Tutorial: Implementación y configuración de Azure Firewall y directiva mediante Azure Portal

El control del acceso de red saliente es una parte importante de un plan de seguridad de red de ámbito general. Por ejemplo, es posible que quiera limitar el acceso a los sitios web. O bien, es posible que quiera limitar las direcciones IP de salida y los puertos a los que se puede acceder.

Puede controlar el acceso de red saliente desde una subred de Azure mediante Azure Firewall y la directiva de firewall. Mediante Azure Firewall y la directiva de firewall, puede configurar:

  • Reglas de aplicación que definen los nombres de dominio completos (FQDN) a los que se puede acceder desde una subred.
  • Reglas de red que definen la dirección de origen, el protocolo, el puerto de destino y la dirección de destino.

El tráfico está sujeto a las reglas de firewall configuradas cuando enruta el tráfico al firewall como puerta de enlace predeterminada de la subred.

En este tutorial, creará una red virtual (VNet) simplificada con dos subredes para facilitar la implementación.

  • AzureFirewallSubnet: el firewall está en esta subred.
  • Carga de trabajo-SN: el servidor de carga de trabajo está en esta subred. El tráfico de red de esta subred va a través del firewall.

Diagrama que muestra una infraestructura de red de firewall.

Para implementaciones de producción, use un modelo hub-and-spoke, donde el firewall está en su propia red virtual. Los servidores de las cargas de trabajo están en redes virtuales emparejadas en la misma región con una o varias subredes.

En este tutorial, aprenderá a:

  • Configurar un entorno de red de prueba
  • Implementación de un firewall y una directiva de firewall
  • Crear una ruta predeterminada
  • Configurar una regla de aplicación para permitir el acceso a www.google.com
  • Configuración de una regla de red para permitir el acceso a los servidores DNS externos
  • Configuración de una regla NAT para permitir el acceso HTTP entrante al servidor de prueba
  • Probar el firewall

Si lo prefiere, puede completar este procedimiento mediante Azure PowerShell.

Requisitos previos

Si no tiene una suscripción a Azure, cree una cuenta gratuita antes de empezar.

Elige una región que soporte Azure Bastion Developer, como West US. Usa esa región para todos los recursos de este tutorial.

Configuración de la red

En primer lugar, cree un grupo de recursos para que contenga los recursos necesarios para implementar el firewall. A continuación, cree una red virtual, subredes y un servidor de prueba.

Crear un grupo de recursos

El grupo de recursos contiene todos los recursos necesarios para el tutorial.

  1. Inicie sesión en Azure Portal.

  2. En el menú de Azure Portal, seleccione Grupos de recursos o busque y seleccione Grupos de recursos en cualquier página y, a continuación, seleccione Crear. Escriba o seleccione los siguientes valores:

    Configuración Value
    Suscripción Seleccione la suscripción de Azure.
    Grupo de recursos Escriba Test-FW-RG.
    Region Seleccione una región. Los demás recursos que cree deben estar en la misma región.

  3. Seleccione Revisar y crear>Crear.

Creación de una red virtual

Esta red virtual tiene dos subredes.

Nota:

El tamaño de la subred AzureFirewallSubnet es /26. Para más información sobre el tamaño de la subred, consulte Preguntas más frecuentes sobre Azure Firewall.

  1. En el menú de Azure Portal o en Inicio, seleccione Crear un recurso, busque Red virtual y seleccione Crear.

  2. Escriba o seleccione los siguientes valores:

    Configuración Value
    Suscripción Seleccione la suscripción de Azure.
    Grupo de recursos Seleccione Test-FW-RG.
    Nombre Escriba Test-FW-VN.
    Region Seleccione la misma ubicación que usó anteriormente.

  3. Seleccione Siguiente dos veces para ir a la pestaña Direcciones IP .

  4. En Espacio de direcciones IPv4, acepte el valor predeterminado 10.0.0.0/16.

  5. En Subredes, seleccione Valor predeterminado. En el panel Editar subred , establezca La finalidad de subred en Azure Firewall.

    El firewall está en esta subred y el nombre de la subred debe ser AzureFirewallSubnet.

