Bereitstellen einer Azure-Firewall mit mehreren öffentlichen IP-Adressen mithilfe von Azure PowerShell

Diese Funktion ermöglicht die folgenden Szenarios:

  • DNAT: Sie können mehrere Standardportinstanzen auf Ihre Back-End-Server übersetzen. Wenn Sie beispielsweise über zwei öffentliche IP-Adressen verfügen, können Sie den TCP-Port 3389 (RDP) für beide IP-Adressen übersetzen.
  • SNAT: Für ausgehende SNAT-Verbindungen stehen zusätzliche Ports zur Verfügung, was die Gefahr einer Überlastung des SNAT-Ports verringert. Azure Firewall wählt zufällig die erste öffentliche IP-Adresse der Quelle aus, die für eine Verbindung verwendet werden soll, und wählt eine andere öffentliche IP aus, nachdem die Ports aus der ersten IP-Adresse erschöpft sind. Wenn Sie in Ihrem Netzwerk über eine nachgeschaltete Filterung verfügen, müssen Sie alle öffentlichen IP-Adressen zulassen, die mit Ihrer Firewall verbunden sind.

Sie können über das Azure-Portal, Azure PowerShell, Azure CLI, REST und Vorlagen auf Azure Firewall mit mehreren öffentlichen IP-Adressen zugreifen. Sie können bis zu 250 öffentliche IP-Adressen mit einer Azure Firewall in einem virtuellen Netzwerk verknüpfen. Die Zielregeln des DNAT zählen ebenfalls zum Maximum von 250. Für eine Azure Firewall, die in einem gesicherten virtuellen Hub (VHub) bereitgestellt ist, können Sie bis zu 80 öffentliche IP-Adressen zuordnen.

Wichtig

Die Azure Firewall unterstützt das Anhängen eines öffentlichen IP-Präfixes nicht. Sie müssen einzelne Standard-öffentliche IP-Adressen mit der Firewall verknüpfen.

Hinweis

Das Hinzufügen mehrerer öffentlicher IP-Adressen ist die kostengünstige Möglichkeit zum Skalieren von SNAT-Ports. Verwenden Sie in Szenarien mit hohem Datenverkehrsvolumen und -Durchsatz stattdessen ein NAT-Gateway für eine skalierbarere Lösung. NAT-Gateway weist SNAT-Ports dynamisch allen öffentlichen IPs zu, die damit verknüpft sind. Weitere Informationen finden Sie unter Integrieren des NAT-Gateways in Azure Firewall und den Optionsvergleich in bewährte Methoden.

Die folgenden Azure PowerShell-Beispiele zeigen, wie Sie öffentliche IP-Adressen für Azure Firewall konfigurieren, hinzufügen und entfernen können.

Wichtig

Sie können die erste IP-Konfiguration nicht von der Azure Firewall-Konfigurationsseite für öffentliche IP-Adressen entfernen. Wenn Sie die IP-Adresse ändern möchten, verwenden Sie Azure PowerShell.

Erstellen einer Firewall mit mindestens zwei öffentlichen IP-Adressen

In diesem Beispiel wird eine Firewall erstellt, die mit zwei öffentlichen IP-Adressen an das virtuelle Netzwerk myVirtualNetwork angefügt ist. Verwenden Sie Get-AzVirtualNetwork , um das vorhandene virtuelle Netzwerk abzurufen, New-AzPublicIpAddress , um jede öffentliche IP-Adresse zu erstellen, und New-AzFirewall , um die Firewall mit beiden IPs bereitzustellen.

$rgName = "resourceGroupName"

$vnet = Get-AzVirtualNetwork `
  -Name "myVirtualNetwork" `
  -ResourceGroupName $rgName

$pip1 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp1" `
  -ResourceGroupName $rgName `
  -Sku "Standard" `
  -Location "centralus" `
  -AllocationMethod Static

$pip2 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp2" `
  -ResourceGroupName $rgName `
  -Sku "Standard" `
  -Location "centralus" `
  -AllocationMethod Static

New-AzFirewall `
  -Name "azFw" `
  -ResourceGroupName $rgName `
  -Location centralus `
  -VirtualNetwork $vnet `
  -PublicIpAddress @($pip1, $pip2)

Hinzufügen einer öffentlichen IP-Adresse zu einer vorhandenen Firewall

In diesem Beispiel ist die öffentliche IP-Adresse azFwPublicIp1 an die Firewall angefügt. Verwenden Sie New-AzPublicIpAddress , um die neue IP, Get-AzFirewall zum Abrufen des vorhandenen Firewallobjekts, und Set-AzFirewall zum Speichern der aktualisierten Konfiguration zu erstellen.

$pip = New-AzPublicIpAddress `
  -Name "azFwPublicIp1" `
  -ResourceGroupName "rg" `
  -Sku "Standard" `
  -Location "centralus" `
  -AllocationMethod Static

$azFw = Get-AzFirewall `
  -Name "AzureFirewall" `
  -ResourceGroupName "rg"

$azFw.AddPublicIpAddress($pip)

$azFw | Set-AzFirewall

Entfernen einer öffentlichen IP-Adresse aus einer vorhandenen Firewall

In diesem Beispiel ist die öffentliche IP-Adresse azFwPublicIp1 von der Firewall getrennt. Verwenden Sie "Get-AzPublicIpAddress ", um die vorhandene IP abzurufen, "Get-AzFirewall ", um das Firewallobjekt abzurufen, und "Set-AzFirewall ", um die aktualisierte Konfiguration zu speichern.

$pip = Get-AzPublicIpAddress `
  -Name "azFwPublicIp1" `
  -ResourceGroupName "rg"

$azFw = Get-AzFirewall `
  -Name "AzureFirewall" `
  -ResourceGroupName "rg"

$azFw.RemovePublicIpAddress($pip)

$azFw | Set-AzFirewall

Nächste Schritte

  • Zuletzt aktualisiert um