Déploiement de la passerelle d'application privée

Introduction

Historiquement, les références SKU Application Gateway v2 et, dans une certaine mesure, v1, requièrent l’IP publique pour permettre la gestion du service. Cette exigence a imposé plusieurs limitations lors de l’utilisation de contrôles précis dans les groupes de sécurité réseau et les tables de routage. Plus précisément, les défis suivantes ont été observés :

  • Tous les déploiements Application Gateways v2 doivent contenir une configuration IP front-end publique pour permettre la communication avec l’étiquette de service Gestionnaire de passerelle.
  • Les associations de groupes de sécurité réseau nécessitent des règles pour autoriser l’accès entrant à partir du GatewayManager et de l’accès sortant à Internet.
  • Lors de l’introduction d’un itinéraire par défaut (0.0.0.0/0) pour transférer le trafic n’importe où autre que l’Internet, les métriques, l’analyse et les mises à jour de la passerelle entraînent un échec de l’état.

Application Gateway v2 peut désormais traiter chacun de ces éléments afin d’éliminer davantage les risques d’exfiltration de données et de contrôler la confidentialité des communications à partir du réseau virtuel. Ces modifications incluent notamment les fonctionnalités suivantes :

  • Configuration IP frontale privée uniquement
    • Pas de ressource d’adresse IP publique nécessaire
  • Élimination du trafic entrant à partir de l’étiquette de service GatewayManager via le groupe de sécurité réseau
  • Possibilité de définir une règle de groupe de sécurité réseau sortant (NSG)Tout refuser pour restreindre le trafic de sortie à Internet
  • Possibilité de remplacer l’itinéraire par défaut vers Internet (0.0.0.0/0)
  • Résolution DNS via des résolveurs définis sur le réseau virtuel En savoir plus, y compris les zones DNS privées de liaison privée.

Conseil / Astuce

Consultez la résolution DNS d’Application Gateway pour obtenir des instructions détaillées sur la configuration du DNS pour Application Gateway.

Chacune de ces fonctionnalités peut être configurée indépendamment. Par exemple, une adresse IP publique peut être utilisée pour autoriser le trafic entrant depuis Internet et vous pouvez définir une règle de trafic sortantTout refuser dans la configuration du groupe de sécurité réseau pour empêcher l’exfiltration des données.

À bord de la fonctionnalité

Cet article porte sur le déploiement privé d’Application Gateway pour les SKU Application Gateway v2. Il prend en compte deux modes de déploiement : une configuration IP frontale privée uniquement, et une configuration combinée utilisant à la fois une configuration IP frontale publique et privée. Les contrôles pour la configuration IP privée frontend, la gestion des règles des groupes de sécurité réseau (NSG) et la configuration des tables de routage sont généralement disponibles et pris en charge en production.

Pour utiliser ces fonctionnalités, vous devez vous inscrire à l’expérience en utilisant le portail Azure, PowerShell, CLI ou API REST. Ce mécanisme d’adhésion offre également de la flexibilité si vous devez revenir à la fonctionnalité traditionnelle de la passerelle d’application lorsque cela est nécessaire (par exemple, pour activer Private Link).

Conseil / Astuce

Les passerelles fonctionnent à l’aide des fonctionnalités disponibles au moment où elles sont approvisionnées. Si vous annulez l’inscription à partir de la fonctionnalité, les passerelles existantes continuent à fonctionner avec les fonctionnalités qui ont été activées lors de leur création.

Inscrire la fonctionnalité

Note

Dans l’expérience du portail Azure, le processus d’inscription des fonctionnalités est étiqueté comme préversion ; Toutefois, cette expérience est en disponibilité générale, entièrement prise en charge pour les charges de travail de production et couvertes par les contrats SLA Application Gateway publiés.

Utilisez les étapes suivantes pour enregistrer la fonctionnalité de déploiement privé Application Gateway via le portail Azure :

  1. Connectez-vous au portail Azure.

  2. Dans la zone de recherche, entrez abonnements et sélectionnez Abonnements.

    Capture d’écran de la recherche du portail Azure.

  3. Sélectionnez le lien pour le nom de votre abonnement.

    Capture d’écran illustrant la sélection d’Azure.

