Implementación de Azure Firewall con varias direcciones IP públicas mediante Azure PowerShell

Esta característica permite los siguientes escenarios:

  • DNAT: puede traducir varias instancias de puerto estándar para los servidores back-end. Por ejemplo, si tiene dos direcciones IP públicas, puede traducir el puerto TCP 3389 (RDP) para ambas direcciones IP.
  • SNAT: hay disponibles puertos adicionales para las conexiones SNAT salientes, lo que reduce la posibilidad de que se agoten los puertos SNAT. Azure Firewall selecciona aleatoriamente la primera dirección IP pública de origen que se usará para una conexión y selecciona otra dirección IP pública después de que se agoten los puertos de la primera dirección IP. Si dispone de algún filtro de nivel inferior de la red, deberá permitir todas las direcciones IP públicas asociadas con el firewall.

Puede acceder a Azure Firewall con varias direcciones IP públicas a través de Azure Portal, Azure PowerShell, la CLI de Azure, REST y las plantillas. Puedes asociar hasta 250 direcciones IP públicas con un Azure Firewall desplegado en una red virtual. Las reglas de destino de DNAT también cuentan para el máximo de 250. Para un Azure Firewall desplegado en un hub virtual seguro (VHub), puedes asociar hasta 80 direcciones IP públicas.

Importante

Azure Firewall no admite la asignación de un prefijo IP público por sí mismo, pero puede usar direcciones IP públicas individuales de SKU estándar provisionadas desde un prefijo de IP pública.

Nota:

Agregar varias direcciones IP públicas es la manera de reducir el costo de escalar los puertos SNAT. En escenarios con un alto volumen de tráfico y rendimiento, use una puerta de enlace NAT en su lugar para una solución más escalable. Nat Gateway asigna dinámicamente puertos SNAT en todas las direcciones IP públicas asociadas. Para obtener más información, consulte Integración de NAT Gateway con Azure Firewall y la comparación de opciones en procedimientos recomendados.

En los siguientes ejemplos de Azure PowerShell se muestra cómo puede configurar, agregar y quitar direcciones IP públicas para Azure Firewall.

Importante

No puede quitar la primera configuración de IP de la página de configuración de direcciones IP públicas de Azure Firewall. Si desea modificar la dirección IP, use Azure PowerShell.

Creación de un firewall con dos o más direcciones IP públicas

En este ejemplo se crea un firewall conectado a la red virtual myVirtualNetwork con dos direcciones IP públicas. Use Get-AzVirtualNetwork para recuperar la red virtual existente, New-AzPublicIpAddress para crear cada dirección IP pública y New-AzFirewall para implementar el firewall con ambas direcciones IP.

$rgName = "resourceGroupName"

$vnet = Get-AzVirtualNetwork `
  -Name "myVirtualNetwork" `
  -ResourceGroupName $rgName

$pip1 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp1" `
  -ResourceGroupName $rgName `
  -Sku "Standard" `
  -Location "centralus" `
  -AllocationMethod Static

$pip2 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp2" `
  -ResourceGroupName $rgName `
  -Sku "Standard" `
  -Location "centralus" `
  -AllocationMethod Static

New-AzFirewall `
  -Name "azFw" `
  -ResourceGroupName $rgName `
  -Location centralus `
  -VirtualNetwork $vnet `
  -PublicIpAddress @($pip1, $pip2)

Incorporación de una dirección IP pública en un firewall existente

En este ejemplo, la dirección IP pública azFwPublicIp1 se asocia al firewall. Use New-AzPublicIpAddress para crear la nueva dirección IP, Get-AzFirewall para recuperar el objeto de firewall existente y Set-AzFirewall para guardar la configuración actualizada.

$pip = New-AzPublicIpAddress `
  -Name "azFwPublicIp1" `
  -ResourceGroupName "rg" `
  -Sku "Standard" `
  -Location "centralus" `
  -AllocationMethod Static

$azFw = Get-AzFirewall `
  -Name "AzureFirewall" `
  -ResourceGroupName "rg"

$azFw.AddPublicIpAddress($pip)

$azFw | Set-AzFirewall

Eliminación de una dirección IP pública de un firewall existente

En este ejemplo, la dirección IP pública azFwPublicIp1 se desasocia del firewall. Use Get-AzPublicIpAddress para recuperar la dirección IP existente, Get-AzFirewall para recuperar el objeto de firewall y Set-AzFirewall para guardar la configuración actualizada.

$pip = Get-AzPublicIpAddress `
  -Name "azFwPublicIp1" `
  -ResourceGroupName "rg"

$azFw = Get-AzFirewall `
  -Name "AzureFirewall" `
  -ResourceGroupName "rg"

$azFw.RemovePublicIpAddress($pip)

$azFw | Set-AzFirewall

Pasos siguientes

  • Se actualizó por última vez el