Планирование развертывания брандмауэра Azure
Прежде чем развернуть брандмауэр Azure, необходимо запланировать топологию сети, определить необходимые правила брандмауэра и понять шаги развертывания.
Рекомендуемая топология сети
Помните, что брандмауэр Azure лучше всего развертывается с помощью топологии сети концентратора и периферийной сети со следующими характеристиками:
- Виртуальная сеть, которая выступает в качестве центральной точки подключения. Эта сеть — это виртуальная сеть концентратора.
- Одна или несколько виртуальных сетей, одноранговых к концентратору. Эти одноранговые узлы являются вспомогательными виртуальными сетями и используются для развертывания серверов рабочей нагрузки.
Экземпляр брандмауэра можно развернуть в подсети виртуальной сети концентратора, а затем настроить весь входящий и исходящий трафик, чтобы пройти через брандмауэр. Эта конфигурация будет использоваться при развертывании брандмауэра Azure для защиты пула узлов для виртуального рабочего стола Azure.
Правила брандмауэра Azure
Помните, что по умолчанию брандмауэр запрещает доступ ко всему. Ваше задание — настроить брандмауэр с условиями, в которых разрешен трафик через брандмауэр. Каждое условие называется правилом. Каждое правило применяет одну или несколько проверок данных. Только трафику, который проходит все проверки по всем правилам брандмауэра, разрешено проходить.
В следующей таблице описаны три типа правил, которые можно создать для брандмауэра Azure. Чтобы разрешить соответствующий сетевой трафик для виртуального рабочего стола Azure, вы будете использовать правила приложения и сети.
| Тип правила | Описание |
|---|---|
| Преобразование сетевых адресов (NAT) | Перевод и фильтрация входящего интернет-трафика на основе общедоступного IP-адреса брандмауэра и указанного номера порта. Например, чтобы включить подключение удаленного рабочего стола к виртуальной машине, можно использовать правило NAT для перевода общедоступного IP-адреса брандмауэра и порта 3389 на частный IP-адрес виртуальной машины. |
| Приложение | Фильтруйте трафик на основе полного доменного имени (FQDN) или тега FQDN. Тег FQDN представляет группу полных доменных имен, связанных с известными службами Майкрософт, такими как Виртуальный рабочий стол Azure. Например, вы будете использовать правило приложения, чтобы разрешить исходящий трафик для виртуальных машин виртуального рабочего стола Azure с помощью тега FQDN WindowsVirtualDesktop. |
| Сеть | Фильтруйте трафик на основе одного или нескольких следующих трех параметров сети: IP-адрес, порт и протокол. Например, используйте правило сети, чтобы разрешить трафик из частного IP-адреса локального домена Active Directory в Azure для TCP и порта UDP 53. Если вы используете доменный сервер Microsoft Entra, вам не нужно создавать сетевое правило. Запросы DNS перенаправляются в Azure DNS по адресу 168.63.129.16. |
Брандмауэр Azure применяет правила в порядке приоритета. Правила, основанные на аналитике угроз, всегда получают наивысший приоритет и обрабатываются сначала. После этого правила применяются по типу: правила NAT, а затем сетевые правила, а затем правила приложения. В каждом типе правила обрабатываются в соответствии со значениями приоритета, назначенными при создании правила, от наименьшего до максимального значения.
Варианты развертывания
Помните, что Брандмауэр Azure предлагает множество функций, предназначенных для упрощения создания правил и управления ими. В следующей таблице перечислены эти функции. Чтобы разрешить сетевой трафик для виртуального рабочего стола Azure, вы будете использовать теги FQDN, но вы также можете использовать эти другие параметры в вашей среде.
| Особенность | Описание |
|---|---|
| Полное доменное имя (FQDN) | Доменное имя узла или один или несколько IP-адресов. Добавление полного доменного имени в правило приложения позволяет получить доступ к этому домену. При использовании полного доменного имени в правиле приложения можно использовать подстановочные знаки, такие как *.google.com. |
| Тег FQDN | Группа известных FQDN (полных имён доменов) Майкрософт. Добавление тега FQDN в правило приложения разрешает исходящий доступ к полным доменным именам тега. Например, существуют теги полного доменного имени для Центра обновления Windows, виртуального рабочего стола Azure, диагностики Windows и Azure Backup. Корпорация Майкрософт управляет тегами FQDN и не может изменять или создавать их. |
| Служебный тег | Группа префиксов IP-адресов, связанных с определенной службой Azure. Добавление тега службы в сетевое правило позволяет получить доступ к службе, представленной тегом. Существуют теги служб для десятков служб Azure, включая Azure Backup, Azure Cosmos DB и Azure Logic Apps. Корпорация Майкрософт управляет тегами служб и не может изменять или создавать их. |
| Группы IP-адресов | Группа IP-адресов, например 10.2.0.0/16 или 10.1.0.0-10.1.0.31. Группу IP можно использовать в качестве исходного адреса в правиле NAT или приложения, а также в качестве исходного или целевого адреса в сетевом правиле. |
| Пользовательский DNS | Пользовательский DNS-сервер, разрешающий доменные имена к IP-адресам. Если вы используете пользовательский DNS-сервер, а не Azure DNS, необходимо также настроить брандмауэр Azure в качестве DNS-прокси. |
| DNS-прокси | Брандмауэр Azure можно настроить в качестве DNS-прокси, что означает, что все запросы DNS клиента проходят через брандмауэр перед переходом на DNS-сервер. |
Действия по развертыванию брандмауэра Azure
В предыдущем упражнении вы создали пул узлов и виртуальную сеть с подсетью. Вы развернули виртуальную машину узла сеанса в этой подсети и зарегистрировали ее в пуле узлов. В следующих упражнениях вы выполните следующие действия, чтобы развернуть брандмауэр Azure для защиты пула узлов.
Настройте сеть:
- Создайте виртуальную сеть концентратора, содержащую подсеть для развертывания брандмауэра.
- Пиринг сетей концентратора и периферийных сетей. В следующем упражнении вы будете соединять виртуальную сеть концентратора с виртуальной сетью, которую использует пул узлов Виртуального рабочего стола Azure.
Развертывание брандмауэра Azure:
- Разверните брандмауэр Azure в подсети в виртуальной сети концентратора.
- Для исходящего трафика создайте маршрут по умолчанию, который отправляет трафик из всех подсетей в частный IP-адрес брандмауэра.
Создание правил брандмауэра Azure:
- Настройте брандмауэр с правилами для фильтрации входящего и исходящего трафика.