  4. Dans le menu de gauche, sous Paramètres, sélectionnez Fonctionnalités d’évaluation.

    Capture d’écran du menu des fonctionnalités Azure.

  5. La liste des fonctionnalités et de l’état actuel de l’inscription s’affiche.

    Capture d’écran de la liste des fonctionnalités en préversion du portail Azure.

  6. À partir de fonctionnalités d’aperçu tapez dans la zone de filtre EnableApplicationGatewayNetworkIsolation, cochez la fonctionnalité, puis cliquez sur Inscrire.

    Capture d’écran du filtre de fonctionnalités en préversion du portail Azure.

Note

L’inscription d’une fonctionnalité peut prendre jusqu’à 30 minutes pour passer de l’état Inscription à Inscrit.

Désenregistrer la fonctionnalité

Pour vous désinscrire de la fonctionnalité de déploiement privé de la passerelle d’application via le portail, utilisez les étapes suivantes :

  1. Connectez-vous au portail Azure.

  2. Dans la zone de recherche, entrez abonnements et sélectionnez Abonnements.

    Capture d’écran de la recherche du portail Azure.

  3. Sélectionnez le lien pour le nom de votre abonnement.

    Capture d’écran de sélection de l’abonnement Azure.

  4. Dans le menu de gauche, sous Paramètres, sélectionnez Fonctionnalités d’évaluation.

    Capture d’écran du menu des fonctionnalités Azure.

  5. La liste des fonctionnalités et de l’état actuel de l’inscription s’affiche.

    Capture d’écran de la liste des fonctionnalités du Portail Microsoft Azure.

  6. À partir de fonctionnalités d’aperçu tapez dans la zone de filtre EnableApplicationGatewayNetworkIsolation, cochez la fonctionnalité, puis cliquez sur Désinscrire.

    Capture d’écran des fonctionnalités de filtre du Portail Microsoft Azure.

Configuration des contrôles réseau

Après avoir enregistré la fonctionnalité, vous pouvez configurer le NSG, la table de routage et la configuration IP frontale privée pour un déploiement privé de passerelle d’application en utilisant n’importe quelle méthode. Par exemple, utilisez l’API REST, le modèle ARM, le déploiement Bicep, Terraform, PowerShell, CLI ou le portail Azure.

Note

Si votre application cliente se connecte à Application Gateway en utilisant une adresse IP privée, nécessite un délai d’attente d’inactivité supérieur à quatre minutes, et ne peut pas initier le TCP keepalive, soumettez un ticket de support pour demander l’activation du comportement requis sur Application Gateway.

Sous-réseau d’Application Gateway

Le sous-réseau de la passerelle d’application est le sous-réseau au sein du réseau virtuel où vous déployez les ressources de la passerelle d’application. Dans un déploiement privé de passerelle d’application utilisant une configuration IP frontale privée uniquement, ce sous-réseau doit atteindre de manière privée les ressources souhaitant se connecter à votre application ou site exposé.

Note

Depuis le 5 mai 2025, les déploiements nouveaux et existants d’Application Gateway privé nécessitent la délégation de sous-réseau vers Microsoft.Network/applicationGateways. Suivez ces étapes pour configurer la délégation de sous-réseau.

Connectivité Internet sortante

Dans un déploiement privé de passerelle applicative, les déploiements v2 utilisant une configuration IP frontale privée uniquement (ils n’ont pas de configuration IP publique associée à une règle de routage de requête) ne peuvent pas évacuer le trafic sorti destiné à Internet. Cette configuration affecte la communication avec les cibles back-end accessibles publiquement via Internet.

Pour activer la connectivité sortante à partir de votre passerelle Application Gateway vers une cible back-end accessible sur Internet, vous pouvez utiliser le service NAT de réseau virtuel ou transférer le trafic vers une appliance virtuelle qui a accès à Internet.

Le service NAT de réseau virtuel offre un contrôle sur l’adresse IP ou le préfixe à utiliser, ainsi que sur le délai d’inactivité configurable. Pour le configurer, créez une passerelle NAT Gateway avec une adresse IP publique ou un préfixe public et associez-la au sous-réseau contenant Application Gateway.

