yi yapılandırın. Bağlantı noktası çevirisi özellikleri aracılığıyla çakışan IP adresi aralıklarına sahip ağlar arasında bağlantıyı etkinleştirin.	Bu, özellikle birleştirmelerde, iş ortağı ağlarında veya çok kiracılı ortamlarda ortak olan çakışan IP aralıklarına sahip senaryolarda kullanışlıdır.
Azure Güvenlik Duvarı Kuralı Koleksiyon Grupları'na yapılan yapılandırma değişikliklerini izlemek için değişiklik izleme (önizleme) uygulayın.	Yapılandırma değişiklikleriyle ilgili ayrıntılı görünürlük sağlar, güvenlik duruşlarını geliştirir ve hangi değişiklikleri ve ne zaman yaptığını izleyerek sorun gidermeyi basitleştirir.
Protokole, bayraklara ve özel filtrelere göre filtreleme ile belirli trafik akışlarını yakalamak için paket yakalama özelliklerini yapılandırın. Engellenen bağlantıları tanımlamak için paket yakalamayı kullanın ve bağlantı sorunlarını gidermek için ayrıntılı paket düzeyi bilgileriyle güvenlik duvarı kuralı davranışını doğrulayın.	Azure Güvenlik Duvarı trafik akışlarına ayrıntılı paket düzeyinde görünürlük sağlayarak ağ sorunlarını giderme ve trafik analizini etkinleştirir.
Trafik güvenlik duvarından geçerken özel üst bilgiler eklemeniz gerekiyorsa, güvenlik duvarınızda HTTP üst bilgisi ekleme işlemini merkezi hale getirin.	Merkez-uç tasarımlarında izleme, yönlendirme veya kimlik doğrulama üst bilgilerinin işlenmesini, uygulamada değişiklik yapma ya da ek ara sunucu katmanlarına duyulan gereksinimi azaltmak için güvenlik duvarında merkezileştirin.

Performans Verimliliği

Performans Verimliliği, kapasiteyi yöneterek yükte artış olduğunda bile kullanıcı deneyimini korumakla ilgilidir. Strateji kaynakları ölçeklendirmeyi, olası performans sorunlarını tanımlamayı ve iyileştirmeyi ve en yüksek performans için iyileştirmeyi içerir.

Performans Verimliliği tasarım ilkeleri, beklenen kullanıma göre bu kapasite hedeflerine ulaşmak için üst düzeyde bir tasarım stratejisi sunar.

İş yükü tasarımı denetim listesi

Performans Verimliliği için tasarım gözden geçirme denetim listesini temel alarak tasarım stratejinize başlayın. Azure Güvenlik Duvarı için temel performans göstergelerini temel alan bir taban çizgisi tanımlayın.

• Kodunuzu ve altyapınızı en iyi duruma getirmek ve en yüksek performansı sağlamak için Azure Güvenlik Duvarı yapılandırmanızı, Well-Architected Framework önerileri doğrultusunda iyileştirin. Verimli ve güvenli bir ağı korumak için güvenlik duvarı kurallarını düzenli olarak gözden geçirin ve iyileştirin. Bu uygulama, güvenlik duvarı yapılandırmalarınızın en son güvenlik tehditleriyle etkin ve güncel kalmasını sağlamaya yardımcı olur.

  İlke gereksinimlerini değerlendirin ve IP aralıklarını ve URL listelerini özetleme fırsatları bulun. Yönetimi kolaylaştırmak ve güvenliği artırmak için toplu olarak giden erişime izin vermek veya erişimi reddetmek için web kategorilerini kullanın. Bu yapılandırma ağ gecikme süresini ve aktarım hızını etkileyebileceğinden Uyarı ve reddetme modunda IDPS'nin performans etkisini değerlendirin. SNAT bağlantı noktası gereksinimlerinizi desteklemek için genel IP adreslerini yapılandırın. Sağlam ve ölçeklenebilir bir ağ güvenliği altyapısı oluşturmak için bu uygulamaları izleyin.

• sanal ağ içi trafik denetimi için Azure Güvenlik Duvarı kullanmayın. Aşağıdaki trafik türlerini denetlemek için Azure Güvenlik Duvarı kullanın:

  • Sanal ağlar arasında trafik
  • Sanal ağlar ile şirket içi ağlar arasındaki trafik
  • İnternet'e giden trafik
  • GELEN HTTP olmayan veya HTTPS olmayan trafik

  Sanal ağ içi trafiği denetlemek için ağ güvenlik gruplarını kullanın.