  6. En Dirección inicial, escriba 10.0.1.0 y seleccione Guardar.

  7. Seleccione Agregar subred y escriba los valores siguientes. A continuación, seleccione Agregar:

    Configuración Value
    Nombre de subred Workload-SN
    Dirección inicial 10.0.2.0/24

  8. Seleccione Revisar y crear>Crear.

Implementación de Azure Bastion

Usa Azure Bastion Developer para conectarte de forma segura a Srv-Work para las pruebas. El desarrollador utiliza infraestructura compartida y se conecta a máquinas virtuales en la misma red virtual. No requiere una Azure BastionSubnet dedicada ni una dirección IP pública.

No hay un despliegue separado de host dedicado en este tutorial. Después de crear la máquina virtual y configurar el cortafuegos, los pasos de prueba se conectan a través de Bastion. En una región soportada, seleccionar Conectar despliega automáticamente Bastion Developer. Para más información, consulta Implementar Bastion Developer.

Creación de una máquina virtual

Cree la máquina virtual de carga de trabajo y colóquela en la subred Workload-SN .

  1. En el cuadro de búsqueda de la parte superior del portal, escriba Máquina virtual, seleccione Máquinas virtuales y, después, Crear>máquina virtual.

  2. Especifique o seleccione estos valores para la máquina virtual:

    Configuración Value
    Detalles del proyecto
    Suscripción Seleccione la suscripción de Azure.
    Grupo de recursos Seleccione Test-FW-RG.
    Detalles de la instancia
    Nombre de la máquina virtual Escriba Srv-Work.
    Region Seleccione la misma ubicación que usó anteriormente.
    Opciones de disponibilidad Seleccione No se requiere redundancia de la infraestructura.
    Tipo de seguridad Seleccione Estándar.
    Imagen Seleccione Ubuntu Server 24.04 LTS -x64 Gen2.
    Tamaño Seleccione un tamaño para la máquina virtual.
    Cuenta de administrador
    Nombre de usuario escriba usuarioazure.
    Origen de la clave pública SSH Seleccione Generar un par de claves nuevo.
    Nombre del par de claves Escriba Srv-Work_key.

  3. En Reglas de puerto de entrada, establezca los Puertos de entrada públicos en Ninguno.

  4. Acepte los demás valores predeterminados y, en la pestaña Redes, asegúrese de que Test-FW-VN Workload-SN / está seleccionado y la dirección IP pública es Ninguno.

  5. Seleccione Revisar y crear>Crear. Cuando se le solicite, seleccione Descargar clave privada y crear un recurso y guardar el archivo de clave.

  6. Una vez finalizada la implementación, anote la dirección IP privada Srv-Work para su uso posterior.

Implementación del firewall y la directiva

Implemente el firewall en la red virtual.

  1. En el menú de Azure Portal o en Inicio, seleccione Crear un recurso, busque Firewall y seleccione Crear.

  2. En Crear un firewall, use la tabla siguiente para configurar el firewall:

    Configuración Value
    Detalles del proyecto
    Suscripción Seleccione la suscripción de Azure.
    Grupo de recursos Seleccione Test-FW-RG.
    Detalles de la instancia
    Nombre Escriba Test-FW01.
    Region Seleccione la misma ubicación que usó anteriormente.
    SKU del firewall Seleccione Estándar.
    Administración del firewall Seleccione Usar una directiva de firewall para administrar este firewall.
    Directiva de firewall Seleccione Agregar nuevo y escriba fw-test-pol.
    Seleccione la misma región que usó anteriormente. Seleccione Aceptar.
    Elegir una red virtual Seleccione Usar existente y, a continuación, seleccione Test-FW-VN. Omita la advertencia sobre la tunelización forzada. La advertencia se resuelve en un paso posterior..
    Dirección IP pública Seleccione Agregar nuevo y escriba fw-pip como Nombre. Seleccione Aceptar.

  3. Desmarca la casilla Habilitar la NIC de administración del firewall y, a continuación, selecciona Siguiente: Avanzado.

  4. Deja sin marcar Activar la pasarela NAT para este tutorial. Para configurar un gateway NAT StandardV2 durante la creación del firewall, consulte Integrar gateway NAT con Azure Firewall.

  5. Selecciona Revisar + crear, revisa la configuración y luego selecciona Crear.

    La implementación tarda unos minutos.

  6. Una vez finalizada la implementación, vaya a Test-FW-RG, seleccione el firewall Test-FW01 y anote las direcciones IP privadas y públicas para su uso posterior.

Crear una ruta predeterminada

En la subred Workload-SN, configure la ruta predeterminada de salida que pase por el firewall.