Si une appliance virtuelle est requise pour la sortie Internet, consultez la section Contrôle de table de routage de ce document.

Scénarios courants où l’utilisation de l’adresse IP publique est requise :

  • Communication vers le coffre de clés sans utiliser de points de terminaison privés ou de points de terminaison de service
    • La communication sortante n’est pas requise pour les fichiers pfx chargés directement sur Application Gateway
  • Communication avec les cibles back-end via Internet
  • Communication vers la liste de révocation de certificats ou les points de terminaison OCSP accessibles sur Internet

Contrôle des groupes de sécurité réseau

Cette section décrit le contrôle du groupe de sécurité réseau (NSG) pour le sous-réseau Application Gateway v2 dans un déploiement privé d’Application Gateway. Après avoir enregistré la fonctionnalité, les groupes de sécurité réseau associés à un sous-réseau de passerelle d’application ne nécessitent plus de règles entrantes pour GatewayManager, et ils ne nécessitent pas d’accès sortant à Internet. La seule règle requise est Autoriser le trafic entrant à partir d’AzureLoadBalancer pour garantir que les sondes d’intégrité peuvent atteindre la passerelle.

La configuration suivante est un exemple de l’ensemble de règles de trafic entrant le plus restrictif, refusant tout le trafic sauf les sondes d’intégrité Azure. Outre les règles définies, des règles explicites sont définies pour permettre au trafic client d’atteindre l’écouteur de la passerelle.

Capture d’écran des règles de groupe de sécurité de trafic entrant.

Note

Application Gateway affiche une alerte demandant de s’assurer que la règle Autoriser LoadBalanceRule est spécifiée si une règle DenyAll limite par inadvertance l’accès aux sondes d’intégrité.

Exemple de scénario

Cet exemple décrit la création d’un groupe de sécurité réseau à l’aide du portail Microsoft Azure avec les règles suivantes :

  • Autoriser le trafic entrant vers le port 80 et 8080 vers Application Gateway à partir des demandes clientes provenant d’Internet
  • Refuser tout autre trafic entrant
  • Autoriser le trafic sortant vers une cible back-end dans un autre réseau virtuel
  • Autoriser le trafic sortant vers une cible back-end accessible par Internet
  • Refuser tout autre trafic sortant

Tout d’abord, créez un groupe de sécurité réseau. Ce groupe de sécurité contient vos règles de trafic entrant et sortant.

Règles de trafic entrant

Trois règles de trafic entrant par défaut sont déjà approvisionnées dans le groupe de sécurité. Voir l’exemple suivant :

Capture d’écran des règles de groupe de sécurité de trafic par défaut.

Ensuite, créez les quatre nouvelles règles de sécurité entrantes suivantes :

  • Autoriser le port entrant 80, le tcp, à partir d’Internet (n’importe lequel)
  • Autoriser le port entrant 8080, le tcp, à partir d’Internet (n’importe lequel)
  • Autoriser le trafic entrant à partir d’AzureLoadBalancer
  • Refuser tout trafic entrant

Pour créer ces règles :

  • Sélectionnez Règles de sécurité de trafic entrant
  • Sélectionnez Ajouter
  • Ajoutez les informations suivantes pour chaque règle dans le volet Ajouter une règle de sécurité de trafic entrant.
  • Lorsque vous avez entré les informations, sélectionnez Ajouter pour créer la règle.
  • La création de chaque règle prend un moment.
Règle n° Source Balise du service source Plages de ports sources Destination Service Plages de ports dest Protocol Action Priority Name
1 Any * Any HTTP 80 TCP Allow 1028 AllowWeb
2 Any * Any Custom 8080 TCP Allow 1029 AllowWeb8080
3 Identifiant de service AzureLoadBalancer * Any Custom * Any Allow 1045 AllowLB
4 Any * Any Custom * Any Deny 4095 DenyAllInbound

Sélectionnez Actualiser pour passer en revue toutes les règles lorsque l’approvisionnement est terminé.

Capture d’écran d’un exemple de règles de groupe de sécurité entrantes.

