部署和配置Azure Firewall,azure webapp部署安裝包

部署和配置Azure Firewall

Azure 防火墻是托管的基于云的網絡安全服務，可保護 Azure 虛擬網絡資源。 它是一個服務形式的完全有狀態防火墻，具有內置的高可用性和不受限制的云可伸縮性。

使用Azure Firewall可以跨訂閱和虛擬網絡集中創建、實施和記錄應用程序與網絡連接策略。 Azure 防火墻對虛擬網絡資源使用靜態公共 IP 地址，使外部防火墻能夠識別來自你的虛擬網絡的流量。 該服務與用于日志記錄和分析的 Azure Monitor 完全集成

Azure防火墻提供Microsoft描述的以下功能：

內置高可用性：無需額外的負載平衡器

受限制的云可伸縮性：Azure防火墻可以根據需要進行擴展

應用程序FQDN過濾規則：您可以限制出站Web流量

網絡流量過濾規則：您可以按源和目標IP地址，端口和協議允許或拒絕網絡過濾規則

FQDN標記：您可以輕松使用標記來允許或拒絕流量

出站SNAT支持：出站IP地址轉換為Azure防火墻公共IP

入站DNAT支持：防火墻公共IP地址的入站流量轉換為內部IP地址。

Azure Monitor日志記錄：所有事件都與Azure Monitor集成

在本文中，我們將探討以下步驟：

創建資源組

創建一個vNet

創建3個子網

創建2個虛擬機

部署防火墻

配置默認路由

創建應用程序規則

測試防火墻

以下是該架構的概述：

創建資源組首先我們需要創建一個資源組，此資源組用來承載本次實驗的所有資源。打開Azure Portal,然后點擊“資源組”—“新建資源組”訂閱：選擇我們使用的Azure訂閱資源組名稱：輸入需要使用的資源組名稱區域：選擇資源的創建位置然后點擊創建：創建虛擬網絡我們需要創建一個包含三個子網的虛擬網絡，具體如下：

名稱：鍵入此虛擬網絡的友好名稱

地址空間：輸入所需的地址空間

訂閱：選擇您的Azure訂閱

資源組：選擇我們之前創建的RG

位置：選擇資源所在的位置

子網：此步驟非常重要，因為您必須使用名為“AzureFirewallSubnet”的固定名稱。創建完虛擬網絡后我們還需要創建第二個子網（SRVVNet 10.1.2.0/24）和第三個子網（Jump 10.1.3.0/24）,創建完成后如下圖所示：創建虛擬機在前面的步驟中我們創建了一個包含三個子網的資源組和虛擬網絡。現在，我們需要創建兩個虛擬機。第一個是將用于連接到第二個虛擬機的Jump服務器。Jump機器稱為“JUMP01”使用Azure向導創建虛擬機：在“網絡”區域中，選擇“JumpVNet”并創建新的“公共IP地址”，以便從Internet訪問Jump服務器。另外我們需要允許RDP協議：使用同上述步驟相同的步驟創建虛擬機16SRV01:此虛擬機必須位于“SRVVNet”子網中,我們無需打開任何公共入站端口。部署Azure Firewall下面我們需要開始部署Azure Firewall。在Azure Portal中點擊“所有服務”，搜索“Firewalls”:點擊“添加“來創建我們所需的Aazure Firewall并輸入如下信息:

選擇您的Azure訂閱

選擇以前創建的資源組

輸入防火墻的友好名稱

選擇以前創建的虛擬網絡

并且不要忘記創建公共IP地址創建完成后如下圖所示，我們需要記錄下此防火墻的專用IP以便于后續配置的使用：

創建路由表在Azure Portal中搜索“路由表“：創建一個名為“GoToFirewall”的新路由表。此路由表將包含服務器將選擇路由流量的默認路由創建路由表后，必須將服務器子網關聯到此路由表。轉到“ 子網 ”部分，然后單擊“ 關聯 ”選擇“虛擬網絡“和”子網“：配置完成后如下圖所示：現在，我們必須向虛擬設備添加默認路由。轉到“ 路線 ”部分，然后單擊“ 添加 ”:輸入以下信息：

路由名稱：它是默認路由的友好名稱

地址前綴：要指示默認路由，必須輸入0.0.0.0/0

下一跳類型：選擇“虛擬設備”

下一跳地址：輸入先前復制的專用IP地址配置完成后如下圖所示：創建應用程序規則集合防火墻已部署，因此我們可以添加應用程序規則以過濾出站Web流量。轉到“ 規則 ”部分，然后單擊“ 添加應用程序規則集合 ”：輸入此規則的友好名稱，然后設置優先級并選擇操作（允許或拒絕）。接下來，您必須指明源地址，協議和目標FQDN。在我的情況下，我想允許從16SRV01虛擬機到www.mspcloud.club的網絡流量。要解析FQDN，計算機必須能夠聯系DNS服務器。在本文中，我創建了一個網絡規則，允許從服務器子網到OpenDNS服務器的DNS請求。測試防火墻首先，我們需要從公共IP地址連接到Jump服務器，然后，我可以啟動一個新的MSTSC窗口，使用私有IP地址連接到SRV01機器。最后一步是檢查先前在Azure防火墻中創建的應用程序規則。我只需要打開一個Web瀏覽器并輸入網站URL。在我的情況下，我可以確認我的博客正在回復，但如果嘗試瀏覽Google，則會顯示錯誤消息。我應該創建一個允許www.google.com的應用程序規則。借助Azure防火墻，您可以非常輕松快速地保護Azure資源。您還可以使用Azure PowerShell自動執行任務。Azure防火墻允許您創建應用程序規則和網絡規則來控制入站和出站網絡流量。

特別聲明：以上文章內容僅代表作者本人觀點，不代表ESG跨境電商觀點或立場。如有關于作品內容、版權或其它問題請于作品發表后的30日內與ESG跨境電商聯系。