  1. Busque y seleccione Tablas de rutas, seleccione Crear y escriba los valores siguientes:

    Configuración Value
    Detalles del proyecto
    Suscripción Seleccione la suscripción de Azure.
    Grupo de recursos Seleccione Test-FW-RG.
    Detalles de la instancia
    Nombre Escriba Firewall-route.
    Region Seleccione la misma ubicación que usó anteriormente.

  2. Seleccione Revisar y crear>Crear.

    Cuando finalice la implementación, seleccione Ir al recurso.

  3. En el panel Ruta de firewall , en Configuración, seleccione Subredes>Asociar.

  4. En Red virtual, seleccione Test-FW-VN y, en Subred, seleccione Workload-SN. Seleccione Aceptar.

  5. Seleccione Rutas>Añadir, y escriba los valores siguientes.

    Configuración Value
    Nombre de ruta fw-dg
    Tipo de destino Direcciones IP
    Prefijo de direcciones IP de destino/rangos CIDR 0.0.0.0/0
    Tipo del próximo salto Aplicación virtual
    Dirección del próximo nodo Dirección IP privada del firewall que anotó anteriormente

    Nota:

    Azure Firewall es realmente un servicio administrado, pero una aplicación virtual funciona en esta situación.

  6. Seleccione Agregar.

Instalación de un servidor web

La máquina virtual no tiene dirección IP pública. Usa la ruta de carga de trabajo que acabas de crear y una regla temporal de aplicación para descargar nginx a través del cortafuegos. Mantén la configuración DNS por defecto proporcionada por Azure de la VM durante la instalación.

  1. Abre fw-test-pol. En Reglas de configuración>, seleccioneReglas>Agregar una colección de reglas.

  2. Escriba los siguientes valores:

    Configuración Value
    Nombre Install-Nginx
    Tipo de colección de reglas Aplicación
    Priority 100
    Acción de colección de reglas Permitir
    Grupo de colección de reglas DefaultApplicationRuleCollectionGroup
    Nombre de la regla Permitir repositorios de paquetes
    Tipo de origen Dirección IP
    Fuente 10.0.2.0/24
    Protocolo:puerto http:80, https:443
    Tipo de destino FQDN
    FQDN de destino azure.archive.ubuntu.com, archive.ubuntu.com, security.ubuntu.com, packages.microsoft.com

  3. Selecciona Añadir y espera a que se complete la actualización de la política.

  4. En Test-FW-RG, selecciona Srv-Work. Seleccione Operaciones>Ejecutar comando>RunShellScript, introduzca los siguientes comandos y seleccione Ejecutar:

    set -eu
sudo apt-get update
sudo apt-get install -y nginx
echo "<html><body><h1>Azure Firewall DNAT Test</h1><p>If you can see this page, the DNAT rule is working correctly!</p></body></html>" | sudo tee /var/www/html/index.html
curl --fail http://localhost

  5. Confirma que el comando se completa correctamente y devuelve la página de Azure Firewall DNAT Test. Si fallan las descargas de paquetes, comprueba el nombre de host del repositorio en el mensaje de error y compáralo con la regla temporal. Permite solo los repositorios de paquetes configurados; no añadas una regla comodín para Internet. Consulta Solucionar problemas comunes con APT en Ubuntu.

  6. Vuelve a fw-test-pol y elimina la colección de reglas Install-Nginx . Espera a que se complete la actualización de la política antes de continuar. Esta eliminación garantiza que las pruebas posteriores evalúen solo las reglas permanentes del tutorial.

Configuración de una regla de aplicación

Esta regla de aplicación concede acceso saliente a www.google.com.

  1. Abra el grupo de recursos Test-FW-RG y seleccione la directiva de firewall fw-test-pol.

  2. En Reglas de configuración>, seleccioneReglas>Agregar una colección de reglas.

  3. Escriba los siguientes valores:

    Configuración Value
    Nombre App-Coll01
    Priority 200
    Acción de colección de reglas Permitir
    Reglas
    Nombre Allow-Google
    Tipo de origen Dirección IP
    Fuente 10.0.2.0/24
    Protocolo:puerto http, https
    Tipo de destino FQDN
    Destino www.google.com

  4. Seleccione Agregar.

Azure Firewall incluye una colección de reglas integradas para FQDN de infraestructura que están permitidos de forma predeterminada. Estos FQDN son específicos de la plataforma y no se pueden usar con otros fines. Para más información, consulte Nombres de dominio completos de infraestructura.

Espere a que se complete la implementación de la regla de aplicación antes de continuar.