Règles de trafic sortant

Trois règles de trafic sortant par défaut avec la priorité 65000, 65001 et 65500 sont déjà configurées.

Créez les trois nouvelles règles de sécurité de trafic sortant suivantes :

  • Autoriser TCP 443 de 10.10.4.0/24 à la cible back-end 203.0.113.1
  • Autoriser TCP 80 de la source 10.10.4.0/24 à destination 10.13.0.4
  • Refuser toutes les règles de trafic

Ces règles se voient attribuer une priorité de 400, 401 et 4096, respectivement.

Note

  • 10.10.4.0/24 est l’espace d’adressage du sous-réseau Application Gateway.
  • 10.13.0.4 est une machine virtuelle dans un réseau virtuel appairé.
  • 203.0.113.1 est une machine virtuelle cible back-end.

Pour créer ces règles :

  • Sélectionnez Règles de sécurité de trafic sortant
  • Sélectionnez Ajouter
  • Ajoutez les informations suivantes pour chaque règle dans le volet Ajouter une règle de sécurité de trafic sortant.
  • Lorsque vous avez entré les informations, sélectionnez Ajouter pour créer la règle.
  • La création de chaque règle prend un moment.
Règle n° Source Adresses IP sources/plages CIDR Plages de ports sources Destination Plages d’adresses IP/CIDR de destination Service Plages de ports dest Protocol Action Priority Name
1 Adresses IP 10.10.4.0/24 * Adresses IP 203.0.113.1 HTTPS 443 TCP Allow 400 AllowToBackendTarget
2 Adresses IP 10.10.4.0/24 * Adresses IP 10.13.0.4 HTTP 80 TCP Allow 401 AllowToPeeredVnetVM
3 Any * Any Custom * Any Deny 4096 DenyAll

Sélectionnez Actualiser pour passer en revue toutes les règles lorsque l’approvisionnement est terminé.

Capture d’écran des règles de sécurité sortantes pour la passerelle applicative.

Associer un groupe NSG à un sous-réseau

La dernière étape consiste à associer le groupe de sécurité réseau au sous-réseau qui contient votre Application Gateway.

Capture d’écran du groupe de sécurité réseau associé au sous-réseau.

Result:

Capture d’écran de la vue d’ensemble du groupe de sécurité réseau.

Important

Soyez prudent lorsque vous définissez les règles DenyAll , car vous risquez de refuser par inadvertance le trafic entrant des clients auxquels vous voulez autoriser l’accès. Vous pourriez également refuser par inadvertance le trafic sortant vers la cible back-end, ce qui entraînerait l’échec de l’intégrité du serveur principal et produirait des réponses 5XX.

Contrôle de Table de routage

Cette section décrit le contrôle de la table de routage (itinéraire défini par l’utilisateur) pour le sous-réseau Application Gateway v2 dans un déploiement privé d’Application Gateway. Pour les déploiements d’Application Gateway qui ne sont pas enregistrés pour la fonctionnalité privée de déploiement de la passerelle applicative, vous ne pouvez pas associer une table de routage contenant une 0.0.0.0/0 route à un appareil virtuel au saut suivant. Cette restriction garantit une gestion adéquate de la passerelle d’application.

Important

Une route par défaut (0.0.0.0/0) que le sous-réseau d’Application Gateway apprend via BGP au moyen d’une connexion ExpressRoute ou VPN fait office de tunnel forcé. Il outrepasse la route par défaut du système et envoie le trafic du plan de gestion de la passerelle via le chemin sur site. Parce qu’Application Gateway v2 nécessite un routage symétrique pour le trafic de gestion, cette route interrompt la connectivité du plan de gestion et peut entraîner des échecs de provisionnement et InternalServerError. Pour rétablir la connectivité, ajoutez une route définie par l’utilisateur pour 0.0.0.0/0 avec un tronçon suivant Internet dans une table de routage dédiée au sous-réseau de la passerelle Application Gateway, ou cessez d’annoncer la route par défaut au sous-réseau. Pour un diagnostic pas à pas, consultez Résoudre les échecs de déploiement, de mise à l’échelle et de suppression d’Application Gateway.