• Performans testlerine başlamadan önce Azure Güvenlik Duvarı düzgün bir şekilde ısın. Yük testlerinizin parçası olmayan ilk trafiği, testlerden 20 dakika önce oluşturun. Ölçeği artırma ve ölçeği azaltma olaylarını yakalamak için tanılama ayarlarını kullanın. Azure Yük Testi hizmetini kullanarak başlangıç trafiğini oluşturabilir, böylece Azure Güvenlik Duvarı'nı en fazla örnek sayısına kadar ölçeklendirebilirsiniz.

• /26 adres alanı olan bir Azure Güvenlik Duvarı alt ağı yapılandırın. Azure Güvenlik Duvarı için ayrılmış bir alt ağa ihtiyacınız vardır. Azure Güvenlik Duvarı ölçeklendirildikçe daha fazla kapasite sağlar. /26 adres alanı, güvenlik duvarının ölçeklendirmeye uyum sağlamak için yeterli IP adresine sahip olmasını sağlar. Azure Güvenlik Duvarı /26'dan büyük bir alt ağ gerektirmez. Azure Güvenlik Duvarı alt ağını AzureFirewallSubnet olarak adlandırın.

• İhtiyacınız yoksa gelişmiş günlük kaydını etkinleştirmeyin. Azure Güvenlik Duvarı, etkin bırakılması önemli maliyetlere yol açabilecek bazı gelişmiş günlük kaydı özellikleri sunar. Bunun yerine, bu özellikleri yalnızca sorun giderme amacıyla ve sınırlı süre için kullanabilirsiniz. İhtiyacınız olmadığında özellikleri devre dışı bırakın. Örneğin, en yoğun akışlar ve akış izleme günlükleri maliyetlidir ve Azure Güvenlik Duvarı altyapısında aşırı CPU ve depolama kullanımına neden olabilir.

Yapılandırma önerileri

Recommendation	Benefit
Azure Güvenlik Duvarı ilkelerini iyileştirme yollarını belirlemek için ilke analizi panosunu kullanın.	İlke sınırları, yanlış kurallar ve hatalı IP grupları kullanımı gibi ilkelerinizdeki olası sorunları belirlemek için ilke analizini kullanın. Güvenlik duruşunuzu ve kural işleme performansınızı geliştirmek için öneriler alın.
Büyük kural kümelerine sahip Azure Güvenlik Duvarı ilkelerinin gecikme süresini iyileştirmek için sık kullanılan kuralları bir grubun başlarında yerleştirin. Daha fazla bilgi için bkz. Kural işleme için Azure Güvenlik Duvarı ilkelerini kullanma.	İşleme gecikme süresini iyileştirmek için sık kullanılan kuralları bir kural kümesine yüksek yerleştirin. Azure Güvenlik Duvarı kuralları kural türüne, devralmaya, kural koleksiyonu grubu önceliğine ve kural koleksiyonu önceliğine göre işler. Azure Güvenlik Duvarı önce yüksek öncelikli kural koleksiyonu gruplarını işler. Bir kural koleksiyonu grubu içinde, Azure Güvenlik Duvarı önce en yüksek önceliğe sahip kural koleksiyonlarını işler.
IP adresi aralıklarını özetlemek ve bbenzersiz kaynak veya benzersiz hedef ağ kuralları sınırını aşmamak için IP gruplarını kullanın. Azure Güvenlik Duvarı, ağ kuralları oluştururken IP grubunu tek bir adres olarak değerlendirir.	Bu yaklaşım, sınırı aşmadan kapsayabileceğiniz IP adresi sayısını etkili bir şekilde artırır. Her kural için Azure, bağlantı noktalarını IP adresleriyle çarpar. Bu nedenle, bir kuralın dört IP adresi aralığı ve beş bağlantı noktası varsa 20 ağ kuralı tüketirsiniz.
Genel İnternet sitelerinin uzun bir listesini açıkça oluşturmak ve korumak yerine toplu olarak giden erişime izin vermek veya erişimi reddetmek için Azure Güvenlik Duvarı web kategorilerini kullanın.	Bu özellik, web içeriğini dinamik olarak kategorilere ayırır ve kompakt uygulama kurallarının oluşturulmasına izin verir ve bu da işlem yükünü azaltır.
Uyarı ve reddetme modunda IDPS'nin performans etkisini değerlendirin. Daha fazla bilgi için bkz. Azure Güvenlik Duvarı performansı.	Kötü amaçlı ağ etkinliğini algılamak ve önlemek için Uyarı ve reddetme modunda IDPS'yi etkinleştirin. Bu özellik bir performans cezasına neden olabilir. Uygun şekilde planlamak için iş yükünüz üzerindeki etkisini anlayın.
SNAT bağlantı noktası tükenmesine duyarlı dağıtımlar için Azure Güvenlik Duvarı dağıtımlarını en az beş ortak IP adresiyle yapılandırın.	Azure Güvenlik Duvarı, her arka uç Azure Sanal Makine Ölçek Kümeleri örneğinin kullandığı her genel IP adresi için 2.496 bağlantı noktasını destekler. Bu yapılandırma kullanılabilir SNAT bağlantı noktalarını beş kat artırır. varsayılan olarak, Azure Güvenlik Duvarı her akış hedefi IP'si, hedef bağlantı noktası ve TCP veya UDP protokolü için 4.992 bağlantı noktasını destekleyen iki Sanal Makine Ölçek Kümeleri örneği dağıtır. Güvenlik duvarı en fazla 20 örneğe kadar ölçeklendirilir.
Ön ölçeklendirme özelliklerini yapılandırın ve kapasite planlaması ve etkinlik görünürlüğü için Gözlemlenen Kapasite ölçümünü izleyin. Önceden tahmin edilen trafik artışları için kapasite birimleri ayırmak için önceden hesaplamayı kullanın.	Ölçümlere dayalı proaktif kapasite yönetimini etkinleştirir ve beklenen trafik artışları sırasında güvenilir ölçeklendirme işlemleri için uyarılar ayarlamanıza olanak tanır. İhtiyaçlar geliştikçe ayarlama esnekliğiyle yalnızca sağlanan kapasite birimleri için ödeme yaptığınız bir avantaj da vardır.