Configurar una regla de red

Esta regla de red concede acceso saliente a dos direcciones IP en el puerto 53 (DNS).

  1. Seleccione Reglas> de redAgregar una colección de reglas.

  2. Escriba los siguientes valores:

    Configuración Value
    Nombre Net-Coll01
    Priority 200
    Acción de colección de reglas Permitir
    Grupo de colección de reglas DefaultNetworkRuleCollectionGroup
    Reglas
    Nombre Allow-DNS
    Tipo de origen Dirección IP
    Fuente 10.0.2.0/24
    Protocolo UDP
    Puertos de destino 53
    Tipo de destino Dirección IP
    Destino 209.244.0.3,209.244.0.4 (servidores DNS públicos operados por CenturyLink)

  3. Seleccione Agregar.

Espere a que se complete la implementación de la regla de red antes de continuar.

Configurar una regla de DNAT

Esta regla se conecta al servidor web en la máquina virtual Srv-Work a través del firewall.

  1. Seleccione Reglas DNAT>Agregar una colección de reglas.

  2. Escriba los siguientes valores:

    Configuración Value
    Nombre HTTP
    Priority 200
    Grupo de colección de reglas DefaultDnatRuleCollectionGroup
    Reglas
    Nombre http-nat
    Tipo de origen Dirección IP
    Fuente *
    Protocolo TCP
    Puertos de destino 80
    Destino La dirección IP pública del firewall
    Tipo traducido Dirección IP
    Dirección traducida La dirección IP privada de Srv-Work
    Puerto traducido 80

  3. Seleccione Agregar.

Cambio de la dirección DNS principal y secundaria para la interfaz de red Srv-Work

Con fines de prueba para este tutorial, configure las direcciones DNS principal y secundaria del servidor. Esta configuración no es un requisito general de Azure Firewall.

  1. En el grupo de recursos Test-FW-RG , seleccione la interfaz de red de la máquina virtual Srv-Work .
  2. En Configuración, seleccione Servidores DNS Personalizados>.
  3. Escriba 209.244.0.3 y 209.244.0.4 como servidores DNS y seleccione Guardar.
  4. Reinicie la máquina virtual Srv-Work.

Probar el firewall

Ahora, pruebe el firewall para confirmar que funciona según lo previsto.

Prueba de la regla DNAT

  1. En un explorador web del equipo local, escriba http://<firewall-public-ip-address>.
  2. Verá la página web personalizada: Prueba DNAT de Azure Firewall. Esto confirma que la regla DNAT funciona.

Prueba de las reglas de aplicación y red

Use Azure Bastion para conectarse de forma segura a la máquina virtual Srv-Work y probar las reglas de firewall.

  1. En el grupo de recursos Test-FW-RG , seleccione la máquina virtual Srv-Work y, a continuación, seleccione Conectar>conexión a través de Bastion.

  2. En la página Bastion, escriba o seleccione los valores siguientes:

    Configuración Value
    Tipo de autenticación Seleccione Ssh Private Key (Clave privada SSH) en Local File (Archivo local).
    Nombre de usuario escriba usuarioazure.
    Archivo local Seleccione Examinar y seleccione el archivo Srv-Work_key.pem que descargó durante la creación de la máquina virtual.

  3. Seleccione Conectar.

    Bastion Developer se despliega automáticamente y abre una sesión SSH a Srv-Work en el portal.

  4. En la sesión SSH, escriba el siguiente comando para probar el acceso a Google:

    curl -I https://www.google.com

    Verá una respuesta HTTP correcta (200 OK), lo que indica que la regla de aplicación permite el acceso a Google.

  5. Ahora pruebe el acceso a Microsoft, que debe bloquearse. Especifique:

    curl -I https://www.microsoft.com

    El comando agota el tiempo de espera o produce un error después de aproximadamente 60 segundos, lo que indica que el firewall está bloqueando el acceso.

Ahora ha comprobado que las reglas de firewall funcionan:

  • Puede acceder al servidor web a través de la regla DNAT.
  • Puede navegar al FQDN permitido pero no a ningún otro.
  • Puede resolver nombres DNS mediante el servidor DNS externo configurado.

Limpieza de recursos

Puede conservar los recursos del firewall para el próximo tutorial. Si ya no los necesita, elimine el grupo de recursos Test-FW-RG para eliminar todos los recursos relacionados con el firewall.

Pasos siguientes

Implementación y configuración de Azure Firewall Prémium

  • Se actualizó por última vez el