Упражнение. Маршрутизация сетевого трафика через брандмауэр Azure

  • 20 мин

В предыдущем упражнении вы развернули брандмауэр Azure. Теперь необходимо перенаправить весь сетевой трафик через брандмауэр и отфильтровать трафик с помощью правил брандмауэра. По завершении брандмауэр Azure защитит исходящий сетевой трафик для виртуального рабочего стола Azure.

Маршрутизация всего трафика через брандмауэр

Для подсети, используемой пулом узлов, настройте исходящий маршрут по умолчанию, чтобы пройти через брандмауэр. Выполните следующие три действия.

  1. Создайте таблицу маршрутов в той же группе ресурсов, что и ВМ хост-пула и брандмауэр.
  2. Привяжите таблицу маршрутов к подсети, которую используют виртуальные машины пула хостов.
  3. В таблице маршрутов добавьте маршрут в брандмауэр.

После выполнения этих действий весь трафик будет направляться в брандмауэр Azure.

Создание таблицы маршрутов

Сначала вы создадите таблицу маршрутов с именем брандмауэр-маршрут.

  1. На портале Azure найдите и выберите таблицы маршрутов.

  2. Выберите + Создать.

  3. Используйте следующие значения:

    Поле Ценность
    Подписка Подписка
    Группа ресурсов Изучение межсетевого экрана RG
    Область Выберите то же расположение, которое вы использовали ранее.
    Имя маршрут брандмауэра

    снимок экрана, показывающий сведения, которые необходимо включить при создании таблицы маршрутов.

  4. Выберите Проверить и создать>Создать.

  5. После завершения развертывания выберите Перейти к ресурсу.

Привяжите таблицу маршрутов к подсети рабочей нагрузки

Теперь вы свяжете маршрут брандмауэра с подсетью пула узлов.

  1. В маршрутизации брандмауэра, в разделе "Параметры"выберите "Подсети". Снимок экрана, на котором показан параметр подсети в параметрах маршрута брандмауэра.

  2. Выберите + Ассоциировать.

  3. Выберите следующие значения:

    Поле Ценность
    Виртуальная сеть hostVNet
    Подсеть hostSubnet

  4. Нажмите кнопку ОК и дождитесь добавления ассоциации.

Добавление маршрута в таблицу маршрутов

Последним шагом является добавление маршрута в брандмауэр Azure в таблице маршрутов. После выполнения этого шага весь сетевой трафик в виртуальной сети пула узлов будет направляться через брандмауэр Azure.

  1. В разделе Параметрывыберите маршруты.

    снимок экрана, на котором показан параметр маршрутов в разделе параметров таблицы маршрутов брандмауэра.

  2. Выберите + Добавить.

  3. Введите следующие значения:

    Поле Ценность
    Имя маршрута fw-rt
    Тип назначения IP-адреса
    Диапазоны IP-адресов назначения и CIDR 0.0.0.0/0
    Тип следующего прыжка Виртуальное устройство
    Адрес следующего прыжка Вставьте частный IP-адрес брандмауэра из предыдущего блока упражнений. Это можно найти на странице вашего брандмауэра, под именем "Частный IP-адрес брандмауэра".

    снимок экрана, показывающий сведения, которые необходимо включить при добавлении маршрута.

  4. Выберите Добавить.

Создание коллекции правил приложения

По умолчанию брандмауэр запрещает доступ ко всему, поэтому необходимо настроить условия, при которых трафик разрешен через брандмауэр.

Создайте коллекцию правил приложения с правилами, чтобы разрешить виртуальному рабочему столу Azure доступ к нескольким полным доменным именам (FQDN).

  1. Найдите и выберите брандмауэрына портале Azure.

  2. Выберите брандмауэр learn-fw.

  3. В разделе Параметрывыберите Правила (классические). снимок экрана, показывающий классическую опцию правил в настройках брандмауэра.