Après avoir enregistré la fonctionnalité, vous pouvez transférer le trafic vers une appliance virtuelle en définissant une route 0.0.0.0/0 dont le saut suivant est une appliance virtuelle.

Exemple de scénario

Dans l’exemple suivant, nous créons une table de routage et l’associons au sous-réseau Application Gateway pour assurer que l’accès Internet sortant à partir du sous-réseau sera sortant à partir d’une appliance virtuelle. À un niveau élevé, la conception suivante est résumée dans la figure 1 :

  • Application Gateway est en réseau virtuel spoke
  • Il existe une appliance virtuelle réseau (une machine virtuelle) dans le réseau hub
  • Une table de routage avec un itinéraire par défaut (0.0.0.0/0) vers l’appliance virtuelle est associée au sous-réseau Application Gateway

Diagramme d’exemple de la table de route.

Figure 1 : sortie d’accès Internet via une appliance virtuelle

Pour créer une table de routage et l’associer au sous-réseau Application Gateway :

  1. Créer une table de routage :

Capture d’écran d’une nouvelle table de route créée.

  1. Sélectionnez Itinéraires et créez la règle de tronçon suivant pour 0.0.0.0/0 et configurez la destination comme adresse IP de votre machine virtuelle :

Capture d’écran de l’ajout d’une route par défaut à une appliance virtuelle réseau.

  1. Sélectionnez Sous-réseaux et associez la table de route au sous-réseau Application Gateway :

Capture d’écran de l’association de la route au sous-réseau AppGW.

  1. Vérifiez que le trafic transite par l’appliance virtuelle.

Limitations / problèmes connus

Les limites suivantes s'appliquent :

Application Gateway ne prend pas en charge la configuration de liens privés pour tunneler le trafic via des points de terminaison privés lorsque vous utilisez une configuration IP frontale privée uniquement.

Limitation du débit de pare-feu d’applications web (WAF)

Les Règles personnalisées de limitation du débit pour WAF v2 d’Application Gateway ne sont actuellement pas prises en charge.

Configuration frontend de l’IP privée uniquement avec AGIC

Vous devez utiliser AGIC v1.7 pour configurer une configuration IP frontale privée uniquement.

Connectivité de point de terminaison privé via le peering de réseaux virtuels mondial

Si Application Gateway a une référence de cible back-end ou de coffre de clés à un point de terminaison privé situé dans un réseau virtuel accessible via le peering mondial de réseaux virtuels, le trafic est supprimé, ce qui entraîne un état non sain.

Intégration de Network Watcher

Les diagnostics relatifs à la résolution des problèmes de connexion et aux NSG (groupes de sécurité réseau) retournent une erreur lors de l’exécution de tests de vérification et de diagnostic.

Coexistence de passerelles Application Gateway v2 créées avant d’activer le contrôle réseau amélioré

Si un sous-réseau partage les déploiements Application Gateway v2 que vous avez créés avant et après avoir activé la fonctionnalité de déploiement privé de la passerelle d’application, vous pouvez utiliser uniquement les fonctionnalités Network Security Group (NSG) et Route Table avec le déploiement antérieur de la passerelle. Pour activer les fonctionnalités de groupe de sécurité réseau et de table de routage, vous devez soit reconfigurer les passerelles d’application que vous avez créées avant d’activer la fonctionnalité, soit créer de nouvelles passerelles dans un sous-réseau différent.

  • Si une passerelle que vous avez déployée avant d’activer la fonctionnalité existe dans le sous-réseau, vous pourriez voir des erreurs telles que : For routes associated to subnet containing Application Gateway V2, please ensure '0.0.0.0/0' uses Next Hop Type as 'Internet' lors de l’ajout d’entrées de la table de routage.
  • Lorsque vous ajoutez des règles de groupe de sécurité réseau au sous-réseau, vous pouvez voir : Failed to create security rule 'DenyAnyCustomAnyOutbound'. Error: Network security group \<NSG-name\> blocks outgoing Internet traffic on subnet \<AppGWSubnetId\>, associated with Application Gateway \<AppGWResourceId\>. This isn't permitted for Application Gateways that have fast update enabled or have V2 Sku.

Étapes suivantes

  • Last updated on