FQDN-Filterung von Azure Firewall

Ein vollqualifizierter Domänenname (Fully Qualified Domain Name, FQDN) ist der vollständige Domänenname eines Hosts im Internet, z. B. www.microsoft.com. In der Azure-Firewall und der Firewallrichtlinie können FQDNs verwendet werden, um den Datenverkehr in DNAT-, Netzwerk- und Anwendungsregeln zu filtern, abhängig von Typ und Richtung des zu überprüfenden Datenverkehrs.

Funktionsweise

Azure Firewall behandelt FQDN-basierte Filterung abhängig vom Regeltyp:

  • Anwendungsregeln verwenden FQDNs zum Filtern von HTTP/S- und MSSQL-Datenverkehr. Sie basieren auf einem transparenten Proxy auf Anwendungsebene und dem SNI-Header (Server Name Indication), um zwischen FQDNs zu unterscheiden, die in dieselbe IP-Adresse aufgelöst werden. Mit anderen Worten, FQDNs werden abgeglichen und nach der ursprünglichen Domäne gefiltert, die vom Client angefordert wird, nicht basierend auf der aufgelösten IP-Adresse.
  • Netzwerk- und DNAT-Regeln filtern Datenverkehr basierend auf den aufgelösten IP-Adressen der FQDNs unter Verwendung von Azure DNS oder einem benutzerdefinierten DNS-Server. Azure Firewall verwaltet und aktualisiert die Liste der zugeordneten IP-Adressen für die FQDNs dynamisch, um sicherzustellen, dass der Datenverkehr ordnungsgemäß weitergeleitet wird, auch wenn sich die zugrunde liegenden IP-Adressen ändern.

Wenn die DNS-Auflösung verwendet wird, führt Azure Firewall Folgendes aus:

  • Löst den FQDN in seine entsprechende IP-Adresse auf.
  • Verwendet die aufgelöste IP-Adresse, um den entsprechenden Regeltyp (DNAT oder Netzwerk) anzuwenden.
  • Aktualisiert die Zuordnungen von FQDN-to-IP alle 15 Sekunden.
  • Entfernt IP-Adressen, die nach 15 Minuten nicht mehr aufgelöst oder verwendet werden.

Hinweis

Dieses Aktualisierungsverhalten gilt für die FQDN-to-IP Mappings, die Azure Firewall für die Regelverarbeitung pflegt. Er ist getrennt vom DNS-Proxy-Cache der Azure Firewall, der DNS-Antworten gemäß ihrer TTL speichert und keine Datensätze vor Ablauf des TTL abruft. Für das Verhalten des DNS-Proxy-Cachings siehe Azure Firewall DNS-Einstellungen und Azure Firewall DNS Proxy Details.

Unterschiede zwischen FQDN-Filterung in DNAT-Regeln und Netzwerkregeln und Anwendungsregeln

DNAT-Regeln

DNAT-Regeln (Destination Network Address Translation) werden verwendet, um eingehenden Datenverkehr an Back-End-Server weiterzuleiten. Mit diesen Regeln können Sie eine IP-Adresse oder einen FQDN als Ziel für die Übersetzung angeben. Mithilfe von FQDNs in DNAT-Regeln können Sie einen vollqualifizierten Domänennamen für den Back-End-Server angeben, der besonders in dynamischen Umgebungen nützlich ist, in denen sich die IP-Adresse des Back-End-Servers häufig ändern kann.

Wichtige Merkmale:

  • Aktivieren Sie die Weiterleitung eingehenden Datenverkehrs zu Backend-Servern.
  • Unterstützen Sie FQDN-basierte Zielbestimmung für dynamische Umgebungen.
  • Nützlich für Szenarien, die flexible Back-End-Serverkonfigurationen erfordern.

Netzwerkregeln

Netzwerkregeln werden zum Filtern von Datenverkehr basierend auf jedem TCP- oder UDP-Protokoll verwendet, z. B. Netzwerkzeitprotokoll (NTP), Secure Shell (SSH) und Remotedesktopprotokoll (RDP). Im Gegensatz zu Anwendungsregeln sind Netzwerkregeln nicht von einem Proxy auf Anwendungsebene oder vom SNI-Header abhängig.

Hinweis

Netzwerkregeln mit FQDN-Filterung unterstützen die Verwendung von Wildcardzeichen nicht. Diese Einschränkung ist beabsichtigt.

Wichtige Merkmale:

  • Gilt für alle TCP- und UDP-Protokolle.
  • Ideal für Nicht-HTTP/S- oder MSSQL-Datenverkehr.
  • Arbeiten Sie auf der Netzwerkebene ohne protokollspezifische Inspektion.

Anwendungsregeln

Anwendungsregeln sind für das Filtern von HTTP/S- und MSSQL-Datenverkehr konzipiert. Sie basieren auf einem transparenten Proxy auf Anwendungsebene und dem SNI-Header (Server Name Indication), um zwischen FQDNs zu unterscheiden, die in dieselbe IP-Adresse aufgelöst werden. Diese Regeln eignen sich ideal für Szenarien, in denen Sie den Zugriff auf Webdienste oder Datenbanken steuern müssen.

Wichtige Merkmale:

  • Am besten geeignet für HTTP/S- und MSSQL-Protokolle.
  • Verwenden Sie FQDN-Tags für Azure-Dienste wie Azure Backup und HDInsight.
  • Bieten Sie eine genauere Granularität für unterstützte Protokolle.

Indem Sie die Unterschiede zwischen diesen Regeltypen verstehen, können Sie die Azure Firewall effektiv so konfigurieren, dass sie den Sicherheits- und Datenverkehrsverwaltungsanforderungen Ihrer Organisation entspricht.

Nächste Schritte

  • Last updated on