  4. Выберите вкладку коллекции правил приложения и выберите Добавить коллекцию правил приложения. снимок экрана, на котором показана вкладка коллекции правил приложения с параметром добавления коллекции правил приложения.

  5. Введите следующие сведения:

    Поле Ценность
    Имя app-coll01
    Приоритет 200
    Действие Разрешать

  6. В разделе "Правила ", в разделе с тегами FQDN, введите следующие сведения:

    Поле Ценность
    Имя разрешить-виртуальный-рабочий-стол
    Тип источника IP-адрес
    Источник Адресное пространство для hostVNet, например 10.0.0.0/16
    Теги FQDN Виртуальный рабочий стол Windows

  7. В разделе правилв разделе Целевые полные доменные имена введите следующие сведения:

    Поле Ценность
    Имя учетные записи для allow-storage-service-bus-accounts
    Тип источника IP-адрес
    Источник Адресное пространство для hostVNet, например 10.0.0.0/16
    Протокол:Порт https
    Целевые полные доменные имена *xt.blob.core.windows.net, , *eh.servicebus.windows.net*xt.table.core.windows.net

  8. По завершении форма выглядит следующим образом: снимок экрана, на котором показана форма сбора правил приложения.

  9. Выберите Добавить.

Создание коллекции правил сети

Предположим, что наш сценарий использует доменные службы Microsoft Entra (доменные службы Microsoft Entra), поэтому вам не нужно создавать сетевое правило для разрешения DNS. Однако необходимо создать правило, чтобы разрешить трафик от виртуальных машин Azure Virtual Desktop к службе активации Windows. Для разрешения службы управления ключами (KMS) используйте целевой IP-адрес сервера KMS для глобального облака Azure.

  1. В learn-fw>Rules (classic)выберите коллекцию правил сети.

  2. Перейдите на вкладку коллекции правил сети , затем выберите Добавить коллекцию правил сети. снимок экрана, на котором показана вкладка коллекции правил сети с параметром добавления коллекции правил сети.

  3. Введите следующие сведения:

    Поле Ценность
    Имя net-coll01
    Приоритет 200
    Действие Разрешать

  4. В разделе Правила, в разделе IP-адреса введите следующие сведения:

    Поле Ценность
    Имя allow-kms
    Протокол Протокол tcp
    Тип источника IP-адрес
    Источник Адресное пространство для hostVNet, например 10.0.0.0/16
    Тип назначения IP-адрес
    Адрес назначения 23.102.135.246
    Порты назначения 1688

  5. По завершении форма выглядит следующим образом: снимок экрана с заполненной формой сбора правил сети.

  6. Выберите Добавить.

Проверьте свою работу

На этом этапе вы перенаправили весь сетевой трафик для виртуального рабочего стола Azure через брандмауэр. Давайте убедимся, что брандмауэр работает должным образом. Исходящий сетевой трафик из пула узлов должен фильтроваться через брандмауэр в службу виртуального рабочего стола Azure. Вы можете убедиться, что брандмауэр разрешает трафик через службу, проверяя состояние компонентов службы.

  1. В Azure Cloud Shell выполните следующую команду:

    "rdgateway", "rdbroker","rdweb"|% `
{Invoke-RestMethod -Method:Get `
-Uri https://$_.wvd.microsoft.com/api/health}|ft `
-Property Health,TimeStamp,ClusterUrl

  2. Вы должны получить примерно следующие результаты, где все три службы компонентов перечислены как работоспособные:

    Health               TimeStamp           ClusterUrl
------               ---------           ----------
RDGateway is Healthy 7/2/2021 6:00:00 PM https://rdgateway-c101-cac-r1.wvd.microsoft.com/
RDBroker is Healthy  7/2/2021 6:00:00 PM https://rdbroker-c100-cac-r1.wvd.microsoft.com/
RDWeb is Healthy     7/2/2021 6:00:00 PM https://rdweb-c100-cac-r1.wvd.microsoft.com/

    Если один или несколько компонентов не работоспособны, брандмауэр не работает должным образом.