Azure ilkeleri

Azure, Azure Güvenlik Duvarı ve bağımlılıklarıyla ilgili kapsamlı bir yerleşik ilke kümesi sağlar. Önceki önerilerden bazıları Azure İlkesi aracılığıyla denetlenebilir. Örneğin, şunları denetleyebilirsiniz:

• Ağ arabirimlerinin genel IP adresleri olmamalıdır. Bu ilke, genel IP ile yapılandırılmış ağ arabirimlerini reddeder. Genel IP adresleri, İnternet kaynaklarının Azure kaynaklarına gelen iletişim kurmasına olanak tanır ve Azure kaynakları İnternet'e giden iletişim kurabilir.

• Tüm internet trafiği, dağıttığınız Azure Güvenlik Duvarı örneği üzerinden yönlendirilmelidir. Azure Güvenlik Merkezi bazı alt ağlarınızın yeni nesil bir güvenlik duvarıyla korunmadığını tanımlar. Alt ağlarınızı olası tehditlerden koruyun. Alt ağlarınıza erişimi kısıtlamak için Azure Güvenlik Duvarı veya desteklenen bir yeni nesil güvenlik duvarı kullanın.

Kapsamlı yönetişim için, Azure Güvenlik Duvarı için Azure İlkesi yerleşik tanımlarını ve ağın güvenliğini etkileyebilecek diğer ilkeleri gözden geçirin.

Azure Danışmanı önerileri

Azure Danışmanı, Azure dağıtımlarınızı iyileştirecek en iyi uygulamaları izlemenize yardımcı olacak bir kişiye özel bulut danışmanıdır.

Daha fazla bilgi için bkz. Azure Danışmanı.

Örnek mimari

Başlıca önerileri gösteren temel mimari: Azure’da hub-and-spoke ağ topolojisi.

Sonraki Adımlar

Bu makaledeki önerileri gösteren aşağıdaki kaynaklara bakın.

• Bu makalenin kılavuzunu bir iş yüküne uygulama örnekleri olarak aşağıdaki başvuru mimarilerini kullanın:

  • Azure'da hub-and-spoke ağ topolojisi
  • Azure Güvenlik Duvarı mimarisine genel bakış
  • Azure Kubernetes Service (AKS) kümesini korumaya yardımcı olmak için Azure Güvenlik Duvarı kullanın

• Uygulama uzmanlığınızı geliştirmek için aşağıdaki kaynakları kullanın:

  • Azure Güvenlik Duvarı belgeleri
  • Firewall Manager nedir?

• Diğer kaynaklara bakın:

  • Azure Güvenlik Duvarı hizmet sınırları, kotaları ve kısıtlamaları
  • Azure Güvenlik Duvarı için Azure güvenlik temeli
  • Azure Güvenlik Duvarı’nı ve ilkeyi dağıtmak ve yapılandırmak için Azure portalını kullanma
  • Sanal WAN merkezinde Azure Güvenlik Duvarı’nı yapılandırma